Das Thema
Fotos vom Sommerfest, der Weihnachtsfeier oder von einem anderen besonderen Moment: Es gibt zahlreiche Anlässe, in denen Fotos von Mitarbeitern angefertigt werden können. Veröffentlicht werden diese regelmäßig im Intranet, in ausgewählten Fällen auch auf der eigenen Internetseite und zunehmend auch auf Social-Media-Kanälen. Die Darstellung toller Ereignisse oder erfolgreicher Events soll das Wir-Gefühl im Unternehmen stärken und nach außen für Kunden und potentielle Bewerber dokumentieren, welch tolle Stimmung im Unternehmen herrscht.
An die Aufnahme und vor allem an die Veröffentlichung von Mitarbeiterfotos sind allerdings datenschutzrechtlich hohe Anforderungen gestellt. In den meisten Fällen ist eine solche Veröffentlichung nur mit der vorherigen Einwilligung eines jeden Mitarbeiters möglich. Nur in wenigen Ausnahmefällen kann die Veröffentlichung auch ohne eine Einwilligung zulässig sein.
Mitarbeiterfotos nur mit Einwilligung veröffentlichen
Die DSGVO sieht in Art. 6 Abs. 1 verschiedene Erlaubnistatbestände für die Zulässigkeit der Verarbeitung personenbezogener Daten vor. Unstreitig ist, dass sowohl die Anfertigung als auch die spätere Veröffentlichung von Mitarbeiterfotos eine Verarbeitung personenbezogener Daten darstellt. Insofern ist eine solche Verarbeitung stets nur erlaubt, wenn sich das Unternehmen auf einen der in Art. 6 Abs. 1 DSGVO benannten Erlaubnistatbestände berufen kann.
Vor der Einführung der DSGVO wurde noch zwischen der Anfertigung des Fotos und der späteren Veröffentlichung getrennt, denn die Veröffentlichung richtete sich nach dem Kunsturhebergesetz (KUG). Dieses hatte gegenüber dem damaligen Bundesdatenschutzgesetz (BDSG) Vorrang, weil es das speziellere Gesetz war. Allerdings regelte es nach seinem klaren Wortlaut nur die Veröffentlichung von Bildnissen, nicht aber schon die Anfertigung des Fotos.
Das KUG regelt(e) in § 22 KUG, dass Bildnisse nur mit Einwilligung des Betroffenen veröffentlicht werden dürfen. Hiervon gibt es in § 23 KUG eng umgrenzte Ausnahmen, die bei der Veröffentlichung von Mitarbeiterfotos in den meisten Fällen nicht eingreifen. Die Besonderheit im KUG ist, dass die einmal erteilte Einwilligung nur unter sehr engen Voraussetzungen widerrufen werden kann. So wird vertreten, dass die Einwilligung nur widerrufen werden kann, wenn sich die Umstände seit ihrer Erteilung so geändert haben, dass die Veröffentlichung für den Betroffenen in seiner Persönlichkeit empfindlich beeinträchtigt wird.
Vorgaben der DSGVO und des BDSG sind stets einzuhalten
Für Unternehmen hatte das den Vorteil, dass sie mehr oder weniger darauf setzen konnten, dauerhaft zur Veröffentlichung der Mitarbeiterfotos berechtigt zu bleiben. Vor diesem Hintergrund wäre es für Unternehmen sicher von Vorteil, wenn sie sich auch heute noch auf das KUG berufen könnten. Auch die Anforderungen an die Einholung einer Einwilligung sind unter dem KUG wesentlich lockerer als unter der DSGVO. So kann sich die Einwilligung bereits konkludent aus den Umständen ergeben (z.B. ein Mitarbeiter bemerkt auf einem Firmenfest den Fotografen und lächelt erwartungsvoll in die Kamera).
Europarechtlich jedoch noch nicht abschließend geklärt ist, ob das KUG seit Inkrafttreten der DSGVO weiterhin ohne Weiteres zur Anwendung kommen kann, oder ob ausschließlich die Regelungen der DSGVO anzuwenden sind. Diese Frage soll allerdings ausgeklammert werden, denn in der tatsächlichen Umsetzung ist es stets ratsam vorsorglich die strengeren Regelungen der DSGVO und des neugefassten BDSG einzuhalten.
