Fotos & DSGVO: Was gilt beim Datenschutz?

Das Erstellen von Fotos fällt unter die DSGVO, sobald Personen auf den Aufnahmen erkennbar sind. Dieser Beitrag erklärt, wann die DSGVO bei der Anfertigung und Veröffentlichung von Fotoaufnahmen greift und welche Rechtsgrundlagen in Betracht kommen. Er beleuchtet zudem das Verhältnis der DSGVO zum Kunsturhebergesetz (KUG) und zur KI-VO sowie die Konsequenzen bei etwaigen Verstößen.

Ist das Fotografieren eine Datenverarbeitung?

Bei Fotografien von erkennbaren Personen handelt es sich immer um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO. Für die nach der Legaldefinition erforderliche Identifizierbarkeit der abgelichteten Person ist nicht entscheidend, ob der Fotograf sie selbst kennt, sondern allein die abstrakte Möglichkeit der Bestimmung. Bei digitalen Aufnahmen werden neben den abgebildeten Personen zudem oft Metadaten wie Ort und Zeit der Aufnahme gespeichert.

Die Verarbeitung dieser Daten erfolgt bei digitalen Fotos automatisiert, weshalb die DSGVO gemäß Art. 2 Abs. 1 Anwendung findet. Bei der analogen Fotografie ist dies nicht automatisch der Fall. Sobald jedoch Abzüge in einem Ordner sortiert oder in ein Album geklebt werden, entsteht ein Dateisystem. Damit unterliegt auch die analoge Fotografie den Regeln der DSGVO, wenn keine Ausnahme besteht:

Wann die DSGVO bei Fotos keine Anwendung findet

Natürlich müssen sich jetzt nicht alle Leser/innen darüber Gedanken machen, Informationspflichten nachzukommen und Löschfristen einzuhalten. Denn: Die DSGVO gilt gemäß dem sogenannten Haushaltsprivileg (Art. 2 Abs. 2 c) DSGVO) nicht für Fotografien, die ausschließlich für persönliche oder familiäre Tätigkeiten angefertigt und genutzt werden.

Das bedeutet, die Bilder dürfen nur im (engen) privaten Kreis geteilt und nicht in sozialen Netzwerken mit unbeschränktem Zugriff veröffentlicht werden. Zudem muss ein persönlicher oder familiärer Bezug bestehen, wie bei Fotos von Angehörigen auf einer Familienfeier.

Das gezielte Fotografieren fremder Personen ist hingegen auch für rein private Zwecke unzulässig und fällt nicht unter die Haushaltsausnahme.

Werden Fotografien zu journalistischen Zwecken veröffentlicht, ist primär das Kunsturhebergesetz (KUG) anstelle der DSGVO maßgeblich – so urteilte das BGH bereits 2020 (Az.: VI ZR 246/19). Art. 85 Abs. 2 DSGVO erlaubt den Mitgliedstaaten also u. a. für die journalistische Datenverarbeitung Ausnahmen von den Grundsätzen nach der DSGVO vorzusehen. Der BGH sieht die §§ 22 und 23 KUG als eine solche abweichende Regelung an.

Welche Regelungen trifft die DSGVO für Fotos?

Findet die DSGVO nun aber Anwendung, bedarf es wie bei jeder Datenverarbeitung auch für das Anfertigen von Fotos einer Rechtsgrundlage. Dies gilt unabhängig davon, ob eine Person gezielt porträtiert oder nur als Teil einer Menschenmenge abgebildet wird.

Als Rechtsgrundlage kommen grundsätzlich in Betracht:

• Erfüllung eines Vertrages: Gemäß Art. 6 Abs. 1 lit. b) DSGVO ist die Anfertigung und ggf. auch Nutzung einer Aufnahme rechtmäßig, wenn sie zur Erfüllung eines Vertrages erforderlich ist. Dies ist insbesondere dann der Fall, wenn die Erstellung von Fotos selbst Vertragsgegenstand ist, beispielsweise bei der bezahlten Anfertigung von Bewerbungsfotos.
• Überwiegende berechtigte Interessen: Häufig kann die Verarbeitung auf überwiegende berechtigte Interessen nach Art. 6 Abs. 1 lit. f) DSGVO gestützt werden. Dies umfasst oftmals sowohl das Anfertigen der Aufnahme selbst als auch die nachträgliche Veröffentlichung. Künstlerische oder dokumentarische Zwecke, etwa bei Architekturaufnahmen mit Passanten als Beiwerk, können solche überwiegende Interessen sein. Auch bei Fotos von Veranstaltungen wird oft ein überwiegendes Interesse des Fotografen angenommen, insbesondere dann, wenn es sich um eine öffentlich zugängliche Veranstaltung handelt. Die Interessen der abgebildeten Personen können jedoch überwiegen, insbesondere bei einer Veröffentlichung in sozialen Netzwerken oder wenn Kinder fotografiert werden.
• Einwilligung: Für Aufnahmen von Kindern ist stets die Einwilligung der Erziehungsberechtigten erforderlich. Aber auch bei Fotos der eigenen Beschäftigten für die Unternehmens-Website oder interne Organigramme ist üblicherweise die Einwilligung (Art. 6 Abs. 1 lit. a) DSGVO) der Betroffenen erforderlich. Eine Einwilligung kann auch durch schlüssiges Verhalten (konkludent) erfolgen, etwa durch Posieren für die Kamera. Im Zweifel muss der Fotograf jedoch die Einwilligung nachweisen können und die betroffene Person über ihr jederzeitiges Widerrufsrecht (Art. 7 Abs. 3 DSGVO) informieren.

