Instagram & Datenschutz

Worum geht's?

Nur wenige andere Social Media Plattformen sind mittlerweile so beliebt unter den sozialen Medien wie Instagram: Instagram bietet schließlich reihenweise Einstellungen und Funktionen rund um Fotos und Videos - Stories, Hashtags und Co. sind nur einige der Tools, die Nutzer und Follower so lieben. Aber wie steht es um den Datenschutz bei Instagram? Und wie sieht es speziell für Sie als Unternehmer, Onlineshop-Betreiber, Webdesigner oder Influencer aus, wenn Sie Ihren Account als Marketingkanal nutzen - zum Beispiel dafür, über die sozialen Medien Kunden anzusprechen und Ihre Produkte darzustellen? Wir geben einen Überblick.

1. Instagram Datenschutz: Auf welche Daten greift Instagram zu?

Es ist wie bei den meisten anderen Social Media Plattformen auch: Instagram sammelt reihenweise Daten. Natürlich, weil Nutzer sich bewusst dazu entscheiden, sie zu veröffentlichen. Schließlich ist es für private Nutzer Sinn und Zweck der Plattform, Bilder und Videos von sich selbst auf ihrem Profil zu teilen - gerne auch als stolze Eltern mit Babies oder Kindern.

Für Kinder erhalten Influencer schließlich mehr Likes als für erwachsene Menschen - dafür geben manche regelrecht ihre Privatsphäre auf. Dabei ist vielen Nutzern vermutlich gar nicht bewusst, welche Daten sie an Instagram übermitteln, wenn sie die Plattform mit all ihren Funktionen und Plugins nutzen.

Ein Überblick: Zu den gesammelten Daten gehören damit unter anderen (Liste nicht abschließend):

• Die Informationen bei der Registrierung: z. B. E-Mail-Adresse oder Telefonnummer
• Inhalte, die Sie teilen: Beiträge, Kommentare, Audio, Hashtags
• Infos, die über die Instagram-Kamera oder die selbst verwendete Kamera bereitgestellt werden, z.B. zu Effekten, oder Teile des Körpers beim Erstellen von Avataren
• Aktivitäten: Inhalte, die Sie anklicken oder mit „Gefällt mir“ markieren, auch Werbeanzeigen, Beiträge und Fotos sowie Nachrichten; Instagram gibt zwar an, Nachrichten nicht zu lesen, wenn sie end-to-end-verschlüsselt sind, ABER doch zu lesen, wenn Ihr Inhalt von einem anderen Nutzer gemeldet wird. Und wer weiß schon, wie oft das passiert?
• Freunde oder Follower - auch mit welchen Sie am meisten interagieren, und deren Aktivitäten
• Käufe und Verkäufe einschließlich Kreditkarteninformationen
• Zeitpunkt, Häufigkeit und Dauer der Nutzung von Instagram
• Infos über das Telefon, den Computer oder das Tablet, auf dem Sie Instagram nutzen, z. B. die Art des Geräts und die Version der verwendeten App
• Infos von Partnern über Handlungen innerhalb und außerhalb von Instagram, z. B. über andere besuchte Websites, verwendete Apps oder gespielte Online-Spiele
• Einige standortbezogene Infos - und zwar auch dann, wenn Sie die Ortungsdienste ausgeschaltet haben, z. B. IP Adresse, die Instagram verwendet, um Ihren allgemeinen Standort zu schätzen
• Kontaktinformationen aus Ihrem Adressbuch, Anrufprotokolle oder SMS-Protokollhistorie, wenn diese von Ihrem Gerät hochgeladen, synchronisiert oder importiert werden
• Inhalte wie Videos und Fotos, auf denen Sie zu sehen sind, wenn andere Nutzer diese teilen und hochgeladen haben, sowie deren Kommentare unter dem eigenen Foto

2. Was gilt speziell für Unternehmer?

Gerade Sie als Unternehmer nutzen Instagram als Plattform, mit der Sie nicht nur Ihren Firmenalltag präsentieren, sondern vor allem Ihre Produkte darstellen und Kunden ansprechen können. Und dazu können Sie Tools nutzen, die Statistiken erstellen - und dabei eben Daten der Nutzer verarbeiten.

