Social Media Recht DACH: DSGVO-Fanpage, BFSG und Musikrechte

Social Media Recht: warum Unternehmensauftritte mehrere Rechtsgebiete gleichzeitig berühren

Ein Unternehmensaccount auf LinkedIn, Instagram oder TikTok berührt rechtlich mehrere Gebiete auf einmal: Datenverarbeitung, Werbung, Urheberrechtsnutzung, Persönlichkeitsrechte und seit 2026 auch KI-Transparenz. Jedes dieser Felder hat eigene Rechtsgrundlagen, eigene Aufsichtsbehörden und eigene Sanktionen. Der typische Fehler in Marketing-Teams sind Zuständigkeitslücken: Datenschutz sitzt beim DSB, Werbekennzeichnung bei der Agentur, Musiklizenzen bei niemandem.

Dieser Artikel liefert zwei Dinge. Erstens eine Landkarte, welches Rechtsthema wo behandelt wird und wer es im Unternehmen verantwortet. Zweitens die Vertiefung zu den Themen, die der Artikel selbst trägt: Fanpage-Datenschutz, Social Plugins nach Fashion ID, Mitarbeiterfotos und das Recht am eigenen Bild, der Datentransfer in die USA über das Data Privacy Framework und die Barrierefreiheit nach BFSG. Alle Aussagen gelten mit Stand August 2026 und ersetzen keine Rechtsberatung. Die konkrete Umsetzung gehört mit Fachanwalt oder Datenschutzbeauftragtem abgestimmt.

Die Rechtslandkarte: Themen, Rechtsquellen, Zuständigkeiten

Die Tabelle ordnet jedes Rechtsthema einer Rechtsquelle, dem Hauptrisiko und der Stelle zu, die es im Unternehmen verantworten sollte. Wie diese Pflichten in die Gesamtplanung eingreifen, zeigt der Überblick zu Social Media Grundlagen und Strategie.

Wichtig für die Zuordnung: Die Sanktionen unterscheiden sich in der Größenordnung erheblich. Verstöße gegen die Transparenzpflichten des AI Act kosten bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, beim BFSG liegt die Obergrenze bei 100.000 EUR. Bei Werbekennzeichnung und Musik ist das tägliche Risiko kleiner, dafür die Eintrittswahrscheinlichkeit höher: Abmahnungen und Takedowns treffen regelmäßig, Bußgelder selten. Ein Governance-Modell mit klaren Freigabestufen, wie es der Artikel zu Rollen, Freigaben und Workflow beschreibt, trägt diese Themen dauerhaft. Ohne feste Zuständigkeit pro Zeile fällt jede einzelne durch.

DSGVO und Facebook Fanpage: die gemeinsame Verantwortlichkeit

Der EuGH hat in der Sache Wirtschaftsakademie Schleswig-Holstein (C-210/16) entschieden, dass der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der Besucherdaten verantwortlich ist. Das Urteil vom 5. Juni 2018 erging noch zur alten Datenschutzrichtlinie; heute entspricht dem Art. 26 DSGVO. Die Begründung ist der eigentliche Punkt: Wer die Insights-Statistik parametriert, also Zielgruppenfilter setzt und Auswertungen anfordert, wirkt an Zwecken und Mitteln der Verarbeitung mit. Dass Meta die Technik betreibt, entlastet den Seitenbetreiber nicht.

In Deutschland hat das Bundesverwaltungsgericht das Ergebnis am 11. September 2019 bestätigt (6 C 15.18). Das OVG Schleswig hat am 25. November 2021 (4 LB 20/13) die Reichweite präzisiert: Die gemeinsame Verantwortlichkeit gilt für die Cookie- und Insights-Verarbeitung, nicht für die Profilbildung und Werbespeicherung, die Meta darüber hinaus betreibt. Der Umfang der Mitverantwortung schrumpft damit, die Pflicht selbst bleibt.

Was heißt das operativ? Drei Dinge, die ein Unternehmensaccount auf Meta-Plattformen braucht:

• Joint-Controller-Vereinbarung: Der Fanpage-Betrieb setzt eine Vereinbarung nach Art. 26 DSGVO voraus. Sie muss abgeschlossen und in der Verarbeitungsdokumentation abgelegt sein.
• Transparenz: Die Datenschutzerklärung des Unternehmens muss den Fanpage-Betrieb, die Insights-Nutzung und die Rolle von Meta abdecken. Ein Link von der Fanpage zur Datenschutzerklärung ist Mindeststandard.
• Rechtsgrundlage: Für die Insights-Verarbeitung muss das Unternehmen eine Rechtsgrundlage benennen können. Hier sollte der Datenschutzbeauftragte die Abwägung dokumentieren, nicht das Marketing.

