DSGVO: Verarbeitung von Fotos

veröffentlicht am 29.10.2020

Die DSGVO regelt die Verarbeitung personenbezogener Daten. Dazu gehören auch Aufnahmen von erkennbaren Menschen. Wer also mit einer Digitalkamera eine Aufnahme macht, auf dem ein Mensch in identifizierbarer Weise zu erkennen ist, muss grundsätzlich die Datenschutzgrundverordnung (DSGVO) beachten.

Erfüllung des Vertrags

Unternehmen, die im Zuge ihres Vertragsverhältnisses Fotos von Verbraucher/innen machen, müssen sich also die Frage stellen, unter welchen Voraussetzungen die Verarbeitung ihrer Bilder erlaubt ist. Ist die Verarbeitung von Fotos Teil des abgeschlossenen Vertrags, wie es bei professionellen (Studio)-Fotografinnen und Fotografen ist, stellt das kein besonderes datenschutzrechtliches Problem dar. Denn nach der DSGVO sind die Anfertigung und weitere Verwendung von Fotos zulässig, wenn sie zur Durchführung eines Vertrages mit der abgebildeten Person erforderlich sind. Wenn also die abgebildete Person die Aufnahmen selbst beauftragt hat (z.B. bei der Anfertigung von Portraitaufnahmen), ist eine gesonderte Einwilligung nicht notwendig.

Berechtigte Interessen

Gibt es keinen Vertrag, kann die Verarbeitung personenbezogener Daten auf Grundlage einer Interessenabwägung rechtmäßig sein. Ein digitales Foto darf demnach verarbeitet werden, wenn es zur Wahrung der berechtigten Interessen des Fotografierenden (oder eines Dritten) erforderlich ist und die Interessen der abgebildeten Person nicht überwiegen. Darunter können Abbildungen beispielsweise zu künstlerischen oder auch dokumentarischen Zwecke fallen. Dennoch muss sehr genau im Einzelfall geprüft werden, ob sich ein überwiegendes Interesse der abgebildeten Person aus der konkreten Situation der Aufnahme ergibt.

Einwilligung

Erst wenn es weder eine vertragliche Basis noch ein berechtigtes Interesse des Fotografierenden gibt, kommt die Einwilligung ins Spiel. In diesen Fällen müssen die abgebildeten Personen gefragt werden, ob sie mit der Aufnahme und deren Veröffentlichung einverstanden sind. Die Anforderungen an die Einwilligung richtet sich nach der DSGVO. 

Welche Anforderungen müssen Einwilligungen erfüllen?

Die Einwilligung muss

• freiwillig 
• in informierter Weise
• unmissverständlich abgegeben worden sein und
• darf immer nur für einen oder mehrere bestimmte Zwecke abgegeben werden.

Um ausreichend informiert zu sein, muss also angegeben sein, welche Daten genau gespeichert werden, wozu diese Daten gespeichert werden und wie lange diese gespeichert werden. Auch ein Hinweis auf das Widerrufsrecht muss angegeben sein.

Für die Freiwilligkeit entscheidend ist, dass der Vertrag oder die Nutzung des angeforderten Dienstes nicht von der Einwilligung des Betroffenen abhängig gemacht wird; die betroffene Person sie also verweigern kann, ohne dass ihr daraus Nachteile entstehen.

Grundsätzlich gibt es keine Formvorschrift, wie eine Einwilligung einzuholen ist. Die DSGVO lässt zu, dass die Einwilligung mündlich, schriftlich oder durch bestätigende Handlung erfolgen kann, setzt aber ein aktives Verhalten des Betroffenen voraus. Sich eine Einwilligung über die AGB einzuholen, ist zwar nicht grundsätzlich verboten, ist aber jedenfalls dann unzulässig, wenn die Einwilligung an den Vertragsabschluss gekoppelt und damit die Freiwilligkeit ausgeschaltet wird.  

Verbandsklagsverfahren des VKI

In den AGB der MediClass Gesundheitsclub GmbH befand sich (unter anderem) folgende Klausel: "Das Mitglied stimmt daher zu, dass im Rahmen des ersten Besuchs ein Foto gemacht und zu Verwaltungszwecken elektronisch verarbeitet wird." Die MediClass Gesundheitsclub GmbH ist eine vorsorgemedizinische Einrichtung, die mittels eines Abo Zugang zu unterschiedlichen Privatärzten in Wien ermöglicht. MediClass erbringt administrative Dienstleistungen für Verbraucher/innen, wie die Vereinbarung von Terminen und stellt den Ärztinnen und Ärzten die Räumlichkeiten zur Ausübung ihrer Tätigkeit zur Verfügung.

Gegen diese (und andere) Klausel(n) ging der VKI im Auftrag des Sozialministeriums mit Verbandsklage vor und bekam nun auch in zweiter Instanz Recht. Das Oberlandesgericht (OLG) Wien erklärte die oben angeführte Klausel für intransparent. Zum einen umfasse die "Verarbeitung" des Fotos auch die Weitergabe an einen unbestimmten Empfängerkreis. Zum anderen sei es für Verbraucher/innen unklar, was die Mediclass GmbH mit "Verwaltungszwecken" meint.  Eine wirksame Zustimmung könne nur dann vorliegen, wenn der Betroffene weiß, zu welchem Zweck seine Daten verwendet werden sollen. Eine Einwilligung der Datenverarbeitung zu „Verwaltungszwecken“ wird den Anforderungen der DSGVO nicht gerecht, weil sie den konkreten Grund letztlich offen lässt (Dokumentation, Identifizierung, Vertragsabwicklung, Kommunikation mit den behandelnden Ärzten, Schutz vor Missbrauch usw). Mit dem Argument der Intransparenz war nach Ansicht des OLG Wien die Frage der Zulässigkeit der Koppelung der Einwilligungserklärung an die AGB nicht zu prüfen.