Beispielsweise können Sie Instagram so nutzen:

1. Sie laden ein Bild Ihrer Produkte auf Facebook hoch. Sie verlinken Standort, andere Accounts und Ihre externe Internetseite auf dem Bild. Andere Nutzer sehen das Bild an, markieren es mit “Gefällt mir”, kommentieren und teilen es. Sie abonnieren Ihre Seite, um mit Infos bezüglich Ihrer Produkte auf dem Laufenden gehalten zu werden.
2. Darüber hinaus nutzen Sie “Instagram-Insights”, was über Facebook bereitgestellt wird: Über diese Funktion erhalten Sie eine Übersicht und Analyse über die Nutzung des Accounts und die Interaktionen der Nutzer mit dem Account. Die Daten dafür kommen von Facebook.
3. Sie erstellen Werbeanzeigen über Instagram: Möglich ist das neben eigenen Instagram-Beiträgen auch über Ihren verknüpften Facebook-Account. Hier können Sie gezielt Werbung für Ihre Produkte an bestimmte Zielgruppen und deren Profile ausspielen, die anhand selbst definierter Kriterien festgelegt werden: Standort, Alter, Geschlecht, Sprache, Interessen, Verhaltensweisen. Hierzu erhalten Sie auch Vorschläge.

Mit Blick auf die Rechtsgrundlage Datenschutz Grundverordnung (DSGVO) wird schnell klar: Hier werden etliche personenbezogene Daten gesammelt. Das sind Informationen, die direkt oder indirekt eine natürliche Person identifizieren. Man muss also eine Verbindung zwischen der Information und der natürlichen Person herstellen können, um die es geht. Ob das tatsächlich jemand macht, ist unerheblich. Ebenso, ob es für die Zuordnung noch weiterer Informationen bedarf.

Das heißt: Nicht nur klassische Anmeldedaten wie Name, Telefonnummer oder E-Mail-Adresse verarbeitet Instagram. Auch Kreditkarteninformationen, IP-Adressen, auf den Bildern sichtbare Merkmale (Geschlecht, Statur, Haut- und Haarfarbe) oder selbst preisgegebene Infos zu Religion oder sexueller Orientierung werden gespeichert und verarbeitet. Und auch Interaktionen mit anderen Nutzern sind personenbezogen. Sprich: Instagram ist unter den sozialen Medien eine der größten Sammelmaschinen von personenbezogenen Daten, die dem Schutz der DSGVO unterliegen.

3. Ist Instagram datenschutzkonform?

Da stellt sich natürlich die Frage: Geht Instagram auch ordentlich mit personenbezogenen Daten um? Im Vordergrund stehen dabei zwei Fragen:

1. Ist die Datenübertragung an Instagram mit Blick auf den Sitz zulässig?
2. Liegt eine ordnungsgemäße Datenschutzerklärung vor?

Widmen wir uns zunächst der brisanten Frage: Wie sieht es mit der Datenübertragung ins Ausland aus? Schließlich werden die Daten der Benutzer nicht nur an Instagram übermittelt. Das Unternehmen gibt die Daten auch an Werbepartner, Suchmaschinen und Drittanbieter von Dienstleistungen weiter - und somit an Diensteanbieter der Tools.

Hier gilt: Sitzen die Anbieter in der EU, gibt es kein Problem. Bei Drittländern ist das aber anders. Hierhin ist die Übertragung nur zulässig, wenn das Schutzniveau für die Datenübermittlung mit dem der EU der Sache nach gleichwertig ist. Bietet das Drittland ein angemessenes Datenschutzniveau, verabschiedet die EU-Kommission einen Angemessenheitsbeschluss.

Im Juli letzten Jahres gab es jedoch ein großes Aufatmen: Nach dem Scheitern des EU-US-Privacy Shield und langjährigem Bangen haben sich die EU und die USA endlich auf einen neuen transatlantischen Datenschutzrahmen (Data Privacy Framework) geeinigt. Damit gibt es nun endlich den lang ersehnten Angemessenheitsbeschluss.

Eine wichtige Einschränkung gibt es allerdings: Die Unternehmen, an die die Daten übertragen werden, müssen an einem Selbstzertifizierungsverfahren des US-Handelsministeriums (DoC - Department of Commerce) teilnehmen. Nur wer im Anschluss in die DPF-Liste (kurz für “Data Privacy Framework”) aufgenommen wird, weist sein angemessenes Schutzniveau nach.

Für Instagram ist das geschehen: Meta Platforms Inc. ist DPF-zertifiziert. Damit steht fest: Nach aktuellem Stand ist die Datenübertragung zu Instagram datenschutzrechtlich zulässig. Zwar hagelt es immer noch Kritik und verschiedene Datenschützer haben Maßnahmen angekündigt, dagegen vorzugehen - aktuell können Sie aber dieses Problem getrost abhaken.

