Social Media-Marketing hat sich in den letzten Jahren rasant entwickelt. Es ist für Unternehmen in B2C-Geschäftsfeldern die Marketing-Methode, mit der schnell viele neue Kunden erreicht und neue Geschäftsfelder erschlossen werden können. Aus datenschutzrechtlicher Sicht ergeben sich bei Marketing-Kampagnen über Social-Media immer wieder Fragestellungen, die (noch) nicht einheitlich beantwortet werden können. Neben der grundsätzlichen Frage, welche Angaben Unternehmen auf von ihnen betriebenen Social-Media Kanälen machen müssen bzw. dürfen, bestehen immer wieder Herausforderungen bei der Einbindung von Influencer:innen durch Unternehmen, wenn der/die Influencer:in mit Nutzern in Kontakt treten soll, z.B. weil er/sie ein Gewinnspiel im Auftrag des Unternehmens veranstaltet.

Als Instagram im Oktober 2010 gelauncht und für die breite Öffentlichkeit verfügbar gemacht wurde, konnte wohl noch niemand so recht ahnen, welche gesellschaftliche, rechtliche und wirtschaftliche Bedeutung insbesondere diese App mit dem Sofortbild-Kamera-Symbol einmal haben würde. Anders als bei Facebook sollten Instagram-Nutzer vor allem Fotos teilen und so eine – mehr oder weniger – ausgewählte Community an ihrem Leben teilhaben lassen. Die Nutzer konnten – anders als bei Facebook – nicht nur den eigenen Freunden folgen, sondern auch ganz private Einblicke in das „Privatleben“ der ein oder anderen Berühmtheit erhalten. Unternehmen und Agenturen erkannten schnell, dass sich über Instagram hervorragend Werbung machen ließ. Doch wo geworben wird, da müssen Gesetze eingehalten und Nutzergruppen geschützt werden. Umso mehr, wenn dies über US-amerikanische Social-Media-Kanäle geschieht und umfangreich personenbezogene Daten verarbeitet werden.

Was müssen Unternehmen grundsätzlich beachten?

Bei der Nutzung von Social-Media-Plattformen müssen Unternehmen bestimmte Vorgaben einhalten. Die wichtigsten sind dabei:

• Impressumspflicht: Betreibt ein Unternehmen einen Social-Media-Kanal, muss das Impressum des Unternehmens angegeben werden.
• Datenschutzerklärung: Unternehmen sollten außerdem eine Datenschutzerklärung hinterlegen oder auf diese verlinken. Denn insbesondere auch wegen des Einsatzes von Analyse-Tools oder bei der Kontaktaufnahme bzw. Beantwortung von Anfragen der Nutzenden, verarbeitet das Unternehmen personenbezogene Daten. Insofern gelten auch für den Betrieb eines Social-Media-Kanals die Anforderungen von Art. 13 DSGVO. 
• Keine wettbewerbswidrigen Aussagen: Informationen und werbliche Aussagen, die das Unternehmen über den Social-Media-Kanal teilt, müssen wahr und transparent sein. Hier gelten die gleichen Grundsätze wie bei Werbung im Fernsehen oder über Webseiten.
• Kennzeichnungspflicht: Werbung über Social-Media muss als solche gekennzeichnet werden. Wie, wann und wo kann auch davon abhängen, wie der Content ausgespielt wird. Allgemein gilt jedoch der Grundsatz, dass für den Verbraucher gut erkennbar sein muss, dass es sich bei dem Content um Werbung handelt. Die Kennzeichnungsmatrix der Landesmedienanstalten zeigt die unterschiedlichen Kennzeichnungsmöglichkeiten auf.
• Bilder, Videos und Texte: Bei der Nutzung von Fotos, Videos und Texten sollten Unternehmen darauf achten, die für die werbliche Verwendung über Social Media notwendige Erlaubnis der Urheber zu haben. Im besten Fall sollten selbst erstellte Aufnahmen verwendet werden. Werden Personen abgebildet, können bei der unerlaubten Verwendung dieser Aufnahmen auch die Persönlichkeitsrechte dieser Personen verletzt werden.

