Gemeinsame Verantwortlichkeit bei Facebook-Fanpages (Art. 26 DSGVO)
Recht & Datenschutz
Seit dem EuGH-Urteil vom 5. Juni 2018 (C-210/16) sind Fanpage-Betreiber gemeinsam mit Meta datenschutzrechtlich verantwortlich
Warum ein aktuelles Verwaltungsgerichtsurteil daran für aktive Praxis-Fanpages nichts ändert, und wo das größere Risiko tatsächlich liegt.
- Der EuGH hat 2018 entschieden, dass Fanpage-Betreiber gemeinsam mit Meta datenschutzrechtlich verantwortlich sind, auch ohne Zugriff auf die Rohdaten (Art. 26 DSGVO, C-210/16)
- Metas automatisch geltendes Page Controller Addendum reicht laut Datenschutzkonferenz allein nicht aus, die Praxis muss zusätzlich eigene Transparenzpflichten erfüllen (Art. 26 Abs. 2, Art. 13 DSGVO)
- Das VG Köln hat die Verantwortlichkeit am 17.07.2025 nur für einen Einzelfall mit deaktivierten Insights bei einer Behörde verneint, nicht rechtskräftig, für aktive Praxis-Fanpages bleibt die EuGH-Linie maßgeblich
- Das größere Risiko liegt bei der Schweigepflicht, öffentliche Antworten auf Patientenkommentare mit Gesundheitsbezug können § 203 StGB verletzen
Wer eine Facebook-Fanpage für die Praxis betreibt, ist nach dem EuGH seit 2018 gemeinsam mit Meta für die Datenverarbeitung verantwortlich, auch ohne selbst auf die Nutzerdaten zugreifen zu können. Ein aktuelles Urteil des VG Köln schränkt das nur für einen behördlichen Sonderfall ein, ändert an der Rechtslage für aktive Praxis-Fanpages aber nichts. Die größere Gefahr liegt ohnehin woanders: bei der Schweigepflicht, sobald Patienten öffentlich kommentieren.
Was die gemeinsame Verantwortlichkeit bedeutet
Der EuGH hat am 5. Juni 2018 im Fall Wirtschaftsakademie (C-210/16) entschieden, dass der Betreiber einer Facebook-Fanpage gemeinsam mit Meta für die Verarbeitung der Besucherdaten verantwortlich ist. Entscheidend ist die Parametrierung der Seite und die Nutzung der Insights-Statistik, nicht der Zugriff auf die Rohdaten, den der Betreiber gar nicht hat. Daraus folgen drei Pflichten: eine Vereinbarung nach Art. 26 Abs. 1 DSGVO, transparente Information über deren Wesentliches nach Art. 26 Abs. 2, und eine eigene Datenschutzerklärung nach Art. 13 DSGVO.
Metas automatisch geltendes Page Controller Addendum deckt das Innenverhältnis zu Meta formal ab, reicht aber nach Auffassung der Datenschutzkonferenz allein nicht: Es räumt Meta die alleinige Entscheidungsmacht über die Insights-Daten ein und ist nicht transparent genug. Die Praxis muss deshalb zusätzlich eigene Informationspflichten erfüllen, insbesondere in der eigenen Datenschutzerklärung.
Die Schweigepflicht ist die eigentliche Gefahr
Bislang ist kein Fall dokumentiert, in dem eine deutsche Aufsichtsbehörde allein wegen einer fehlenden Art.-26-Vereinbarung ein Bußgeld gegen einen privaten Fanpage-Betreiber verhängt hätte. Die reale Gefahr für Praxen liegt woanders: Reagiert eine Praxis öffentlich auf einen Patientenkommentar mit Gesundheitsbezug, kann schon die Bestätigung des Behandlungsverhältnisses die ärztliche Schweigepflicht nach § 203 StGB verletzen, strafbewehrt und unabhängig von der DSGVO-Frage.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Diese vier Punkte tauchen beim Fanpage-Betrieb am häufigsten als Befund auf.
Vier Bausteine, zum Durchklicken
Der häufigste Befund überhaupt.
