Social Media Kommune Datenschutz: Facebook, Instagram und Co. richtig nutzen

Einordnung

Social Media Kommune Datenschutz: Worum geht es?

Kommunen nutzen Social Media für Öffentlichkeitsarbeit, Veranstaltungshinweise, Baustelleninformationen, Stellenausschreibungen, Krisenkommunikation, Bürgerdialog, Tourismus, Jugendangebote oder Imagepflege.

Der Wunsch ist verständlich: Beiträge lassen sich schnell veröffentlichen, erreichen viele Menschen und wirken näher als eine klassische Bekanntmachung.

Datenschutzrechtlich ist Social Media aber besonders schwierig. Die Kommune nutzt eine fremde Plattform, deren technische Datenverarbeitung sie nur begrenzt kontrollieren kann.

Schon der Besuch einer Fanpage kann zu Datenverarbeitungen durch den Plattformanbieter führen. Hinzu kommen Statistikfunktionen, Tracking, Cookies, Profilbildung, Kommentare, Direktnachrichten und mögliche Drittlandübermittlungen.

Grundsatz

Die eigene Website muss der Hauptkanal bleiben

Social Media sollte für öffentliche Stellen nur ein ergänzender Kommunikationsweg sein. Amtliche Informationen, wichtige Hinweise, Formulare, Datenschutzhinweise, Beteiligungen und Bekanntmachungen sollten auf der eigenen Website verfügbar bleiben.

Der Grund ist einfach: Bürgerinnen und Bürger dürfen nicht faktisch gezwungen werden, ein soziales Netzwerk zu nutzen, nur um kommunale Informationen zu erhalten.

Die eigene Website ist besser kontrollierbar. Dort kann die Kommune Hosting, Cookies, Einbindungen, Datenschutzerklärung, Barrierefreiheit und Inhalte deutlich besser steuern.

Ein Social-Media-Beitrag sollte deshalb möglichst auf die eigene Website verweisen und dort die vollständige Information bereitstellen.

Rechtlicher Rahmen

Welche Rechtsgrundlagen sind relevant?

Für bayerische Kommunen kommen insbesondere Art. 6 DSGVO, Art. 4 BayDSG, Art. 5 BayDSG, Art. 26 DSGVO und Art. 13 DSGVO in Betracht.

Öffentliche Stellen stützen ihre Datenverarbeitung bei der Aufgabenerfüllung regelmäßig nicht auf „berechtigte Interessen“ wie private Unternehmen. Häufig geht es um Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit Art. 4 BayDSG oder spezialgesetzliche Grundlagen.

Bei Veröffentlichungen oder Übermittlungen kann Art. 5 BayDSG relevant sein. Bei einer gemeinsamen Verantwortlichkeit mit dem Plattformbetreiber ist Art. 26 DSGVO zu prüfen.

Zusätzlich müssen Datenschutzhinweise nach Art. 13 DSGVO bereitgestellt werden. Die Kommune muss also erklären können, welche Daten sie selbst verarbeitet und welche Rolle die Plattform spielt.

Facebook, Instagram und Co.

Fanpages und gemeinsame Verantwortung

Bei Fanpages oder offiziellen Profilen stellt sich die Frage, ob die Kommune gemeinsam mit dem Plattformanbieter für bestimmte Datenverarbeitungen verantwortlich ist.

Der Europäische Gerichtshof hat für Facebook-Fanpages entschieden, dass der Betreiber einer Fanpage neben Facebook datenschutzrechtlich verantwortlich sein kann, insbesondere im Zusammenhang mit Besucherstatistiken.

Für die Praxis bedeutet das: Die Kommune kann nicht einfach sagen, sie habe mit der Plattformverarbeitung nichts zu tun. Sie nutzt die Plattform bewusst für ihr Informationsangebot und profitiert von Reichweite und Statistikfunktionen.

Eine gemeinsame Verantwortlichkeit verlangt eine Vereinbarung nach Art. 26 DSGVO, klare Zuständigkeiten und transparente Informationen für betroffene Personen.

Gerade hier liegt das Problem: Wenn die Plattform nicht ausreichend offenlegt, was mit Nutzerdaten passiert, kann die Kommune ihre Rechenschafts- und Informationspflichten nur schwer erfüllen.

Bürgerdialog

Kommentare, Likes und Direktnachrichten

Ein reiner Informationskanal ist datenschutzrechtlich weniger riskant als ein interaktiver Kanal mit Kommentaren, Nachrichten und Diskussionen.

Kommentare können personenbezogene Daten enthalten. Bürgerinnen und Bürger schreiben dort Beschwerden, politische Meinungen, Gesundheitsangaben, Nachbarschaftskonflikte, Namen Dritter oder vertrauliche Sachverhalte.

