Facebook Fanpage: Datenschutzprobleme und Lösungsansätze

Facebook gehört nach wie vor zu den reichweitenstärksten sozialen Netzwerken und ist für viele Unternehmen ein zentraler Kanal, um mit potenziellen Kundinnen und Kunden in Kontakt zu treten. Dieser Beitrag stellt dar, welche datenschutzrechtlichen Herausforderungen beim Betrieb einer Facebook‑Fanpage aktuell bestehen und welche Lösungsansätze sich daraus für Unternehmen ergeben.

Facebook Fanpage und ihre Vorteile für Unternehmen

Zunächst stellt sich die Frage, welche Vorteile einer Facebook Fanpage für Unternehmen bringt und mit welchen Nachteilen sie gleichzeitig verbunden ist.

Vorteile einer Facebook Fanpage

Die Vorteile wirken sich auf sämtliche Unternehmensbereiche aus. Großteils sind die Auswirkungen im Marketing wiederzufinden, was wiederum fundamental für andere Bereiche wird.

Ohne technische Hürden ist es möglich eine Fanpage schnell zu erstellen. Dadurch werden Unternehmen international auffindbar und bauen sich eine Social-Media Präsenz auf. Heutzutage ist der Auftritt in sozialen Netzwerken unabdingbar, um eine hohe Reichweite zu erlangen: denn hiermit kann die Markenbekanntheit gesteigert werden. Die Nähe zu Zielgruppen ermöglicht eine direkte Adressierung und bietet kurze Wege zur Vernetzung:

• Unternehmen bekommen ein direktes Feedback der Zielgruppe: sei es zu Neuentwicklungen und News oder auch zum bestehenden Produktportfolio.
• Unternehmen können sofort auf Ereignisse von öffentlichem Interesse reagieren.
• Die Botschaften des Unternehmens können auf eine große Resonanz stoßen und viral gehen.

All das führt dazu, dass ein Vertrauen zum Unternehmen entsteht und die Aufmerksamkeit auf die eigentliche Webseite des Unternehmens gelenkt wird. Anhand der umfangreichen Analysemöglichkeiten und Statistiken, die Facebook Fanpages bieten, können Zielsetzungen optimiert werden und die Möglichkeit von Umsatzsteigerungen oder Neugeschäften könnte entstehen.

Nachteile einer Facebook Fanpage

Das Betreiben von Facebook Fanpages birgt jedoch auch Schattenseiten. Damit Unternehmen von den Vorteilen profitieren können, ist viel Zeit und Mühe gefragt. Eine Fanpage erfordert, dass regelmäßig Inhalte generiert werden und mit „Fans“ interagiert wird. Das ist zeitaufwendig und setzt eine gewisse Professionalität voraus, damit Kunden von veröffentlichten Beiträgen angesprochen werden. Wenn die Fanpage keinen Content liefert, besteht die Gefahr von sog. „verwaisten Fanseiten“, wo zuletzt beispielsweise vor drei Jahren ein Beitrag gepostet wurde. Das wiederrum hinterlässt einen falschen Eindruck, da die Aufmerksamkeit und das „Following“ von Social-Media Nutzern nur mit aktuellem und regelmäßigem Content beibehalten wird.

Außerdem könnte der sog. „Shitstorm“ zum Albtraum der Unternehmen werden. Unzufriedene Kunden können Fanpages als Gelegenheit sehen, um ihre negativen Erfahrungen zu teilen und sich von ihrem damit verbundenen Frust zu befreien. In solchen Fällen müssen sich Unternehmen bemühen ihr Image zu schützen, indem sie beispielsweise regelmäßig die Seite überprüfen und angemessen auf solche Kundenbeiträge reagieren.

Bedeutung für die Suchmaschinenoptimierung

Was die Suchmaschinenoptimierung betrifft, können „Gefällt-Mir“-Angaben und Interaktionen das Ranking bei Suchmaschinen beeinflussen (sog. Social SEO). Auch wenn diese Auffassung umstritten ist, wird weiterhin auf eine positive Wirkung gehofft.

