Eventfotografie & Datenschutz – best practice für Unternehmen
Datenschutzkonform Fotos auf einer Veranstaltung anfertigen und veröffentlichen

Wer auf einem Event oder einer Firmenveranstaltung Fotos von den Beteiligten und Besuchern anfertigt, benötigt sowohl für die Anfertigung der Fotos als auch für spätere Veröffentlichung der Fotos eine Rechtsgrundlage. Bis zum in Kraft treten der DSGVO war die Veröffentlichung von Personenbildnissen im Kunsturhebergesetz (KUG) geregelt und die Anfertigung von Fotos über das allgemeine Persönlichkeitsrecht.

Bei der Erstellung von digitalen Fotoaufnahmen von Personen, auf denen die Person erkennbar abgebildet ist, handelt es sich um eine Verarbeitung personenbezogener Daten im Sinne des Artikel 4 Nr. 2 EU-Datenschutzgrundverordnung (DSGVO).

Die Diskussion, ob die Regelungen des Kunsturhebergesetzes (KUG) die der DSGVO verdrängen, ist bei der bloßen Anfertigung der Fotos nicht relevant, da der Wortlaut des KUG eindeutig die Erstellung der Fotos nicht umfasst.

„Die Erstellung der Fotos richtet sich nach der DSGVO.“

Anders sieht es dagegen bei der Veröffentlichung von Fotos aus. Hier wird von vielen Datenschutzbehörden, Gerichten und in der Fachliteratur die Auffassung vertreten, dass das KUG zumindest bei der Veröffentlichung von Fotos zu journalistischen Zwecken die DSGVO verdrängt. Dieser Zweck wird im Rahmen der Eventfotografie häufig nicht vorliegen, oftmals verfolgt das Unternehmen mit der Veröffentlichung wirtschaftliche Zwecke.

Inwieweit das KUG aber die DSGVO auch für andere Zwecke verdrängt, wird ebenfalls diskutiert. Allerdings: Die geführte Diskussion schafft wenig Rechtsklarheit bei den Unternehmen.

Diese Sichtweise wird auch von einigen Aufsichtsbehörden für Datenschutz, z.B. dem Landesbeauftragten für Datenschutz in Niedersachen und dem Landesbeauftragten für Datenschutz und Akteneinsicht in Brandenburg derzeit vertreten. Eine konsolidierte Stellungnahme der Behörden in Gestalt eines Beschlusses der Datenschutzkonferenz etwa, steht derzeit allerdings noch aus.

Maßgeblich ist Artikel 6 DSGVO, wonach eine Anfertigung und Veröffentlichung der Fotoaufnahmen nur dann rechtmäßig ist, wenn eine der im Artikel 6 Abs.1 lit. a) - f) DSGVO genannten Rechtsgrundlagen herangezogen werden kann. Im Rahmen der Eventfotografie relevant sind hierbei vor allem

• Einwilligung der betroffenen Person (d.h. des Fotografierten) nach Artikel 6 Abs. 1 lit. a) DSGVO sowie
• Berechtigtes Interesse des Unternehmens nach Artikel 6 Abs.1 lit. f) DSGVO.

Eine saubere Abgrenzung der Rechtsgrundlagen ist nicht nur für die Dokumentation des Verarbeitungsvorgangs im Verarbeitungsverzeichnis erforderlich. Je nachdem welche Rechtsgrundlage einschlägig ist, werden an das Unternehmen als Verantwortlicher auch unterschiedliche Anforderungen gestellt, z.B. im Hinblick auf die wirksame Einholung einer Einwilligung und den Umgang mit Betroffenenrechten.

Nicht immer ist eine Einwilligung des Betroffenen vor Anfertigung der Fotoaufnahmen erforderlich. Häufig hat das Unternehmen ein sog. „berechtigtes Interesse“ an der Anfertigung und Veröffentlichung der Fotos. Als Anhaltspunkte zur Bestimmung des berechtigten Interesses können hier die Kriterien aus § 23 KUG dienen, wobei insbesondere im Bereich der Eventfotografie relevant sein dürfte, ob die abgebildete Person nur als Beiwerk erscheint (was insbesondere bei Fotos aus der Vogelperspektive „ins Geschehen hinein“ häufig der Fall ist).

