DSGVO-konforme Instagram-Automatisierung: Checkliste für automatische DMs 2026

Der Europäische Datenschutzausschuss erklärt die Aufteilung in seinen Leitlinien zu Verantwortlichen und Auftragsverarbeitern: Verantwortlich ist, wer über Zweck und wesentliche Mittel entscheidet. Ein Anbieter, der die Daten deiner Follower für eigene Zwecke nutzt, wird für diese Nutzung selbst zum Verantwortlichen (Art. 28 Abs. 10 DSGVO).

Für dich heißt das:

• Wer wissen will, was du über ihn gespeichert hast, oder die Löschung verlangt, wendet sich an dich. Das Tool muss dir helfen, die Anfrage zu beantworten.
• Du brauchst einen Vertrag mit dem Tool, bevor es Daten verarbeitet. Mehr dazu unten.
• Du musst nachweisen können, dass du die Regeln einhältst (Art. 5 Abs. 2 DSGVO). Nimm die Automatisierung in dein Verzeichnis von Verarbeitungstätigkeiten auf (Art. 30 DSGVO). Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, und eine Automatisierung, die jeden Tag läuft, ist nicht gelegentlich. DSGVO

• Mach die DM erwartbar. Erwägungsgrund 47 der DSGVO stellt auf die vernünftigen Erwartungen der Betroffenen ab. Eine Caption wie „Kommentiere GUIDE und ich schick ihn dir per DM“ macht die Nachricht zu etwas, worum die Person gebeten hat.
• Reagier nur auf ein Keyword. Beantwortet die Automatisierung jeden Kommentar, bekommen Leute eine DM, um die sie nie gebeten haben, und die Interessenabwägung wird deutlich schwieriger.
• Schick, was du versprochen hast, und nicht mehr. Ob eine DM als elektronische Post im Sinne von § 7 UWG gilt, ist nicht für jeden Fall geklärt. Behandle Werbung, die du ungefragt dazupackst, deshalb wie eine Werbe-E-Mail, und die braucht eine vorherige ausdrückliche Einwilligung.
• Dokumentier die Interessenabwägung. Ein paar Sätze reichen: dein Interesse, was die Leute erwarten, welche Daten du nutzt und wie sie es stoppen können.
• Nimm Widersprüche ernst. Gegen eine Verarbeitung auf Grundlage des berechtigten Interesses kann jeder widersprechen (Art. 21 Abs. 1 DSGVO). Bei Direktwerbung gilt der Widerspruch ohne Abwägung: Danach ist Schluss (Art. 21 Abs. 3 DSGVO).

• Sag, wofür die Adresse ist. „Antworte mit deiner E-Mail-Adresse, dann schick ich dir die Checkliste“ deckt die Checkliste ab. Eine Einwilligung in einen Newsletter ist das nicht.
• Frag nach dem Newsletter getrennt. Wenn du beides willst, frag nach beidem, und lass die Leute auch nur zu einem Ja sagen.
• Nutz Double-Opt-in. Eine Bestätigungs-E-Mail mit Link ist in Deutschland der übliche Weg, nachzuweisen, dass die Adresse der Person gehört, die sich eingetragen hat.
• Verlinke deine Datenschutzerklärung in der Nachricht, die nach der Adresse fragt. So bekommt die Person die Informationen, die Art. 13 DSGVO bei der Erhebung verlangt.
• Erheb nur, was du brauchst (Art. 5 Abs. 1 lit. c DSGVO). Eine E-Mail-Adresse oder eine Telefonnummer, nicht beides und dazu noch den Geburtstag.
• Denk an Minderjährige. Stützt du dich bei einem Online-Dienst, der sich direkt an Kinder richtet, auf eine Einwilligung, braucht es unter 16 Jahren in Deutschland die Zustimmung der Eltern (Art. 8 DSGVO).
• Jedes Tool, an das du Leads überträgst, ist ein weiterer Auftragsverarbeiter. Newsletter-Tools, CRMs und Tabellen in der Cloud brauchen jeweils einen eigenen AVV.

Der Vertrag muss regeln, was Art. 28 Abs. 3 DSGVO aufzählt:

• Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen.
• Verarbeitung nur auf deine dokumentierte Weisung, auch bei Übermittlungen in Drittländer.
• Vertraulichkeit für alle beim Anbieter, die mit den Daten arbeiten.
• Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
• Unterauftragsverarbeiter nur mit deiner vorherigen Genehmigung, mit Information über Änderungen, damit du widersprechen kannst (Art. 28 Abs. 2 und 4 DSGVO).
• Unterstützung bei Anfragen der Betroffenen und bei deinen Pflichten aus Art. 32 bis 36 DSGVO.
• Löschung oder Rückgabe der Daten, wenn der Dienst endet.
• Alle Informationen, die du zur Kontrolle brauchst, einschließlich Überprüfungen.