Eine weitere Bedeutung besteht darin, dass die Suchmaschinenoptimierung auch für die Fanpage selbst relevant ist. Die wichtigsten Keywords, die gerankt werden sollen, können im Titel der Seite oder im Infobereich platziert werden. Auch hier ist von Bedeutung, dass mit Statusupdates die Interaktion mit Fans angeregt wird.

Wieso ist eine Facebook Fanpage datenschutzrechtlich problematisch?

Noch um 2015/2016 herum standen in der datenschutzrechtlichen Diskussion vor allem sogenannte „Schattenprofile“ und der von Facebook gesetzte Datr-Cookie im Mittelpunkt, mithin die Frage, in welchem Umfang Meta Nutzerinnen und Nutzer auch plattformübergreifend wiedererkennt, teilweise sogar ohne eigenes Facebook‑Konto. Heute knüpfen Aufsichtsbehörden und Gerichte ihre Kritik am Betrieb von Facebook‑Fanpages jedoch an weitergehende, strukturelle Probleme.

Spätestens seit dem DSK‑Kurzgutachten vom 18.03.2022 (aktualisierte Fassung vom 10.11.2022) und den DSK‑FAQs zu Facebook‑Fanpages vom 21.11.2022 wird der Fanpage‑Betrieb nicht mehr an einzelnen Cookies festgemacht, sondern an drei zentralen Problemfeldern:

1. Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO
   Facebook‑Fanpage‑Betreiber gelten seit dem EuGH‑Urteil „Wirtschaftsakademie“ als gemeinsam Verantwortliche mit Meta für bestimmte Verarbeitungen (insbesondere Page Insights), s.h. auch Entschließung der DSK vom 06.06.2018. Die DSK hielt die von Meta bereitgestellte Seiten-Insights-Ergänzung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO für nicht ausreichend, um die datenschutzrechtlichen Anforderungen vollständig zu erfüllen. Meta hat daraufhin nachgebessert (u. a. zum 31.08.2020). Diese Regelungen erfassen jedoch ausschließlich die gemeinsame Verantwortlichkeit im Zusammenhang mit Page Insights. Zudem wurden weitergehende datenschutzrechtliche Problemfelder, insbesondere im Hinblick auf Transparenzpflichten sowie die praktische Zuordnung und Durchsetzung von Verantwortlichkeiten, hierdurch nicht vollständig aufgelöst.
2. Endgerätezugriffe / Cookies und Einwilligung (TDDDG)
   Beim Besuch einer Fanpage werden auf Endgeräten der Nutzerinnen und Nutzer Cookies und ähnliche Technologien eingesetzt, die nicht technisch erforderlich sind. Für deren Einsatz ist grundsätzlich eine wirksame Einwilligung nach Art. 5 Abs. 3 ePrivacy-Richtlinie i. V. m. Art. 6 Abs. 1 lit. a DSGVO erforderlich. Die Einholung dieser Einwilligung erfolgt dabei plattformseitig durch Meta im Rahmen der eigenen Consent-Mechanismen. Fanpage-Betreiber haben auf die konkrete Ausgestaltung dieser Einwilligungsprozesse keinen unmittelbaren Einfluss, profitieren jedoch von den hierdurch generierten Reichweiten- und Nutzungsdaten. Die datenschutzrechtliche Bewertung der Wirksamkeit und Transparenz dieser Prozesse wird weiterhin kritisch diskutiert
3. Transparenz und Rechenschaftspflicht (Art. 5 Abs. 2, Art. 13 DSGVO)
   Verantwortliche müssen nachweisen können, dass die Datenverarbeitung rechtmäßig ist und die Informationspflichten nach Art. 13 DSGVO erfüllt werden.  Dies wird weiterhin als kritisch beurteilt, da wesentliche Informationen zu Art, Umfang und Zwecken der Verarbeitung sowie zu Drittlandübermittlungen nicht in der für eine eigene Bewertung ausreichenden Tiefe bereitgestellt werden.

Aktuelle Berichte und Untersuchungen greifen diese Einschätzung auf und weisen Unternehmen ausdrücklich darauf hin, dass der Einsatz von Facebook‑Fanpages weiterhin datenschutzrechtlich kritisch ist.