Übrigens: Übertragen Sie Daten an Dienstleister mit Sitz in den USA, die nicht in der DPF-Liste aufgenommen wurden, sollten Sie mit den Unternehmen weiterhin Standardvertragsklauseln (SCC) abschließen und im Rahmen eines Transfer Impact Assessments (TIA) eine eigene Bewertung des Schutzniveaus für Datenübermittlung vornehmen.

4. Worauf müssen Sie als Unternehmen oder Content Creator achten, wenn Sie Instagram kommerziell nutzen?

Nutzen Sie Instagram, müssen Sie sich bewusst sein, dass Sie mit dem Plattformbetreiber gemeinsam für die Datenverarbeitung auf der Fanpage verantwortlich sind. Zwar können Sie Ihren Pflichten zur Information darüber, wie Instagram mit den Daten der User umgeht, nur begrenzt nachkommen. Doch wenn Sie Instagram trotzdem als Marketingkanal nutzen wollen, können Sie einiges tun, um möglichst rechtliche Sicherheit zu haben.

Um Instagram datenschutzkonform auf Ihrer eigenen Homepage zu integrieren, ergibt sich ein weiteres To-Do: Denn in diesem Moment erheben Sie auf Ihrer eigenen Homepage personenbezogene Daten. Auch hierfür brauchen Sie eine Einwilligung, am besten über ein Cookie-Consent-Tool.

4.1 Datenschutzerklärung und Impressum

Ganz wichtig: Haben Sie eine Instagram Fanpage, müssen Sie eine eigene Datenschutzerklärung und ein Impressum für Instagram bereitstellen.

Denn Sie verarbeiten zum einen unternehmerisch Daten der Instagram-User - auch dann, wenn Sie nicht die eigene Website, sondern den Instagram-Account dafür nutzen. In der Datenschutzerklärung müssen Sie die User umfassend darüber informieren, wie Sie bzw. Instagram mit ihren personenbezogenen Daten umgehen.

Problem an der Sache: In manchen Punkten ist Instagram selbst nicht ganz transparent in Bezug auf die Verarbeitung von personenbezogenen Daten. Wie aber sollen Sie es dann sein? Alles, was Sie tun können, ist darüber aufzuklären, was mit den Daten auf Instagram geschieht, soweit es Ihnen bekannt ist. Und wenn Sie etwas nicht wissen, dann klären Sie auch darüber auf!

Die Datenschutzerklärung für Instagram können Sie jedoch keinesfalls von Ihrer Website übernehmen, da sich die Datenverarbeitungsvorgänge unterscheiden. Der im Premium Bereich enthaltene Social Media Datenschutz-Generator erstellt eine rechtssichere Datenschutzerklärung im Handumdrehen.

Zum anderen nutzen Sie als Unternehmer Ihre Instagram-Fanpage als “geschäftsmäßigen Onlinedienst”. Somit sind Sie zur Anbieterkennzeichnung verpflichtet. Fehlen Impressum oder Datenschutzerklärung, drohen Ihnen somit teure Abmahnungen.

Ihr Impressum können Sie ganz einfach über unseren kostenlosen Impressum-Generator erstellen.

Wichtig wie bei jeder anderen Datenschutzerklärung und Impressum auch: Nutzer müssen die Erklärung mit maximal zwei Klicks von überall aus einsehen können. Und hier lauert schon der nächste Stolperstein: Denn bei Instagram hatten Nutzer lange Zeit nur die Möglichkeit, einen einzigen Link in ihrer Profil-Beschreibung zu posten (“Link in Bio”).

Dieses Problem gehört allerdings mittlerweile der Vergangenheit an. Seit 2023 können Sie mit einem Business- und Creator-Account bis zu 5 Links in Ihrer Bio setzen. Im Profil zu sehen ist zwar nur der oberste Bio-Link, diese lassen sich aber jederzeit neu anordnen.

4.2 Linkbaum

Unternehmer, die in der Vergangenheit vor dem Problem standen, nur einen Link setzen zu können, haben sich alternativ der sogenannten Linkbaum-Lösung bedient: Hierzu können sie eine personalisierte Linkseite erstellen. Sie können hier beliebig viele Verlinkungen setzen. Die Seite wird dann in den Profil-Beschreibungen von Instagram verlinkt.

