Datenschutzrechtliche Anforderungen an die Veröffentlichung von Mitarbeiterfotos im Internet

Es gibt viele gute Gründe für Unternehmen, Fotos der eigenen Mitarbeiter im Intranet und sogar im Internet zu veröffentlichen. Die interne Veröffentlichung von Fotos von gemeinsamen Veranstaltungen kann beispielsweise das viel zitierte Wir-Gefühl im Unternehmen stärken. Aber auch an der Veröffentlichung von Mitarbeiterfotos im Internet kann das Unternehmen ein Interesse haben. So wirkt ein Unternehmen für potenzielle Kunden oder Auftraggeber nahbarer, wenn auch die Mitarbeiter sichtbar sind, die am Ende für das Unternehmen tätig sind.

An die Aufnahme und vor allem an die Veröffentlichung von Mitarbeiterfotos sind allerdings datenschutzrechtlich hohe Anforderungen gestellt. In den meisten Fällen ist eine solche Veröffentlichung nur mit der vorherigen Einwilligung eines jeden Mitarbeiters erlaubt. Nur in wenigen Ausnahmefällen kann die Veröffentlichung auch ohne eine Einwilligung zulässig sein.

Mitarbeiterfotos nur mit Einwilligung im Internet veröffentlichen

Die DSGVO sieht in Art. 6 Abs. 1 DSGVO verschiedene Erlaubnistatbestände für die Zulässigkeit der Verarbeitung personenbezogener Daten vor. Unstreitig ist, dass sowohl die Anfertigung als auch die spätere Veröffentlichung von Mitarbeiterfotos eine Verarbeitung personenbezogener Daten darstellt. Insofern ist eine solche Verarbeitung stets nur erlaubt, wenn sich das Unternehmen auf einen der in Art. 6 Abs. 1 DSGVO benannten Erlaubnistatbestände berufen kann. Bei der Veröffentlichung von Mitarbeiterfotos ergibt sich die Erlaubnis in aller Regel nur nach einer vorherigen Einwilligung des Mitarbeiters.

Vor der Einführung der DSGVO wurde dabei zwischen der Anfertigung des Fotos und der späteren Veröffentlichung getrennt, denn die Veröffentlichung richtete sich nach dem Kunsturhebergesetz (KUG). Dieses hatte gegenüber dem Bundesdatenschutzgesetz (BDSG) Vorrang, weil es das speziellere Gesetz war. Allerdings regelte es nach seinem klaren Wortlaut nur die Veröffentlichung von Bildnissen, nicht aber schon die Anfertigung des Fotos.

Das KUG regelt(e) in § 22 KUG, dass Bildnisse nur mit Einwilligung des Betroffenen veröffentlicht werden dürfen. Hiervon sieht § 23 KUG eng umgrenzte Ausnahmen vor, die bei der Veröffentlichung von Mitarbeiterfotos in den meisten Fällen nicht eingreifen.

Europarechtlich noch nicht abschließend geklärt ist, ob das KUG seit Inkrafttreten der DSGVO weiterhin bereichsspezifischen Anwendungsvorrang genießt, oder ob ausschließlich die Regelungen der DSGVO anzuwenden sind. Diese schwierige Frage soll hier erstmal ausgeklammert werden, denn in der tatsächlichen Umsetzung ist es stets ratsam vorsorglich die strengeren Regelungen der DSGVO und des neugefassten BDSG einzuhalten. Erfüllt die eingeholte Einwilligung die Vorgaben nach der DSGVO und dem BDSG, ist die Veröffentlichung von Mitarbeiterfotos auch dann zulässig, wenn tatsächlich das KUG zur Anwendung kommen sollte.

Anforderungen der DSGVO und des BDSG an die Einwilligung

Ausgehend von dieser Überlegung ergeben sich die Anforderungen an eine zulässige Einwilligung aus Art. 7 DSGVO und § 26 BDSG. Unternehmen müssen also folgende Anforderungen an die Einwilligung beachten:

