Zuletzt aktualisiert am 13. August 2026

Großes Aufsehen erregt folgende Aussage: Der Betrieb von Facebook-Fanseiten steht im Widerspruch zur DSGVO. Die Bundesregierung hat aber weiter eine solche Facebook-Präsenz, die vom Bundespresseamt betrieben wird. Gegen das Bundespresseamt ermittelt nun der Bundesdatenschutzbeauftragte.

Was macht Facebook-Fanseiten datenschutzwidrig?

Für viele Unternehmen und öffentliche Stellen ist die eigene Facebook-Seite ein großer Teil der eigenen Öffentlichkeitsarbeit. Einmal eingerichtet können hier vielseitige Informationen mit einer breiten Community geteilt werden. So erreicht die Bundesregierung, deren Präsenz das Bundespresseamt verwaltet, regelmäßig fast eine Million Menschen über das Netzwerk.

Das datenschutzrechtliche Problem ist: Besucht jemand irgendeine Website, auf der der „Gefällt mir“- oder „Teilen“-Button von Facebook zu finden ist, legt Facebook auf dessen Computer einen Cookie. So kann das amerikanische Unternehmen das Surf-verhalten des Nutzers analysieren. Dafür muss der Nutzer nicht einmal eigenes Nutzerkonto haben.

Mit den gesammelten Daten können dann Profile erstellt werden. Diese wiederum dienen Werbetreibenden für die gezieltere Schaltung von Werbung. Die Verarbeitung der Daten zu diesem Zweck findet auf Servern in den USA statt.

Kritik durch Datenschützer

Der Bundesdatenschutzbeauftragte Ulrich Kelber sieht in diesen Facebook-Fanseiten eine Verarbeitung personenbezogener Daten ohne Einwilligung der Betroffenen und ohne rechtliche Grundlage.

Gegen das Bundespresseamt, das die Facebook-Seite der Bundesregierung betreibt, hat Kelber nun ein Verfahren eröffnet. Im Zuge dessen wurde das Amt aufgefordert, bis Mitte August eine Stellungnahme abzugeben.

Auch andere Ministerien und Bundesbehörden betreiben trotzdem weiter ihre Facebook-Seiten und verstoßen damit gegen Art. 5 II DSGVO. Einzelne Datenschutzbeauftragte der Bundesländer haben nun auch schon mehrfach die Abschaltung der entsprechenden Regierungsseiten gefordert. Um trotzdem Öffentlichkeitsarbeit zu leisten, legen Datenschützer den Ausbau eigener Webseiten oder die Präsentation in datenschutzkonformen Netzwerken nahe.

All diese datenschutzrechtlichen Erwägungen gelten natürlich nicht nur für öffentliche Stellen und Regierungen, sondern auch für Online-Shops, Agenturen und Unternehmen.

Rechtliche Grundlagen: Das EuGH-Urteil zu Facebook-Fanseiten

Die datenschutzrechtliche Problematik von Facebook-Fanseiten geht auf ein wegweisendes Urteil des Europäischen Gerichtshofs (EuGH) aus dem Jahr 2018 zurück (Rechtssache C-210/16). In diesem Urteil stellte der EuGH fest, dass Betreiber von Facebook-Fanseiten gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten verantwortlich sind.

Dies bedeutet, dass nicht nur Facebook selbst, sondern auch der Betreiber der Fanseite die datenschutzrechtlichen Anforderungen der DSGVO erfüllen muss. Der Seitenbetreiber muss insbesondere die Informationspflichten nach Art. 13 DSGVO erfüllen, eine wirksame Datenschutzerklärung bereitstellen und sicherstellen, dass die Datenverarbeitung auf einer gültigen Rechtsgrundlage beruht.

Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Die gemeinsame Verantwortlichkeit von Facebook und dem Seitenbetreiber erfordert nach Art. 26 DSGVO eine Vereinbarung zwischen den Parteien, die festlegt, wer welche Pflichten nach der DSGVO erfüllt. Facebook stellt hierfür das sogenannte Page Controller Addendum bereit, in dem die Verantwortlichkeiten aufgeteilt werden.

Kritiker bemängeln jedoch, dass diese Vereinbarung den Seitenbetreibern keinen ausreichenden Einfluss auf die Datenverarbeitung durch Facebook einräumt. Der Seitenbetreiber hat faktisch keine Möglichkeit, die Datenverarbeitung durch Facebook zu kontrollieren oder einzuschränken. Er kann weder einsehen, welche Daten Facebook konkret erhebt, noch kann er die Löschung von Daten veranlassen.

Die Rolle der Aufsichtsbehörden

Die deutschen Datenschutzaufsichtsbehörden haben wiederholt darauf hingewiesen, dass der Betrieb von Facebook-Fanseiten unter den aktuellen Bedingungen nicht DSGVO-konform möglich ist. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, veröffentlichte bereits mehrere Beschlüsse zu diesem Thema.

Besonders aktiv war der schleswig-holsteinische Landesdatenschutzbeauftragte, der bereits den ursprünglichen Fall der Wirtschaftsakademie vor den EuGH gebracht hatte. Andere Landesbehörden haben öffentliche Stellen aufgefordert, ihre Facebook-Auftritte zu deaktivieren.