Erfüllt die eingeholte Einwilligung die Vorgaben nach der DSGVO und dem BDSG, ist die Veröffentlichung von Mitarbeiterfotos auch dann zulässig, wenn tatsächlich das KUG zur Anwendung kommen sollte. Umgekehrt trägt das Unternehmen das Risiko, dass eine beispielsweise nur konkludent eingeholte Einwilligung nicht ausreicht, weil die DSGVO anzuwenden ist und diese eine ausdrückliche Einwilligung verlangt.
Anforderungen der DSGVO und des BDSG an die Einwilligung
Ausgehend von dieser Überlegung ergeben sich die Anforderungen an eine zulässige Einwilligung aus Art. 7 DSGVO und § 26 BDSG. Unternehmen müssen also folgende Anforderungen an die Einwilligung beachten:
- Die Einwilligung muss vom Mitarbeiter freiwillig erteilt werden. An der Freiwilligkeit fehlt es, wenn der Mitarbeiter keine echte Wahl hat und entweder gezwungen ist oder sich gezwungen fühlt, die Einwilligung zu erteilen. Um die Freiwilligkeit zum Ausdruck zu bringen, muss das Unternehmen im Einwilligungstext ausdrücklich klarstellen und darüber informieren, dass die Nichterteilung einer Einwilligung für den Mitarbeiter nicht mit Nachteilen verbunden ist;
- Die Einwilligung hat nach § 26 Abs. 2 S. 3 BDSG schriftlich zu erfolgen. Eine nur mündlich erteilte Einwilligung mag zwar zum Ausdruck bringen, dass der Mitarbeiter mit der Veröffentlichung einverstanden ist, auf eine solche Einwilligung kann sich das Unternehmen im Streitfall allerdings nicht berufen. Auch zu Beweiszecken sollte die Einwilligung stets schriftlich eingeholt werden. So hatte das ArbG Lübeck (Beschl. v. 20.6.2019 – 1 Ca 538/19) ein Unternehmen zur Zahlung eines Schadenersatzes in Höhe von 1.000,00 EUR aus Art. 82 DSGVO verurteilt, weil dieses für die Veröffentlichung eines Mitarbeiterfotos auf dem eigenen Social-Media-Kanal keine schriftliche Einwilligung des Mitarbeiters nachweisen konnte;
Information und Widerrufsrecht
- Die Einwilligung muss informiert erfolgen. Dementsprechend sieht § 26 Abs. 2 S. 4 BDSG vor, dass der Mitarbeiter die Tragweite seiner Entscheidung abschätzen kann. Das Unternehmen muss also konkrete Angaben zu Art, Ort und Kontext der Veröffentlichung der Mitarbeiterfotos erteilen. Hier ist zu beachten, dass dem Mitarbeiter konkret genannt wird, auf welchen Seiten das Foto verwendet werden soll – nur auf der Unternehmenswebsite oder auch auf den Social-Media-Kanälen;
- Auch bei der Einholung einer Einwilligung muss das Unternehmen die allgemeinen Informationspflichten aus Art. 13 DSGVO erfüllen und insbesondere den Mitarbeiter über seine Rechte als Betroffener informieren;
- Darüber hinaus muss der Mitarbeiter über sein jederzeitiges Widerrufsrecht Art. 7 Abs. 3 DSGVO aufgeklärt werden.
Wichtig ist auch, dass die Einwilligung vor der Aufnahme und der Veröffentlichung eingeholt wird, denn nur dann weiß der Mitarbeiter, worauf er sich einlässt. Zwar kann man sich später die bereits erfolgte Veröffentlichung genehmigen lassen; eine datenschutzrechtliche Einwilligung stellt das streng genommen nicht dar und könnte im Streitfalle zu Problemen führen.
Stolperfallen in der Praxis
Lässt sich ein Unternehmen nachträglich die Verwendung der Bilder genehmigen, weil man es im Vorfeld versäumt hat, eine Einwilligung einzuholen, kann das zur berühmten Büchse der Pandora werden. Denn durch die Anfrage nach einer Genehmigung muss man gegenüber seinem Mitarbeiter Farbe bekennen und mehr oder weniger offenlegen, dass die aktuelle Verarbeitung womöglich unzulässig ist. Bei einem streitlustigen Mitarbeiter, der zudem bereits auf Abschiedstour ist, wird man dann statt einer Genehmigungserklärung wohl eher eine Schadenersatzforderung erhalten.
