Instagram DSGVO: was du als Creator oder Unternehmen regeln musst

Instagram und DSGVO: wann die Verordnung für dich gilt

Die DSGVO gilt für dein Instagram-Profil, sobald du es geschäftlich nutzt. Die Verordnung nimmt in Artikel 2 nur Verarbeitung aus, die natürliche Personen „zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“ vornehmen. Ein Profil, auf dem du Urlaubsfotos mit Freunden teilst, fällt darunter. Ein Profil, mit dem du Kundschaft gewinnst, Kooperationen anbahnst, Produkte zeigst oder Termine vergibst, fällt nicht darunter. Für Creator ist die Grenze oft fließend: Spätestens mit der ersten bezahlten Kooperation oder dem ersten Gewinnspiel nutzt du das Profil nicht mehr ausschließlich persönlich. Personenbezogene Daten sind dabei mehr als Name und Adresse. Artikel 4 zählt alles dazu, was sich auf eine bestimmbare Person bezieht, also auch Nutzernamen, Online-Kennungen und Standortdaten. Kommentare, Direktnachrichten und Fotos mit erkennbaren Gesichtern enthalten deshalb in aller Regel personenbezogene Daten im Sinne der DSGVO.

Deine Rolle als Nutzerin oder Nutzer, also was Meta über dich speichert und wie du widersprichst, erklärt der Überblick zum Instagram Datenschutz. Dieser Beitrag behandelt die andere Seite: dich als Verantwortliche oder Verantwortlichen.

Ist Instagram DSGVO-konform? Der ehrliche Stand

Ob Instagram DSGVO-konform ist, lässt sich nicht mit einem Wort beantworten, und für deine Pflichten ist es auch nicht die entscheidende Frage. Der Europäische Gerichtshof hat am 05.06.2018 im Verfahren C-210/16 entschieden, dass der Betreiber einer Fanpage in einem sozialen Netzwerk als „für die Verarbeitung Verantwortlicher“ gilt, damals noch nach der alten Datenschutzrichtlinie 95/46/EG. Der Fall betraf eine Facebook-Seite und die Statistiken, die Facebook über deren Besucher erstellt. Meta regelt diese gemeinsame Verantwortung heute in einer eigenen Zusatzvereinbarung zu den Seiten-Insights. Diese Vereinbarung, in Kraft seit 25.04.2023, nennt in ihrer Einleitung Facebook-Seiten; Instagram kommt im Vereinbarungstext nicht vor (geprüft am 30.10.2026). Für ein Instagram-Profil mit Insights gibt es darin also kein eigenes Gegenstück, und das Urteil von 2018 betraf Facebook, nicht Instagram. Für deine Praxis folgt daraus eine klare Linie: Behandle die Insights wie eine gemeinsame Verarbeitung, erwähne sie in deiner Datenschutzerklärung und konzentriere dich auf das, was du selbst entscheidest.

Einwilligung, Vertrag oder berechtigtes Interesse

Jede Verarbeitung braucht nach Artikel 6 DSGVO eine Rechtsgrundlage. Für Instagram-Profile von Creatorn und Unternehmen kommen vor allem drei in Frage. Die Einwilligung nach Buchstabe a ist eine freiwillige, informierte und unmissverständliche Willensbekundung, so definiert sie Artikel 4 Nummer 11. Typische Fälle sind Newsletter und Fotos erkennbarer Personen. Für das Veröffentlichen solcher Fotos verlangt § 22 KunstUrhG ohnehin: „Bildnisse dürfen nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden.“ Die Ausnahmen stehen in § 23 KunstUrhG. Nach Artikel 7 musst du die Einwilligung nachweisen können, und der Widerruf muss so einfach sein wie die Erteilung. Der Vertrag nach Buchstabe b deckt alles, was für eine Bestellung, einen Termin oder eine Kooperation nötig ist, und zwar nur das. Das berechtigte Interesse nach Buchstabe f trägt etwa die Antwort auf eine Anfrage oder die Abwehr von Spam. Es gilt aber nur, wenn die Interessen der betroffenen Person nicht überwiegen. Diese Abwägung schreibst du auf, damit du sie später zeigen kannst.

Datenschutzerklärung für dein Instagram-Profil

Eine Datenschutzerklärung erfüllt die Informationspflicht aus Artikel 13 DSGVO. Wer Daten bei einer Person erhebt, muss ihr zum Zeitpunkt der Erhebung bestimmte Angaben machen. Auf Instagram gibt es dafür keinen eigenen Platz, deshalb ist der übliche Weg ein Link in der Bio auf eine Seite, die Impressum und Datenschutzerklärung enthält. Wie du das Impressum unterbringst, auch ganz ohne eigene Website, erklärt der Ratgeber zum Instagram Impressum. Für die Datenschutzerklärung gilt: Sie beschreibt, was du wirklich tust. Eine kopierte Vorlage, die Analyse-Werkzeuge oder Newsletter aufzählt, die es bei dir gar nicht gibt, ist falsch, nicht vorsichtig. Artikel 13 nennt die Pflichtpunkte, die in deinen Text gehören. Gehe sie einmal der Reihe nach durch, ergänze deine eigenen Zwecke und streiche alles, was nicht zu dir passt. Prüfe den Text danach jedes Jahr und nach jeder neuen Tätigkeit.

