Fotografien und DSGVO: Was ist zu beachten

Wer heute ein Foto macht, denkt selten an den Datenschutz. Dabei ist die Rechtslage klar: Sobald auf einer Aufnahme eine erkennbare Person abgebildet ist, ist die Datenschutzgrundverordnung (DSGVO) zu prüfen. Das Fotografieren wird damit zur Datenverarbeitung im rechtlichen Sinne – mit allen Konsequenzen, die das nach sich zieht. Für Privatpersonen, Unternehmen, Vereine und Journalisten gelten dabei unterschiedliche Regeln, die es lohnt, genauer zu betrachten.

Warum Fotografieren eine Datenverarbeitung ist

Der Grund ist denkbar einfach: Jede Fotographie  oder jedes Foto einer erkennbaren Person enthält personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Entscheidend ist dabei nicht, ob der Fotograf die abgebildete Person persönlich kennt, sondern allein die abstrakte Möglichkeit, sie zu identifizieren. Bei digitalen Aufnahmen kommen in der Regel noch Metadaten hinzu - also Ort, Uhrzeit und Geräteinformationen. Fotos und DSGVO sind damit bei digitalen Aufnahmen automatisch relevant, weil die Verarbeitung technisch automatisiert erfolgt. Bei analogen Fotos gilt die DSGVO dann, wenn die Abzüge geordnet aufbewahrt werden, etwa in einem Album oder einem sortierten Ordner, und damit ein Dateisystem entsteht.

Wann die DSGVO nicht gilt: Das Haushaltsprivileg

Keine Regel ohne Ausnahme. Das sogenannte Haushaltsprivileg nach Art. 2 Abs. 2 lit. c) DSGVO schützt rein private Aufnahmen. Wer Familienfotos im engen Kreis teilt, muss sich keine Gedanken über Informationspflichten oder Löschfristen machen. Der entscheidende Punkt: Die Bilder dürfen nicht in sozialen Netzwerken mit offenem Zugang veröffentlicht werden, und es muss ein echter persönlicher oder familiärer Bezug bestehen. Fotos und DSGVO bleiben also im Familienbereich weitgehend unproblematisch, solange die Aufnahmen wirklich privat bleiben. Das gezielte Fotografieren unbekannter Personen für private Zwecke fällt hingegen nicht unter diese Ausnahme.

Für journalistische Veröffentlichungen gilt ebenfalls eine wichtige Ausnahme: Hier greift vorrangig das Kunsturhebergesetz (KUG), wie der Bundesgerichtshof bereits 2020 klargestellt hat (Az. VI ZR 246/19). So erlaubt der Art. 85 Abs. 2 DSGVO den Mitgliedstaaten ausdrücklich, für die journalistische Datenverarbeitung Abweichungen von der DSGVO zuzulassen.

Rechtsgrundlagen: Auf welcher Basis darf fotografiert werden?

Drei Rechtsgrundlagen nach DSGVO kommen dabei besonders häufig in Betracht:

Die erste ist die Vertragserfüllung nach Art. 6 Abs. 1 lit. b) DSGVO. Wer bezahlte Bewerbungsfotos anfertigt, verarbeitet Daten zur Erfüllung eines Vertrages – das ist datenschutzrechtlich unproblematisch.

Die zweite und in der Praxis häufigste Grundlage sind überwiegende berechtigte Interessen nach Art. 6 Abs. 1 lit. f) DSGVO. Bei öffentlich zugänglichen Veranstaltungen, Architekturaufnahmen mit Passanten als Beiwerk oder dokumentarischen Aufnahmen kann das berechtigte Interesse des Fotografen die Interessen der abgebildeten Personen überwiegen. Dies ist allerdings stets eine Abwägungsentscheidung im Einzelfall – bei Kindern oder Veröffentlichungen in sozialen Netzwerken können die Interessen der Betroffenen schnell überwiegen.

Die dritte Grundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO. Sie ist zwingend erforderlich, wenn Kinder fotografiert werden – hier ist stets die Zustimmung der Erziehungsberechtigten notwendig. Auch bei Mitarbeiterfotos für die Unternehmenswebsite oder interne Organigramme ist in der Regel eine ausdrückliche Einwilligung erforderlich. Wichtig: Die Einwilligung kann auch durch konkludentes Verhalten erteilt werden – etwa durch bewusstes Posieren für die Kamera. Der Fotograf muss die Einwilligung jedoch im Zweifel nachweisen können.

