Ein Foto ist ein personenbezogenes Datum
Es klingt vielleicht ueberraschend, aber sobald eine Person auf einem Foto erkennbar ist, handelt es sich um ein personenbezogenes Datum unter der DSGVO. Es spielt keine Rolle, ob es ein professionelles Portrait oder ein schneller Schnappschuss mit dem Handy ist. Erkennbar = personenbezogenes Datum = DSGVO gilt.
Das betrifft:
- Fotos von Mitarbeitern auf Ihrer Unternehmenswebsite oder LinkedIn-Seite
- Fotos von Kunden oder Besuchern auf Instagram, Facebook oder TikTok
- Fotos von Teilnehmern bei Veranstaltungen, Schulungen oder Workshops
- Fotos von Personen in Ihrem Newsletter oder Marketingmaterial
Sie posten ein Foto vom Teamausflug, ein Stimmungsbild vom Tag der offenen Tuer oder einen Instagram-Beitrag eines zufriedenen Kunden. Aber duerfen Sie das einfach so?
Wann es erlaubt ist: die zwei wichtigsten Rechtsgrundlagen
1. Einwilligung (Artikel 6(1)(a))
Die naheliegendste Rechtsgrundlage. Sie bitten die Person auf dem Foto vor der Veroeffentlichung um Einwilligung. Klingt einfach, hat aber Tuecken:
- Die Einwilligung muss spezifisch sein: “Ich willige ein, dass dieses Foto auf dem Instagram-Konto des Unternehmens X veroeffentlicht wird”
- Die Einwilligung muss freiwillig erteilt werden: bei Mitarbeitern ist das wegen des Arbeitsverhaeltnisses schwierig; sie muessen wirklich ohne Konsequenzen ablehnen koennen
- Die Einwilligung ist widerrufbar: wenn jemand spaeter sagt “Ich moechte, dass das Foto entfernt wird,” muessen Sie es loeschen
- Muendliche Einwilligung ist gueltig, aber schriftliche Einwilligung ist nachweisbar und daher dringend empfohlen
2. Berechtigtes Interesse (Artikel 6(1)(f))
In manchen Faellen koennen Sie Fotos auf Grundlage des berechtigten Interesses veroeffentlichen, ohne ausdrueckliche Einwilligung. Das gilt typischerweise fuer:
- Gruppenfotos bei einer oeffentlichen Veranstaltung, bei der Teilnehmer vernuenftigerweise damit rechnen konnten, fotografiert zu werden
- Stimmungsbilder, bei denen einzelne Personen nicht im Mittelpunkt stehen
- Berichterstattung ueber eine oeffentliche Veranstaltung
Allerdings muessen Sie immer eine Interessenabwaegung durchfuehren. Ihr Interesse (Werbung fuer Ihre Veranstaltung) muss das Privatsphaereinteresse der fotografierten Personen ueberwiegen. Und Sie muessen die Teilnehmer vorab informieren, dass fotografiert wird.
Der Unterschied: Gruppenfoto vs. Portrait
Diese Unterscheidung ist in der Praxis entscheidend:
Gruppenfoto bei einer oeffentlichen Veranstaltung. Sie organisieren einen Networking-Empfang und machen ein Uebersichtsfoto des Raums. Einzelne Personen stehen nicht im Mittelpunkt. Sie haben vorab kommuniziert, dass fotografiert wird. Berechtigtes Interesse kann hier eine gueltige Rechtsgrundlage sein.
Portrait einer bestimmten Person. Sie machen eine Nahaufnahme eines Besuchers an Ihrem Stand und posten sie auf Instagram mit dem Text “Unsere Kunden sind begeistert!” Hier steht die Person im Mittelpunkt. Sie benoetigen eine ausdrueckliche Einwilligung.
Die Faustregel: Je erkennbarer und zentraler die Person im Bild ist, desto staerker ist die Anforderung an eine Einwilligung.
Durchsetzung: kein theoretisches Risiko
Aufsichtsbehoerden haben bereits gegen sorglosen Umgang mit Fotos vorgegangen:
Griechisches Telekommunikationsunternehmen - 150.000 EUR (HDPA, 2020). Die griechische Behoerde verhoengte ein Bussgeld gegen ein Telekommunikationsunternehmen, das Mitarbeiterfotos ohne gueltige Einwilligung auf seiner Website veroeffentlichte. Mitarbeiter gaben an, nicht zugestimmt zu haben oder dass die Einwilligung aufgrund von Druck der Geschaeftsfuehrung nicht freiwillig war.
Spanisches Fitnesscenter - 10.000 EUR (AEPD, 2022). Ein Fitnesscenter veroeffentlichte Fotos von Mitgliedern auf Instagram ohne Einwilligung. Als ein Mitglied um Entfernung bat, dauerte es Wochen, bis das Center reagierte.
Praktische Dos und Don’ts
Was Sie TUN sollten
- Vorab informieren, dass fotografiert wird, z.B. mit einem Schild am Eingang der Veranstaltung
- Ausdrueckliche Einwilligung einholen fuer Portraitfotos und Nahaufnahmen
- Einwilligung dokumentieren, vorzugsweise schriftlich oder ueber ein digitales Formular
- Schnell reagieren, wenn jemand die Entfernung eines Fotos verlangt
- Bei Fotos von Kindern besonders vorsichtig sein - immer die Einwilligung eines Elternteils oder Erziehungsberechtigten einholen
Was Sie NICHT tun sollten
- Fotos ohne jegliche Rechtsgrundlage veroeffentlichen - weder Einwilligung noch berechtigtes Interesse
- Annehmen, dass Anwesenheit automatisch Einwilligung bedeutet fuer Nahaufnahmen in sozialen Medien
- Mitarbeiterfotos nach deren Ausscheiden verwenden, ohne zu pruefen, ob die Einwilligung noch gilt
- Loeschungsanfragen ignorieren oder zu spaet darauf reagieren
- Fotos mit Namen taggen ohne Einwilligung; dies verknuepft das Foto mit einem identifizierbaren Profil
Was sollten Sie jetzt regeln?
- Inventarisieren Sie, welche Fotos von Personen Sie in sozialen Medien und auf Ihrer Website haben
- Pruefen Sie, ob Sie fuer jedes Foto eine gueltige Rechtsgrundlage haben
- Erstellen Sie eine Fotorichtlinie, die festlegt, wann Sie fotografieren, wie Sie Einwilligungen einholen und wie Sie mit Loeschungsanfragen umgehen
- Schulen Sie Ihre Mitarbeiter, die fuer soziale Medien verantwortlich sind
- Dokumentieren Sie Ihre Verarbeitung von Fotos in Ihrem Verarbeitungsverzeichnis
GDPRWise erfasst automatisch, welche personenbezogenen Daten Sie erheben und teilen, einschliesslich Bildmaterial auf Ihrer Website und in sozialen Medien. So wissen Sie genau, wo Sie stehen.