Ein Foto ist ein personenbezogenes Datum
Es klingt vielleicht überraschend, aber sobald eine Person auf einem Foto erkennbar ist, handelt es sich um ein personenbezogenes Datum unter der DSGVO. Es spielt keine Rolle, ob es ein professionelles Portrait oder ein schneller Schnappschuss mit dem Handy ist. Erkennbar = personenbezogenes Datum = DSGVO gilt.
Das betrifft:
- Fotos von Mitarbeitern auf Ihrer Unternehmenswebsite oder LinkedIn-Seite
- Fotos von Kunden oder Besuchern auf Instagram, Facebook oder TikTok
- Fotos von Teilnehmern bei Veranstaltungen, Schulungen oder Workshops
- Fotos von Personen in Ihrem Newsletter oder Marketingmaterial
Sie posten ein Foto vom Teamausflug, ein Stimmungsbild vom Tag der offenen Tür oder einen Instagram-Beitrag eines zufriedenen Kunden. Aber dürfen Sie das einfach so?
Wann es erlaubt ist: die zwei wichtigsten Rechtsgrundlagen
1. Einwilligung (Artikel 6(1)(a))
Die naheliegendste Rechtsgrundlage. Sie bitten die Person auf dem Foto vor der Veröffentlichung um Einwilligung. Klingt einfach, hat aber Tücken:
- Die Einwilligung muss spezifisch sein: “Ich willige ein, dass dieses Foto auf dem Instagram-Konto des Unternehmens X veröffentlicht wird”
- Die Einwilligung muss freiwillig erteilt werden: bei Mitarbeitern ist das wegen des Arbeitsverhältnisses schwierig; sie müssen wirklich ohne Konsequenzen ablehnen können
- Die Einwilligung ist widerrufbar: wenn jemand später sagt “Ich möchte, dass das Foto entfernt wird,” müssen Sie es löschen
- Mündliche Einwilligung ist gültig, aber schriftliche Einwilligung ist nachweisbar und daher dringend empfohlen
2. Berechtigtes Interesse (Artikel 6(1)(f))
In manchen Fällen können Sie Fotos auf Grundlage des berechtigten Interesses veröffentlichen, ohne ausdrückliche Einwilligung. Das gilt typischerweise für:
- Gruppenfotos bei einer öffentlichen Veranstaltung, bei der Teilnehmer vernünftigerweise damit rechnen konnten, fotografiert zu werden
- Stimmungsbilder, bei denen einzelne Personen nicht im Mittelpunkt stehen
- Berichterstattung über eine öffentliche Veranstaltung
Allerdings müssen Sie immer eine Interessenabwägung durchführen. Ihr Interesse (Werbung für Ihre Veranstaltung) muss das Privatsphäreinteresse der fotografierten Personen überwiegen. Und Sie müssen die Teilnehmer vorab informieren, dass fotografiert wird.
Der Unterschied: Gruppenfoto vs. Portrait
Diese Unterscheidung ist in der Praxis entscheidend:
Gruppenfoto bei einer öffentlichen Veranstaltung. Sie organisieren einen Networking-Empfang und machen ein Übersichtsfoto des Raums. Einzelne Personen stehen nicht im Mittelpunkt. Sie haben vorab kommuniziert, dass fotografiert wird. Berechtigtes Interesse kann hier eine gültige Rechtsgrundlage sein.
Portrait einer bestimmten Person. Sie machen eine Nahaufnahme eines Besuchers an Ihrem Stand und posten sie auf Instagram mit dem Text “Unsere Kunden sind begeistert!” Hier steht die Person im Mittelpunkt. Sie benötigen eine ausdrückliche Einwilligung.
Die Faustregel: Je erkennbarer und zentraler die Person im Bild ist, desto stärker ist die Anforderung an eine Einwilligung.
Durchsetzung: kein theoretisches Risiko
Aufsichtsbehörden haben bereits gegen sorglosen Umgang mit Fotos vorgegangen:
Griechisches Telekommunikationsunternehmen - 150.000 EUR (HDPA, 2020). Die griechische Behörde verhoengte ein Bußgeld gegen ein Telekommunikationsunternehmen, das Mitarbeiterfotos ohne gültige Einwilligung auf seiner Website veröffentlichte. Mitarbeiter gaben an, nicht zugestimmt zu haben oder dass die Einwilligung aufgrund von Druck der Geschäftsführung nicht freiwillig war.
Spanisches Fitnesscenter - 10.000 EUR (AEPD, 2022). Ein Fitnesscenter veröffentlichte Fotos von Mitgliedern auf Instagram ohne Einwilligung. Als ein Mitglied um Entfernung bat, dauerte es Wochen, bis das Center reagierte.
Praktische Dos und Don’ts
Was Sie TUN sollten
- Vorab informieren, dass fotografiert wird, z.B. mit einem Schild am Eingang der Veranstaltung
- Ausdrückliche Einwilligung einholen für Portraitfotos und Nahaufnahmen
- Einwilligung dokumentieren, vorzugsweise schriftlich oder über ein digitales Formular
- Schnell reagieren, wenn jemand die Entfernung eines Fotos verlangt
- Bei Fotos von Kindern besonders vorsichtig sein - immer die Einwilligung eines Elternteils oder Erziehungsberechtigten einholen
Was Sie NICHT tun sollten
- Fotos ohne jegliche Rechtsgrundlage veröffentlichen - weder Einwilligung noch berechtigtes Interesse
- Annehmen, dass Anwesenheit automatisch Einwilligung bedeutet für Nahaufnahmen in sozialen Medien
- Mitarbeiterfotos nach deren Ausscheiden verwenden, ohne zu prüfen, ob die Einwilligung noch gilt
- Löschungsanfragen ignorieren oder zu spät darauf reagieren
- Fotos mit Namen taggen ohne Einwilligung; dies verknüpft das Foto mit einem identifizierbaren Profil
Was sollten Sie jetzt regeln?
- Inventarisieren Sie, welche Fotos von Personen Sie in sozialen Medien und auf Ihrer Website haben
- Prüfen Sie, ob Sie für jedes Foto eine gültige Rechtsgrundlage haben
- Erstellen Sie eine Fotorichtlinie, die festlegt, wann Sie fotografieren, wie Sie Einwilligungen einholen und wie Sie mit Löschungsanfragen umgehen
- Schulen Sie Ihre Mitarbeiter, die für soziale Medien verantwortlich sind
- Dokumentieren Sie Ihre Verarbeitung von Fotos in Ihrem Verarbeitungsverzeichnis
GDPRWise erfasst automatisch, welche personenbezogenen Daten Sie erheben und teilen, einschließlich Bildmaterial auf Ihrer Website und in sozialen Medien. So wissen Sie genau, wo Sie stehen.