Die EU hat mit dem Digital Services Act und dem Digital Markets Act zwei Regelwerke geschaffen, die seit 2024 greifen und den Datenschutz in sozialen Netzwerken über die DSGVO hinaus neu ordnen. Plattformen wie Meta oder Alphabet müssen seitdem offenlegen, wie ihre Empfehlungssysteme funktionieren, und Nutzerinnen und Nutzern neue Wahlmöglichkeiten bei Tracking-basierter Werbung einräumen. Wer seine Privatsphäre in sozialen Netzwerken schützen will, muss diese veränderte Rechtslage kennen, um die richtigen Einstellungen zu finden.
DSA und DMA: Neue Rechtsgrundlage für Datenschutz in sozialen Netzwerken
Seit dem 17. Februar 2024 gilt der Digital Services Act (DSA) in der gesamten EU. Er verpflichtet soziale Netzwerke zu mehr Transparenz bei Empfehlungssystemen, bei Werbung und bei Meldewegen für rechtswidrige Inhalte. Ergänzend greift der Digital Markets Act (DMA) seit März 2024 gegenüber sogenannten Gatekeepern.
Weiterlesen: Die Auswirkungen der DSGVO auf deutsche Kleinunternehmen: Eine Analyse
Für den Alltag bedeutet das: Große Plattformen müssen erklären, warum bestimmte Inhalte im Feed auftauchen. Nutzerinnen und Nutzer erhalten das Recht, eine Version des Empfehlungssystems zu wählen, die nicht auf Profiling basiert. Das ist ein Hebel, den die meisten Datenschutz-Ratgeber bisher nicht erwähnen, der aber direkt in den Einstellungen der Plattformen verfügbar ist.
Der DMA geht noch einen Schritt weiter: Gatekeeper dürfen personenbezogene Daten aus verschiedenen eigenen Diensten nicht mehr ohne ausdrückliche Einwilligung zusammenführen. Meta darf Daten aus Instagram und Facebook nicht automatisch verknüpfen, wenn Nutzer dem nicht aktiv zustimmen. Erste Bußgeldverfahren laufen bereits.
Ergänzende Lektüre: Gesetze zum Schutz von Whistleblowern in Deutschland: Ein Überblick
Privatsphäre-Einstellungen: Wo die Plattformen tatsächlich Spielraum lassen
Die Datenschutzeinstellungen sozialer Netzwerke sind absichtlich komplex. Nicht jede Option schützt gleich gut, und manche Einstellungen existieren nur, weil der DSA sie erzwingt.
Empfehlungssysteme ohne Profiling
Seit dem DSA müssen sehr große Plattformen eine Alternative zum personalisierten Feed anbieten. In der Praxis findet sich diese Option oft tief in den Einstellungen. Sie deaktiviert nicht die Datenerhebung selbst, sondern nur die Verwendung für die Inhaltsauswahl. Die Daten werden weiterhin gespeichert.
Das ist ein Punkt, an dem Transparenz an ihre Grenzen stößt: Datenerhebung und Datenverwendung sind zwei getrennte Vorgänge. Wer nur den Feed umstellt, hat die Sammlung personenbezogener Daten nicht unterbunden.
Werbe-Tracking und Drittanbieter-Apps
Die Einschränkung personalisierter Werbung ist eine der sichtbarsten Änderungen durch den DMA. Gatekeeper müssen eine klare Opt-in-Möglichkeit bieten. Wer diese ablehnt, bekommt weiterhin Werbung, aber nicht mehr auf Basis plattformübergreifender Profile.
Drittanbieter-Apps, die über Social-Login angebunden sind, bleiben ein unterschätztes Risiko. Jede App, der Sie einmal Zugriff gewährt haben, kann weiterhin Daten abrufen, bis Sie die Berechtigung aktiv entziehen. Hier lohnt sich eine regelmäßige Prüfung der verbundenen Apps:
- Prüfen Sie unter den App-Berechtigungen, welche Drittanbieter Zugriff auf Ihr Profil haben, und entfernen Sie alle, die Sie nicht aktiv nutzen.