Österreichische Unternehmen sind vom EuGH-Urteil gleichermaßen betroffen; Schweizer Unternehmen, soweit sie EU-Nutzer ansprechen, mit dem eigenen Schweizer Datenschutzregime als zusätzlicher Ebene. Die Rechtsprechung bezieht sich formal auf Facebook, das Prinzip gilt aber für jede Plattform mit vergleichbaren Statistik-Funktionen, also auch Instagram-Insights oder LinkedIn-Page-Analytics. Ob Aufsichtsbehörden hier gleich streng prüfen, ist offen; das Risiko ist jedenfalls identisch strukturiert.

Fashion ID: Social Plugins auf der eigenen Website

Der zweite Baustein betrifft nicht den Account, sondern die Unternehmenswebsite. Im Fall Fashion ID (C-40/17) hat der EuGH am 29. Juli 2019 entschieden, dass der Betreiber einer Website mit eingebundenem Facebook-Like-Button gemeinsam mit Facebook für das Erheben und Übermitteln der Besucherdaten verantwortlich sein kann. Entscheidend: Der Like-Button überträgt Daten an Facebook, sobald die Seite lädt, unabhängig davon, ob der Besucher klickt oder überhaupt ein Facebook-Konto hat.

Die gemeinsame Verantwortlichkeit endet bei der Übermittlung. Was Facebook danach mit den Daten macht, verantwortet der Websitebetreiber nicht. Für die Praxis ergibt sich ein klarer Standard, der inzwischen weitgehend Konsens ist:

• Kein direkt eingebundenes Plugin: Like-, Share- und Follow-Buttons, die beim Seitenaufruf Daten an die Plattform senden, gehören nicht ohne Einwilligung auf die Seite.
• Zwei-Klick-Lösung oder statische Links: Ein statischer Link zum Unternehmensprofil überträgt nichts. Wer Share-Funktionen will, aktiviert das Plugin erst nach Einwilligung.
• Consent-Management einbeziehen: Social Plugins und eingebettete Posts (Instagram-Embed, LinkedIn-Embed, YouTube-Player) gehören als eigene Kategorie in die Consent-Abfrage, nicht versteckt unter „Funktional".

Das Fashion-ID-Urteil ist der Grund, warum seriöse Agenturen eingebettete Social Feeds auf Unternehmenswebsites nur noch hinter Consent oder als serverseitig gerenderte Kopie ausliefern. Der Verzicht kostet wenig: Ein statischer Profil-Link erfüllt dieselbe Funktion ohne Datenübertragung.

Recht am eigenen Bild: Mitarbeiterfotos auf Unternehmensaccounts

Hier liegt das Thema mit der höchsten Eintrittswahrscheinlichkeit und der dünnsten Dokumentation in den meisten Unternehmen. Teamfotos, Event-Bilder, Behind-the-Scenes-Reels, Mitarbeiterporträts im Recruiting-Post: All das sind personenbezogene Daten und zugleich Eingriffe in das Persönlichkeitsrecht der abgebildeten Person. Das Recht am eigenen Bild bedeutet, dass jede Person grundsätzlich selbst entscheidet, ob und in welchem Kontext ihr Abbild veröffentlicht wird.

Im Arbeitsverhältnis kommt eine Besonderheit hinzu: Eine Einwilligung muss freiwillig sein, und Freiwilligkeit ist zwischen Arbeitgeber und Arbeitnehmer strukturell fraglich. Eine Einwilligung, die im Arbeitsvertrag versteckt oder beim Onboarding pauschal abgefragt wird, trägt deshalb wenig. Was in der Praxis hält:

• Separate, schriftliche Einwilligung: Ein eigenes Dokument, losgelöst vom Arbeitsvertrag, das Zweck, Plattformen, Art der Nutzung (organisch, Paid, Recruiting, Website) und Dauer benennt.
• Echte Wahlfreiheit: Die Ablehnung darf keine Nachteile haben, und das muss im Dokument stehen. Wer nicht auf Fotos will, wird nicht zum Teamfoto gebeten.
• Widerruf vorsehen: Die Einwilligung ist jederzeit widerrufbar. Das Unternehmen braucht einen Prozess, der bei Widerruf oder Austritt die betroffenen Posts findet und entfernt. Ohne Asset-Register mit Personenzuordnung ist das unmöglich.
• Kontextbindung: Ein Foto vom Sommerfest deckt nicht die Verwendung als Testimonial in einer Paid-Kampagne. Jeder Zweck, der über die ursprüngliche Einwilligung hinausgeht, braucht eine neue.
• Dritte im Bild: Kunden, Gäste, Kinder von Mitarbeitenden auf Events. Hier helfen Hinweisschilder und Fotozonen, ersetzen aber keine Einwilligung für gezielte Porträts.