Des Weiteren können u.a. die folgenden Überlegungen, die auf die Erwartungshaltung des Betroffenen abstellen, herangezogen werden:

Grundsätzlich gilt: Je transparenter das Unternehmen mit der Veranstaltungsfotografie umgeht und die Besucher informiert, je mehr der Kern des Geschehens und nicht nur einzelne Besucher ohne Schlüsselfunktion des Events fotografiert werden und je eher der Charakter der Veranstaltung eine begleitende Fotografie erwarten lässt, desto eher ist von einem berechtigten Interesse auszugehen.

Bitte beachten: wenn die so rechtmäßig gewonnenen Aufnahmen weiterverarbeitet werden sollen, (z.B. Veröffentlichung auf Social-Media-Kanälen), so ist diese Abwägung erneut vorzunehmen.

Während es vom berechtigten Interesse des Unternehmens gedeckt sein kann, einzelne Teilnehmer auf einer öffentlichen Veranstaltung zu fotografieren und deren Bilder zur Unternehmens-PR zu verarbeiten, kann im Einzelfall aber eine Einwilligung der betroffenen Person notwendig sein, wenn deren Bild darüber hinaus in einem anderen Kontext, z.B. in einer Werbebroschüre des Unternehmens verwendet werden soll.

„Sollen die Eventbilder zu Werbe- und Marketingzwecken veröffentlicht werden, sollte man von den Abgebildeten entweder eine Einwilligung einholen oder einen Vertrag mit diesen schließen.“

Vorrangig sollte immer geprüft werden, ob nicht ein Erlaubnistatbestand des Artikel 6 DSGVO einschlägig ist. In den Fällen, in denen eine Verarbeitung nicht auf eine Rechtsgrundlage, wie z.B. das berechtigte Interesse gestützt werden kann, ist die Einwilligung des Betroffenen einzuholen.

Generell sollte eine Einwilligung des Betroffenen aber nicht als das Mittel der Wahl angesehen werden. Denn der Betroffene kann seine Einwilligung grundsätzlich jederzeit mit Wirkung für die Zukunft ohne Angabe von Gründen widerrufen, ggf. hat dies zur Folge, dass Veröffentlichungen, auf denen der Betroffene abgebildet ist, dann zu vernichten und beispielsweise von Social Media Plattformen zu entfernen sind. Hiermit geht ein großer organisatorischer Aufwand für die Unternehmen einher.

Wenn dagegen ein berechtigtes Interesse der Unternehmen an der Veröffentlichung der Fotos vorliegt, so kann der Betroffene zwar der weiteren Verarbeitung seiner Daten widersprechen und dann die Löschung (Artikel 17 DSGVO) verlangen. An einen erfolgreichen Widerspruch (Artikel 21 Abs. 1 DSGVO) stellt die DSGVO aber erhöhte Anforderungen: Die betroffene Person muss Gründe vorbringen, die sich aus der besonderen Situation des Abgebildeten ergeben. Der Widerspruch ist also die Ausnahme, nicht die Regel. Insofern bietet das berechtigte Interesse für das Unternehmen weitaus mehr Planungs- und Rechtssicherheit als die Einwilligung.

Bitte beachten Sie: Dem Betroffenen steht ein Beschwerderecht bei der zuständigen Aufsichtsbehörde für Datenschutz zu. Im Hinblick auf potenziell empfindliche Sanktionen (z.B. Bußgelder), die durch die jeweils zuständige Datenschutzbehörde bei Datenschutzverstößen des Verantwortlichen (hierzu gehört auch die unrechtmäßige Verwehrung von Betroffenenrechten) verhängt werden können, ist immer eine Einzelfallbetrachtung notwendig, inwieweit dem Widerspruchsbegehren nachgekommen werden muss. Dies gilt insbesondere auch vor dem Hintergrund, dass der Betroffene unabhängig von den Sanktionen der Aufsichtsbehörde ggf. eigene Schadensersatzansprüche gegen das Unternehmen geltend machen kann.

Die Anforderungen an eine wirksame Einwilligung sind in Artikel 7 DSGVO definiert und werden durch Ausführungen insbesondere in Erwägungsgründen 32 und 43 der DSGVO konkretisiert. Demnach muss eine Einwilligung insbesondere

• Freiwillig und
• ausdrücklich (Opt-in) erteilt werden und muss
• nachweisbar
• verständlich, leicht zugänglich
• klar unterscheidbar von anderen Sachverhalten und
• jederzeit widerrufbar sein.

