Kaum ein Thema bremst gute Social-Media-Ideen so zuverlässig wie fünf Buchstaben: DSGVO. Du hast ein schönes Team-Video im Kasten, willst ein Gewinnspiel starten oder endlich den Meta-Pixel einbauen – und irgendwer im Betrieb sagt: „Dürfen wir das überhaupt?“ Schon liegt der Post auf Eis.
Die gute Nachricht vorweg: Das meiste, was du auf Social Media vorhast, ist erlaubt. Du musst nur ein paar Spielregeln kennen. Dieser Beitrag nimmt dir die Angst und gibt dir eine praktische Orientierung, mit der du entspannt posten kannst, ohne nachts von Beschwerden zu träumen.
Warum DSGVO Social Media kein Grund zur Panik ist
Die Bußgeldsummen, die durch die Medien geistern, klingen dramatisch. Europaweit haben die Datenschutzbehörden seit 2018 über 7,1 Milliarden Euro an Strafen verhängt, allein 2025 kamen rund 1,2 Milliarden dazu (Kiteworks, 2026). In Österreich sorgte der Fall der Österreichischen Post für Schlagzeilen: Das Bundesverwaltungsgericht bestätigte Ende 2024 eine Strafe von 16 Millionen Euro (KPMG Law, 2025).
Bevor du jetzt dein Instagram-Konto löschst: Diese Rekordzahlen betreffen Konzerne mit Millionen Datensätzen. Für einen Handwerksbetrieb, eine Ordination oder ein Café aus der Steiermark ist die Realität eine andere. Die österreichische Datenschutzbehörde wird fast immer erst dann aktiv, wenn sich jemand beschwert – und der häufigste Auslöser ist eine ignorierte Auskunftsanfrage, nicht ein Foto vom Sommerfest. Wer die Basics beachtet, ist damit gut aufgestellt.
Und ja, im Zweifel – etwa bei großen Kampagnen oder besonders sensiblen Daten – ist ein kurzer Blick durch eine Datenschutzberatung gut investiertes Geld. Dieser Beitrag ist keine Rechtsberatung, er nimmt dir die Anfangsangst und zeigt dir, worauf es im Alltag ankommt.
Fotos und Videos von Mitarbeitern
Der Klassiker: Du willst dein Team zeigen, weil echte Gesichter besser wirken als jedes Stockfoto. Grundsätzlich brauchst du dafür die Einwilligung der abgebildeten Person. Das Zauberwort heißt Freiwilligkeit. Weil zwischen dir und deinen Leuten ein Abhängigkeitsverhältnis besteht, darf niemand das Gefühl haben, mitmachen zu müssen.
So machst du es sauber:
- Hol dir eine schriftliche Einwilligung, in der steht, wofür die Aufnahmen verwendet werden – Website, Instagram, Facebook, Recruiting.
- Erkläre, dass ein Nein keine Konsequenzen hat. Wer nicht ins Bild will, wird nicht gezeigt, Punkt.
- Denk an den Austritt. Verlässt eine Mitarbeiterin den Betrieb, kann sie ihre Einwilligung widerrufen. Schreib dazu, dass bereits veröffentlichte Beiträge nicht rückwirkend aus dem ganzen Netz verschwinden, du das Material aber von deinen eigenen Kanälen nimmst.
Ein Tipp aus der Praxis: Notiere pro Person kurz, wer wo zustimmt. Diese Liste erspart dir später jede Diskussion.
Kunden und Gäste im Bild
Beim Firmenevent, im vollen Lokal oder auf der Messe landen schnell fremde Menschen im Bild. Zeigst du eine erkennbare Person im Vordergrund, brauchst du auch hier eine Einwilligung. Bei einer großen Menschenmenge, in der niemand herausgehoben wird, ist die Lage entspannter, hier überwiegt oft dein berechtigtes Interesse.
Zwei einfache Handgriffe helfen: Ein Hinweisschild am Eingang („Heute wird für Social Media fotografiert“) schafft Transparenz. Und bei geplanten Aufnahmen von einzelnen Gästen fragst du einfach kurz nach. Ein „Passt das für Instagram?“ wirkt sympathisch und ist rechtlich sauber. Besondere Vorsicht gilt bei Kindern: Hier holst du die Zustimmung der Eltern ein.
Gewinnspiele: der beliebteste Datensammler
Gewinnspiele bringen Reichweite und Adressen. Genau deshalb schauen Behörden hier genauer hin. Der größte Fehler: die Teilnahmedaten heimlich für Werbung weiterverwenden. Wer beim Gewinnspiel mitmacht, hat noch nicht deinem Newsletter zugestimmt.
Deine Checkliste:
- Teilnahmebedingungen klar formulieren: Was wird gewonnen, wie läuft die Verlosung, bis wann?
- Datensparsam bleiben. Frag nur ab, was du wirklich brauchst. Für die Ziehung reicht meist ein Name und eine Kontaktmöglichkeit.
- Werbe-Einwilligung trennen. Willst du die Teilnehmer später anschreiben, braucht es dafür ein eigenes, freiwilliges Häkchen.
- Daten wieder löschen, sobald der Gewinn übergeben ist.
Beachte außerdem, dass Meta eigene Regeln für Gewinnspiele hat. Wie du Aktionen rechtlich und werblich sauber aufsetzt, vertiefen wir im Beitrag „Werbung in Österreich“.
Tracking-Pixel, Meta-Pixel und Cookie-Consent
Jetzt wird es technisch, aber bleib dran, denn hier passieren die meisten stillen Fehler. Bindest du einen Meta-Pixel oder ein anderes Tracking auf deiner Website ein, um deine Werbung zu messen, verarbeitest du personenbezogene Daten deiner Besucher. Das darfst du erst, nachdem die Person aktiv zugestimmt hat.
