Eine Unternehmensseite ist eine Verarbeitung
Sie haben eine Seite auf Facebook, Instagram oder LinkedIn. Das ist verständlich - dort sind Ihre Kunden. Was viele Unternehmer aber nicht wissen: Durch das Erstellen und Verwalten dieser Unternehmensseite sind Sie mitverantwortlich für die personenbezogenen Daten, die die Plattform bei Ihren Besuchern erhebt.
Die DSGVO ist hier eindeutig, und der Europäische Gerichtshof hat dies 2018 bestätigt.
Das Wirtschaftsakademie-Urteil
Im Juni 2018 entschied der Europäische Gerichtshof in der Rechtssache Wirtschaftsakademie Schleswig-Holstein (C-210/16), dass der Betreiber einer Facebook-Unternehmensseite gemeinsam mit Facebook Verantwortlicher für die Verarbeitung personenbezogener Daten der Besucher ist.
Warum? Weil Sie als Seitenbetreiber:
- Bewusst eine Plattform wählen, die personenbezogene Daten verarbeitet, um Statistiken zu erstellen
- Parameter festlegen, die bestimmen, welche Daten erhoben werden (Zielgruppe, demografische Filter)
- Von den Statistiken profitieren (Insights), die die Plattform über Ihre Besucher liefert
- Die Verarbeitung beeinflussen, indem Sie Ihre Seite erstellen und konfigurieren
Die Tatsache, dass Sie technisch keinen Zugriff auf die rohen personenbezogenen Daten haben, ist unerheblich. Sie profitieren davon und haben die Verarbeitung mitveranlasst.
Was bedeutet “gemeinsam Verantwortliche”?
Artikel 26 der DSGVO verlangt, dass gemeinsam Verantwortliche untereinander festlegen, wer welche DSGVO-Pflichten erfüllt. Die großen Plattformen haben dafür Dokumente erstellt:
- Facebook/Instagram (Meta): Page Insights Controller Addendum
- LinkedIn: Joint Controller Addendum für Page Insights
Diese Dokumente legen den Großteil der operativen Verantwortung bei der Plattform. Sie befreien Sie aber nicht vollständig. Als Seitenbetreiber bleiben Sie verpflichtet:
- Besucher über die Datenverarbeitung zu informieren
- Die Verarbeitung in Ihr Verarbeitungsverzeichnis aufzunehmen
- Eine Rechtsgrundlage für Ihren Teil der Verarbeitung zu haben
Was müssen Sie praktisch tun?
1. Datenschutzinformationen auf Ihrer Seite
Fügen Sie Ihrer Unternehmensseite Informationen zur Verarbeitung personenbezogener Daten hinzu. Auf Facebook können Sie dies im “Info”-Bereich tun oder über einen Link zu Ihrer Datenschutzerklärung. Auf LinkedIn können Sie einen Link zu Ihrer Datenschutzerklärung im Unternehmensprofil aufnehmen.
Geben Sie mindestens an:
- Dass Sie gemeinsam mit der Plattform Verantwortlicher sind
- Wo Besucher Ihre Datenschutzerklärung finden
- Wie Besucher Sie bei Datenschutzfragen kontaktieren können
2. Verarbeitungsverzeichnis aktualisieren
Nehmen Sie Ihre Social-Media-Unternehmensseiten in Ihr Verarbeitungsverzeichnis auf. Pro Seite:
- Zweck: Unternehmenskommunikation, Marketing, Kundenservice
- Datenkategorien: Besucherstatistiken, Interaktionsdaten, Nachrichten
- Rechtsgrundlage: berechtigtes Interesse (Unternehmenskommunikation und Marketing)
- Gemeinsam Verantwortlicher: Meta / LinkedIn / Plattform
- Verweis auf das Controller Addendum der Plattform
3. Datenschutzerklärung anpassen
Erwähnen Sie in Ihrer allgemeinen Datenschutzerklärung, dass Sie Unternehmensseiten in sozialen Medien betreiben und dafür gemeinsam mit der Plattform verantwortlich sind. Verweisen Sie für Details der Verarbeitung auf die Datenschutzrichtlinie der Plattform.
4. Bewusster Umgang mit Insights
Die Insights-Daten, die Sie erhalten, sind anonymisiert oder aggregiert - Sie sehen keine individuellen Profile. Aber die Tatsache, dass die Plattform diese Statistiken auf Basis personenbezogener Daten erstellt, macht Sie mitverantwortlich. Seien Sie sich dessen bewusst und verwenden Sie Insights-Daten nicht für Zwecke, die nicht in Ihrem Verarbeitungsverzeichnis dokumentiert sind.
Häufige Fehler
- Keine Datenschutzinformationen auf der Unternehmensseite
- Die Unternehmensseite nicht aufnehmen in das Verarbeitungsverzeichnis
- Denken, die Plattform regelt alles - die Plattform regelt ihre eigenen Pflichten, nicht Ihre
- Kundennachrichten über Social Media nicht behandeln als Verarbeitung personenbezogener Daten - wenn ein Kunde Ihnen eine Privatnachricht mit persönlichen Informationen sendet, verarbeiten Sie personenbezogene Daten
Kein Grund zur Panik
Eine Unternehmensseite in sozialen Medien ist kein Problem, solange Sie Ihre Pflichten kennen. Sie müssen Ihre Seite nicht löschen. Sie müssen keine komplizierten Verträge aufsetzen, denn die Plattformen haben die Addenda bereits vorbereitet. Sie müssen vor allem transparent gegenüber Ihren Besuchern sein und sicherstellen, dass Ihr Verarbeitungsverzeichnis vollständig ist.
GDPRWise hilft Ihnen, alle Verarbeitungsaktivitäten zu dokumentieren, einschließlich Ihrer Social-Media-Seiten. Vollständiges Verarbeitungsverzeichnis, automatisch generiert.