Als Unternehmen sollte man darüber hinaus darauf achten, dass die Einwilligung unabhängig vom Arbeitsvertrag erteilt wird. Wird dem Mitarbeiter mit seinem Arbeitsvertrag zugleich die Erteilung einer Einwilligung in die Nutzung von Mitarbeiterfotos abverlangt, könnte dieser sich zur Erteilung gezwungen sehen. Dann würde es an dem Erfordernis der “Freiwilligkeit” fehlen und die Einwilligung wäre unwirksam. Daher sollte die Einwilligung sinnvollerweise nach Abschluss des Arbeitsvertrages eingeholt werden.
Zweck der Nutzung
Mitarbeiterfotos können für verschiedene Zwecke verwendet werden. Das sollte auch bei der Formulierung der Einwilligungserklärung berücksichtigt werden. So kann die Nutzung zum Beispiel folgende Kategorien umfassen:
- Unternehmenswebsite
- Social Media Kanäle
- Broschüren (offline)
- Pressemitteilungen
- Pitch Unterlagen
Für mehr Transparenz und Akzeptanz sorgt ein Unternehmen, wenn es bei der Einwilligungserklärung nicht im Sinne eines ‘Catch All’ sämtliche Zwecke zusammenfasst. Wird dem Mitarbeiter die Möglichkeit eingeräumt, die Einwilligung nur für einzelne Zwecke zu erteilen, erhöht das Bereitschaft eine nachhaltige Einwilligung zu erhalten, da der Mitarbeiter so im Vorfeld die Kontrolle darüber erhält, für welche Zwecke er seine Einwilligung erteilen will und für welche gerade nicht.
Für das Unternehmen bedeutet eine solche Vorgehensweise naturgemäß einen höhren Aufwand, denn es muss streng darauf achten, dass die Fotos der Mitarbeiter dann auch nur für die Zwecke eingesetzt werden, für die eine ausdrückliche Einwilligung erteilt wurde.
Widerrufsrecht des Mitarbeiters
Bei der Formulierung einer solchen Einwilligungserklärung sollte also größte Sorgfalt angelegt werden. Ein Zurückgreifen auf Muster, die den konkreten Zweck der Veröffentlichung nicht benennen, führt in aller Regel dazu, dass die Einwilligung unwirksam ist.
Hat man hingegen eine wirksame Einwilligung für einen bestimmten Zweck eingeholt, darf man die Fotos auch nur für diesen Zweck verwenden und veröffentlichen. Erfolgt eine Veröffentlichung zu einem anderen Zweck oder in einem anderen Kontext, ist diese nicht mehr von der Einwilligung gedeckt und ebenfalls unzulässig.
Problematisch ist die Einwilligung aus Sicht des Unternehmens, weil diese jederzeit vom Mitarbeiter widerrufen werden kann. Dieses Widerrufsrecht kann auch nicht über die Gestaltung der Einwilligung abbedungen werden. Widerruft also der Mitarbeiter seine Einwilligung in die Veröffentlichung, entfällt mit Wirkung für die Zukunft die Berechtigung des Unternehmens zur Veröffentlichung des Fotos. Dann muss das Unternehmen das Foto des Mitarbeiters umgehend von der eigenen Internetseite nehmen und dafür sorgen, dass es auch an keiner weiteren Stelle im Internet, die vom Unternehmen verantwortet wird, abrufbar ist. Bei Fotos, auf denen der betroffene Mitarbeiter alleine abgelichtet ist, ist die Umsetzung der Widerrufsfolgen relativ einfach möglich. Schwieriger wird es, wenn der betroffene Mitarbeiter Teil eines Gruppenfotos ist.
Wann braucht man ausnahmsweise keine Einwilligung?