Hilft Das Page Controller Addendum ist dokumentiert und im Verzeichnis der Verarbeitungstätigkeiten erfasst.
Stolperfalle Die Fanpage läuft seit Jahren, ohne dass die gemeinsame Verantwortlichkeit je geprüft oder dokumentiert wurde.
Art. 26 Abs. 2 und Art. 13 DSGVO verlangen einen eigenen Hinweis.
Hilft Die Datenschutzerklärung der Praxis-Website nennt die gemeinsame Verantwortlichkeit mit Meta ausdrücklich.
Stolperfalle Weder auf der Website noch auf der Fanpage findet sich ein Hinweis auf die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.
Der gefährlichste Fehler, mit Strafbarkeitsrisiko.
Hilft Auf Kommentare mit Gesundheitsbezug reagiert die Praxis mit einem neutralen Verweis auf einen vertraulichen Kanal.
Stolperfalle Eine Patientenanfrage mit Behandlungsbezug wird öffentlich in den Kommentaren inhaltlich beantwortet.
Zwei rechtlich unterschiedliche Konstellationen.
Hilft Klar unterschieden: eigene, verwaltete Fanpage mit Insights einerseits, bloßer Link oder Social-Media-Button andererseits.
Stolperfalle Ein Social-Media-Button auf der eigenen Website wird fälschlich wie eine reine Verlinkung behandelt, ohne die eigene Einwilligungspflicht zu prüfen.
Wie ist Ihre Situation einzuordnen?
Entscheidend ist, ob eine eigene, aktive Fanpage verwaltet wird.
Wählen Sie die Situation, die auf Sie zutrifft
Zeitleiste
Wie sich die Rechtslage entwickelt hat
Von der EuGH-Grundsatzentscheidung 2018 zum offenen Berufungsverfahren 2025/2026.
- 5. Juni 2018
EuGH, C-210/16 (Wirtschaftsakademie)
Der EuGH entscheidet im Fall Wirtschaftsakademie, dass Fanpage-Betreiber gemeinsam mit Facebook datenschutzrechtlich verantwortlich sind.
- 11. September 2018
Metas Page Controller Addendum
Meta veröffentlicht die Seiten-Insights-Ergänzung, die seither automatisch für jede Fanpage gilt.
- 5. April 2019
DSK-Positionspapier
Die Datenschutzkonferenz stellt in einem Positionspapier fest, dass das Addendum die Anforderungen des Art. 26 DSGVO allein nicht erfüllt.
- 17. Februar 2023
BfDI untersagt Bundespresseamt-Fanpage
Die BfDI untersagt dem Bundespresseamt den Betrieb seiner Facebook-Fanpage.
- 17. Juli 2025
VG Köln, 13 K 1419/23
Das VG Köln hebt die Untersagung auf und verneint die gemeinsame Verantwortlichkeit, weil beim Bundespresseamt keine Parametrisierungsmöglichkeit bestand und die Insights-Funktion deaktiviert war.
- 22. August 2025
BfDI legt Berufung ein
Die BfDI kündigt Berufung beim OVG Münster an, das Verfahren ist weiter offen.
Was jetzt zu tun ist
Prüfen Sie zuerst, ob überhaupt eine eigene, selbst verwaltete Fanpage betrieben wird, und ob sie wirklich gebraucht wird. Wenn ja: Dokumentieren Sie Metas Page Controller Addendum, nehmen Sie die Verarbeitung ins Verzeichnis der Verarbeitungstätigkeiten auf, und ergänzen Sie die Datenschutzerklärung der Praxis-Website um einen ausdrücklichen Hinweis auf die gemeinsame Verantwortlichkeit mit Meta.
Legen Sie eine schriftliche Teamregel fest: Patientenkommentare oder -nachrichten mit Gesundheitsbezug werden nie öffentlich inhaltlich beantwortet, sondern mit einem standardisierten Verweis auf einen vertraulichen Kanal. Vorher-Nachher-Bilder oder klinische Aufnahmen nur mit wirksamer, dokumentierter Einwilligung veröffentlichen.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft auch Ihre Social-Media-Präsenz, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.