Unternehmen setzen diese Anforderungen um, indem Sie vor allem:

• Sicherstellen, dass zu verschiedenen Verarbeitungsvorgängen (z. B. wenn neben Fotos auch noch Direkt-Marketing an die Besucher der Events versendet werden soll) auch jeweils eine separate Einwilligung eingeholt wird.
• Die Erfüllung eines Vertrages (z.B. Zutritt zu einem Kongress) nicht von der Einwilligung zur Fotografie abhängig machen, wenn die Einwilligung für die Erfüllung des Vertrages nicht erforderlich ist.
• Eine ausdrückliche, dokumentierte (z.B. im CRM-System) Einwilligung einholen. Eine konkludente Einwilligung (z.B. „der Besucher stimmt zu, dass von ihm im Laufe der Veranstaltung auch Fotos angefertigt werden und diese vom Unternehmen für interne Zwecke und zu Werbezwecken eingesetzt werden können“) in AGB ist nicht zulässig.
• Widerrufskontakte schaffen innerhalb der Unternehmensorganisation und diese auch in der Einwilligungserklärung genannt werden (z.B. Widerruf per E-Mail an widerruf(@)xy.de).

Die Einwilligung wird am besten im Vorfeld der Veranstaltung bei der Anmeldung hierzu vom jeweiligen Besucher eingeholt. Dies geschieht häufig über eine separate Landing-Page, auf die der Besucher beispielsweise über einen Link in der Einladungsmail oder dem Posting in den sozialen Netzwerken geleitet wird. Neben der Anmeldung für die Veranstaltung kann so in einem extra Feld auch die Einwilligung für Fotoaufnahmen und die weitere Verarbeitungszwecke eingeholt werden. Vorteil dieser Methode ist die Dokumentation der Einwilligung und das vereinfachte Einwilligungsmanagement bei digital eingesammelten Einwilligungen.

Zusätzlich empfiehlt es sich, am Veranstaltungsort durch Aushänge und Hinweise auf die Anfertigung und die geplante Veröffentlichung der Fotos aufmerksam zu machen. Die Hinweise sollten am besten an Stellen mit viel Durchgangsverkehr (Eingang, Türen, Durchgänge, etc.) angebracht werden.

Bitte beachten Sie:  Der genaue Inhalt des Einwilligungsformulars richtet sich danach, wer Adressat der Einwilligung ist. Sollten Sie bei dem Entwurf einer Einwilligungserklärung und dem Aufsetzen eines Einwilligungsmanagements Unterstützung benötigen, können Sie uns gerne kontaktieren.

Grundsätzlich finden die beschriebenen Kriterien auch bei der Anfertigung und Veröffentlichung von Mitarbeiterfotos im Veranstaltungskontext Anwendung. Neben dem berechtigten Interesse und der Einwilligung kommt im Beschäftigungsverhältnis zudem § 26 Abs. 1 S. 1 BDSG in Betracht. Eine Anfertigung und Veröffentlichung von Mitarbeiterfotos sind dann rechtmäßig, wenn dies zur Erfüllung des Beschäftigungsverhältnisses erforderlich ist. Allerdings bleibt für diese Vorschrift nur ein sehr geringer Anwendungsspielraum, praktisch wird man die Verarbeitung auf die Einwilligung und in einzelnen Fällen auf das berechtigte Interesse stützen müssen.

Beispiel: Während die Veröffentlichung von Namen und Kontaktdaten auf der Unternehmenswebsite jedenfalls von Mitarbeitern mit Außenkontakt (z.B. Pressesprecher, Vertriebsleiter, Geschäftsführer) i.d.R. ohne Einwilligung möglich ist, ist für eine Veröffentlichung von Fotos grundsätzlich eine Einwilligung erforderlich. Dies gilt in der Regel sowohl für eine Veröffentlichung auf der Website wie auch im Firmenintranet. Auch Fotos von Betriebsfeiern dürfen ohne die Einwilligung des Mitarbeiters nicht veröffentlicht werden.

