Social-Media-Compliance bedeutet, hinterher drei Dinge belegen zu können: dass eine qualifizierte Person einen Beitrag vor der Veröffentlichung geprüft hat, dass der Beitrag alle von deiner Aufsichtsbehörde geforderten Hinweise enthielt und dass du weiterhin eine abrufbare Kopie davon besitzt, was wann und von wem veröffentlicht wurde. Alles andere — Tools, Kalender, Freigabestufen — existiert nur, um diese drei Nachweise billig zu machen.
Bei einer großen Bank erledigt das eine Compliance-Suite für einen siebenstelligen Betrag. In einer Beratungsfirma mit vier Personen, einer Kanzlei mit zwei Partnern, einer Zahnarztpraxis oder einem kommunalen Kommunikationsteam muss es mit einem Scheduler, einem geteilten Laufwerk und einer Tabelle laufen, ohne jemanden einzustellen. Dieser Leitfaden ist die Variante für kleine Teams.
Eine Einschränkung: Ich betreibe ein Planungstool, keine Compliance-Praxis. Was folgt, ist die operative Form, bei der regulierte Teams immer wieder landen. Die Paragrafennummern, Aufbewahrungsfristen und Pflichtformulierungen kommen von deiner Aufsichtsbehörde oder deinem Anwalt — sie unterscheiden sich je nach Land, Branche und Zulassung. Hol dir die schriftlich und bau den Prozess dann darum herum.
Die vier Pflichten, die unter jedem Regelwerk stecken
Nimmt man die branchenspezifische Sprache weg, verlangt fast jedes Social-Media-Regelwerk dieselben vier Dinge:
- Prüfung vor der Veröffentlichung. Jemand mit der Befugnis, Nein zu sagen, sieht sich den Inhalt vorher an — und diese Tatsache wird festgehalten.
- Offenlegung. Bezahlte Beziehungen, wesentliche Risiken, beruflicher Status und — neuerdings — KI-Beteiligung stehen im Beitrag selbst, nicht versteckt.
- Aufzeichnungen. Was du veröffentlichst, überlebt unabhängig von der Plattform, samt Bearbeitungen und Löschungen.
- Kontrolle. Namentlich benannte Personen haben Zugriff, und dieser Zugriff wird entzogen, wenn sie gehen.
Wer diese vier abdeckt, ist den meisten kleinen regulierten Firmen voraus, die typischerweise eine feste Meinung zur Tonalität haben und keinerlei Nachweis darüber, wer irgendetwas freigegeben hat.
Welche Regeln dich tatsächlich betreffen
| Branche | Typische Regelwerke (Beispiele) | Was das operativ erzwingt |
|---|---|---|
| Finanzdienstleistungen | FINRA- und SEC-Regeln in den USA; FCA-Regeln für Finanzwerbung in Großbritannien | Vorabfreigabe werblicher Inhalte durch eine qualifizierte Person; Risikohinweise im Beitrag selbst; aufbewahrte Kommunikation |
| Gesundheit und Medizin | Patientendatenschutz wie HIPAA; Werbecodes nationaler Ärztekammern; werberechtliche Vorgaben zu Gesundheitsaussagen | Keine identifizierbaren Patientendaten ohne schriftliche Einwilligung; belegbare Aussagen; strenge Regeln für Vorher-nachher-Bilder und Erfahrungsberichte |
| Recht | Werbe- und Akquiseregeln der Anwaltskammern | In manchen Rechtsgebieten vorgeschriebene Kennzeichnungen; keine Erfolgsgarantien; Kopien der Werbung für eine festgelegte Dauer aufbewahren |
| Öffentlicher Sektor | Archivrecht und Informationsfreiheitsgesetze | Beiträge, und oft auch die Kommentare darunter, sind Akten; Löschen und Sperren müssen einer schriftlichen, einheitlich angewandten Richtlinie folgen |
| Alle | Verbraucherschutz- und Werbecodes; Datenschutzrecht; Transparenzregeln des EU AI Act | Klare Kennzeichnung bezahlter und geschenkter Inhalte; rechtmäßiger Umgang mit personenbezogenen Daten in Kommentaren und DMs; Transparenz bei KI-Inhalten |
Zwei Muster lohnt es sich aus dieser Tabelle herauszuziehen.