Praktische Auswirkungen für Unternehmen

Die datenschutzrechtlichen Bedenken gegen Facebook-Fanseiten betreffen nicht nur öffentliche Stellen, sondern auch private Unternehmen. Jeder Betreiber einer Facebook-Seite muss sich bewusst sein, dass er als gemeinsam Verantwortlicher für die Datenverarbeitung durch Facebook haftet. Unternehmen sollten daher folgende Maßnahmen umsetzen:

• Erstellung einer vollständigen Datenschutzerklärung für die Facebook-Seite
• Abschluss des Page Controller Addendums mit Facebook
• Aufnahme der Facebook-Fanseite in das Verzeichnis von Verarbeitungstätigkeiten
• Durchführung einer Datenschutz-Folgenabschätzung
• Prüfung alternativer, datenschutzkonformer Kommunikationskanäle

Alternativen zu Facebook-Fanseiten

Angesichts der datenschutzrechtlichen Probleme suchen viele Unternehmen und Behörden nach Alternativen. Datenschutzkonformere Optionen umfassen den Ausbau der eigenen Website mit Blog– und News-Funktionen, die Nutzung datenschutzfreundlicher Social-Media-Plattformen wie Mastodon, den Aufbau eigener Newsletter-Systeme mit rechtskonformem Einwilligungsmanagement sowie die Nutzung von Business-Netzwerken wie LinkedIn.

Datenschutz-Folgenabschätzung für Social-Media-Auftritte

Für den Betrieb einer Facebook-Fanseite ist nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Diese muss die Risiken der Datenverarbeitung für die Rechte und Freiheiten der betroffenen Personen systematisch bewerten. Insbesondere die Erstellung von Nutzerprofilen durch Facebook und die Übermittlung von Daten in die USA stellen erhebliche Risiken dar, die in der DSFA berücksichtigt werden müssen.

Die DSFA sollte dokumentieren, welche personenbezogenen Daten durch den Betrieb der Fanseite verarbeitet werden, auf welcher Rechtsgrundlage diese Verarbeitung erfolgt, welche Risiken für die Betroffenen bestehen und welche Maßnahmen zur Risikominimierung ergriffen werden. Kommt die DSFA zu dem Ergebnis, dass die Risiken trotz aller Schutzmaßnahmen nicht auf ein vertretbares Maß reduziert werden können, ist der Betrieb der Fanseite einzustellen.

Aktuelle Entwicklungen und Rechtsprechung

Die Rechtslage rund um Facebook-Fanseiten entwickelt sich ständig weiter. Im Juli 2023 traf der EuGH eine weitere wichtige Entscheidung zur Verantwortlichkeit von Fanseiten-Betreibern (Rechtssache C-252/21). Das Gericht bestätigte die gemeinsame Verantwortlichkeit und stellte klar, dass Fanseiten-Betreiber die Einhaltung der DSGVO aktiv sicherstellen müssen und sich nicht allein auf die Zusagen von Facebook verlassen dürfen.

Zudem hat der EU-US Data Privacy Framework (EU-US-Datenschutzrahmen) seit Juli 2023 die Voraussetzungen für Datenübermittlungen an US-Unternehmen wie Meta neu geregelt. Ob dieser Rahmen langfristig Bestand haben wird, bleibt abzuwarten, zumal bereits Klagen gegen den Angemessenheitsbeschluss der EU-Kommission angekündigt wurden. Unternehmen sollten daher weiterhin vorsichtig agieren und alternative Kommunikationskanäle in Betracht ziehen.

Zusammenfassung und Ausblick

Die datenschutzrechtliche Bewertung von Facebook-Fanseiten bleibt auch Jahre nach dem wegweisenden EuGH-Urteil ein dynamisches Rechtsgebiet. Klar ist: Betreiber von Fanseiten tragen als gemeinsam Verantwortliche eine Mitverantwortung für die Datenverarbeitung durch Facebook. Sie müssen die DSGVO-Anforderungen einhalten, auch wenn sie die technische Datenverarbeitung nicht selbst kontrollieren können.

Für Unternehmen empfiehlt sich eine pragmatische Vorgehensweise: Dokumentieren Sie die Risiken, treffen Sie alle zumutbaren Maßnahmen zur Risikominimierung und prüfen Sie regelmäßig, ob alternative Kommunikationskanäle eine bessere datenschutzrechtliche Bilanz bieten. Die Entwicklung der Rechtsprechung und die Aktivitäten der Aufsichtsbehörden sollten aufmerksam verfolgt werden, um bei Bedarf schnell reagieren zu können.

Gerade für kleine und mittelständische Unternehmen in Dresden und Sachsen kann die datenschutzkonforme Gestaltung von Social-Media-Auftritten eine Herausforderung darstellen. Ein externer Datenschutzbeauftragter kann hier wertvolle Unterstützung leisten, indem er die aktuelle Rechtslage analysiert, konkrete Handlungsempfehlungen gibt und die Umsetzung begleitet.

Die DATUREX GmbH unterstützt Sie bei der Bewertung Ihrer Social-Media-Strategie aus datenschutzrechtlicher Sicht und hilft Ihnen, DSGVO-konforme Alternativen zu finden und umzusetzen.

Sie wollen den Datenschutz in Ihrem Unternehmen sicherstellen? Unser Team an Experten hilft Ihnen gerne weiter!