Wenn das Beschäftigungsverhältnis endet, darf mit der Expertise des Mitarbeiters und dessen Personenbildnis nicht weiter „geworben“ werden, so dass diese Bilder nach dessen Ausscheiden entfernt werden müssen. Allerdings: Wenn der Mitarbeiter auf einzelnen Fotos nicht in prominenter Position (z.B. Portrait, Nahaufnahme) zu erkennen ist, sondern nur der allgemeinen Illustration dient, dann bleibt die Einwilligung des Mitarbeiters auch nach Ende des Beschäftigungsverhältnisses grundsätzlich bestehen.

In diesen Fällen muss der Mitarbeiter dann die Einwilligung widerrufen. Vereinzelt wird in diesen Fällen seitens des Arbeitgebers eingewandt, dass eine bloße Beendigung des Beschäftigungsverhältnisses kein ausreichender Widerrufsgrund sei. Vor dem Hintergrund, dass der Widerruf der Einwilligung in der DSGVO aber grundlos möglich sein muss, ist es derzeit umstritten, inwieweit das arbeitsvertragliche Rücksichtnahmegebot das Widerrufsrecht ggf. eingrenzen kann.  Hierzu sind viele Faktoren (z.B. Formulierung der Einwilligungserklärung, ggf. vertragliche Absprachen mit dem Mitarbeiter) individuell zu berücksichtigen. Bei Widerruf einer Einwilligung müssen die Fotos gemäß Artikel 17 Abs. 1 lit. b) DSGVO grundsätzlich unverzüglich gelöscht werden.

Bitte beachten: Folgt man der Auffassung, dass das arbeitsvertragliche Rücksichtnahmegebot dem Arbeitgeber eine interessensgerechtere Bearbeitung des Widerrufsbegehrens ermöglicht, so könnte im Einzelfall ggf. z.B. zumindest bereits hergestelltes Werbematerial oder Firmenvideos noch verwendet werden. Diese Ansicht ist aber sehr umstritten und an weitere Voraussetzungen geknüpft, z.B. die Formulierung in der ursprünglichen Einwilligungserklärung etc.

Hierzu sollte aufgrund des datenschutzrechtlichen Haftungsrisikos des Unternehmens (neben aufsichtsbehördlichen Sanktionen kann der Betroffenen grundsätzlich auch Schadensersatz bei einer Verletzung der Betroffenenrechte geltend machen)  aber in jedem Fall eine Einzelfallentscheidung getroffen werden. Zudem gilt: Eine Entfernung des Bildes kann der Mitarbeiter allenfalls bei Einzelfotos geltend machen. Bei Gruppenfotos hingegen wird eine Unkenntlichmachung seines Bildes (Verpixelung) genügen.

Praxistipp: Will das Unternehmen Personenbildnisse langfristig, insbesondere zu werblichen Zwecken nutzen, dann sollte man mit den Abgebildeten einen Vertrag (Model-Release-Vertrag) schließen. Vorteil: Einen Vertrag kann der Abgebildete weder widerrufen noch widersprechen.

Vor allem die folgenden datenschutzrechtlichen To Do’s ergeben sich für Unternehmen im Kontext der Eventfotografie:

Über die Anfertigung und Verwendung muss in der Datenschutzerklärung (Artikel 13, 14 DSGVO informiert werden. Häufige Fragestellung hierbei:

Generell ist es empfehlenswert, den Besucher bereits bei der Anmeldung zur Veranstaltung über die beabsichtigte Fotografie zu informieren). Manchmal ist es dem Veranstalter nicht möglich, die Datenschutzerklärung vorab zur Verfügung zu stellen. Dann bietet sich ggf. eine sog. „Just-in-time“ Datenschutzerklärung an, um den Informationspflichten zu genügen. Ein Beispiel finden Sie hier.  Hierzu beraten wir Sie gerne vertieft.

Widersprüche bzw. Widerruf der Einwilligung muss geprüft und dokumentiert werden und entsprechend Folge geleistet werden. Dies setzt ein effektives Einwilligungsmanagement voraus. Ggf. sind der Datenschutzbeauftragte und die Rechtsabteilung einzubinden.

Es ist mit dem Datenschutzbeauftragten abzuklären, ob die Veranstaltungsfotografie als Datenverarbeitung im Verarbeitungsverzeichnis zu hinterlegen ist.