Erstens bleibt in den Finanzdienstleistungen die entscheidende Unterscheidung die zwischen statischen und interaktiven Inhalten. Grob gesagt sind dein Profil, angepinnte Beiträge und geplante Promotions Werbung, die vor dem Erscheinen freigegeben werden muss; ein Live-Hin-und-Her in den Antworten wird beaufsichtigt statt vorab freigegeben. Genau deshalb hilft Planung der Compliance — sie macht aus einer spontanen Handlung ein eingereihtes Element mit einem Prüfschritt davor.
Zweitens haben Teams im öffentlichen Sektor das umgekehrte Problem. Ihr Risiko ist nicht der ausgehende Beitrag, sondern die Löschung: Wenn ein Ratsmitglied einen unangenehmen Kommentar entfernt, kann das ein Archivierungsproblem sein und in manchen Rechtsgebieten ein Grundrechtsproblem. Schreib die Moderationsregel auf, bevor du sie brauchst.
Pflicht 1: der Freigabe-Nachweis
Ein Freigabe-Nachweis ist nicht „sie hat auf Slack Ja gesagt". Ein Nachweis, der eine Beschwerde übersteht, enthält für jeden Beitrag:
- Den exakten Inhalt wie eingereicht — Caption, Medien, Links, Zielplattform
- Wer ihn eingereicht hat, mit Zeitstempel
- Wer ihn geprüft hat und welche Befugnis diese Person hat
- Jedes gegebene Feedback im Wortlaut und was sich daraufhin geändert hat
- Die Freigabe selbst, mit Name und Zeitstempel
- Den Veröffentlichungszeitpunkt und die Live-URL
Das meiste davon sind Metadaten, die dein Scheduler ohnehin erzeugt. Die Lücke in Ad-hoc-Prozessen liegt in der Mitte: bei der Prüfung und der namentlichen Freigabe.
Nicht alles braucht dieselbe Sorgfalt. Staffle deine Inhalte nach Risiko und schreib die Stufen in deine Richtlinie — Promotions, Leistungsversprechen und alles, was die Verhältnisse einer Kundin oder eines Kunden berührt, bekommen die volle Prüfung; ein Eventfoto oder eine Stellenanzeige nicht. Die Mechanik, inklusive der Frage, wie du verhinderst, dass Feedback in fünf einzelnen Nachrichten über drei Tage eintrudelt, steht in unserem Leitfaden zum Content-Freigabe-Workflow, mit einer Variante für interne Teams im Leitfaden zum Freigabe-Workflow im Team.
Genau dafür ist SocialKit wirklich gebaut. Freigabe-Workflows gehören zu den Team- und Enterprise-Plänen: Ein Beitrag wird entworfen, zur Prüfung weitergeleitet und kann nicht automatisch veröffentlicht werden, bevor er freigegeben ist — der Kalender zeigt dabei, was bei wem liegt. Eine Klick-für-Klick-Anleitung findest du unter Content-Freigabe-Workflow einrichten. Die Preise sind pauschal — jeder Plan enthält alle 11 unterstützten Plattformen und unbegrenzt geplante Beiträge, ab €29/Monat (Stand Juli 2026), mit 7-tägiger Testphase.
Eine Klinik macht es so: Die Praxismanagerin entwirft montags, die ärztliche Leitung prüft dienstagvormittags, nichts geht ohne diesen zweiten Namen live. Fünfzehn Minuten pro Woche — und „Wer hat das freigegeben?" hat eine Antwort.
Pflicht 2: drei Arten von Offenlegung
Regulierte Teams behandeln Offenlegung als eine Sache. Es sind drei, mit jeweils eigenen Auslösern.
Kommerzielle Offenlegung. Bezahlte Partnerschaften, geschenkte Produkte, Affiliate-Links, Inhalte von Mitarbeitenden über den eigenen Arbeitgeber. Die Faustregel, die über die meisten Werbecodes hinweg gilt: Der Hinweis steht im Beitrag, weit oben, in klarer Sprache, lesbar bevor jemand auf „mehr" tippt — nicht im ersten Kommentar, nicht als letzter Hashtag in einem Block von dreißig. Unser Leitfaden zur Kennzeichnung gesponserter Inhalte behandelt die Platzierung pro Plattform.