• Die Einwilligung muss vom Mitarbeiter freiwillig erteilt werden. An der Freiwilligkeit fehlt es, wenn der Mitarbeiter keine echte Wahl hat und entweder gezwungen ist oder sich gezwungen fühlt, die Einwilligung zu erteilen. Um die Freiwilligkeit zum Ausdruck zu bringen, muss das Unternehmen im Einwilligungstext ausdrücklich klarstellen und darüber informieren, dass die Nichterteilung einer Einwilligung für den Mitarbeiter nicht mit Nachteilen verbunden ist;
• Die Einwilligung hat nach § 26 Abs. 2 S. 3 BDSG schriftlich zu erfolgen. Eine nur mündlich erteilte Einwilligung mag zwar zum Ausdruck bringen, dass der Mitarbeiter mit der Veröffentlichung einverstanden ist, auf eine solche Einwilligung kann sich das Unternehmen im Streitfall allerdings nicht berufen. Auch zu Beweiszecken sollte die Einwilligung stets schriftlich eingeholt werden;
• Die Einwilligung muss informiert erfolgen. Dementsprechend sieht § 26 Abs. 2 S. 4 BDSG, dass der Mitarbeiter die Tragweite seiner Entscheidung abschätzen kann. Das Unternehmen muss also konkrete Angaben zu Art, Ort und Kontext der Veröffentlichung der Mitarbeiterfotos erteilen. Hier ist zu beachten, dass dem Mitarbeiter konkret genannt wird, auf welchen Seiten das Foto verwendet werden soll - nur auf der Unternehmenswebsite oder auch auf den Social Media Kanälen;
• Auch bei der Einholung einer Einwilligung muss das Unternehmen die allgemeinen Informationspflichten aus Art. 13 DSGVO erfüllen und insbesondere den Mitarbeiter über seine Rechte als Betroffener informieren;
• Darüber hinaus muss der Mitarbeiter über sein jederzeitiges Widerrufsrecht Art. 7 Abs. 3 DSGVO aufgeklärt werden.

Wichtig ist auch, dass die Einwilligung vor der Aufnahme und der Veröffentlichung eingeholt wird, denn nur dann weiß der Mitarbeiter, worauf er sich einlässt. Zwar kann man sich später die bereits erfolgte Veröffentlichung genehmigen lassen; eine datenschutzrechtliche Einwilligung stellt das streng genommen nicht dar und könnte im Streitfalle zu Problemen führen. Als Unternehmen sollte man darüber hinaus darauf achten, dass die Einwilligung unabhängig vom Arbeitsvertrag erteilt wird. Wird dem Mitarbeiter mit seinem Arbeitsvertrag zugleich die Erteilung einer Einwilligung in die Nutzung von Mitarbeiterfotos abverlangt, könnte dieser sich zur Erteilung gezwungen sehen. Dann würde es an dem Erfordernis der "Freiwilligkeit" fehlen und die Einwilligung wäre unwirksam. Daher sollte die Einwilligung sinnvollerweise nach Abschluss des Arbeitsvertrages eingeholt werden. 

Mitarbeiterfotos können für verschiedene Zwecke verwendet werden. Das sollte auch bei der Formulierung der Einwilligungserklärung berücksichtigt werden. So kann die Nutzung zum Beispiel folgende Kategorien umfassen:

• Unternehmenswebsite
• Social Media Kanälen
• Broschüren (offline)
• Pressemitteilungen
• Pitch Unterlagen

Für mehr Transparenz und Akzeptanz sorgt ein Unternehmen, wenn es bei der Einwilligungserklärung nicht im Sinne eines 'Catch All' sämtliche Zwecke zusammenfasst. Wird dem Mitarbeiter die Möglichkeit eingeräumt, die Einwilligung nur für einzelne Zwecke zu erteilen, erhöht das Bereitschaft eine nachhaltige Einwilligung zu erhalten, da der Mitarbeiter so im Vorfeld die Kontrolle darüber erhält, für welche Zwecke er seine Einwilligung erteilen will und für welche gerade nicht. Für das Unternehmen bedeutet eine solche Vorgehensweise naturgemäß einen höhren Aufwand, denn es muss streng darauf achten, dass die Mitarbeiterfotos der Mitarbeiter dann auch nur für die Zwecke eingesetzt werden, für die eine ausdrückliche Einwilligung erteilt wurde. 

Bei der Formulierung einer solchen Einwilligungserklärung sollte also größte Sorgfalt angelegt werden. Ein Zurückgreifen auf Muster, die den konkreten Zweck der Veröffentlichung nicht benennen, führt dazu, dass die Einwilligung unwirksam ist und die Veröffentlichung damit einen DSGVO-Verstoß bedeuten würde.

