Social Media, KI und DSGVO

Stand: 17. August 2026 · Martin Veser Unternehmergesellschaft (haftungsbeschränkt), Stuttgart

Vier Punkte treffen kleine Unternehmen wirklich: ein Vertrag zur Auftragsverarbeitung mit jedem Dienstleister, die Frage, wohin die Daten fließen, die Einwilligung bei Fotos von Mitarbeitenden – und seit der KI-Verordnung die Transparenz bei KI-erzeugten Inhalten. Der Rest ist Sorgfalt.

Dieser Beitrag gibt den Stand unserer Praxis wieder und ersetzt keine Rechtsberatung. Bei Zweifeln fragen Sie Ihre Anwältin oder Ihren Anwalt – das kostet einmal Geld und spart im Ernstfall ein Vielfaches.

1. Auftragsverarbeitung: der Vertrag, den viele vergessen

Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet – die Agentur, das Planungswerkzeug, der Newsletter-Anbieter, auch der Hoster –, brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Personenbezogen ist mehr, als man denkt: Kommentare mit Klarnamen, Nachrichten von Interessenten, Fotos, auf denen jemand erkennbar ist, und die Kontaktdaten in Ihren Leads.

Die Vereinbarung muss vor der Verarbeitung vorliegen, nicht danach. Seriöse Anbieter stellen sie unaufgefordert bereit; bei sichtkompass geht sie automatisch mit der Bestellung. Wer sie erst auf dreimalige Nachfrage schickt, sagt damit etwas über seine übrigen Prozesse.

2. Wohin fließen die Daten?

Die meisten KI-Dienste verarbeiten Eingaben auf Servern außerhalb der EU. Das ist nicht automatisch unzulässig, aber begründungspflichtig: Es braucht eine Rechtsgrundlage, eine Information in der Datenschutzerklärung und im Zweifel Standardvertragsklauseln. Praktisch heißt das für Sie:

• Geben Sie keine Kundendaten in ein KI-Werkzeug, das Sie nicht geprüft haben – auch nicht „nur zum Ausprobieren“.
• Klären Sie, ob Ihre Eingaben zum Training verwendet werden. Bei Geschäftskonten ist das üblicherweise ausgeschlossen, bei kostenlosen Zugängen oft nicht.
• Die datenschutzfreundlichste Variante ist ein Modell, das auf Hardware in Deutschland läuft. Dann verlässt der Text das Haus nicht – bei sichtkompass ist das je Generierung umschaltbar.

3. Fotos von Mitarbeitenden und Kunden

Ein erkennbares Foto ist ein personenbezogenes Datum. Für die Veröffentlichung brauchen Sie eine Einwilligung – schriftlich, freiwillig, jederzeit widerrufbar. Drei Regeln aus der Praxis:

• Einmal sauber, statt jedes Mal neu: ein kurzes Formular, das Kanäle und Zweck benennt, beim Eintritt ins Unternehmen.
• Widerruf ernst nehmen: Wer widerruft, verschwindet auch aus älteren Beiträgen. Führen Sie eine Liste, in welchen Beiträgen wer zu sehen ist – nachträglich ist das kaum rekonstruierbar.
• Kundenprojekte: Referenzen mit Firmenname und Bild brauchen die Freigabe des Kunden, am besten per E-Mail und mit dem konkreten Text im Anhang.

4. KI-Inhalte kennzeichnen

Die Verordnung (EU) 2024/1689 – die KI-Verordnung, oft „AI Act“ genannt – bringt Transparenzpflichten für KI-erzeugte Inhalte mit sich. Für kleine Unternehmen läuft das auf zwei praktische Punkte hinaus: KI-erzeugte Bilder sollten als Symbolbilder erkennbar sein und nicht als Abbild realer Vorgänge auftreten, und der Einsatz von KI bei Texten und Bildern gehört an eine auffindbare Stelle – üblicherweise ein eigener Abschnitt in der Datenschutzerklärung.

Ein Beispiel für so einen Abschnitt finden Sie unter Transparenz zu KI-generierten Inhalten. Er ist kurz, nennt Bilder und Texte getrennt und sagt, wer die inhaltliche Verantwortung trägt. Mehr braucht es in den meisten Fällen nicht.

Und die Netzwerke selbst?

Wer eine Facebook-Seite betreibt, ist für die dort erhobenen Besucherdaten gemeinsam mit dem Netzwerk verantwortlich – das hat der Europäische Gerichtshof entschieden. Ändern können Sie daran wenig; wichtig ist, dass Ihre Datenschutzerklärung die Kanäle nennt, auf denen Sie auftreten, und dass Sie keine Daten aus diesen Kanälen unkontrolliert in andere Systeme kopieren.

Die Kurzliste zum Abhaken

• Auftragsverarbeitung mit jedem Dienstleister, der für Sie Daten verarbeitet
• Datenschutzerklärung nennt Kanäle, Werkzeuge und den Einsatz von KI
• Einwilligungen für Fotos liegen vor und sind auffindbar
• Keine Kundendaten in ungeprüfte KI-Werkzeuge
• Zugänge zu Ihren eigenen Seiten liegen bei Ihnen, nicht nur beim Dienstleister

Weitere Beiträge

• Social Media mit KI: was heute wirklich funktioniert Textentwürfe, Bilder, Terminplanung: Was Sprachmodelle in der Social-Media-Arbeit übernehmen können – und welche drei Schritte niemand delegieren sollte.
• Was kostet Social-Media-Betreuung? Agentur, Freelancer, eigene Kraft, Werkzeug – die vier Wege im Kostenvergleich, samt der Posten, die in Angeboten gern fehlen.
• KI-Texte, die nicht nach KI klingen Die Muster, an denen jeder einen Maschinentext erkennt – und sieben Eingriffe, die daraus einen Beitrag in Ihrer Stimme machen.