Regulatorische Offenlegung. Risikohinweise, beruflicher Status, geografische Beschränkungen und welchen Wortlaut auch immer deine Aufsichtsbehörde vorschreibt. Das Schwierige auf Social Media: Diese Hinweise müssen für sich allein stehen — jeder Beitrag muss eigenständig konform sein, denn irgendwer sieht das Reel, ohne je deine Bio oder die verlinkte Seite zu sehen. Eine Promotion, die nur zusammen mit einem Disclaimer auf deiner Website Sinn ergibt, ist eine Promotion mit einem Problem. Wenn der vorgeschriebene Wortlaut nicht hineinpasst, wirf vor dem Format-Design einen Blick in unsere Übersicht der Zeichenlimits und frag dich, ob diese Plattform der richtige Ort für diese Botschaft ist.
KI-Offenlegung. Das ist die neue — und sie verdient einen eigenen Abschnitt.
Pflicht 3: die Transparenzregeln des EU AI Act
Wenn du in der EU tätig bist oder deine Inhalte Menschen dort erreichen, sind die Transparenzpflichten aus Artikel 50 des AI Act der neueste Punkt auf der Liste. Sie gelten für Betreiber — die Organisation, die ein KI-System einsetzt — also ist auch ein zweiköpfiges Marketingteam mit einem generativen Tool erfasst, nicht nur das Unternehmen, das das Modell gebaut hat. Stand Juli 2026 werden diese Pflichten am 2. August 2026 anwendbar.
Zwei Pflichten sind für Social Media relevant:
- Synthetische Bilder, Audios und Videos. Wenn du KI-generierte oder KI-manipulierte Inhalte veröffentlichst, die echten Personen, Orten oder Ereignissen ähneln — ein Deepfake im Sinne des AI Act —, legst du offen, dass sie künstlich erzeugt oder manipuliert wurden.
- KI-generierter Text zu Angelegenheiten von öffentlichem Interesse. Wenn du KI-generierten oder KI-manipulierten Text veröffentlichst, um die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse zu informieren, legst du das offen — es sei denn, der Inhalt durchlief eine menschliche Prüfung und eine benannte Person oder Organisation trägt die redaktionelle Verantwortung dafür.
Lies diese zweite Pflicht genau, denn sie ist enger, als die Panik vermuten lässt. Eine gewöhnliche Produkt-Caption, mit KI-Hilfe entworfen und von einem Menschen redigiert, ist normalerweise keine „Information über eine Angelegenheit von öffentlichem Interesse". Ein Erklärbeitrag einer Klinik zur öffentlichen Gesundheit oder ein Beitrag einer Kommunalverwaltung über eine geänderte Regelung durchaus. So oder so ist der Weg über menschliche Prüfung plus redaktionelle Verantwortung genau der oben beschriebene Freigabe-Nachweis — ein angenehmer Zufall für alle, die ihn schon gebaut haben.
Eine separate Pflicht, anwendbar seit Februar 2025, verlangt von Organisationen sicherzustellen, dass Mitarbeitende, die KI-Systeme nutzen, über ausreichende KI-Kompetenz für ihre Rolle verfügen. Für ein kleines Team ist das kein Schulungsprogramm; es ist eine geschriebene Seite mit freigegebenen Tools, erlaubten Anwendungen und der Angabe, wer die Ergebnisse prüft. Unsere Vorlage für eine KI-Nutzungsrichtlinie für Social-Media-Teams deckt das ab, und die Kennzeichnungsseite — plattformeigene KI-Labels, was wo zu sagen ist — steht in unserem Leitfaden zur KI-Inhalts-Offenlegung in Social Media. Kläre die Ermessensfragen zu synthetischen Gesichtern, Stimmen und Testimonials ebenfalls im Voraus; die stehen in KI-Ethik im Social-Media-Marketing.