Beauftragung von Influencer:innen

Dreh- und Angelpunkt für die Frage, wie die Beauftragung von Influencer:innen aus datenschutzrechtlicher Sicht zu behandeln ist, ist die Frage nach den datenschutzrechtlichen Verantwortlichkeiten im Verhältnis Influencer:in – Unternehmen. Verantwortlicher iSv. Artikel 4 Nr. 7 DSGVO ist

„die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.“

Beispiel: Gewinnspiel durch Influencer:in als Marketing-Maßnahme

Am Beispiel eines Gewinnspiels, dass ein/e Influencer:in im Auftrag eines Unternehmens veranstaltet, stellt sich folglich die Frage, ob der/die Influencer selbst Verantwortlicher ist, ob Unternehmer und Influnecer:in gemeinsame Verantwortliche im Sinne des Artikel 26 DSGVO sind oder ob der/die In-fluencer:in Auftragsverarbeiter:in des Unternehmers im Sinne des Artikel 28 DSGVO ist. Die Antwort auf diese Frage ist nicht so einfach wie sie klingt: Es kommt darauf an.

Je nach Einzelfall – und insbesondere nach vertraglicher Vereinbarung zwischen Unternehmer und Influencer:in – kommen alle drei Möglichkeiten in Betracht:

Option 1: Verantwortlichkeit der/des Influencers

Beauftragt der Unternehmer den/die Influencer:in ein Gewinnspiel auf dem eigenen Kanal zu verarbeiten, gibt aber keine weiteren Vorgaben vor und möchte die im Rahmen des Gewinnspiels erhobenen personenbezogenen Daten (z.B. zur Ermittlung des Gewinners und zu Versendung des Gewinns) nicht erhalten, liegt also die Durchführung und Abwicklung des Gewinnspiels allein in der Verantwortung des/der Influencer:in, so wird der/die Influencer:in als alleiniger Verantwortlicher zu klassifizieren sein. Dieser Fall wird in der Praxis selten vorkommen, da Unternehmen in der Regel bestimmte Vorgaben zur Art und Weise des auszuspielenden Contents machen.

Option 2: Influencer:in ist Auftragsverarbeiter

Beauftragt das Unternehmen den/die Influencer:in nach einzuhaltenden Vorgaben zur Durchführung des Gewinnspiels und möchte das Unternehmen die erhobenen personenbezogenen Daten erhalten (z.B. die relevanten Insights, um die Gewinnermittlung selbst vorzunehmen und den Gewinn selbst zu versenden), wird wohl ein Auftragsverarbeitungsverhältnis im Sinne des Artikel 28 DSGVO anzunehmen sein. Ein Auftragsverarbeitungsvertrag muss abgeschlossen werden.

Option 3: Gemeinsame Verantwortlichkeit von Influencer:in und Unternehmen

Auch eine gemeinsame Verantwortlichkeit im Sinne des Artikel 26 ist für die Fälle denkbar, in denen Unternehmen und Influencer:in das Gewinnspiel gemeinsam durchführen und die Zwecke und Mittel der Datenverarbeitung gemeinsam bestimmen. Ausschlaggebend wird bei dieser Konstellation sein, wie viel Mitspracherecht der/die Influencer:in bei der Ausgestaltung der konkreten Datenverarbeitung hat.

Gerade weil es auf den Einzelfall ankommt, ist es für Werbetreibende empfehlenswert nicht auf eine Pauschallösung zu bestehen, sondern je nach konkreter „Werbesituation“ zu entscheiden, welche Konstellation einschlägig ist.

Von dieser Entscheidung hängt  nicht nur die Frage ab, ob und welche datenschutzrechtliche Vereinbarung zwischen Unternehmen und Influencer:in geschlossen werden muss, sondern auch die unterschiedliche Ausgestaltung und Übernahme von datenschutzrechtlichen Rechten und Pflichten, z.B. die Informationspflicht aus Artikel 13, 14 DSGVO oder die Gewährleistung von Betroffenenrechten.

Kontaktieren Sie uns gerne, wenn Sie sich unsicher sind oder Sie Fragen zur rechtskonformen Nutzung von Social-Media durch Ihr Unternehmen haben. Wir unterstützen Sie gerne.