Bin ich verantwortlich fuer das, was Facebook mit Besucherdaten macht?

Teilweise. Sie sind gemeinsam mit Facebook (Meta) Verantwortlicher fuer personenbezogene Daten, die ueber Ihre Unternehmensseite erhoben werden. Facebook hat dafuer ein Addendum erstellt (Page Insights Controller Addendum). Es regelt die Aufteilung der Verantwortlichkeiten, befreit Sie aber nicht von Ihren eigenen Pflichten.

Muss ich meine Unternehmensseite loeschen, um DSGVO-konform zu sein?

Nein. Sie duerfen eine Unternehmensseite haben, muessen sich aber Ihrer Pflichten bewusst sein. Fuegen Sie Datenschutzinformationen auf Ihrer Seite hinzu, nehmen Sie die Seite in Ihr Verarbeitungsverzeichnis auf und informieren Sie Besucher ueber die Datenverarbeitung.

Gilt das auch fuer LinkedIn und Instagram?

Ja. Das Urteil des EuGH betrifft das Prinzip der gemeinsamen Verantwortlichkeit bei Unternehmensseiten in sozialen Medien. Das gilt fuer jede Plattform, die Statistiken ueber Ihre Seitenbesucher liefert, also auch fuer LinkedIn und Instagram.

Was sind Insights und warum sind sie relevant?

Insights sind die Statistiken, die Plattformen ueber Ihre Seitenbesucher bereitstellen: Demografie, Reichweite, Interaktionen. Um diese Statistiken zu erstellen, verarbeitet die Plattform personenbezogene Daten der Besucher. Weil Sie diese Statistiken erhalten und davon profitieren, tragen Sie Mitverantwortung fuer diese Verarbeitung.

Unternehmensseite Social Media und DSGVO - Gemeinsame Verantwortlichkeit

Haben Sie eine Unternehmensseite auf Facebook, Instagram oder LinkedIn? Dann sind Sie gemeinsam mit der Plattform verantwortlich fuer die Besucherdaten. Erfahren Sie, was das bedeutet und was Sie tun muessen.

Eine Unternehmensseite ist eine Verarbeitung

Sie haben eine Seite auf Facebook, Instagram oder LinkedIn. Das ist verstaendlich - dort sind Ihre Kunden. Was viele Unternehmer aber nicht wissen: Durch das Erstellen und Verwalten dieser Unternehmensseite sind Sie mitverantwortlich fuer die personenbezogenen Daten, die die Plattform bei Ihren Besuchern erhebt.

Die DSGVO ist hier eindeutig, und der Europaeische Gerichtshof hat dies 2018 bestaetigt.

Das Wirtschaftsakademie-Urteil

Im Juni 2018 entschied der Europaeische Gerichtshof in der Rechtssache Wirtschaftsakademie Schleswig-Holstein (C-210/16), dass der Betreiber einer Facebook-Unternehmensseite gemeinsam mit Facebook Verantwortlicher fuer die Verarbeitung personenbezogener Daten der Besucher ist.

Warum? Weil Sie als Seitenbetreiber:

Bewusst eine Plattform waehlen, die personenbezogene Daten verarbeitet, um Statistiken zu erstellen
Parameter festlegen, die bestimmen, welche Daten erhoben werden (Zielgruppe, demografische Filter)
Von den Statistiken profitieren (Insights), die die Plattform ueber Ihre Besucher liefert
Die Verarbeitung beeinflussen, indem Sie Ihre Seite erstellen und konfigurieren

Die Tatsache, dass Sie technisch keinen Zugriff auf die rohen personenbezogenen Daten haben, ist unerheblich. Sie profitieren davon und haben die Verarbeitung mitveranlasst.

Was bedeutet “gemeinsam Verantwortliche”?

