Mitarbeiterfotos veröffentlichen? Das sagt die DSGVO!

Auf einen Blick:

• Viele Unternehmen präsentieren Ihre Mitarbeiter auf Websitesund Social-Media-Kanälen. Dabei müssen sie die DSGVO beachten.
• Bei Veröffentlichung im Internet sollte der Arbeitgeber eine Einwilligung einholen.
• Die Einwilligung muss rechtzeitig, schriftlich, vollunfänglich und freiwillig erteilt werden. Außerdem kann der Mitarbeiter sie jederzeit wiederrufen.
• Für Bilder von Baustellen, auf denen die abgebildeten Menschen nur Beiwerk sind, ist keine Einwilligung der Fotografierten erforderlich.

Ob fürs Marketing oder zur Mitarbeitersuche: Viele Unternehmen veröffentlichen Fotos ihrer Mitarbeiter auf der Website, in Social Media-Kanälen oder Unternehmensbroschüren. Doch auch hier muss die Datenschutzgrundverordnung (DSGVO) beachtet werden. Maya El-Auwad, Rechtsanwältin bei Härting Rechtsanwälte aus Berlin mit Schwerpunkt Datenschutz, beantwortet die wichtigsten Fragen.

„Mitarbeiterfotos sind personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO und fallen damit auch in ihren Anwendungsbereich“, sagt El-Auwad. Dabei gelte es, einen wichtigen Grundsatz zu beachten: „Die DSGVO reguliert den Umgang mit solchen Daten nach dem Prinzip ,Verbot mit Erlaubnisvorbehalt‘.“ Das bedeutet, dass die Verarbeitung personenbezogener Daten verboten ist, es sei denn, es gibt eine ausdrückliche Erlaubnis oder Rechtsgrundlage für die Verarbeitung.

Hier gilt die typische Juristen-Antwort: Es kommt darauf an. Zum Beispiel darauf, auf welche Rechtsgrundlage sich die Verarbeitung der personenbezogenen Daten, also der Fotos, stützen lässt. „Das kann etwa ein ,berechtigtes Interesse‘ im Sinne von Art. 6 Abs. 1 lit. f DSGVO sein“, sagt die Rechtsanwältin.

„Es ist eine Frage der Abwägung“, erläutert El-Auwad. Dies könne man sich wie eine Waage vorstellen: In der einen Waagschale liegen die Interessen des Arbeitgebers, in der anderen die des Arbeitnehmers. „Sofern eine Veröffentlichung zum Beispiel nur im firmeninternen Intranet erfolgen soll oder der Mitarbeiter eine Funktion mit Außenkontakt innehat, als Kundenbetreuer oder Geschäftsführer, kann eine Abwägung im Rahmen von Art. 6 Abs. 1 lit. f DSGVO durchaus zugunsten der Firma und damit des Arbeitgebers ausfallen.“

Anders liege der Fall, wenn Bilder von Mitarbeitern ohne besondere Funktion auf Websites veröffentlicht werden sollen. „Bei Veröffentlichung im Internet, wo ein weltweiter Zugriff möglich ist, wird man in der Regel – und das sagen auch die Datenschutzbehörden – davon ausgehen müssen, dass die Interessen der Mitarbeiter und deren Persönlichkeitsrechte überwiegen.“ Dann sei eine Einwilligung des Mitarbeiters nach Art. 6 Abs. 1 lit. a DSGVO notwendig.

Achtung: Wer eine Abwägung der Interessen vornimmt, sollte sie dokumentieren, rät El-Auwad. Dafür reiche es beispielsweise, eine E-Mail mit der Einschätzung des Datenschutzbeauftragten oder eines Rechtsanwalts zu archivieren.