Lass dir die aktuelle Liste der Unterauftragsverarbeiter geben, mit dem Ort, an dem jeder von ihnen Daten verarbeitet. Fehlt ein erforderlicher AVV, ist das schon für sich ein Verstoß gegen Art. 28 DSGVO, und Art. 83 Abs. 4 DSGVO erlaubt dafür Bußgelder.

• Prüf die Zertifizierung selbst. Sie gilt pro Unternehmen und kann auslaufen. Die Liste des Data Privacy Framework zeigt, wer aktiv zertifiziert ist.
• Bei Standardvertragsklauseln (Beschluss 2021/914) verlangt das Schrems-II-Urteil des EuGH (C-311/18) zusätzlich eine Prüfung, ob das Recht im Zielland die Klauseln aushebelt.
• Schau dir jeden Teil des Setups an. KI-Antworten, erzeugte Stimmen, E-Mail-Versand, Content-Delivery-Netze und Fehler-Tracking laufen oft bei US-Anbietern, auch wenn die Hauptserver in Deutschland stehen.
• Nenn die Übermittlungen und die Garantie in deiner Datenschutzerklärung (Art. 13 Abs. 1 lit. f DSGVO).

Ein Textbaustein als Ausgangspunkt. Ersetz alles in eckigen Klammern und lass ihn für deinen Fall prüfen:

• Wähl Fristen und schreib sie auf. Die DSGVO nennt keine feste Zahl. Nimm, was zum Zweck passt, zum Beispiel Gespräche ohne Lead nach ein paar Monaten und Newsletter-Kontakte bis zur Abmeldung.
• Die Löschung muss jede Kopie erreichen (Art. 17 DSGVO): das Automatisierungs-Tool, Exporte und jedes Tool, an das du Leads übertragen hast.
• Sei auskunftsfähig (Art. 15 DSGVO), mit allem, was du über eine Person gespeichert hast.
• Wenn du ein Tool nicht mehr nutzt, muss der AVV es zur Löschung oder Rückgabe der Daten verpflichten (Art. 28 Abs. 3 lit. g DSGVO). Entferne die App auch in den Instagram-Einstellungen.
• Das Tool hat eigene Pflichten. Metas Platform Terms und Developer Policies begrenzen, wie Apps Instagram-Daten nutzen dürfen und wann sie sie löschen müssen.

• Wie du kennzeichnest. Das Gesetz verlangt einen gut lesbaren Hinweis vor oder unter der Nachricht, etwa „Automatisch erstellt und gesendet“.
• Unternehmens-Accounts. Ein Account, der klar als Unternehmen auftritt, fällt unter Umständen nicht unter § 18 Abs. 3 MStV. Im Zweifel kennzeichnest du.
• Meta verlangt es auch. Laut Metas Dokumentation zu Nachrichten müssen automatisierte Chats das am Anfang eines Gesprächs offenlegen, wenn das Recht es verlangt, und Meta nennt Deutschland ausdrücklich. Send Messages
• KI-Antworten. Sag es in der ersten Nachricht, und lass den Assistenten nie behaupten, ein Mensch zu sein. KI-Verordnung
• KI-erzeugte Stimmen. Eine Sprachnachricht mit einer geklonten Stimme, die wie eine echte Person klingt, musst du als KI-erzeugt offenlegen (Art. 50 Abs. 4 KI-Verordnung).

• UTM-Parameter speichern nichts auf dem Gerät. Halt aber Nutzernamen und andere personenbezogene Daten aus URLs heraus.
• Klick-Tracking pro Person zeigt dir, wer getippt hat. Wenn du das nicht nutzt, schalt es ab.
• Ein Freebie, das bei einem anderen Anbieter liegt, wirft dieselben Fragen zu AVV und Drittlandübermittlung auf.

Was bei dir bleibt

• Deine Datenschutzerklärung, deine Rechtsgrundlage und dein Verzeichnis von Verarbeitungstätigkeiten.
• Die Kennzeichnung einschalten, wenn dein Account wie eine Person auftritt.
• Die Einwilligung für einen Newsletter und die AVVs mit den Tools, an die du Leads überträgst.
• Festlegen, wie lange du Leads behältst, und sie löschen.

Details stehen in Elevions Datenschutzerklärung und auf der Seite zur Datenlöschung, beide auf Englisch. Wie die DMs selbst funktionieren, erklärt der Ratgeber Kommentar-zu-DM.