Konkret heißt das: Ein Cookie-Banner, das nur „OK“ anbietet, reicht nicht. Ablehnen muss genauso leicht möglich sein wie Zustimmen, und der Pixel darf erst nach dem Klick auf „Akzeptieren“ feuern. Voreingestellte Häkchen sind tabu.
Was viele unterschätzt: Ein fairer „Alles ablehnen“-Button kostet dich Reichweite in den Daten. Studien zeigen, dass bei einem klaren Ablehnen-Button rund 50 bis 60 Prozent der Nutzer das Tracking verweigern (Ignite/akademische CMP-Daten, 2025). Deine Zahlen in Werbekonten bilden also nur einen Teil der Wahrheit ab. Das ist kein Grund zum Tricksen, sondern ein Grund, deine Ergebnisse realistisch zu lesen. Wie du Tracking technisch und rechtlich richtig aufsetzt, ohne dich zu verzetteln, zeigen wir dir im Beitrag „Tracking richtig aufsetzen“.
Newsletter und Double-Opt-in
Der Newsletter bleibt einer deiner wertvollsten Kanäle, weil er dir gehört und kein Algorithmus dazwischenfunkt. Damit er sauber läuft, gilt das Double-Opt-in: Nach der Anmeldung bekommt die Person eine Bestätigungsmail und klickt dort einen Link. Erst danach ist sie aktiv im Verteiler.
Warum dieser Zwischenschritt? Er beweist, dass die Anmeldung echt war, und schützt dich vor eingetragenen Fremdadressen. Dazu gehören immer eine funktionierende Abmeldung in jeder Aussendung und der Hinweis, dass die Anmeldung freiwillig ist. Sammelst du E-Mail-Adressen über ein Social-Media-Formular ein, achte darauf, dass die Einwilligung eindeutig auf den Newsletter zeigt. Alles Weitere dazu findest du im Beitrag „Newsletter“.
Die Agentur als Auftragsverarbeiter
Sobald jemand von außen deine Kanäle betreut, deine Kundendaten sieht oder dein Tracking verwaltet, brauchst du mit diesem Dienstleister einen Auftragsverarbeitungsvertrag, kurz AVV. Das gilt für die Social-Media-Agentur genauso wie für dein Newsletter-Tool oder den Anbieter deines Bewertungssystems, Stichwort „Google-Bewertungen“.
Klingt nach Bürokratie, ist aber schnell erledigt: Seriöse Dienstleister haben einen fertigen AVV in der Schublade, du musst ihn nur prüfen und unterschreiben. Frag aktiv danach. Ein Anbieter, der bei diesem Wort ins Schwitzen kommt, sagt dir mehr über sich, als dir lieb ist.
Kurz gesagt
DSGVO Social Media ist kein Hexenwerk, sondern eine Sammlung nachvollziehbarer Regeln: Bei Menschen im Bild fragst du nach, bei Daten sammelst du sparsam, beim Tracking wartest du auf das Ja, und mit deinen Dienstleistern regelst du das Schriftliche. Wer diese vier Reflexe verinnerlicht, kann mutig auftreten, weil das Fundament passt.
Wenn du deine Kanäle so aufstellen willst, dass sie auffallen und trotzdem sauber laufen: Meld dich bei uns. Wir denken beides zusammen.
Häufige Fragen
Braucht man für jedes Foto auf Social Media eine Einwilligung?
Für erkennbare Einzelpersonen im Vordergrund in aller Regel ja, besonders bei Mitarbeitern und Kunden. Bei großen Menschenmengen, in denen niemand herausgehoben wird, kann dein berechtigtes Interesse ausreichen. Ein Hinweisschild bei Events und eine kurze Nachfrage bei geplanten Aufnahmen bringen dich auf die sichere Seite.
Darf ich den Meta-Pixel einfach auf meine Website setzen?
Erst nachdem der Besucher über ein Cookie-Banner aktiv zugestimmt hat. Ablehnen muss genauso einfach sein wie Zustimmen, und der Pixel darf vorher nicht laden. Voreingestellte Häkchen sind nicht erlaubt.
Was muss ich bei DSGVO Social Media und Gewinnspielen beachten?
Formuliere klare Teilnahmebedingungen, frag nur die nötigen Daten ab und lösche sie nach der Ziehung wieder. Wichtig: Die Teilnahme am Gewinnspiel ist noch keine Einwilligung in deinen Newsletter. Dafür braucht es ein eigenes, freiwilliges Häkchen.
Brauche ich mit meiner Agentur einen Vertrag zum Datenschutz?
Ja. Sobald eine Agentur oder ein Tool in deinem Auftrag personenbezogene Daten verarbeitet, ist ein Auftragsverarbeitungsvertrag Pflicht. Seriöse Dienstleister stellen ihn dir von sich aus zur Verfügung.
Quellen
- Kiteworks, 2026: https://www.kiteworks.com/gdpr-compliance/gdpr-fines-data-privacy-enforcement-2026/
- KPMG Law, 2025: https://www.kpmg-law.at/datenschutzbehoerde-verhaengt-geldbussen-ueberblick-ueber-aktuelle-spruchpraxis-bei-datenschutzverletzungen/
- Ignite (Cookie-Consent-Studien), 2025: https://www.ignite.video/en/articles/basics/cookie-consent-studies
Reden wir über dein Marketing.
Wenn du beim Lesen an dein eigenes Unternehmen gedacht hast: Genau dafür sind wir da. Stell uns deine Frage, wir melden uns ehrlich zurück. Ohne Verkaufsfolien, ohne Agentur-Theater.