Die DSGVO stellt klare Regeln auf, wie die Einwilligung in die Verarbeitung persönlicher Daten aussehen muss. „Gerade im Beschäftigungsverhältnis sind besondere Voraussetzungen an die Einwilligung zu beachten“, sagt El-Auwad. „Sie finden sich in Art. 7 DSGVO und § 26 Abs. 2 Bundesdatenschutzgesetz (BDSG).“

• Die Einwilligung muss vor der Anfertigung und Veröffentlichung eingeholt werden. „Auch die Anfertigung von Aufnahmen ist bereits eine Verarbeitung im Sinne der DSGVO und sollte daher von der Einwilligungserklärung umfasst sein“, betont die Rechtsanwältin.
• Zudem muss die Einwilligungserklärung den Mitarbeiter über die vorgesehenen Zwecke und den Umfang der Datenverarbeitung vollumfänglich informieren. „Die betroffene Person muss also absehen können, worin sie einwilligt, und die Tragweite ihrer Erklärung erkennen können“, erläutert El-Auwad. Dazu gehöre auch eine Information, auf welchen Kanälen (Firmen-Website, Social-Media-Kanäle, Unternehmensbroschüre) die Aufnahmen veröffentlicht werden sollen.
• Eine zentrale Rolle im Beschäftigungsverhältnis spielt die Freiwilligkeit der Erklärung. Der Mitarbeiter darf keine Nachteile befürchten, wenn er oder sie die Einwilligung nicht erteilt.
• Schließlich muss der Arbeitgeber als Verantwortlicher nachweisen können, dass die Einwilligung erteilt wurde. Im Beschäftigungsverhältnis ist sie daher immer schriftlich einzuholen.
• „Artikel 7 Abs. 3 DSGVO stellt außerdem klar, dass eine einmal erteilte Einwilligung jederzeit widerrufen werden kann“, betont El-Auwad. Auch darüber müsse die einwilligende Person informiert werden. Das veröffentlichte Foto eines Mitarbeiters muss dann zeitnah entfernt werden.

Wer eine Baustelle fotografiert oder Bilder aus seiner Werkstatt zeigen möchte, nimmt unter Umständen Menschen mit auf. Muss jeder von ihnen einwilligen?

Die Rechtslage bei solchen Bildern, bei denen Personen eher Beiwerk sind, ist umstritten. „Stellt man auf die Regeln aus dem Kunsturhebergesetz (KUG) ab, ist nach § 23 Abs. 1 Nr. 2 KUG keine Einwilligung erforderlich.“ Der Eingriff in die Persönlichkeitsrechte der abgebildeten Personen ist umso größer, je deutlicher die Person zu erkennen und je wichtiger sie für die Bildkomposition ist. „Wenn die Menschen auf den Bildern eher als Beiwerk zu sehen und kaum erkennbar sind, wird auch nach der DSGVO keine Einwilligung der Fotografierten nötig sein“, so El-Auwad.

„Grundsätzlich kann man in so einem Fall davon ausgehen, dass die Einwilligung zur Veröffentlichung im Rahmen des laufenden Arbeitsverhältnisses gegeben wurde“, erklärt die Rechtsanwältin. Das bedeutet, dass der Arbeitgeber Bilder ehemaliger Mitarbeiter aus Websites und allen Veröffentlichungen, zum Beispiel auf Facebook, entfernen sollte.

Gesetzt den Fall, Sie haben auf Ihrer Facebook-Seite ein Foto eines Mitarbeiters veröffentlicht und nicht die entsprechende Einwilligung eingeholt. Der Mitarbeiter kann als betroffene Person gemäß Art. 77 DSGVO bei einer Datenschutzbehörde eine Beschwerde einlegen. Allerdings bedeutet das nicht, dass dann sofort Sanktionen oder sogar Schmerzensgeldforderungen in amerikanischem Ausmaß auf Sie zukommen.

„Die Datenschutzbehörden verhängen Bußgelder erst, wenn grob gegen die DSGVO verstoßen wurde, etwa wenn grundlegende Prozesse nicht eingehalten werden“, sagt El-Auwad. Auch Schmerzensgeldzahlungen an den Mitarbeiter, die ohnehin erst relevant werden können, wenn der Betroffene tatsächlich vor Gericht zieht, dürften wenn überhaupt eher symbolisch sein. „Für die Veröffentlichung eines Fotos, das nicht in die Privatsphäre eingreift, sondern die Funktion eines Mitarbeiters beschreibt, sollten keine hohen Bußgelder drohen.“

Tipp: Sie wollen keine wichtigen Infos mehr zum Thema Datenschutzrecht verpassen? Mit dem handwerk.com-Newsletter bleiben Sie auf dem Laufenden. Hier geht es zur Anmeldung!