Der EDPB kam zudem im Rahmen eines verbindlichen Streitbeilegungsverfahrens zu dem Ergebnis, dass Meta sich nicht auf die Nutzungsbedingungen („Terms of Service“) stützen kann, um personalisierte bzw. verhaltensbasierte Werbung zu rechtfertigen. Stattdessen sei eine gültige Rechtsgrundlage erforderlich, insbesondere eine klare und freiwillige Einwilligung der Nutzer.

Daraufhin hat Meta seine Tracking- und Consent-Mechanismen mehrfach angepasst. Als Reaktion führte Meta zudem in Europa zwar neue Consent-Modelle ein, insbesondere das sogenannte „Pay or Consent“-Modell. Danach müssen Nutzer entweder personalisierte Werbung akzeptieren oder ein kostenpflichtiges werbefreies Abo abschließen. Dieses Modell steht wiederum selbst unter regulatorischem Druck. Die Europäische Kommission vertritt inzwischen vorläufig die Auffassung, dass diese binäre Wahl gegen europäisches Digital- und Wettbewerbsrecht verstoßen könnte.

Im Zentrum der aktuellen Kritik stehen weiterhin joint controllership, Endgerätezugriffe ohne wirksame Einwilligung und die unzureichende Transparenz gegenüber den betroffenen Personen.

Gerichtliches Verfahren

Die abstrakte Bewertung der Aufsichtsbehörden und des DSK hat sich in den letzten Jahren in konkrete Verfahren „übersetzt“, in denen exemplarisch geklärt wird, wie weit die Verantwortung von Fanpage‑Betreibern tatsächlich reicht.

Ausgangspunkt: EuGH „Wirtschaftsakademie“
Mit dem EuGH‑Urteil in der Sache „Wirtschaftsakademie“ wurde erstmals höchstrichterlich festgestellt, dass der Betreiber einer Facebook‑Fanpage gemeinsam mit Meta für bestimmte Verarbeitungen verantwortlich ist. Der Gerichtshof betonte, dass es für die Verantwortlichkeit nicht darauf ankommt, dass der Betreiber selbst alle personenbezogenen Daten sieht oder steuern kann. Entscheidend ist vielmehr, dass er durch das Betreiben der Fanpage die Datenerhebung mitveranlasst.

Verwaltungsverfahren: BfDI vs. Bundespresseamt
Auf dieser Linie aufbauend wies der damalige Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) im Februar 2023 das Presse‑ und Informationsamt der Bundesregierung (Bundespresseamt, BPA) an, seine Facebook‑Fanpage einzustellen. Begründet wurde dies im Wesentlichen mit den strukturellen Defiziten, die bereits die DSK aufgezeigt hatte (gemeinsame Verantwortlichkeit, fehlende wirksame Einwilligung, unzureichende Transparenz).

Die Bundesregierung sah die datenschutzrechtliche Verantwortung demgegenüber primär bei Meta und verwies auf die Relevanz sozialer Medien für die staatliche Öffentlichkeitsarbeit. Das BPA erhob gegen die Abschalt‑Anordnung Klage beim Verwaltungsgericht Köln; wegen der aufschiebenden Wirkung konnte die Seite vorerst weiter betrieben werden.

Urteil des VG Köln
Am 17. Juli 2025 entschied das VG Köln, dass das Bundespresseamt seine Facebook‑Seite zunächst weiter betreiben darf. Das Gericht stellte dabei insbesondere darauf ab, dass

• für die Einholung wirksamer Einwilligungen in den Einsatz von Cookies Meta verantwortlich sei,
• der bloße Betrieb der Fanpage durch das BPA nicht ausreiche, um einen hinreichenden Ursachen‑ und Wirkungszusammenhang zu den durch Meta gesetzten Cookies zu begründen, und
• im konkreten Fall keine gemeinsame Verantwortlichkeit für die beanstandeten Cookie‑Verarbeitungen bestehe, weil das BPA weder Einfluss auf die Platzierung der Cookies noch auf deren Auswertung nehmen könne.