1. Name und Kontaktdaten von dir als Verantwortlicher, dieselben wie im Impressum.
2. Zwecke und Rechtsgrundlagen, zum Beispiel Profilbetrieb, Nachrichten, Gewinnspiele, Newsletter.
3. Berechtigte Interessen, wenn du dich auf Artikel 6 Absatz 1 Buchstabe f stützt.
4. Empfänger, auf Instagram also Meta.
5. Übermittlung in Drittländer und die Grundlage dafür.
6. Speicherdauer oder die Kriterien dafür.
7. Die Rechte der Betroffenen: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Widerruf einer Einwilligung und Beschwerde bei einer Aufsichtsbehörde.

DSGVO im Social Media Marketing: Nachrichten, Gewinnspiele, Werbung

Im Social Media Marketing wird die DSGVO dort praktisch, wo du Daten aus Instagram herausnimmst. Artikel 5 gibt die Regeln vor: Daten nur für festgelegte Zwecke erheben, auf das Nötige beschränken und nicht länger aufheben als nötig. Für Direktnachrichten heißt das: Eine Anfrage beantworten ist unproblematisch. Überträgst du Adressen, Telefonnummern oder Bestelldetails in eine eigene Tabelle, brauchst du einen Zweck und eine Löschfrist. Gesundheitsangaben gehören zu den besonderen Kategorien aus Artikel 9 und brauchen besondere Sorgfalt. Für Gewinnspiele heißt das: Teilnahmebedingungen vorab veröffentlichen, nur die Daten abfragen, die du für die Gewinnübergabe brauchst, und die Daten der Nichtgewinner nach der Auslosung löschen. Koppelst du die Teilnahme an eine Newsletter-Anmeldung, spricht das gegen eine freiwillige Einwilligung, denn genau diese Kopplung muss nach Artikel 7 Absatz 4 bei der Prüfung der Freiwilligkeit berücksichtigt werden. Für Werbung mit Kundenlisten heißt das: Wer E-Mail-Adressen zu Meta hochlädt, gibt Daten weiter und braucht dafür eine Grundlage und einen Hinweis in der Datenschutzerklärung.

Zwei Regeln außerhalb der DSGVO gehören dazu. Werbung musst du kenntlich machen: Nach § 5a Absatz 4 UWG handelt unlauter, wer den kommerziellen Zweck einer geschäftlichen Handlung nicht kenntlich macht, sofern er sich nicht unmittelbar aus den Umständen ergibt und das Verschweigen Menschen zu einer geschäftlichen Entscheidung veranlassen kann, die sie sonst nicht getroffen hätten. Und speichert ein Meta-Pixel auf deiner Website Informationen auf dem Gerät der Besucher oder liest sie aus, braucht das nach § 25 TDDDG eine Einwilligung, außer es ist unbedingt erforderlich, damit du einen ausdrücklich gewünschten Dienst bereitstellen kannst. Bei Fotos von Kundinnen, Models oder Gästen kommt das Recht am eigenen Bild dazu, das der Beitrag zu Bildrechten auf Instagram erklärt.

Verarbeitungsverzeichnis: Pflicht auch für kleine Betriebe?

Das Verzeichnis von Verarbeitungstätigkeiten aus Artikel 30 DSGVO ist eine Tabelle, keine Doktorarbeit. Viele Selbstständige halten sich für befreit, weil sie weniger als 250 Mitarbeiter haben. Die Ausnahme in Artikel 30 Absatz 5 ist aber eng. Sie greift nur, wenn drei Bedingungen zusammen erfüllt sind: Die Verarbeitung birgt kein Risiko für die Rechte der Betroffenen, sie erfolgt nur gelegentlich, und sie umfasst keine besonderen Datenkategorien nach Artikel 9 oder Daten über Straftaten. Ein Instagram-Profil, über das du jede Woche Nachrichten beantwortest und regelmäßig Gewinnspiele machst, verarbeitet Daten nicht nur gelegentlich. Damit gilt die Pflicht in aller Regel auch für dich. Artikel 30 Absatz 1 schreibt vor, was das Verzeichnis enthält: Name und Kontaktdaten des Verantwortlichen, Zwecke, Kategorien der Betroffenen und Daten, Empfänger, gegebenenfalls Drittlandübermittlungen, wenn möglich Löschfristen und wenn möglich eine allgemeine Beschreibung der Schutzmaßnahmen. Für ein Creator-Profil genügt eine Zeile pro Tätigkeit, also oft nur eine Handvoll.