Auch wenn Sie als Unternehmer neben Impressum und Datenschutzerklärung mehr als drei weitere Seiten verlinken möchten, ist die Linkbaum-Lösung für Sie interessant. Sie müssen dabei allerdings darauf achten, dass nicht alle Lösungen aller Anbieter datenschutzkonform sind. Detaillierte Infos, auch zu DSGVO-konformen Lösungen, finden Sie in unserem Beitrag “Datenschutzkonforme Linkbaum-Lösungen für Ihre Instagram-Bio”.

4.3 Weitere Pflichten

Neben dem Datenschutz und der Anbieterkennzeichnung sollten Sie auch nicht Ihre sonstigen rechtlichen Pflichten vergessen. Eine besondere Rolle spielt bei Instagram das Urheberrecht: Posten Sie Inhalte wie Fotos und Video, Memes, GIFs, Musik und Reels, muss es sich dabei um selbst erstellte Inhalte, also Ihre eigenen Werke handeln.

Hat diese jemand anders erstellt, darf nur er als Urheber entscheiden, was damit passiert. Sie brauchen also seine ausdrückliche Erlaubnis oder ein entsprechendes Nutzungsrecht. Zudem hat der Urheber ein sogenanntes Urheberpersönlichkeitsrecht: Sie müssen direkt am Bild oder Video seinen Namen nennen.

Genauso wichtig: das Recht am eigenen Bild. Sind andere Personen auf Ihren Fotos und Videos ersichtlich und erkennbar, brauchen Sie deren Einwilligung. Besonders heikel ist das natürlich bei Fotos von Kindern. Holen Sie also unbedingt die Einwilligung aller identifizierbaren Personen bzw. der Eltern der abgebildeten Kinder ein, am besten schriftlich.

5. Instagram für Vereine: Was gibt es beim Social Media Datenschutz zu beachten?

Auch für Vereine ist Instagram ein beliebter Kanal, um potenzielle Vereinsmitglieder anzusprechen und den eigenen Verein zu bewerben. Gerade für Jüngere ist Instagram ein gängiges Netzwerk - und viele Vereine sind eher auf der Suche nach jungen Mitgliedern. Über Instagram können Vereine sowohl Einblicke in ihre eigenen Vereinsaktivitäten gewähren als auch aktiv für die Vereinsarbeit Werbung betreiben.

Gerade wenn es darum geht, das Vereinsleben zu dokumentieren, wird dem Team - und damit jedem einzelnen Vereinsmitglied - ein Gesicht gegeben. Gerne werden hierzu Instagram Stories, Reels und Lives genutzt. Vor diesem Hintergrund ist das Thema Datenschutz bei Instagram für Vereine besonders relevant. Umso mehr müssen Sie als Verein dafür sorgen, Ihre datenschutzrechtlichen Pflichten umzusetzen.

6. Instagram Datenschutz: Fazit

Instagram Datenschutz ist ein vielschichtiges Thema. Nutzen Sie als Unternehmer oder Verein diese Social Media Plattform als Marketingkanal, müssen Sie zwingend auf die datenschutzrechtliche Sicherheit Ihrer Nutzerinnen achten. Und das umso mehr, weil Instagram hunderte von personenbezogenen Daten sammelt und verarbeitet wie fast kein zweiter Social Media Anbieter.

Glücklicherweise ist mittlerweile bei einigen Themen Ruhe eingekehrt: So ist die Datenübertragung an den Anbieter mit Sitz in den USA aktuell im Ergebnis datenschutzkonform. Trotzdem müssen Sie zahlreiche weitere Pflichten rund um Datenschutzerklärung und Co. beachten, wenn Sie als Unternehmer oder Verein die Social Media Plattform Instagram datenschutzkonform einsetzen möchten.

Alles rund ums Thema DSGVO, etwa auch zu Inhalten wie Datenschutzbeauftragte und Möglichkeiten bei Aufsichtsbehörden, finden Sie in unserem Beitrag “DSGVO: Was sollten Webseitenbetreiber und Unternehmer über die Datenschutz-Grundverordnung wissen?”.

Sie sind Webseitenbetreiber, Shopbetreiber oder haben eine Agentur? Am liebsten möchten Sie dauerhaft auf der sicheren Seite sein, was Ihren Homepage- und Social-Media-Auftritt angeht?

7. FAQ: Instagram Datenschutz