Ausblick und Einordnung: Behörden vs. Unternehmen
Die neue Bundesbeauftragte für den Datenschutz hat gegen das Urteil Berufung eingelegt, sodass die Frage der Verantwortlichkeitsverteilung noch nicht abschließend geklärt ist.

• Für Behörden bedeutet dies: Es gibt zwar eine erstinstanzliche Entscheidung, die den Betrieb der Fanpage im konkreten Fall zulässt, die grundsätzliche Kritik der Aufsichtsbehörden an Facebook‑Fanpages aber nicht ausräumt. Bundes‑ und Landesbehörden bewegen sich damit weiterhin in einem Spannungsfeld zwischen verwaltungsgerichtlicher Rechtsprechung und der restriktiven Haltung der Datenschutzaufsicht.
• Für private Unternehmen ist wichtig: Das Urteil des VG Köln entfaltet keine unmittelbare Bindungswirkung für die Privatwirtschaft. Die von der DSK herausgearbeiteten strukturellen Defizite, insbesondere bei Endgerätezugriffen, Einwilligung und Transparenz, gelten unverändert fort. Unternehmen können sich daher nicht ohne Weiteres auf das Verfahren des Bundespresseamts berufen, sondern müssen eigenständig prüfen und dokumentieren, ob und wie sie den datenschutzrechtlichen Anforderungen beim Betrieb ihrer Fanpage gerecht werden können. Solange Meta an den zentralen technischen und organisatorischen Rahmenbedingungen nur begrenzt etwas ändert, bleibt der Fanpage‑Betrieb für private Unternehmen ein rechtlich hoch riskantes Kommunikationsinstrument.

Was können Betreiber einer Facebook Fanpage tun?

Aus dem Wirtschaftsakademie‑Urteil des EuGH folgt weiterhin, dass Betreiber einer Facebook‑Fanpage für bestimmte Verarbeitungen gemeinsam mit Meta verantwortlich sind. Sie tragen damit eigene Pflichten nach der DSGVO und können bei Datenschutzverstößen mit in Anspruch genommen werden. Die DSK hat diese Linie in ihren FAQ zu Facebook‑Fanpages 2022 bestätigt und konkretisiert.

Die folgende Aufzählung konkreter Pflichten und Empfehlungen soll verzweifelten Fanpage-Betreibern die Frage „Was können wir tun?“ beantworten:

• Transparente Information der Fanpage‑Besucher: Fanpage-Besucher müssen in transparenter und verständlicher Form informiert werden, welche Daten zu welchen Zwecken durch Facebook und die Betreiber verarbeitet werden. Das umfasst sowohl auf Facebook registrierte Besucher als auch nicht registrierte. Hierfür eignet sich eine Datenschutzerklärung auf der Fanpage und eine zusätzliche auf der eigenen Webseite.
• Informationen von Meta einholen und dokumentieren: Betreibern wird empfohlen, dass sie Informationen von Facebook anfordern, die zur Erfüllung der oben genannten Informationspflichten erforderlich sind. So können sie ihre Informationspflichten besser erfüllen und ihrer Rechenschaftspflicht nachkomme.
• Einwilligung für Tracking und nicht notwendige Cookies: Soweit Meta Fanpage‑Besucher durch Cookies, Pixel oder ähnliche Technologien trackt, ist für nicht technisch notwendige Verarbeitungen grundsätzlich eine wirksame Einwilligung nach der DSGVO sowie dem Telekommunikation‑Digitale‑Dienste‑Datenschutz‑Gesetz (TDDDG) erforderlich. Ohne ausreichende Informationen über Metas konkrete Verarbeitungen bleibt hier ein erhebliches Restrisiko bestehen.
• Vereinbarung zur gemeinsamen Verantwortlichkeit (Art. 26 DSGVO): Eine Vereinbarung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO ist abzuschließen, in der festgelegt wird, welche Verpflichtungen der DSGVO welche Partei erfüllt. Die wesentlichen Punkte dieser Vereinbarung sind den Betroffenen zur Verfügung zu stellen, damit diese ihre Betroffenenrechte wahrnehmen können.
• Nachweis der Einhaltung der Datenschutzgrundsätze: Betreiber müssen nachweisen können, dass sie die Grundsätze der Verarbeitung aus Art. 5 Abs. 1 DSGVO einhalten (Rechtmäßigkeit, Transparenz, Datenminimierung etc.). Diese ergibt sich aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und den Verpflichtungen aus Art. 24, 25, 32 DSGVO (z.B. technische und organisatorische Maßnahmen, Privacy by Design/Default).
• Rechtsgrundlagen für eigene Verarbeitungstätigkeiten: Für alle Verarbeitungstätigkeiten, die seiner Verantwortung unterliegen, benötigt jeder Verantwortliche eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO oder Art. 9 Abs. 2 DSGVO, wenn besondere Kategorien personenbezogener Daten verarbeitet werden.