Auskunft und Löschung: wenn Follower ihre Rechte nutzen

Die Rechte der Betroffenen gelten auch dir gegenüber. Schreibt dir jemand „Welche Daten hast du über mich?“ oder „Bitte lösche meine Daten“, läuft dieselbe Uhr wie bei Meta: Nach Artikel 12 Absatz 3 antwortest du innerhalb eines Monats, in komplexen Fällen mit begründeter Verlängerung um zwei Monate. Die Auskunft ist kostenlos. Nach Artikel 15 nennst du die Daten, die Zwecke, die Empfänger und, falls möglich, die geplante Speicherdauer, und du stellst eine Kopie zur Verfügung. Nach Artikel 17 löschst du unverzüglich, wenn ein Grund vorliegt, etwa weil der Zweck erledigt ist oder die Person ihre Einwilligung widerruft. Daten, die du wegen gesetzlicher Pflichten aufbewahren musst, etwa Rechnungen, bleiben. Ohne Verzeichnis kannst du diese Fragen kaum beantworten, deshalb hängen die beiden Pflichten zusammen. Ein typischer Fehler ist nicht die falsche Antwort, sondern die vergessene Nachricht. Lege deshalb einen festen Ablauf an, den jede Person in deinem Team kennt.

1. Anfrage mit Datum in einem festen Ordner oder Postfach ablegen.
2. Frist von einem Monat im Kalender eintragen.
3. Im Verzeichnis nachsehen, wo Daten dieser Person liegen.
4. Auskunft schicken oder löschen und das Ergebnis kurz dokumentieren.

Instagram DSGVO-konform auf der Website einbinden

Viele suchen nach „Instagram DSGVO konform einbinden“ und meinen den Feed auf der eigenen Website. Hier ist die Lage durch den Europäischen Gerichtshof klarer: Im Urteil Fashion ID vom 29.07.2019 entschied er, dass ein Website-Betreiber, der ein Social Plugin einbindet, das Daten der Besucher an den Anbieter übermittelt, für diese Erhebung und Übermittlung als Verantwortlicher angesehen werden kann. Wie du einen Feed so einbaust, dass erst nach einem Klick etwas zu Meta fließt, erklärt der Ratgeber Instagram Feed auf der Website einbinden.

Und weil die Frage oft kommt: Wenn du bei SocialSchub Likes für einen Beitrag bestellst, brauchen wir nur den Link zu diesem Beitrag und deine Angaben für die Zahlung. Kein Passwort, kein Zugriff auf Nachrichten oder Insights deiner Follower. Likes heben die Zahl unter einem Beitrag, etwa vor einer Kooperation, bei der eine Marke dein Profil zum ersten Mal öffnet. Sie bringen keine Reichweite, keine Follower und keine Käufe. Was sie tatsächlich bewirken, steht unter was gekaufte Likes bringen; wie Marken Interaktionen lesen, erklärt die Instagram Engagement Rate. Die Pakete findest du unter Instagram Likes kaufen.

Checkliste: Instagram DSGVO in zwölf Punkten

1. Klären, ob dein Profil geschäftlich genutzt wird. Wenn ja, gilt alles Folgende.
2. Impressum und Datenschutzerklärung über einen Link in der Bio erreichbar machen.
3. Datenschutzerklärung nach Artikel 13 prüfen: nur, was du wirklich tust.
4. Insights und die Beteiligung von Meta darin erwähnen.
5. Für jede Datennutzung die Rechtsgrundlage festhalten.
6. Abwägung für berechtigte Interessen schriftlich ablegen.
7. Gewinnspielbedingungen vor dem Start veröffentlichen, Newsletter davon trennen.
8. Daten der Nichtgewinner nach der Auslosung löschen.
9. Verarbeitungsverzeichnis mit einer Zeile pro Tätigkeit anlegen.
10. Werbung kennzeichnen, Pixel erst nach Einwilligung laden.
11. Zwei-Faktor-Anmeldung aktivieren, Zugriff im Team begrenzen.
12. Ablauf für Auskunfts- und Löschanfragen mit Monatsfrist festlegen.

Dieser Beitrag erklärt die Rechtslage verständlich und ersetzt keine Rechtsberatung. Für Gewinnspiele mit hohen Preisen, Gesundheitsthemen oder große Kundenlisten lohnt sich eine Prüfung durch eine Anwältin oder einen Anwalt. Wie du dein professionelles Konto einrichtest, steht im Ratgeber zum Instagram Business Account.

Häufige Fragen zur Instagram DSGVO