Neben dem Erfordernis einer tauglichen Rechtsgrundlage gelten auch alle weiteren Regelungen der DSGVO. Dazu gehören u.a. die Informationspflichten gegenüber den Betroffenen, insbesondere über eine geplante Veröffentlichung. Bei großen Menschenmengen kann die individuelle Information unmöglich sein, weshalb Aufsichtsbehörden hier von einer Informationspflicht absehen (Art. 14 Abs. 5 lit. b) Satz 1 DSGVO). Betroffenenrechte wie das Recht auf Löschung nach einem Widerruf der Einwilligung (Art. 17 Abs. 1 lit. b) DSGVO) müssen verantwortliche Stellen ebenfalls zu beachten.

Vergleich zum KUG

Bereits vor Inkrafttreten der DSGVO wurde das Recht am eigenen Bild durch das KUG geschützt. Und auch nach § 22 S. 1 KUG bedarf es in der Regel einer Einwilligung der abgebildeten Person, wenn eine Aufnahme veröffentlicht werden soll:

„Bildnisse dürfen nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden.“

Verbreitung meint die Weitergabe von körperlichen Vervielfältigungsstücken (z. B. Bücher, Plakate), während die öffentliche Zurschaustellung die unkörperliche Wiedergabe in Medien wie dem Internet bezeichnet. Grundsätzlich ist also eine Einwilligung nötig, es sei denn, eine der Ausnahmen nach § 23 Abs. 1 KUG greift:

• Bildnisse aus dem Bereich der Zeitgeschichte,
• Bilder, auf denen die Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen,
• Bilder von Versammlungen, Aufzügen und ähnlichen Vorgängen, an denen die dargestellten Personen teilgenommen haben,
• Bildnisse, die nicht auf Bestellung angefertigt sind, sofern die Verbreitung oder Schaustellung einem höheren Interesse der Kunst dient.

Diese Ausnahmen gelten jedoch nicht absolut. Gemäß § 23 Abs. 2 KUG muss stets eine Interessenabwägung stattfinden, um sicherzustellen, dass keine berechtigten Interessen der abgebildeten Person verletzt werden – ähnlich also dem Art. 6 Abs. 1 lit. f) DSGVO. Man spricht hier von einem abgestuften Schutzkonzept, bei dem Kriterien wie der Bekanntheitsgrad der Person und der Informationswert der Aufnahme eine Rolle spielen.

Sind KUG und DSGVO gemeinsam anwendbar?

Für Bildnisse, die unter das Medienprivileg fallen (journalistische, wissenschaftliche, künstlerische Zwecke), ist die Rechtslage durch die Rechtsprechung des BGH weitgehend geklärt: Hier gelten die §§ 22, 23 KUG vorrangig.

Nicht ganz abschließend geklärt ist jedoch die Situation bei Veröffentlichungen, die nicht unter dieses Privileg fallen, wie beispielsweise Fotos für werbliche Zwecke oder die Öffentlichkeitsarbeit von Unternehmen und Vereinen.

Einige Stimmen argumentieren, dass die §§ 22, 23 KUG auch hier direkt anwendbar sein könnten. Soweit die Veröffentlichung auf berechtigte Interessen gestützt werden kann, ist der Streit aber eher akademischer Natur. Denn die Wertungen des § 23 KUG könnten in die Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO einbezogen werden, was im Ergebnis kaum einen Unterschied macht.

Ein relevanter Unterschied zwischen den Gesetzen besteht jedoch bei der Einwilligung. Während die Einwilligung nach der DSGVO jederzeit frei widerrufbar ist (Art. 7 Abs. 3 DSGVO), ist sie das nach dem KUG nur ausnahmsweise, da sie grundsätzlich bindend wirke. Überwiegend wird das Vorliegen eines wichtigen Grundes gefordert, teilweise wird § 42 UrhG analog herangezogen. Um das Risiko eines Bußgeldes nach der DSGVO zu vermeiden, sollte man im Zweifel vorsichtshalber von der freien Widerrufbarkeit der Einwilligung ausgehen.

Der Einfluss von KI auf Fotos

Ein zunehmend wichtiger Aspekt beim Thema Fotos ist der Einsatz Künstlicher Intelligenz (KI). Viele KI-Dienste werten Fotos zu eigenen Zwecken aus (z. B. zur Erkennung von Personen, Emotionen oder Verhaltensmustern), sondern verwenden sie auch zum Training ihrer Modelle. Verantwortliche müssen deshalb sehr genau prüfen, auf welcher Rechtsgrundlage solche Verarbeitungen beruhen, wie Betroffene darüber informiert werden und wie Auskunfts-, Widerspruchs- und Löschrechte umgesetzt werden können.

Hinzu kommt, dass die KI‑Verordnung (KI‑VO / AI Act) zusätzliche Transparenzpflichten vorsieht: Wer KI‑Systeme einsetzt, die Bild‑, Ton- oder Videoinhalte erzeugen oder manipulieren und damit sog. „Deepfakes“ erstellen, muss klar kennzeichnen, dass diese Inhalte künstlich erzeugt oder verändert wurden (s. Art. 50 Abs. 4):

„Betreiber eines KI‑Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.“

KI-gestützte Bildmanipulationen („Deepfakes“) und realitätsnahe Fotomontagen berühren darüber hinaus das Recht am eigenen Bild und das allgemeine Persönlichkeitsrecht, wie es u. a. durch das KUG geschützt wird: Täuschende oder rufschädigende KI-Bilder können nicht nur datenschutzrechtliche, sondern auch zivil- und strafrechtliche Folgen haben.

Wer heute mit Fotos arbeitet – ob im Unternehmen, in der Öffentlichkeitsarbeit oder im kreativen Bereich – sollte deshalb KI-Funktionen und -Dienste nicht als „neutrale Werkzeuge“ betrachten, sondern als Verarbeitungsvorgänge mit eigenständigen, oft erhöhten Datenschutzrisiken, die in die Planung, Dokumentation und Risikobewertung (z. B. durch eine Datenschutz-Folgenabschätzung) einbezogen werden müssen. Verantwortliche sollten daher genau prüfen, welche KI-Tools sie für die Verarbeitung von Fotos einsetzen, welche Datenflüsse damit verbunden sind und ob die gewählten Lösungen mit den Vorgaben der DSGVO oder auch der KI-VO vereinbar sind.

Welche Sanktionen drohen bei Verstößen?

Verstöße können Sanktionen aus verschiedenen Gesetzen nach sich ziehen. Das Strafrecht ahndet bestimmte Handlungen besonders schwer. So bestraft § 201a StGB das Fotografieren von Personen in geschützten Bereichen oder hilflosen Lagen (der „Gaffer“-Paragraph) mit Freiheitsstrafe bis zu zwei Jahren. Auch das sogenannte Upskirting und Downblousing ist nach § 184k StGB strafbar. In Planung steht außerdem eine Lücke für gezielte Aufnahmen in öffentlichen Bereichen, wie Saunen und Badeseen zu schließend und solche Aufnahmen ebenfalls unter Strafe zu stellen.

Zudem wird die unbefugte Verbreitung von Bildnissen entgegen der Voraussetzungen der §§ 22, 23 KUG gemäß § 33 KUG mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe geahndet.

Zusätzlich zu den strafrechtlichen Folgen sieht die DSGVO empfindliche Sanktionen vor. Nach Art. 83 DSGVO können hohe Bußgelder verhängt werden, und Betroffene können nach Art. 82 DSGVO Ersatz für materielle sowie immaterielle Schäden fordern. Aus dem KUG und dem Bürgerlichen Gesetzbuch (BGB) ergeben sich darüber hinaus zivilrechtliche Ansprüche wie Unterlassung, Beseitigung, Schadensersatz oder die Herausgabe und/oder Vernichtung der Aufnahmen.

Datenschutz bei Fotos: Die Rechtslage ist überschaubar

Wer erkennbare Personen fotografiert, verarbeitet stets (auch) personenbezogene Daten. Zwar passen die Anforderungen der DSGVO nicht immer ideal zum Prozess des Fotografierens, doch die Aufsichtsbehörden zeigen glücklicherweise pragmatische Lösungsansätze, etwa indem sie bei großen Menschenansammlungen von der individuellen Informationspflicht absehen.

Das Kunsturhebergesetz bleibt aufgrund der gefestigten Rechtsprechung für Veröffentlichungen im journalistischen Bereich vorrangig anwendbar. Außerhalb des Medienprivilegs, insbesondere in der Werbung, ist die Anwendbarkeit des KUG allerdings immer noch nicht abschließend geklärt. Stützt man sich jedoch auf berechtigte Interessen nach der DSGVO, führt die Abwägung nach den beiden Gesetzen im Ergebnis kaum zu Unterschieden. Bei der Einwilligung hingegen sollte entgegen dem KUG zur Sicherheit von deren freier Widerrufbarkeit ausgegangen werden.