Direktnachrichten sind ebenfalls problematisch. Viele Menschen behandeln sie wie eine sichere Behördenmail, obwohl sie über die Plattform laufen.

Kommunen sollten deshalb klar kommunizieren: Social Media ist kein sicherer Kanal für Verwaltungsverfahren, Beschwerden mit sensiblen Daten, Anträge oder personenbezogene Einzelfälle.

Sinnvoll sind feste Verweise auf sichere Kontaktwege, etwa Website, Telefon, verschlüsselte Kontaktformulare, De-Mail, Bürgerportal oder persönliche Vorsprache.

Schutzbedarf

Sensible Daten gehören nicht in Social Media

Kommunen sollten Bürgerinnen und Bürger niemals dazu auffordern, sensible Daten öffentlich oder per Plattformnachricht zu übermitteln.

Besonders kritisch sind Gesundheitsdaten, Sozialdaten, Meldedaten, Ausweisdaten, Beschwerden über Dritte, politische Meinungen, religiöse Bezüge, Daten von Kindern, Personalangelegenheiten oder Informationen zu Ordnungswidrigkeiten.

Auch scheinbar harmlose Beiträge können sensibel werden, wenn Namen, Fotos, Orte oder persönliche Umstände zusammenkommen.

Deshalb braucht jeder Social-Media-Kanal klare Moderationsregeln und interne Vorgaben, wie mit personenbezogenen Kommentaren oder Direktnachrichten umzugehen ist.

Bildmaterial

Fotos und Videos auf Social Media

Fotos und Videos auf Social Media haben eine besonders große Reichweite. Sie können geteilt, heruntergeladen, kommentiert, verändert oder in andere Zusammenhänge gestellt werden.

Für Fotos von Bürgerinnen und Bürgern, Beschäftigten, Kindern, Vereinen oder Veranstaltungsteilnehmern gelten daher besonders hohe Anforderungen.

Eine Einwilligung für die Website oder das Amtsblatt umfasst nicht automatisch Social Media. Plattformveröffentlichungen sollten gesondert abgefragt und dokumentiert werden.

Besonders kritisch sind Nahaufnahmen, Kinderfotos, Mitarbeiterfotos, Bilder aus sensiblen Situationen, Rettungseinsätze, Sozialbereiche, Schulen, Kitas und Veranstaltungen mit schutzbedürftigen Personen.

Minderjährige

Kinder und Jugendliche

Social-Media-Angebote, die sich gezielt an Kinder und Jugendliche richten, sind besonders kritisch.

Der BayLfD hebt die höhere Schutzbedürftigkeit Minderjähriger ausdrücklich hervor. Alter, Einwilligungsfähigkeit und Zustimmung der Sorgeberechtigten sind auf Plattformen kaum zuverlässig überprüfbar.

Für kommunale Jugendangebote, Ferienprogramme, Jugendfeuerwehr, Schulen, Kitas oder Jugendparlamente sollte deshalb besonders zurückhaltend gearbeitet werden.

Fotos, Kommentare, Markierungen oder direkte Ansprache von Kindern und Jugendlichen auf kommerziellen Plattformen sollten nur nach sehr sorgfältiger Prüfung erfolgen.

Transparenz

Datenschutzhinweise und Impressum

Ein offizieller Social-Media-Auftritt braucht klare Anbieterkennzeichnung und Datenschutzhinweise.

Das Impressum sollte leicht erkennbar und unmittelbar erreichbar sein. Bei digitalen Diensten ist insbesondere § 5 DDG zu beachten.

Datenschutzhinweise sollten erklären, wer für den kommunalen Account verantwortlich ist, welche Daten die Kommune selbst verarbeitet, welche Kontaktwege bestehen, wer Datenschutzbeauftragter ist und wo die ausführlichen Informationen abrufbar sind.

Wichtig ist außerdem ein Hinweis, dass die Plattform selbst personenbezogene Daten verarbeitet und dass Bürgerinnen und Bürger für vertrauliche Anliegen sichere kommunale Kontaktwege nutzen sollen.

Website-Einbindung

Social Plugins auf kommunalen Websites

Social Media betrifft nicht nur den Account selbst. Auch die Einbindung auf der kommunalen Website kann Datenschutzprobleme auslösen.

Besonders kritisch sind Social Plugins, Like-Buttons, eingebettete Feeds, Tracking-Pixel oder automatisch geladene Inhalte von Plattformen.

Wenn solche Elemente bereits beim Seitenaufruf Daten an Plattformanbieter übertragen, braucht die Kommune eine tragfähige Rechtsgrundlage und regelmäßig eine technische Lösung, die vor Einwilligung blockiert.