Artikel 26 der DSGVO verlangt, dass gemeinsam Verantwortliche untereinander festlegen, wer welche DSGVO-Pflichten erfuellt. Die grossen Plattformen haben dafuer Dokumente erstellt:

Facebook/Instagram (Meta): Page Insights Controller Addendum
LinkedIn: Joint Controller Addendum fuer Page Insights

Diese Dokumente legen den Grossteil der operativen Verantwortung bei der Plattform. Sie befreien Sie aber nicht vollstaendig. Als Seitenbetreiber bleiben Sie verpflichtet:

Besucher ueber die Datenverarbeitung zu informieren
Die Verarbeitung in Ihr Verarbeitungsverzeichnis aufzunehmen
Eine Rechtsgrundlage fuer Ihren Teil der Verarbeitung zu haben

Was muessen Sie praktisch tun?

1. Datenschutzinformationen auf Ihrer Seite

Fuegen Sie Ihrer Unternehmensseite Informationen zur Verarbeitung personenbezogener Daten hinzu. Auf Facebook koennen Sie dies im “Info”-Bereich tun oder ueber einen Link zu Ihrer Datenschutzerklaerung. Auf LinkedIn koennen Sie einen Link zu Ihrer Datenschutzerklaerung im Unternehmensprofil aufnehmen.

Geben Sie mindestens an:

Dass Sie gemeinsam mit der Plattform Verantwortlicher sind
Wo Besucher Ihre Datenschutzerklaerung finden
Wie Besucher Sie bei Datenschutzfragen kontaktieren koennen

2. Verarbeitungsverzeichnis aktualisieren

Nehmen Sie Ihre Social-Media-Unternehmensseiten in Ihr Verarbeitungsverzeichnis auf. Pro Seite:

Zweck: Unternehmenskommunikation, Marketing, Kundenservice
Datenkategorien: Besucherstatistiken, Interaktionsdaten, Nachrichten
Rechtsgrundlage: berechtigtes Interesse (Unternehmenskommunikation und Marketing)
Gemeinsam Verantwortlicher: Meta / LinkedIn / Plattform
Verweis auf das Controller Addendum der Plattform

3. Datenschutzerklaerung anpassen

Erwaehnen Sie in Ihrer allgemeinen Datenschutzerklaerung, dass Sie Unternehmensseiten in sozialen Medien betreiben und dafuer gemeinsam mit der Plattform verantwortlich sind. Verweisen Sie fuer Details der Verarbeitung auf die Datenschutzrichtlinie der Plattform.

4. Bewusster Umgang mit Insights

Die Insights-Daten, die Sie erhalten, sind anonymisiert oder aggregiert - Sie sehen keine individuellen Profile. Aber die Tatsache, dass die Plattform diese Statistiken auf Basis personenbezogener Daten erstellt, macht Sie mitverantwortlich. Seien Sie sich dessen bewusst und verwenden Sie Insights-Daten nicht fuer Zwecke, die nicht in Ihrem Verarbeitungsverzeichnis dokumentiert sind.

Haeufige Fehler

Keine Datenschutzinformationen auf der Unternehmensseite
Die Unternehmensseite nicht aufnehmen in das Verarbeitungsverzeichnis
Denken, die Plattform regelt alles - die Plattform regelt ihre eigenen Pflichten, nicht Ihre
Kundennachrichten ueber Social Media nicht behandeln als Verarbeitung personenbezogener Daten - wenn ein Kunde Ihnen eine Privatnachricht mit persoenlichen Informationen sendet, verarbeiten Sie personenbezogene Daten

Kein Grund zur Panik

Eine Unternehmensseite in sozialen Medien ist kein Problem, solange Sie Ihre Pflichten kennen. Sie muessen Ihre Seite nicht loeschen. Sie muessen keine komplizierten Vertraege aufsetzen, denn die Plattformen haben die Addenda bereits vorbereitet. Sie muessen vor allem transparent gegenueber Ihren Besuchern sein und sicherstellen, dass Ihr Verarbeitungsverzeichnis vollstaendig ist.

auto_awesome Ist Ihr Verarbeitungsverzeichnis in Ordnung?

GDPRWise hilft Ihnen, alle Verarbeitungsaktivitaeten zu dokumentieren, einschliesslich Ihrer Social-Media-Seiten. Vollstaendiges Verarbeitungsverzeichnis, automatisch generiert.

Kostenlosen Scan starten