Eine ehrliche Einschränkung: Der Zeitplan des AI Act hat seit dem Inkrafttreten Änderungsvorschläge auf sich gezogen. Prüf für deine eigenen Pflichten den aktuellen Stand, statt irgendeinem Blogbeitrag zu vertrauen, diesen eingeschlossen.
Pflicht 4: Aufbewahrung — und wo ein Scheduler aufhört
Die klare Antwort, weil ein Irrtum an dieser Stelle teuer wird: SocialKit ist kein Archivierungsprodukt. Es ist ein Scheduler mit Freigabeschritt, der deine Entwürfe, Freigaben, den Plan und veröffentlichte Beiträge hält — was Prüfung-vor-Veröffentlichung gut abdeckt. Es leistet keine Compliance-Erfassung eingehender Kommentare und DMs, hat keinen einheitlichen Posteingang und keine Moderations-Queue und erzeugt nicht das manipulationssichere Archiv im WORM-Stil, das beaufsichtigte Finanzunternehmen typischerweise vorhalten müssen.
Wenn du als Broker-Dealer oder Anlageberater unter einem Aufsichtsregime stehst, brauchst du einen dedizierten Archivierungsanbieter — die Compliance-Capture-Kategorie, Anbieter wie Smarsh, Global Relay und Proofpoint. Das ist ein echter Budgetposten, und ich sage das lieber, als einen Scheduler als Ersatz zu verkaufen.
| Anforderung | Scheduler mit Freigaben | Dediziertes Archiv |
|---|---|---|
| Nachweis, dass ein Beitrag geprüft wurde und von wem | Ja | Meistens |
| Kopie dessen, was du veröffentlicht hast, und wann | Ja | Ja |
| Erfassung erhaltener Kommentare und DMs | Nein | Ja |
| Erfassung von Bearbeitungen und Löschungen, während sie passieren | Nein | Ja |
| Manipulationssichere Speicherung mit Audit-Trail | Nein | Ja |
| Überwachungs-Alerts und Lexikon-Flagging | Nein | Ja |
Für Firmen, die nicht unter einem formalen Aufsichtsregime stehen — die meisten Kliniken, die meisten kleinen Kanzleien, die meisten Kommunen, die meisten B2B-Marken mit einer nervösen Rechtsabteilung —, ist eine schlanke Aufbewahrungspraxis angemessen und wirklich vertretbar:
- Leg eine Aufbewahrungsfrist fest und schreib die Zahl auf. Hol sie dir von deiner Aufsichtsbehörde, nicht aus dem Durchschnitt dessen, was Tools anbieten.
- Exportiere monatlich. Ein datierter Ordner pro Monat: eine CSV mit dem, was veröffentlicht wurde, die Mediendateien und PDF- oder Screenshot-Aufnahmen der Live-Beiträge. Fünfzehn Minuten bei einem Kaffee.
- Lager es dort, wo du es nicht nebenbei bearbeiten kannst. Ein separater Cloud-Ordner mit eingeschränkten Schreibrechten und Versionsverlauf, damit niemand die Geschichte still umschreiben kann — du eingeschlossen.
- Führe einen Index. Eine Zeile pro Beitrag: Datum, Plattform, Inhaltstyp, freigebende Person, Live-URL und ob er später bearbeitet oder entfernt wurde und warum.
- Protokolliere Löschungen, statt sie stillschweigend vorzunehmen. Wenn ein Beitrag verschwindet, verschwindet der Nachweis darüber nicht.
Zum Automatisieren bietet SocialKit in jedem Plan, auch in Solo, eine API und Webhooks. Ein Webhook für veröffentlichte Beiträge, der in ein Google Sheet, einen S3-Bucket oder deine eigene Datenbank feuert, hält diese Aufzeichnung aktuell, ohne dass jemand an den Export denken muss.
Kontrolle: Zugriff, Offboarding und das Problem mit privaten Konten
Der unspektakuläre Ausfallmodus ist nicht der schlechte Beitrag. Es ist die ehemalige Freelancerin, die immer noch Admin-Rechte für die LinkedIn-Seite hat, oder ein geteiltes Passwort in irgendeiner Notiz.