Fotos und DSGVO im Verhältnis zum Kunsturhebergesetz

Lange vor der DSGVO schützte das Kunsturhebergesetz das Recht am eigenen Bild. Nach § 22 S. 1 KUG dürfen Bildnisse grundsätzlich nur mit Einwilligung der abgebildeten Person veröffentlicht werden. Ausnahmen existieren etwa für Aufnahmen aus dem Bereich der Zeitgeschichte, für Bilder, auf denen Personen nur als Beiwerk erscheinen, oder für Aufnahmen von Versammlungen. Diese Ausnahmen gelten jedoch nicht absolut – § 23 Abs. 2 KUG verlangt stets eine individuelle Interessenabwägung.

Im journalistischen Bereich ist durch den BGH weitgehend geklärt, dass das KUG vorrangig gilt. Außerhalb des Medienprivilegs – etwa bei Werbung oder Öffentlichkeitsarbeit – ist die Frage noch nicht abschließend entschieden. Fotos und DSGVO sowie KUG können hier nebeneinander anwendbar sein, was in der Praxis aber selten zu unterschiedlichen Ergebnissen führt, solange man sich auf berechtigte Interessen stützt.

Ein echter Unterschied besteht jedoch bei der Einwilligung: Während sie nach der DSGVO jederzeit frei widerrufbar ist, gilt sie nach dem KUG grundsätzlich als bindend und kann nur bei Vorliegen eines wichtigen Grundes zurückgenommen werden. Im Zweifel sollte man zugunsten der freien Widerrufbarkeit handeln, um das Risiko eines DSGVO-Bußgeldes zu vermeiden.

KI verändert die Risikolage bei Fotos und DSGVO

Ein zunehmend wichtiges Thema im Kontext von Fotos und DSGVO ist der Einsatz künstlicher Intelligenz. Viele KI-Dienste analysieren Aufnahmen, erkennen Personen, werten Emotionen aus oder trainieren Modelle auf Basis der hochgeladenen Bilder. Wer KI-Tools in die Bildverarbeitung einbindet, muss prüfen, auf welcher Rechtsgrundlage das geschieht und wie Betroffene informiert werden.

Hinzu kommen die Transparenzpflichten aus dem AI Act: Wer KI-Systeme nutzt, die Bilder, Töne oder Videos erzeugen oder manipulieren und damit sogenannte Deepfakes erstellen, muss dies nach Art. 50 Abs. 4 KI-VO offenlegen. KI-gestützte Bildmanipulationen berühren zudem das allgemeine Persönlichkeitsrecht und können neben datenschutzrechtlichen auch zivil- und strafrechtlichen Konsequenzen haben.

Sanktionen bei Verstößen

Verstöße gegen die Regeln rund um Fotos und DSGVO können erhebliche Folgen haben. Strafrechtlich relevant sind etwa Aufnahmen in geschützten Bereichen oder hilflosen Lagen nach § 201a StGB – hier drohen Freiheitsstrafen bis zu zwei Jahren. Die unbefugte Verbreitung von Bildnissen entgegen den § 22, § 23 KUG ist nach § 33 KUG ebenfalls strafbar. Daneben sieht die DSGVO nach Art. 83 empfindliche Bußgelder vor, und Betroffene können nach Art. 82 DSGVO Schadensersatz für materielle wie immaterielle Schäden verlangen. Zivilrechtlich kommen darüber hinaus Unterlassungs-, Beseitigungs- und Schadensersatzansprüche nach KUG und BGB in Betracht.

Fotos und DSGVO lassen sich mit dem richtigen Wissen gut handhaben

Die Rechtslage zu Fotos und DSGVO ist komplexer als viele annehmen, aber in der Praxis gut handhabbar. Wer erkennbare Personen fotografiert, verarbeitet personenbezogene Daten und braucht dafür eine Rechtsgrundlage. Private Aufnahmen im engen Familienkreis sind ausgenommen, journalistische Veröffentlichungen fallen vorrangig unter das KUG. Für alle anderen Fälle gilt: sorgfältige Abwägung, transparente Kommunikation gegenüber Betroffenen und – wo nötig – eine nachweisbare Einwilligung. Wer diese Grundsätze beachtet, ist datenschutzrechtlich auf der sicheren Seite.