Die DSK hält fest, dass ein datenschutzkonformer Betrieb einer Fanpage nicht möglich ist, solange diese Anforderungen nicht erfüllt werden. Da viele dieser Anforderungen nur mit Mitwirkung von Meta erfüllt werden können, sollten Betreiber, insbesondere öffentliche Stellen,prüfen, ob sie die Pflichten realistisch einhalten können. Ist dies nicht der Fall, bleibt die Einstellung der Fanpage eine ernsthaft in Betracht zu ziehende Option.

Was muss in die Datenschutzerklärung und das Impressum einer Fanpage?

Damit Betreiber den oben genannten Pflichten nachkommen können, ist eine Datenschutzerklärung sowie ein Impressum auf der Fanpage erforderlich.

Datenschutzerklärung

Die Informationspflichten können in Form einer Datenschutzerklärung erfüllt werden. Die Anforderungen zur Erfüllung der Informationspflicht sind aus Art. 13 DSGVO zu entnehmen. Jedenfalls sollte die Ausgestaltung der Datenschutzerklärung für eine Fanpage folgendermaßen aussehen:

• Name und Kontaktdaten des Verantwortlichen, sowie ein Hinweis über auf die gemeinsame Verantwortlichkeit mit Meta nach Art. 26 DSGVO
• Kontaktdaten des Datenschutzbeauftragten
• Zwecke für die Datenverarbeitung und die zugehörige Rechtsgrundlage
• Bei der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f) DSGVO sind zusätzlich die vom Verantwortlichen verfolgten berechtigten Interessen zu nennen
• Ein Hinweis auf Tracking, Cookies und vergleichbare Technologien, soweit sie im Zusammenhang mit der Fanpage genutzt werden, inkl. Informationen zur Einwilligung und zu Widerspruchsmöglichkeiten
• Ein Hinweis und Link zu den Seiten-Insights Informationen von Facebook (Meta Ireland Ltd.),  in denen Meta seine eigene Datenverarbeitung erläutert
• Unterrichtung über die Betroffenenrechte
• Informationen über Gewinnspiele und die Nutzung des Kontaktformulars

Je nach Zielgruppe kann es zudem sinnvoll sein, auf Datenübermittlungen in Drittländer (insb. USA, EU‑US Data Privacy Framework, Standardvertragsklauseln) hinzuweisen und kurz zu erläutern, auf welche Schutzmechanismen Meta sich stützt.

Impressum

Für einen geschäftsmäßigen Facebook‑Auftritt besteht weiterhin eine Impressumspflicht. Die inhaltlichen Anforderungen an die Anbieterkennzeichnung ergeben sich in erster Linie aus § 5 Digitale‑Dienste‑Gesetz (DDG) (früher § 5 TMG) muss das Impressum für den Besucher

„leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein“

sowie insbesondere folgende Informationen enthalten:

• Informationen und Kontaktdaten des Betreibers: Name/Firma, ladungsfähige Anschrift, E‑Mail‑Adresse und Telefonnummer
• Rechtsform des Unternehmens
• Vertretungsberechtigte Person(en) (z.B. Geschäftsführer, Vorstand)
• Registereintrag und Registernummer (Handels‑, Vereins‑ oder Partnerschaftsregister), sofern vorhanden
• Umsatzsteuer‑Identifikationsnummer oder Wirtschafts‑Identifikationsnummer, sofern vorhanden
• ggf. besondere Angaben für bestimmte Berufsgruppen (z.B. Kammerzugehörigkeit, Berufsbezeichnung, berufsrechtliche Regelungen, Aufsichtsbehörde)

In der Praxis wird häufig eine Verlinkung auf die eigene Webseite hinzugefügt, wo direkt das Impressum abrufbar ist. Dafür ist vorausgesetzt, dass die Verlinkung eindeutig benannt und an der richtigen Stelle zu finden ist. Das kann alternativ zur Auflistung des Impressums auf der Fanpage dienen.