- Achten Sie darauf, ob Apps Zugriff auf Ihre Kontaktliste oder Ihre Fotos verlangen, obwohl das für ihre Funktion nicht notwendig ist.
- Deaktivieren Sie den Social-Login für Dienste, bei denen eine separate Registrierung möglich ist, um die Datenverknüpfung zwischen Plattformen zu reduzieren.
Jugendliche und Datenschutz in sozialen Medien: Eine unterschätzte Perspektive
Die Debatte über junge Nutzerinnen und Nutzer dreht sich oft um elterliche Kontrolle. Laut einer 2026 veröffentlichten Umfrage der Techniker Krankenkasse unterstützen mehr als die Hälfte der 12- bis 17-Jährigen in Deutschland strengere Regeln für soziale Medien. Jugendliche fordern also selbst bessere Werkzeuge, nicht nur Verbote.
Dieser Befund verschiebt die Diskussion. Es geht nicht allein darum, was Eltern einstellen sollen, sondern darum, welche Datenschutzfunktionen Plattformen für jüngere Zielgruppen bereitstellen. Hier bleibt vieles vage: Altersverifikation ist technisch ungelöst, und die vorhandenen Jugendschutzeinstellungen greifen nur, wenn das korrekte Alter hinterlegt wurde.
Datenauskunft nach DSGVO: Ein unterschätztes Werkzeug für Nutzer
Artikel 15 der DSGVO gibt jeder Person das Recht, von einem Unternehmen Auskunft darüber zu verlangen, welche personenbezogenen Daten gespeichert sind. Dieses Recht gilt auch gegenüber sozialen Netzwerken.
In der Praxis bieten die großen Plattformen Exportfunktionen an, über die sich ein Datenpaket herunterladen lässt. Der Umfang dieser Datenpakete überrascht die meisten Nutzer: Standortverläufe, Suchhistorien, Kontaktlisten aus dem Adressbuch, Interaktionszeiten und Werbeprofile gehören zum Standard.
Wer diese Daten einmal herunterlädt und sichtet, versteht besser, welche Einstellungen tatsächlich Wirkung zeigen und welche lediglich kosmetisch sind. Allerdings lässt sich nicht unabhängig prüfen, ob der Export vollständig ist. Die Datenschutzbehörden haben hierzu mehrfach Verfahren eingeleitet, ohne dass eine abschließende Klärung in allen Fällen vorliegt.
Technische Maßnahmen jenseits der Plattform-Einstellungen
Plattforminterne Einstellungen sind nur eine Ebene. Ergänzend gibt es technische Maßnahmen, die unabhängig von der jeweiligen Plattform wirken:
- Browser-basiertes Tracking lässt sich durch separate Browser-Profile oder Container-Funktionen eindämmen, die verhindern, dass soziale Netzwerke Aktivitäten auf anderen Websites mitverfolgen.
- DNS-Filter auf Router-Ebene blockieren bekannte Tracking-Domains, bevor eine Verbindung überhaupt aufgebaut wird.
- VPN-Dienste verschleiern den Standort, ändern aber nichts an den Daten, die Sie innerhalb der Plattform preisgeben.
- Regelmäßige Passwortänderungen und Zwei-Faktor-Authentifizierung schützen den Kontozugang, nicht aber die bereits gesammelten Daten.
Kein einzelnes Werkzeug ersetzt eine bewusste Entscheidung darüber, welche Daten überhaupt geteilt werden. Die wirksamste Maßnahme bleibt, vor jeder Veröffentlichung zu prüfen, ob der Inhalt dauerhaft öffentlich zugänglich sein darf. Einmal veröffentlichte Informationen lassen sich aus dem Netz praktisch nicht restlos entfernen, selbst wenn die Plattform eine Löschfunktion anbietet.
Die regulatorische Lage durch DSA und DMA wird sich in den kommenden Jahren weiterentwickeln, erste Durchsetzungsverfahren sind eingeleitet. Wer seine Privatsphäre in sozialen Netzwerken schützen will, sollte die eigenen Einstellungen nicht einmalig anpassen, sondern regelmäßig gegen den aktuellen Rechtsrahmen abgleichen.