Fotos vom Firmenevent DSGVO-konform sammeln und teilen

Ein Foto, auf dem eine Person erkennbar ist, ist ein personenbezogenes Datum. Sobald das Unternehmen Fotos vom Firmenevent sammelt, speichert oder im Intranet zeigt, verarbeitet es Daten im Sinne der DSGVO und braucht dafür eine Rechtsgrundlage, Transparenz gegenüber den Betroffenen und eine Regel, wann die Fotos wieder gelöscht werden.

Das gilt auch, wenn die Fotos von den Mitarbeitenden selbst gemacht und in eine gemeinsame Galerie geladen werden. Verantwortlich ist dann nicht die Person mit dem Handy, sondern das Unternehmen, das die Galerie betreibt und entscheidet, was damit passiert.

Für Fotos auf Veranstaltungen nennen die Aufsichtsbehörden, etwa der Landesbeauftragte für den Datenschutz Baden-Württemberg und das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, in erster Linie das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO: Das Unternehmen dokumentiert seine Veranstaltung, die Teilnehmenden rechnen mit Fotos, und ihre Interessen überwiegen nicht, solange nichts Bloßstellendes gezeigt wird. Eine Einwilligung aller Gäste gilt bei großen Veranstaltungen als praktisch nicht umsetzbar.

Für die Veröffentlichung, etwa auf der Website oder in sozialen Netzwerken, ist die Lage strenger; hier kommt zusätzlich das Kunsturhebergesetz ins Spiel, und bei einzeln herausgestellten Personen ist eine Einwilligung der sichere Weg. Eine interne Galerie, die nur die Teilnehmenden sehen, ist deutlich weniger eingriffsintensiv als eine Veröffentlichung.

Bei Beschäftigten besteht ein Abhängigkeitsverhältnis, und die Behörden schauen bei Einwilligungen genau hin, ob sie freiwillig sind. Praktisch heißt das: Niemand darf Nachteile haben, wenn er nicht fotografiert werden möchte, und eine Einwilligung für die Veröffentlichung von Mitarbeiterfotos sollte dokumentiert und widerrufbar sein. Für die interne Galerie der Weihnachtsfeier reicht nach verbreiteter Auffassung das berechtigte Interesse mit transparenter Information; für die Verwendung im Marketing nicht.

Gib Mitarbeitenden eine einfache Möglichkeit, nicht fotografiert zu werden, zum Beispiel einen farbigen Anstecker oder ein Wort an die Organisation, und respektiere das auch bei den Fotos, die Kolleginnen und Kollegen hochladen.

Art. 13 DSGVO verlangt, dass Betroffene bei der Erhebung informiert werden. Für ein Firmenevent heißt das: ein Absatz in der Einladung, ein Hinweis am Eingang und ein Satz neben dem QR-Code zur Galerie. Inhalt: wer verantwortlich ist, wozu die Fotos verwendet werden, wer sie sehen kann, wie lange sie gespeichert werden, welcher Dienstleister sie speichert, und an wen man sich wendet, wenn man ein Foto entfernt haben möchte.

Die bayerischen Aufsichtsbehörden empfehlen ausdrücklich, Gäste vorab in der Einladung auf das Fotografieren hinzuweisen. Ein Formulierungsbeispiel: „Bei der Veranstaltung werden Fotos gemacht und in einer internen Galerie für die Teilnehmenden gesammelt. Wenn Sie nicht fotografiert werden möchten, sagen Sie uns am Eingang Bescheid. Fotos, auf denen Sie zu sehen sind, entfernen wir auf Wunsch.“

Schreib vor dem Event auf, wozu die Fotos dienen (Erinnerung für die Teilnehmenden, Intranet-Beitrag), wer darauf zugreifen darf (nur Teilnehmende über den Link, oder die ganze Belegschaft) und wann sie gelöscht werden (zum Beispiel drei Monate nach dem Event, nach Download einer Auswahl für das Archiv). Diese drei Sätze sind der Kern eures Verarbeitungsverzeichnisses für das Event.

Löschanfragen müssen schnell und ohne Diskussion erfüllt werden können. Wähle also ein Werkzeug, in dem du einzelne Fotos löschen kannst, und benenne eine Person, die das macht.

Wer die Fotos für euch speichert, ist Auftragsverarbeiter nach Art. 28 DSGVO. Prüfe drei Dinge: Gibt es einen Vertrag zur Auftragsverarbeitung oder entsprechende Bedingungen, wo liegen die Daten, und was macht der Dienst sonst noch mit ihnen. Ein Dienst, der Gesichter erkennt, Werbung schaltet oder Konten der Mitarbeitenden anlegt, verarbeitet mehr, als ihr braucht.

PICVIN speichert Fotos und Videos bei Cloudflare in der EU mit EU-Jurisdiktion, verarbeitet sie nur, um sie zu speichern, in der privaten Galerie anzuzeigen und zum Download bereitzustellen, und legt für Mitarbeitende kein Konto an: Sie scannen den QR-Code und laden im Browser hoch. Du löschst einzelne Fotos oder das ganze Event im Dashboard; nach Ablauf des Events und einer Übergangsfrist wird alles endgültig gelöscht. Du zahlst einmal pro Event, Standard 10,99 $, Premium 21,99 $ mit Videos, Permanent 54,99 $. Eine Live-Diashow und ein Logo-Branding gibt es nicht.

In Österreich gilt die DSGVO zusammen mit dem Datenschutzgesetz (DSG); die Grundsätze oben gelten unverändert, die Aufsichtsbehörde ist die Datenschutzbehörde in Wien. In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (revDSG), das in den Grundsätzen Transparenz, Zweckbindung und Verhältnismäßigkeit ähnlich ist, aber eigene Regeln für Information und Auskunft hat. Schweizer Unternehmen sprechen von „datenschutzkonform“ oder „DSG-konform“ und vom „Firmenanlass“.

Für alle drei Länder gilt: Speicherort in der EU ist ein Vorteil, ersetzt aber nicht die Information der Teilnehmenden und die Löschregel.

Zum Abhaken, vor und nach der Veranstaltung.

• Zweck, Zugriff und Löschfrist in drei Sätzen festgelegt und dokumentiert.
• Rechtsgrundlage benannt: berechtigtes Interesse für die interne Galerie, Einwilligung für Veröffentlichungen.
• Hinweis in der Einladung, am Eingang und neben dem QR-Code, mit Ansprechperson.
• Möglichkeit, nicht fotografiert zu werden, angeboten und an alle kommuniziert.
• Dienst mit Auftragsverarbeitung, EU-Speicherort und ohne Konten für Mitarbeitende gewählt.
• Galerie nur über Link oder QR-Code erreichbar, nicht öffentlich.
• Person benannt, die Löschanfragen innerhalb weniger Tage umsetzt.
• Nach der Löschfrist: Auswahl für das Archiv heruntergeladen, Event gelöscht, Löschung dokumentiert.