Bei Corporate-Influencer-Programmen verschiebt sich die Frage: Wer über sein eigenes Profil postet, entscheidet selbst über sein Bild. Das Unternehmen muss aber klären, welche Assets (Logos, Produktfotos, Kundenbilder) die Mitarbeitenden verwenden dürfen und wie die Kennzeichnung läuft. Der Artikel zum Aufbau eines Employee-Advocacy-Programms behandelt die Guidelines dafür.

Ein Hinweis zur generativen KI: Wer Mitarbeiterbilder als Input für KI-generierte Varianten nutzt oder synthetische Personen erzeugt, die echten Mitarbeitenden ähneln, bewegt sich in einem Feld, für das es wenig gesicherte Rechtsprechung gibt. Hier greift zusätzlich die Kennzeichnungspflicht nach Art. 50 AI Act, siehe den Artikel zu den Transparenzpflichten nach Artikel 50.

Data Privacy Framework: Datentransfer an Meta, Google und Co.

Jeder Unternehmensaccount auf einer US-Plattform bedeutet Datentransfer in die USA. Seit dem Angemessenheitsbeschluss vom 10. Juli 2023 können personenbezogene Daten an US-Unternehmen fließen, die am EU-US Data Privacy Framework teilnehmen. Die US-Einheiten der großen Plattformen fallen darunter, soweit sie zertifiziert sind. Für die operative Social-Media-Arbeit heißt das: Die Rechtsgrundlage für den Transfer ist derzeit vorhanden.

Die Unsicherheit liegt in der Haltbarkeit. Ob das Data Privacy Framework einer erneuten gerichtlichen Überprüfung standhält, ist eine offene Frage; in der Fachdiskussion läuft das unter dem Stichwort „Schrems III". Das ist eine Einschätzung, kein Fakt, und die Kommission selbst erwähnt keine laufende Anfechtung. Trotzdem lohnt sich Vorbereitung:

• First-Party-Daten priorisieren: Newsletter, CRM und eigene Website-Daten bleiben im eigenen Zugriff, unabhängig vom Transferrahmen.
• EU-Hosting für eigene Tools: Social-Media-Management-Tools, Analytics und Automationen möglichst mit EU-Serverstandort wählen.
• Transfer-Dokumentation: Im Verarbeitungsverzeichnis festhalten, welche Plattformen auf welcher Grundlage Daten erhalten. Fällt das Framework, ist die Liste der Ausgangspunkt für die Umstellung auf Standardvertragsklauseln.

Die Tiefe zu Zertifizierungsprüfung, Standardvertragsklauseln und Transfer Impact Assessment steht im Artikel zum Drittlandtransfer in die USA.

Barrierefreiheit: was das BFSG für Social Media bedeutet

Das Barrierefreiheitsstärkungsgesetz gilt in Deutschland seit dem 28. Juni 2025 und setzt die EU-Richtlinie 2019/882 um. Es betrifft B2C-E-Commerce, Onlineshops, Apps und Websites mit Verbraucher-Dienstleistungen. Die Anforderungen orientieren sich an WCAG und EN 301 549, eine Erklärung zur Barrierefreiheit ist Pflicht. Für Produkte, die vor dem Stichtag rechtmäßig im Einsatz waren, sieht § 38 BFSG eine Übergangsfrist bis zum 27. Juni 2030 vor. Das BFSG ist deutsches Recht; für Österreich und die Schweiz gelten eigene Regelungen, die du separat prüfen musst.

Social-Media-Posts selbst fallen nicht unter das BFSG. Die Pflicht trifft das, wohin die Posts führen: Landing Pages, Shop-Strecken, Lead-Formulare, Buchungs-Tools. Eine Paid-Social-Kampagne, die auf eine nicht barrierefreie Verkaufsseite lenkt, erzeugt das Risiko nicht im Post, sondern am Ziel. Trotzdem lohnt sich Barrierefreiheit auch im Content: Untertitel, Alt-Texte und ausreichender Kontrast wirken auf allen Plattformen zugleich als Reichweiten-Hebel. Compliance-Pflicht und Reichweiten-Logik zeigen hier in dieselbe Richtung.