Es gibt allerdings Konstellationen, in denen es ausnahmsweise nicht erforderlich ist, die Einwilligung der Mitarbeiter für die Veröffentlichung von Fotos einzuholen. So kann ausnahmsweise auf den Arbeitsvertrag als Rechtfertigungsgrundlage zurückgegriffen werden, wenn die Veröffentlichung der Fotos zur Durchführung des Beschäftigungsverhältnisses erforderlich ist. Das dürfte allerdings in den wenigsten Fällen der Fall sein, sodass mit dieser Ausnahme äußerst zurückhaltend umgegangen werden sollte.
Eine weitere Möglichkeit ist der Abschluss eines separaten Vertrages über die Veröffentlichung der Fotos mit dem Mitarbeiter. Dann wäre die Rechtsgrundlage für diese Veröffentlichung Art. 6 Abs. 1 lit. b) DSGVO. Mit diesem Vertrag werden die wechselseitigen Leistungen und Pflichten bzw. Rechte vereinbart. Auf der einen Seite wird das Recht zur Anfertigung und Veröffentlichung der Fotos durch das Unternehmen geregelt. Auf der anderen Seite die Gegenleistung, die der Mitarbeiter hierfür erhält. Ein solcher Vertrag ähnelt im Wesentlichen dem Konstrukt eines Model-Release-Vertrages.
Der Vorteil dieser vertragsbasierten Regelung ist, dass die Veröffentlichung nicht auf einer widerruflichen Einwilligung basiert. Der Mitarbeiter kann somit nicht einseitig durch den Widerruf seiner Einwilligung die weitere Veröffentlichung des Fotos verhindern. Diese Möglichkeit ist in der Praxis jedoch noch nicht so weit verbreitet, da bislang gerichtlich noch nicht abschließend geklärt ist, ob im arbeitsrechtlichen Kontext eine solche Konstruktion als zulässig angesehen wird.
Risiko DSGVO-Schadenersatz bei unberechtigter Veröffentlichung
Fehlte von Anfang an eine Erlaubnis zur Veröffentlichung von Mitarbeiterfotos oder ist diese nachträglich weggefallen, ohne dass man das Foto entfernt hat, drohen nicht nur Bußgelder durch die zuständige Aufsichtsbehörde. Der betroffene Mitarbeiter kann im Einzelfall auch einen zivilrechtlichen Schadensersatz nach Art. 82 DSGVO wegen der unberechtigten Veröffentlichung eines Mitarbeiterfotos verlangen. Gerade wenn sich die Wege von Unternehmen und Mitarbeiter nicht einvernehmlich trennen, kommt es dazu, dass Unternehmen zur Zahlung eines Schadenersatzes nach Art. 82 DSGVO in Anspruch und letztlich auch verpflichtet werden.
So hatte das Arbeitsgericht Münster (Urt. v. 25.3.2021 – 3 Ca 391/20) einer Mitarbeiterin einen immateriellen Schaden in Höhe von 5.000,00 EUR zugesprochen. In diesem Fall hatte das Unternehmen ein Bild der Mitarbeiterin in einer Werbebroschüre veröffentlicht. Die Mitarbeiterin hatte eine schriftliche Einwilligung allerdings nicht erteilt.
Dieses Beispiel zeigt, dass Unternehmen sorgfältig darauf achten sollten, dass sie nicht nur für jede Veröffentlichung von Mitarbeiterfotos wirksame Einwilligungen haben, sondern bei einem Widerruf der Einwilligung umgehend reagieren müssen. Fehlt es an einer wirksamen Einwilligung oder fällt diese später weg, kann sich mit jedem Tag der unberechtigten Veröffentlichung die Schadenssumme für den betroffenen Mitarbeiter erhöhen. Ein unbedarfter und unüberlegter Umgang mit Mitarbeiterfotos kann also schnell zu einer erheblichen Schadenersatzforderung oder einem Bußgeld führen. Dies gilt vor allem auch dann, wenn ein Mitarbeiter aus dem Unternehmen ausscheidet und es versäumt wurde, sämtliche Fotos von diesem Mitarbeiter von den eigenen Internetseiten zu entfernen.
(Anm. d. Red.: Vgl. zum Thema auch den EFAR-Beitrag “Mitarbeiterfotos und DSGVO: Aktuelle Probleme“.)