Ratgeber · 2026-11-07

Social-Media-API und DSGVO

Wer Videos über einen Dienst auf YouTube, TikTok oder Instagram veröffentlicht, gibt personenbezogene Daten weiter: Zugangstokens, Kontonamen und oft die Videos selbst. Dieser Artikel zeigt, wer dabei wofür verantwortlich ist und welche Fragen Sie einem Anbieter stellen sollten.

Ein Veröffentlichungsdienst steht zwischen Ihnen und den Plattformen. Er speichert Zugänge zu Ihren Konten, nimmt Ihre Videos entgegen und reicht sie weiter. Datenschutzrechtlich ist das kein Sonderfall, aber es lohnt sich, die Rollen sauber zu trennen. Dieser Artikel ersetzt keine Rechtsberatung, er hilft Ihnen aber, die richtigen Fragen zu stellen.

Wer ist wofür verantwortlich?

In einer typischen Kette gibt es drei Beteiligte:

Für die eigenen Kontodaten, also Name, E-Mail-Adresse und Rechnungen, ist der Dienst selbst Verantwortlicher. Für die Inhalte, die Sie hochladen, handelt er in Ihrem Auftrag. Deshalb brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Die Plattformen sind keine Unterauftragsverarbeiter des Dienstes. Sie wählen selbst aus, wo Ihr Video erscheint, und haben mit jeder Plattform einen eigenen Vertrag, nämlich deren Nutzungsbedingungen. Das ist wichtig für die Frage nach Drittlandübermittlungen: Wenn ein Video auf YouTube erscheint, verarbeitet Google es in eigener Verantwortung, häufig auch außerhalb der EU. Daran kann kein Veröffentlichungsdienst etwas ändern.

Fünf Fragen an jeden Anbieter

1. Wo stehen die Server?

Fragen Sie konkret nach Rechenzentrum und Land, nicht nur nach „EU-Hosting“. Video Automation läuft auf eigenen Servern in einem Rechenzentrum der STRATO GmbH in Berlin, die Datenbank ist PostgreSQL auf denselben Servern. E-Mails versenden wir über die IONOS SE in Deutschland. Zahlungen wickelt Stripe Payments Europe in Irland ab.

2. Wie werden Zugangstokens geschützt?

Ein Zugangstoken erlaubt das Veröffentlichen in Ihrem Namen. Es sollte verschlüsselt gespeichert sein und nie im Klartext in Protokollen oder Oberflächen auftauchen. Wir speichern Tokens mit AES-256-GCM verschlüsselt. Bei Bluesky, das statt OAuth ein App-Passwort nutzt, gilt dasselbe für das App-Passwort.

Achten Sie außerdem darauf, dass der Anbieter die offiziellen Schnittstellen nutzt. Ein Dienst, der Ihr eigentliches Passwort verlangt, verstößt gegen die Regeln der Plattformen und speichert ein viel mächtigeres Geheimnis als nötig.

3. Wie lange bleiben Videos gespeichert?

Videos sind oft die größten und persönlichsten Daten in der Kette. Sie sollten nicht unbegrenzt liegen bleiben. Bei Video Automation hängt die Speicherdauer vom Plan ab: 3, 7, 14, 30 oder 90 Tage. Danach löschen wir die Dateien automatisch.

Eine technische Besonderheit sollten Sie kennen: Instagram, Facebook und Threads holen Videos von einer Adresse ab, statt sie direkt entgegenzunehmen. Deshalb sind hochgeladene Medien während der Speicherdauer unter einer nicht erratbaren, signierten Adresse erreichbar. Wer die Adresse nicht kennt, findet die Datei nicht. Fragen Sie andere Anbieter, wie sie das lösen, denn das Problem haben alle.

4. Was passiert, wenn Sie gehen?

Prüfen Sie, ob Sie Ihre Daten exportieren und das Konto selbst löschen können. In Video Automation exportieren Sie Ihren Arbeitsbereich als JSON-Datei und löschen ihn sofort, ohne eine Anfrage an den Support. Rechnungen bewahren wir nach den gesetzlichen Fristen auf.

5. Wie werden Löschanfragen der Plattformen behandelt?

Plattformen erwarten, dass eine Anwendung Löschanfragen ihrer Nutzer umsetzt. Meta schickt dafür einen Datenlösch-Callback, TikTok meldet getrennte Verbindungen per Webhook. Wir entfernen das betroffene Konto dann automatisch und geben bei Meta einen Bestätigungscode aus, dessen Status man auf einer Statusseite abrufen kann. Bei Google widerrufen Nutzer den Zugriff unter security.google.com/settings/security/permissions.

Kein Tracking auf der Website

Ein Punkt, der oft übersehen wird: Auch die Website eines Anbieters verarbeitet Daten. Unsere Website setzt keine Analyse- oder Tracking-Dienste ein und lädt keine Inhalte von Dritten. Wir nutzen nur technisch notwendige Speicher: ein Sitzungs-Cookie für die Anmeldung, Sprache und Darstellung im lokalen Speicher des Browsers und die Bestätigung des Datenschutz-Hinweises. Einen Cookie-Banner mit Einwilligungen braucht es dafür nicht.

Ihre eigenen Pflichten

Auch mit einem sauberen Anbieter bleiben Aufgaben bei Ihnen:

• Rechtsgrundlage für Inhalte. Zeigt ein Video Mitarbeitende, Kundinnen oder andere erkennbare Personen, brauchen Sie dafür eine Rechtsgrundlage, häufig eine Einwilligung.
• Verzeichnis der Verarbeitungstätigkeiten. Tragen Sie die Veröffentlichung über den Dienst dort ein, mit Verweis auf den AV-Vertrag.
• Rollen im Team. Geben Sie Teammitgliedern nur die Rechte, die sie brauchen. In Video Automation vergeben Sie dafür Rollen im Team.
• API-Schlüssel schützen. Ein API-Schlüssel in einem öffentlichen Repository erlaubt Fremden das Veröffentlichen. Legen Sie je Integration einen eigenen Schlüssel an, dann können Sie einzelne widerrufen.
• Webhooks prüfen. Prüfen Sie die HMAC-SHA256-Signatur unserer Webhooks, bevor Sie einer Meldung vertrauen.

Verbindungslinks für Agenturen

Wenn Sie als Agentur für Kunden veröffentlichen, sollten die Kunden ihre Konten selbst verbinden, statt Ihnen Passwörter zu schicken. Dafür gibt es Verbindungslinks: Sie erzeugen einen Link, der Kunde meldet sich direkt bei der Plattform an und erteilt die Berechtigung. Ab dem Plan Pro können Sie diese Seite mit Ihrem eigenen Logo versehen. Ihre Kunden sehen so, mit wem sie es zu tun haben, und Sie bekommen kein Passwort zu Gesicht.

Zum Weiterlesen

Unsere Datenschutzerklärung listet für jede Plattform auf, welche Daten wir erhalten und wofür. Den Vertrag zur Auftragsverarbeitung mit der Liste der Unterauftragsverarbeiter finden Sie unter AV-Vertrag. Wer von einem anderen Dienst wechselt, findet im Artikel Upload-Post-Alternative die Schritte für den Umzug.