Ein fehlendes oder unvollständiges Impressum verstößt gegen die Anbieterkennzeichnungspflicht des § 5 DDG und kann als Ordnungswidrigkeit nach § 33 Abs. 6 Nr. 3 DDG mit einer Geldbuße von bis zu 50.000 Euro Euro geahndet werden; zudem wird ein solcher Verstoß regelmäßig als Wettbewerbsverstoß im Sinne des UWG eingeordnet, was Unterlassungsansprüche und kostenpflichtige Abmahnungen nach sich ziehen kann.

Zusätzlicher Hinweis

Mit einer Datenschutzerklärung und einem Impressum sind die Pflichten immer noch nicht erfüllt. Da der Betrieb einer Fanpage auch als Verarbeitungstätigkeit gilt, muss diese in das Verarbeitungsverzeichnis nach Art. 30 Abs. 1 DSGVO mitaufgenommen werden.

Kann man Fanpages datenschutzkonform einsetzen?

Aus heutiger Sicht ist ein vollständig datenschutzkonformer Betrieb einer Facebook‑Fanpage faktisch kaum möglich. Die Aufsichtsbehörden, allen voran die DSK, gehen weiterhin davon aus, dass zentrale Anforderungen der DSGVO und des TDDDG derzeit nicht oder nur unzureichend erfüllt werden können. Hauptgründe sind die ungelöste gemeinsame Verantwortlichkeit mit Meta, die fehlende Kontrolle über Tracking und Einwilligungsprozesse sowie die unzureichende Transparenz zu Art, Umfang und Zwecken der Datenverarbeitung inklusive etwaiger Drittlandübermittlungen.

Für öffentliche Stellen bedeutet dies, dass sie sich in einem besonders engen rechtlichen Korsett bewegen und sehr genau prüfen müssen, ob sie die hohen Maßstäbe der Aufsichtsbehörden erfüllen können. Das Verfahren des BfDI gegen das Bundespresseamt zeigt, dass die Aufsicht grundsätzlich bereit ist, den Betrieb von Fanpages per Abschalt‑Anordnung zu untersagen. Öffentliche Stellen bewegen sich derzeit in einem Spannungsfeld zwischen einer restriktiven Aufsichtspraxis und einer noch nicht abgeschlossenen gerichtlichen Klärung. Solange diese Klärung aussteht und Meta seine technischen und organisatorischen Modelle nicht grundlegend ändert, bleibt der rechtliche Spielraum für den Betrieb von Fanpages durch Behörden entsprechend eng.

Für private Unternehmen dürfte sich die Lage nicht wesentlich entspannter darstellen, sodass das Betreiben einer Fanpage ein rechtlich risikobehaftetes Kommunikationsinstrument bleibt. Zwar können sie durch Datenschutzerklärung, Impressum, Dokumentation, Verträge zur gemeinsamen Verantwortlichkeit und interne Prozesse das Risiko reduzieren, die strukturellen Defizite bei Meta können sie jedoch nicht eigenständig beheben. Die von Aufsichtsbehörden und der DSK am Facebook‑System geäußerte Kritik, insbesondere in Bezug auf gemeinsame Verantwortlichkeit, Tracking, Einwilligung und Transparenz, gilt unverändert auch für die Privatwirtschaft. Ob eine Fanpage eingesetzt werden sollte, ist daher letztlich eine bewusste Risikoentscheidung: Unternehmen müssen abwägen, ob die marketingseitigen Vorteile die datenschutzrechtlichen, aufsichtsbehördlichen und reputativen Risiken aufwiegen – und diese Entscheidung sorgfältig dokumentieren.