Social Media: Wer posten will, muss informieren

Social Media ist für viele Unternehmen ein wichtiges Marketinginstrument. Dass diese Nutzung von Social Media-Plattformen auch datenschutzrechtliche Pflichten auslöst, geht oft vergessen. Dieser Beitrag befasst sich mit der datenschutzrechtlichen Informationspflicht von Unternehmen und zeigt, wie dies in der Praxis pragmatisch und rechtssicher umgesetzt werden kann.

19.05.2026 Von: Thierry Burnens

Passende Arbeitshilfen

zip

Download-Paket Auskunftserteilung

CHF 70.00

zip

Datenschutzpaket DSGVO

CHF 90.00

zip

Download-Paket Datenschutz-Compliance

CHF 180.00

zip

Download-Paket IT-Compliance

CHF 60.00

zip

Datenschutzerklärung für die Webseite

CHF 90.00

Sobald Personendaten bearbeitet[1] werden, sind die Vorschriften des Datenschutzrechts zu beachten. Das gilt auch für Social Media. Personendaten sind alle Informationen, welche sich auf eine identifizierbare natürliche Person beziehen. Bei einer Vielzahl von Profilen auf Social Media ist die Identifizierbarkeit gegeben (also es kann festgestellt werden, um welche Person es geht). Dass die Person tatsächlich identifiziert wird, ist nicht erforderlich. Entsprechend sind bei der Nutzung von Social Media durch Unternehmen bereits bei alltäglichen Interaktionen (z.B. Reaktionen oder Kommentare auf Beiträge, Direktnachrichten, etc.) die datenschutzrechtlichen Vorschriften einzuhalten. Umso mehr gilt das, wenn Social Media auf eine Weise genutzt wird, die stärker in die Privatsphäre eingreift (z.B. für Targeting, also die gezielte personalisierte Ansprache).

Dies bedeutet insbesondere, dass die betroffenen Personen transparent informiert werden müssen, was mit ihren Personendaten geschieht.

[1] Der Begriff "bearbeiten" umfasst jeden Umgang mit Personendaten (und damit z.B. auch das blosse Aufrufen von Profilen).

Zertifizierter Lehrgang Datenschutz-Experte/in WEKA/SIB

Modularer Lehrgang, ZWB, Zürich

Nächster Termin: 16. September 2026

Wer muss informieren?

Die Pflicht zur Information der betroffenen Personen trifft den Verantwortlichen, also jene Organisation, die festlegt, zu welchem Zweck Personendaten bearbeitet werden. Entscheidend sind dabei jeweils die tatsächlichen Verhältnisse (d.h. die konkreten Einflussmöglichkeiten auf die Datenbearbeitung). Es ist nicht möglich, vertraglich eine abweichende Regelung zu treffen.

Wenn ein Unternehmen Social Media nutzt, ist es gemeinsam mit dem Plattformbetreiber (z.B. Meta für Instagram oder Facebook) für die Einhaltung der datenschutzrechtlichen Bestimmungen zuständig (sog. "gemeinsame Verantwortliche" oder "Joint Controller"). In der EU ist dies seit längerer Zeit durch die Rechtsprechung geklärt. In der Schweiz gilt das gleiche (da die massgeblichen Konzepte und Begriffe im Schweizer Recht im Wesentlichen gleich sind).

Im Ergebnis bedeutet die gemeinsame Verantwortlichkeit, dass die involvierten Parteien (also das Unternehmen und die Plattform) die Aufteilung der datenschutzrechtlichen Pflichten zwischen sich regeln müssen. Dies ist zwar in der Schweiz gesetzlich nicht ausdrücklich vorgeschrieben (anders in der EU), ergibt sich jedoch indirekt aus dem Datenschutzgesetz. Nur wenn sich die involvierten Parteien über die Aufteilung der Pflichten einigen (z.B. über die Information der betroffenen Personen), besteht die Gewissheit, dass die Pflichten tatsächlich erfüllt werden.

Diese Pflicht setzen die Plattformbetreiber (wie z.B. Meta) so um, dass sie die Erfüllung der Informationspflicht an die Nutzer (also den Unternehmen) zuweisen[1]. Damit besteht für Unternehmen zusätzlich eine vertragliche Verpflichtung, die betroffenen Personen über die Datenbearbeitung zu informieren.

Sodann stellt sich in der Praxis auch die Frage der Verantwortlichkeit bei der Zusammenarbeit mit Dritten (wie z.B. Influencern). Auch hier sind die tatsächlichen Verhältnisse entscheidend (d.h. es kann nicht vertraglich etwas erreicht werden, was nicht der Wirklichkeit entspricht). Die massgebliche Frage ist wiederum: wer entscheidet über den Zweck und die Mittel der Datenbearbeitung. Je nach Konstellation kann es sich um unabhängige Verantwortliche, gemeinsam Verantwortliche oder gar eine Auftragsdatenbearbeitung handeln. Bei der Auftragsdatenbearbeitung ist zwingend der gesetzlich vorgeschriebene Mindestinhalt in die Vereinbarung aufzunehmen. Erschwerend für die Beurteilung kommt hinzu, dass ein Zugang zu den Daten für eine datenschutzrechtliche Verantwortlichkeit nicht unbedingt erforderlich ist. Man kann Verantwortlicher (im Sinne des Gesetzes) sein, ohne dass man Zugriff auf die Personendaten hat.

[1] Siehe z.B. https://de-de.facebook.com/legal/controller_addendum.