Minimal tragfähige Kontrolle: namentliche Einzel-Logins statt eines geteilten Accounts, Zwei-Faktor-Authentifizierung überall, eine dokumentierte Liste, wer auf welchem Kanal Admin-Rechte hat, und ein Offboarding-Schritt, der den Zugriff am letzten Arbeitstag entzieht. Prüf das quartalsweise — unsere Social-Media-Audit-Checkliste enthält einen Zugriffs-Durchgang, und wer was darf, ist klarer, wenn die Rollen im Social-Media-Team aufgeschrieben statt vorausgesetzt sind.
Dann die Frage nach privaten Konten, die regulierte Branchen am stärksten trifft. Ein Berater, der von seinem eigenen Konto aus ein Produkt empfiehlt, eine Ärztin, die einen öffentlichen Beitrag einer Patientin kommentiert, ein Anwalt, der über ein laufendes Mandat spricht — jedes davon kann ein aufsichtsrechtlicher Vorfall sein, egal unter wessen Handle es passiert ist. Das gehört in deine schriftliche Social-Media-Richtlinie, ein Governance-Dokument, das sich von der Schritt-für-Schritt-Social-Media-SOP für den Alltag unterscheidet. Berufe mit Werbebeschränkungen — Kanzleien im Besonderen — brauchen einen ausdrücklichen Abschnitt zur privaten Nutzung, nicht eine allgemeine Zeile im Stil von „nutzt euren gesunden Menschenverstand".
Entscheide auch vorab, was passiert, wenn etwas schiefgeht: Wer kann die Queue pausieren, wer spricht, ob eine Korrektur ein neuer Beitrag oder eine Bearbeitung ist. Unser Leitfaden zum Social-Media-Krisenmanagement behandelt den Ablauf; das Compliance-spezifische Detail ist, dass die Korrektur und ihr Zeitpunkt Teil der Aufzeichnung sind — dokumentiere also die Entscheidung und nicht nur die Behebung. Dieses ganze Bündel ist es, was eine Richtlinie meint, wenn sie Social Media Governance sagt.
Fang hier an: der Aufbau in zwei Wochen
Du brauchst dafür kein Projekt. Zwei fokussierte Sessions und ein wiederkehrender Kalendereintrag:
Woche 1 — die Fakten klären.
- Stell deiner Aufsichtsbehörde oder deinem Anwalt drei Fragen schriftlich: Was braucht eine Vorabfreigabe, welchen Wortlaut brauchen werbliche Beiträge, und wie lange müssen Aufzeichnungen aufbewahrt werden.
- Liste jeden Kanal auf, den du betreibst, und wer auf welchem Admin-Rechte hat. Entferne alle, die nicht dort sein sollten.
- Leg deine Aufbewahrungsfrist fest und wo das Archiv liegen wird.
Woche 2 — den Prozess bauen.
- Schalte einen Freigabeschritt ein, damit nichts ohne eine benannte prüfende Person live geht, und setz Stufen, damit Beiträge mit geringem Risiko nicht hinter derselben Schranke hängen wie Promotions.
- Pack deinen vorgeschriebenen Offenlegungs-Wortlaut in eine Caption-Vorlage pro Plattform, damit sich niemand daran erinnern muss.
- Ergänze die Richtlinie um einen KI-Abschnitt: freigegebene Tools, erlaubte Anwendungen, wer die Ergebnisse prüft, wann du kennzeichnest.
- Mach den ersten Monatsexport und leg die Index-Tabelle an — oder häng einen Webhook dran und lass ihn laufen.
Dann quartalsweise: die Richtlinie neu lesen, die Zugriffsliste neu prüfen, zehn archivierte Beiträge stichprobenartig gegen das abgleichen, was live ist, und bestätigen, dass sich in den Vorgaben deiner Aufsichtsbehörde nichts bewegt hat. Trag es als wiederkehrenden 45-Minuten-Block ein — die Praxis, die überlebt, ist die mit einem festen Termin, nicht die mit guten Vorsätzen.
Nichts davon macht dich audit-sicher. Es bedeutet aber, dass du, wenn jemand fragt, wer einen Beitrag von vor vierzehn Monaten freigegeben hat und was darin stand, in fünf Minuten antworten kannst — was für eine kleine regulierte Firma bereits den größten Teil der Aufgabe ausmacht.