Hat man hingegen eine wirksame Einwilligung für einen bestimmten Zweck eingeholt, darf man die Fotos auch nur für diesen Zweck verwenden und veröffentlichen. Erfolgt eine Veröffentlichung zu einem anderen Zweck oder in einem anderen Kontext, ist diese nicht mehr von der Einwilligung gedeckt und ebenfalls unzulässig.

Problematisch ist die Einwilligung aus Sicht des Unternehmens, weil diese jederzeit vom Mitarbeiter widerrufen werden kann. Dieses Widerrufsrecht kann auch nicht über die Gestaltung der Einwilligung abbedungen werden. Widerruft also der Mitarbeiter seine Einwilligung in die Veröffentlichung, entfällt mit Wirkung für die Zukunft die Berechtigung des Unternehmens zur Veröffentlichung des Fotos. Dann muss das Unternehmen das Foto des Mitarbeiters umgehend von der eigenen Internetseite nehmen und dafür sorgen, dass es auch an keiner weiteren Stelle im Internet, die vom Unternehmen verantwortet wird, abrufbar ist.

Wann braucht man ausnahmsweise keine Einwilligung?

Es gibt allerdings Konstellationen, in denen es ausnahmsweise nicht erforderlich ist, die Einwilligung der Mitarbeiter für die Veröffentlichung von Fotos einzuholen. So kann ausnahmsweise auf den Arbeitsvertrag als Rechtfertigungsgrundlage zurückgegriffen werden, wenn die Veröffentlichung der Fotos zur Durchführung des Beschäftigungsverhältnisses erforderlich ist. Das dürfte allerdings in den wenigsten Fällen der Fall sein, sodass mit dieser Ausnahme äußerst zurückhaltend umgegangen werden sollte.

Eine weitere Möglichkeit ist der Abschluss eines separaten Vertrages über die Veröffentlichung der Fotos mit dem Mitarbeiter. Dann wäre die Rechtsgrundlage für diese Veröffentlichung Art. 6 Abs. 1 lit. b) DSGVO. Mit diesem Vertrag werden die wechselseitigen Leistungen und Pflichten bzw. Rechte vereinbart. Auf der einen Seite wird das Recht zur Anfertigung und Veröffentlichung der Fotos durch das Unternehmen geregelt. Auf der anderen Seite die Gegenleistung, die der Mitarbeiter hierfür erhält. Ein solcher Vertrag ähnelt im Wesentlichen dem Konstrukt eines Model-Release-Vertrages. Der Vorteil dieser vertragsbasierten Regelung ist, dass die Veröffentlichung nicht auf einer widerruflichen Einwilligung basiert. Der Mitarbeiter kann somit nicht einseitig durch den Widerruf seiner Einwilligung die weitere Veröffentlichung des Fotos verhindern.

Was passiert, wenn der Mitarbeiter seine Einwilligung widerruft?

Gängig ist und bleibt vermutlich auch die Veröffentlichung von Mitarbeiterfotos auf der Basis einer Einwilligung. Damit trägt das Unternehmen das Risiko, dass der Mitarbeiter zu einem späteren Zeitpunkt seine Einwilligung widerruft und die weitere Veröffentlichung unzulässig wäre. Problematisch wird es vor allem dann, wenn der Mitarbeiter das Unternehmen verlässt. Eine Kündigung – egal ob vom Mitarbeiter selbst oder durch das Unternehmen – bedeutet nicht, dass dadurch die Erlaubnis zur Veröffentlichung der Fotos ebenfalls endet. Anders ist es allerdings, wenn der Mitarbeiter dann auch den Widerruf seiner Einwilligung erklärt. Noch nicht abschließend geklärt ist dabei allerdings die Frage, ob sich der Widerruf nach dem KUG richtet (dann muss der Mitarbeiter seinen Widerruf begründen) oder nach der DSGVO (dann kann der Mitarbeiter jederzeit, ohne Angabe von Gründen widerrufen). Die Aufsichtsbehörden beantworten diese Frage derzeit noch unterschiedlich. Aus Sicht eines Unternehmens sollte man bei der internen Behandlung solcher Fälle davon ausgehen, dass sich der Widerruf der Einwilligung nach den Vorschriften der DSGVO richtet und sich der Mitarbeiter ohne große Mühe von seiner Einwilligung lossagen kann. Würde man sich nämlich auf den Standpunkt stellen, der Mitarbeiter müsse ein berechtigtes Interesse für den Widerruf vorbringen und bis dahin lässt man das Foto online, läuft man Gefahr, dass ein Gericht diese Veröffentlichung als einen Datenschutzverstoß bewertet.