Die übrigen Rechtsthemen in Kurzform

Vier Themen aus der Landkarte brauchen an dieser Stelle nur die Einordnung, weil die Vertiefung an anderer Stelle steht.

Werbekennzeichnung: Der BGH hat am 9. September 2021 in drei Influencer-Verfahren entschieden, dass ein kommerzieller Zweck bei Gegenleistung kenntlich zu machen ist, Tap Tags allein aber keine Kennzeichnungspflicht begründen; eine Verlinkung auf die Herstellerseite gilt regelmäßig als werblicher Überschuss. Österreich und die Schweiz haben eigene Lauterkeitsregime, das Trennungsprinzip zwischen Werbung und Redaktion gilt überall. Position: im Zweifel kennzeichnen, auch bei eigenen Mitarbeitenden.

Musik: Die reguläre Musikbibliothek von TikTok und Instagram ist für Business-Accounts eingeschränkt. TikTok stellt klar, dass Unternehmen für alle kommerziellen Aktivitäten die Commercial Music Library nutzen müssen. Außerhalb der Plattformbibliotheken braucht gewerbliche Musiknutzung eine Lizenz, in Deutschland über die GEMA, in Österreich über die AKM, in der Schweiz über die SUISA. Der Trend-Sound, den ein Creator frei nutzen darf, ist für den Unternehmensaccount ein Lizenzproblem.

DSA und Ad-Transparenz: Werbung muss als solche gekennzeichnet sein und angeben, wer sie schaltet und warum sie ausgespielt wird; Targeting auf sensible Daten ist untersagt, Targeting auf Kinder komplett verboten. Sehr große Plattformen führen öffentliche Ad-Repositories, die auch Wettbewerber einsehen können. Für Performance-Teams heißt das: Zielgruppen-Setups, die auf Religion, Gesundheit oder sexuelle Orientierung schließen lassen, werden abgelehnt oder nachträglich beanstandet.

KI-Kennzeichnung: Die Transparenzpflichten des AI Act gelten seit 2. August 2026; für generative Systeme, die vor diesem Datum auf den Markt kamen, gilt für die maschinenlesbare Markierung eine Schonfrist bis Dezember 2026. Die Kommission hat ihre Leitlinien zu den Transparenzpflichten am 20. Juli 2026 veröffentlicht. Die meisten Unternehmen sind Deployer, nicht Provider, und müssen KI-generierte Creatives, synthetische Stimmen und Chatbots offenlegen. Wie der Kennzeichnungs-Workflow im Alltag aussieht, steht im Artikel zur praktischen Umsetzung von Art. 50 KI-VO.

Typische Fehler und wie du sie vermeidest

Die Muster wiederholen sich über Branchen hinweg. Fanpages laufen seit Jahren ohne dokumentierte Joint-Controller-Vereinbarung, weil sich niemand zuständig fühlt. Websites tragen Like-Buttons aus einem alten Theme. Mitarbeiterfotos liegen in Kampagnen, deren Einwilligung mit dem Austritt der Person erloschen ist. Der Trend-Sound im Recruiting-Reel stammt aus einem privaten Account.

Der gemeinsame Nenner ist fehlende Inventarisierung. Wer nicht weiß, welche Accounts, Plugins, Bilder und Sounds im Einsatz sind, kann keine Rechtsgrundlage zuordnen. Als Faustregel bewährt sich ein jährlicher Compliance-Check entlang der Landkarte oben: pro Zeile ein Verantwortlicher, ein Dokument, ein Prüfdatum. Ohne diese Erfassung wird jeder Widerruf und jede Behördenanfrage zum Suchprojekt.

Fazit

Social Media Recht im DACH-Raum ist die Summe aus DSGVO-Mitverantwortung, Persönlichkeitsrechten, Lauterkeitsrecht, Urheberrecht, DSA, BFSG und AI Act. Eine einzelne Checkliste deckt das nicht ab. Die Sanktionen reichen von der Abmahnung über Takedowns bis zu Bußgeldern im zweistelligen Millionenbereich. Beherrschbar bleiben die Themen nur, wenn Zuständigkeit und Dokumentation vor dem Posting geklärt sind und nicht erst, wenn die Behörde oder der ehemalige Mitarbeiter schreibt.