Datenschutzfreundlicher sind einfache Links auf Social-Media-Profile oder Zwei-Klick-Lösungen, bei denen externe Inhalte erst nach aktiver Entscheidung geladen werden.

Drittland

Drittlandübermittlung und große Plattformanbieter

Viele Social-Media-Plattformen haben internationale Konzernstrukturen. Dadurch können Datenübermittlungen in Drittstaaten oder Zugriffe aus Drittstaaten eine Rolle spielen.

Auch wenn für bestimmte Anbieter ein Angemessenheitsbeschluss oder ein Übermittlungsinstrument in Betracht kommt, löst das nicht alle Datenschutzprobleme.

Die Kommune muss weiterhin Rechtmäßigkeit, Transparenz, Informationspflichten, gemeinsame Verantwortlichkeit, Rechenschaftspflicht und Betroffenenrechte prüfen.

Gerade bei großen Plattformen ist problematisch, dass öffentliche Stellen die technischen Verarbeitungen oft nicht vollständig nachvollziehen oder beeinflussen können.

Praxis

Interne Organisation und Social-Media-Konzept

Ein offizieller kommunaler Social-Media-Auftritt sollte nicht nebenbei betrieben werden. Er braucht klare Zuständigkeiten und Regeln.

Wichtig sind ein Social-Media-Konzept, Freigabeprozesse, Rollenrechte, Vertretungsregeln, Passwortschutz, Zwei-Faktor-Authentifizierung, Redaktionsplan, Moderationsregeln und Löschkonzept.

Außerdem sollte geregelt sein, wie Beschäftigte mit Direktnachrichten, Kommentaren, Auskunftsanfragen, Beschwerden, Beleidigungen, personenbezogenen Daten und Presseanfragen umgehen.

Bei Zugriffen mehrerer Personen sollte nachvollziehbar sein, wer Beiträge veröffentlicht, Nachrichten beantwortet oder Kommentare löscht.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD behandelt Social Media und Fanpages bayerischer öffentlicher Stellen seit vielen Jahren. Die Grundlinie ist deutlich zurückhaltend.

In seiner Orientierungshilfe zu Fanpages bayerischer öffentlicher Stellen empfiehlt der BayLfD grundsätzlich, keine Fanpage in einem rechtlich unsicheren sozialen Netzwerk einzurichten oder zu nutzen.

Wenn eine öffentliche Stelle entgegen dieser Empfehlung eine Fanpage nutzt, hält der BayLfD eine besonders zurückhaltende Ausgestaltung für erforderlich. Bevorzugt wird eine bloße Verlinkung auf die eigene Behördenwebsite oder zumindest eine reine Informationsseite ohne Kommunikationsmöglichkeit.

Kommentarfunktionen, Pinnwände und Direktkommunikation erhöhen nach der BayLfD-Linie das Risiko, weil Bürgerinnen und Bürger personenbezogene oder sensible Daten offenbaren können.

Nach dem EuGH-Urteil zu Facebook-Fanpages weist der BayLfD darauf hin, dass Betreiber von Fanpages datenschutzrechtliche Verantwortung tragen können. Die Datenschutzkonferenz fordert unter anderem eine Vereinbarung nach Art. 26 DSGVO als Voraussetzung für einen rechtskonformen Fanpage-Betrieb.

Der BayLfD stellt außerdem klar, dass ein Drittland-Übermittlungsinstrument allein die Fanpage-Probleme nicht löst. Transparenz, Rechtmäßigkeit, Informationspflichten und Rechenschaftspflicht bleiben eigenständig zu erfüllen.

Praxisfehler

Typische Fehler bei Social Media in Kommunen

Orientierung

Orientierungsfragen für Kommunen und öffentliche Stellen

Diese Fragen dienen der ersten Einordnung. Sie ersetzen keine vollständige Prüfung eines konkreten Social-Media-Auftritts.

Häufige Fragen

FAQ zu Social Media Kommune Datenschutz

Ergebnis

Fazit

Social Media kann für Kommunen nützlich sein, ist aber datenschutzrechtlich kein Selbstläufer.

Öffentliche Stellen sollten Social Media nur ergänzend nutzen, die eigene Website als Hauptinformationskanal erhalten und vorab dokumentieren, warum der Kanal erforderlich ist.

Besonders wichtig sind klare Datenschutzhinweise, sichere Kontaktwege, zurückhaltende Interaktion, keine sensiblen Daten in Kommentaren oder Direktnachrichten, sorgfältige Foto-Freigaben und eine dokumentierte Prüfung der Plattformrisiken.

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen