In der DSGVO gilt die sogenannte Haushaltsausnahme für Privatpersonen. Doch was bedeutet das konkret für den Einzelnen? Anhand von verschiedenen Beispielen wird in diesem Beitrag aufgearbeitet, bei welchen Tätigkeiten auch Privatpersonen die DSGVO zu beachten haben.
Der Inhalt im Überblick
Sachlicher Anwendungsbereich der DSGVO
In Art. 2 Abs. 2 lit. c DSGVO ist geregelt, dass diese keine Anwendung findet, wenn es um die Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten geht (Haushaltsausnahme). Doch wann genau ist eine Tätigkeit ausschließlich persönlich oder familiär? Dieser Beitrag dient dazu aufzuzeigen, wo genau die Grenze der Haushaltsausnahme verläuft.
Hier gilt die DSGVO nicht:
Im Folgenden eine exemplarische Aufzählung einiger Situationen, in denen die DSGVO nicht gilt.
Private Telefon- und Adressverzeichnisse
Bei privaten Telefon- und Adressverzeichnissen (wie. z.B. den auf dem Smartphone gespeicherten Kontaktdaten) findet die DSGVO keine Anwendung. Wichtig bei dieser Beurteilung ist aber, dass kein Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit besteht. So betont auch das bayrische LDA, dass solche Listen nur dann vom Anwendungsbereich der DSGVO ausgeschlossen sind, wenn in den Verzeichnissen nur Verwandte und Bekannte enthalten sind (FAQ LDA Bayern, Gilt das Datenschutzrecht auch im privaten Bereich?). Man kann das auch dem Gesetzeswortlaut entnehmen. In Art. 2 Abs. 2 lit. c DSGVO ist nämlich festgelegt, dass es sich um ausschließlich persönlichen bzw. familiäre Tätigkeiten handeln muss, damit die Haushaltsausnahme greift.
Private Social Media Accounts
Ein Social Media Account (wie Facebook) kann so benutzt werden, dass die DSGVO keine Rolle spielt. Wichtig ist zunächst, dass mit dem Account nur die Darstellung der eigenen Person bezweckt sein darf (FAQ LDA Bayern, Gilt das Datenschutzrecht auch im privaten Bereich?). Dass die DSGVO in diesen Fällen keine Anwendung finden soll, wurde auch ausdrücklich in Erwägungsgrund 18 DSGVO klargestellt. Aber auch dort findet sich die Festlegung, dass die Nutzung sozialer Netzwerke nur dann vom Anwendungsbereich der DSGVO ausgeschlossen sein soll, wenn diese im Rahmen von persönlichen oder familiären Tätigkeiten erfolgt. Bei Bildaufnahmen oder Videoaufnahmen, die auf solchen Netzwerken geteilt werden, ergeben sich insofern Zuordnungsschwierigkeiten. Mehr dazu im nächsten Abschnitt „Hier gilt die DSGVO“.
Urlaubsfotos und sonstige Aufnahmen von Freunden und Familie
Auch bei der Anfertigung von Urlaubsfotos von Freunden und Familie muss die DSGVO grundsätzlich nicht beachtet werden (FAQ LDA Bayern, Gilt das Datenschutzrecht auch im privaten Bereich?). Gleiches gilt für sonstige private Aufnahmen, auf denen beispielsweise Familienmitglieder abgebildet sind.
Videokamera-Aufnahmen privater Bereiche
Bei Videokamera-Aufnahmen kommt es auf den aufgezeichneten Bereich an. Sobald der öffentliche Raum durch ein automatisiertes Kamerasystem erfasst wird, kann eine Zuordnung zum ausschließlich persönlichen Bereich nicht mehr erfolgen. Das bedeutet, dass man bei der Installation einer Videoüberwachung an der eigenen (privaten) Hauswand genau darauf achten muss, dass diese nur das eigene Grundstück aufzeichnet und nicht den öffentlichen Raum. Mehr zu der Frage, ab wann der Öffentliche Raum als aufgezeichnet gilt, im nächsten Abschnitt „Hier gilt die DSGVO“.
Hier gilt die DSGVO:
Im Folgenden eine exemplarische Aufzählung einiger Situationen, in denen die DSGVO gilt.
Veröffentlichung von Fotos im großen Kreis
Die DSGVO kann relevant werden, wenn Fotos von Freunden und der Familie in den sozialen Medien veröffentlicht werden oder an einen größeren Kreis von Empfängern außerhalb des familiären Umfelds versendet werden.
Bei der privaten Social Media Nutzung kann es vorkommen, dass eine Privatperson eine sehr hohe Zahl von Freunden oder Followern hat, zu denen nicht in jedem Fall ein persönliches Verhältnis besteht. Die Grenzen zwischen eigenen Freunden und den Bekannten oder Verwandten von Freunden sind hier oft fließend. Es kann nicht immer klar bestimmt werden, wann zu einer Person wirklich noch ein persönliches oder familiäres Verhältnis besteht und wann nicht. Teilweise besteht auch eine Interaktion mit Funktionsaccounts von größeren Firmen, hinter denen keine Privatperson steht. Es gibt auch bei einigen Diensten wie z.B. YouTube oder Instagram, die Möglichkeit, Beiträge, etc. öffentlich zu teilen. Dort haben dann auch Privatpersonen die Möglichkeit, einen unbestimmten Kreis von Personen anzusprechen.
Ob bei einem Kreis von mehreren hundert Personen, die nur teilweise persönlich bekannt sind, dann noch von einer rein persönlichen oder familiären Tätigkeit im Sinne der Vorschrift gesprochen werden kann, ist fraglich. Ein großer virtueller Freundeskreis und ein nicht exklusiver Kreis von Followern wird bei der Nutzung von Social Media aber immer üblicher und ist längst nicht mehr die Ausnahme.
Die Einordnung des EuGH zu Veröffentlichungen im großen Kreis ist nicht mehr zeitgemäß
Der EUGH hatte 2019 klargestellt, dass eine Verarbeitung,
„wodurch personenbezogene Daten einer unbestimmten Zahl von Personen zugänglich gemacht wurden, nicht im Rahmen der Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten [erfolgt]“ (EuGH, Urt. v. 14.2.2019 – C-345/17).
Diese Entscheidung erscheint angesichts der aktuell praktizierten Nutzung von Social Media nicht mehr unbedingt zeitgemäß.
In dem damaligen Verfahren ging es darum, dass eine Privatperson Polizeibeamte gefilmt hatte und das Video bei Youtube hochgeladen hat. Insofern besteht die Möglichkeit, dass sich eine andere Beurteilung ergibt, wenn beispielsweise private Urlaubsfotos von Freunden bei Instagram mit einer großen Zahl von Followern geteilt werden, sich aber nicht an die Öffentlichkeit richten. Auch, dass wie oben geschrieben, der Erwägungsgrund 18 die private Nutzung von Social Media ausdrücklich vom Anwendungsbereich der DSGVO ausschließt, spricht dafür, die Haushaltsausnahme bei der Nutzung von Social Media entsprechend zu erweitern.
Klar ist, dass jedenfalls bei einem potenziell unbegrenzten Personenkreis an Empfängern nach der aktuellen Rechtsprechung des EuGH die DSGVO relevant wird. Wenn es z.B. um die Veröffentlichung von Videos bei Youtube an einen unbestimmten Personenkreis geht, muss die DSGVO beachtet werden.
Um in diesen Bereichen Risiken zu umgehen, sollte die Einwilligung von Freunden und Familienmitgliedern vor Veröffentlichung eingeholt werden. Dabei gilt, dass eine Einwilligung auch mündlich erteilt werden kann. In der Praxis wird allerdings die schriftliche Form der Einwilligung empfohlen, um diese im Zweifel auch nachweisen zu können. Mehr dazu, was es bei der Einholung einer Einwilligung zu beachten gilt, in unserem Beitrag zum Thema Einwilligung. Ob das gegenüber Freunden und Familie wirklich erforderlich ist, muss jeder Social Media Nutzer selbst entscheiden.
Mehr zu dem Thema Veröffentlichung von Fotos von Kindern erfahren Sie in unserem Beitrag zum Fotoverbot bei der Einschulung.
Videokamera-Aufnahmen öffentlicher Bereiche
Sobald der öffentliche Bereich von Kamerasystemen gefilmt wird, kann die Haushaltsausnahme der DSGVO nicht mehr zugunsten von Privatpersonen gelten. Der EUGH hat geurteilt, dass der private Bereich verlassen wird, wenn auch der öffentliche Straßenraum von der Kamera nur mit erfasst wird, er führt hierzu aus:
„Soweit sich eine Videoüberwachung […] auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten auf diese Weise verarbeitet, kann sie nicht als eine ausschließlich „persönliche oder familiäre“ Tätigkeit […] angesehen werden.“ (EuGH, Urt. v. 11.12.2014 – C-212/13).
Mehr Informationen zur Geltung der DSGVO im Zusammenhang mit Videoüberwachung finden Sie in unserem Beitrag zur Haushaltsausnahme bei Videoüberwachung. Die aktuelle Rechtsprechung speziell zu Dashcams können Sie ebenfalls in einem unserer Beiträge nachlesen.
Es kommt auf den Einzelfall an
Zusammenfassend lässt sich sagen, dass Privatpersonen sich in der Regel keine Gedanken um die DSGVO machen müssen. Dies gilt aber nur, so lange sie sich auch wirklich ausschließlich im Privaten Bereich bewegen. Sobald Bilder von anderen Personen angefertigt werden oder mit anderen Personen geteilt werden sollen, gilt dies aber nicht zwangsläufig. Hier lohnt es sich, kritisch zu hinterfragen, ob die DSGVO nicht doch beachtet werden muss.
Nicht unerwähnt sollte hier aber bleiben, dass zwar im privaten Bereich die DSGVO keine Anwendung findet, aber nach 22 Kunsturhebergesetz Aufnahmen von Personen nur mit deren Einwilligung veröffentlicht werden dürfen.
Nach Ihren Ausführungen im Absatz „Private Telefon- und Adressverzeichnisse“ wäre dann das Abspeichern von Kontaktdaten von z.B. Gewerbetreibenden als reine b2c Kontakte für die Nutzung in meinem häuslichen Umfeld schon im Anwendungsbereich der DSGVO? Das kann ich mir kaum vorstellen, denn diese als Bekannte zu definieren, wäre eine sehr weite Auslegung des Begriffs „Bekannter“.
Ich filme mit einer Hofkamera, die auch den Straßenbereich erfassen kann (PTZ-Kamera) ausschließlich anlassbezogen, d.h. die Kamera erfasst genau dann ein Bild, wenn ich mich aktiv aufschalte. Ansonsten ist sie ausgeschaltet (keine Bewegungserkennung).
Des weiteren wird die Kamera privat und nicht gewerblich genutzt.
Ich komme im Falle dieser Nutzung zum Ergebnis, dass ich die Kamera rechtskonform auch ohne Ausschilderung benutzen kann, gemäß „Türklingel-Urteil“ des BGH (Urteil v. 8. April 2011, Az:. V ZR 210/10).
Jemand anderer Meinung?
Wenn der Zweck Sicherheit, Beweissicherung etc. ist, dann beinhaltet die Erfüllung dieses Zwecks eine Weitergabe an einen aussenstehenden Dritten (Polizei, Versicherung). Eine Haushaltsausnahme würde in diesem Fall nicht greifen und die DSGVO ist auf die dahinterliegende Datenverarbeitung anwendbar. Die Informationspflichten nach Art. 13 DSGVO sind daher zu erfüllen.
Interessant wäre im Zusammenhang „Veröffentlichung von Fotos im großen Kreis“ ein besonderer Fokus auf Business Plattformen wie LinkedIn oder Xing, wo Nutzer als Privatperson Bilder teilen, die Posts aber meist einen geschäftlichen Zusammenhang haben und die Arbeitgeber meist auch ersichtlich sind. Hier verschwimmen die Grenzen zwischen privat und geschäftlich oft schnell… Postet ein Nutzer wirklich privat oder als Corporate Influencer? Wo ist die Grenze zu ziehen etc …
Zumindest angeschnitten hatten wir die Thematik in unserem Beitrag Corporate Influencer und die Verantwortlichkeit im Datenschutz.