Risiko DSGVO-Schadenersatz bei unberechtigter Veröffentlichung

Fehlte von Anfang an eine Erlaubnis zur Veröffentlichung von Mitarbeiterfotos oder ist diese nachträglich weggefallen, ohne dass man das Foto entfernt hat, drohen nicht nur Bußgelder durch die zuständige Aufsichtsbehörde. Der betroffene Mitarbeiter kann im Einzelfall auch einen zivilrechtlichen Schadenersatz nach Art. 82 DSGVO wegen der unberechtigten Veröffentlichung eines Mitarbeiterfotos verlangen. Gerade wenn sich die Wege von Unternehmen und Mitarbeiter nicht einvernehmlich trennen, kommt es dazu, dass Unternehmen zur Zahlung eines Schadenersatzes nach Art. 82 DSGVO in Anspruch und letztlich auch verpflichtet werden.

So hatte das Arbeitsgericht Münster (Urt. v. 25.3.2021 – 3 Ca 391/20) einer Mitarbeiterin einen immateriellen Schaden in Höhe von 5.000,00 EUR zugesprochen. In diesem Fall hatte das Unternehmen ein Bild der Mitarbeiterin in einer Werbebroschüre veröffentlicht. Die Mitarbeiterin hatte eine schriftliche Einwilligung allerdings nicht erteilt. So führt das Gericht hierzu wörtlich aus:

Die Beklagte hat unter Verstoß gegen die Datenschutzgrundverordnung und das Kunst- Urhebergesetz ein Bild der Klägerin in einem auf ihre Hautfarbe bezogenen Zusammenhang verwendet, ohne eine schriftliche Einverständniserklärung der Klägerin. Die Ethnie der Klägerin ist auf dem Bild die zentrale Aussage, denn es wird geworben für die Internationalität der Universität. Nach Auffassung der Kammer ist die Aussage des Bildes: Bei uns unterrichten und lernen Menschen aus aller Herren Länder. Für dieses Bild wäre eine Person mit weißer Hautfarbe nicht herangezogen worden. Das Bild der Klägerin wurde vielmehr gerade wegen ihrer Hautfarbe verwendet.

Die Beklagte hätte die Klägerin nach § 26 Abs. 2 S. 3 DSGVO eine schriftlichen Einwilligung abgeben lassen müssen und zuvor in Textform über den Zweck der Datenverarbeitung und ihr Widerrufsrecht aufklären müssen. Im Arbeitsverhältnis ist § 22 KUG verfassungskonform dahingehend auszulegen, dass die Einwilligung der Schiftform bedarf, vgl. BAG 8 AZR 1010/13 , juris. Die Klägerin ist auch nicht derartig untergeordnet auf dem Bild zu sehen, dass nach § 23 KUG eine schriftliche Einwilligung nicht erforderlich ist.

Dieses Beispiel zeigt, dass Unternehmen sorgfältig darauf achten sollten, dass sie nicht nur für jede Veröffentlichung von Mitarbeiterfotos wirksame Einwilligungen haben, sondern bei einem Widerruf der Einwilligung umgehend reagieren müssen. Fehlt es an einer wirksamen Einwilligung oder fällt diese später weg, kann sich mit jedem Tag der unberechtigten Veröffentlichung die Schadenssumme für den betroffenen Mitarbeiter erhöhen. Ein unbedarfter und unüberlegter Umgang mit Mitarbeiterfotos kann also schnell zu einer erheblichen Schadenersatzforderung oder einem Bußgeld führen.

Weitere Beiträge zum Datenschutzrecht

• Der DSGVO-Schadensersatz nach Art. 82 DSGVO beschäftigt deutsche Unternehmen und Gerichte

Buch zum Thema

In meinem Buch „Privacy Litigation – Datenschutzrechtliche Ansprüche durchsetzen und verteidigen“ habe ich mich ausführlich mit der Verteidigung gegen DSGVO-Ansprüche befasst. Mehr zum Buch finden Sie hier: Laoutoumai | Privacy Litigation | 1. Auflage 2021 (ruw.de)

Auftritt in einem Podcast "Recht.Einfach.Erklärt"

Link zur Folge: #34 - Mitarbeiterfotos auf Social Media – Recht.Einfach.Erklärt. | Podcast auf Spotify