Themenseite · KUG · DSGVO

Fotos und Bildaufnahmen

„Darf ich das fotografieren? Darf ich es veröffentlichen? Brauche ich eine Einwilligung?" – kaum ein Thema kommt im Hochschulalltag häufiger auf die DSB-Bank als die Frage rund um Fotos und Bildaufnahmen. Diese Seite ordnet die Konstellation in das Verhältnis aus DSGVO und Kunsturhebergesetz (KUG) ein, beschreibt die typischen Konstellationen aus Veranstaltungen, Konferenzen, Mitarbeiterportraits, Werbung und Lehre und liefert für jede Situation einen Bewertungsansatz. Sie ist als persönliche fachliche Orientierungshilfe gedacht, nicht als Rechtsberatung.

Keine Rechtsberatung, kein Ersatz für Einzelfallprüfung: Diese Seite dient der fachlichen Orientierung und kann eine rechtsverbindliche Einzelfallbewertung nicht ersetzen. Sie stellt keine individuelle Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar. Für konkrete Fragen wenden Sie sich bitte an die Landesbeauftragte für den Datenschutz Sachsen-Anhalt oder an eine auf Datenschutzrecht spezialisierte Rechtsanwaltskanzlei.

Persönliche fachliche Auffassung: Ich bin hauptberuflich als Datenschutzmanager an einer öffentlichen Hochschule in Sachsen-Anhalt tätig. Die hier veröffentlichten Inhalte geben ausschließlich meine persönliche fachliche Auffassung wieder und stellen keine offizielle Position meines Arbeitgebers dar.

Praxisbeispiele als didaktische Fallgruppen: Die auf dieser Seite enthaltenen Praxisbeispiele sind didaktische Fallgruppen zur Veranschaulichung typischer Konstellationen. Sie ersetzen keine Bewertung des konkreten Einzelfalls; abweichende Sachverhaltsmerkmale können zu einer anderen rechtlichen Würdigung führen.

Was ist überhaupt vom Datenschutzrecht erfasst?

Sobald eine natürliche Person auf einem Bild erkennbar ist, handelt es sich nach Art. 4 Nr. 1 DSGVO um ein personenbezogenes Datum – mit der Folge, dass die DSGVO auf das Anfertigen, Speichern, Bearbeiten und Veröffentlichen anwendbar ist. Erkennbarkeit setzt nicht voraus, dass das Gesicht zu sehen ist; auch Kleidung, Tätowierungen, Statur, Stimme, Standort oder Kontextinformationen können nach hier vertretener Auffassung ausreichen.

Nicht erfasst sind regelmäßig Aufnahmen, auf denen keine Person identifizierbar ist – etwa Totalen aus großer Distanz ohne Gesichtszüge oder bewusst anonymisierte Aufnahmen (Unschärfe, Maskierung, Rückenansicht ohne weitere Identifizierungsmerkmale). In Grenzfällen sollte vorsorglich von einem Personenbezug ausgegangen werden.

Drei Verarbeitungsstufen sauber trennen

Erstellen der Aufnahme – Aufnahme einer identifizierbaren Person mit einer Kamera oder einem Smartphone.
Verarbeiten der Aufnahme – Speichern, Bearbeiten, Auswerten, internes Bereitstellen.
Veröffentlichen der Aufnahme – Bereitstellung gegenüber einem unbestimmten oder erweiterten Personenkreis (Webseite, Social Media, Druckpublikation, Newsletter).

Die rechtliche Zulässigkeit ist für jede Stufe einzeln zu prüfen. Eine zulässige Aufnahme bedeutet nicht automatisch eine zulässige Veröffentlichung – und umgekehrt.

Art. 4 Nr. 1, Art. 4 Nr. 2 DSGVO

Verhältnis von DSGVO und KUG

Das Verhältnis von DSGVO und Kunsturhebergesetz (KUG) ist seit der Geltung der DSGVO Gegenstand fachlicher Diskussion. Die deutsche Aufsichts- und Rechtsprechungspraxis dürfte sich auf folgende Linie konsolidiert haben:

Stufe	Beurteilung nach	Einordnung
Erstellen / Verarbeiten	DSGVO – Art. 6, ggf. Art. 9	Die DSGVO regelt die Datenverarbeitung umfassend. KUG enthält hierfür keine eigenständige Erlaubnisnorm.
Veröffentlichen (journalistisch / publizistisch)	KUG §§ 22, 23 i. V. m. Art. 85 DSGVO	Im journalistisch-publizistischen Bereich findet das KUG über die Öffnungsklausel des Art. 85 DSGVO weiterhin Anwendung. Bestätigend: OLG Köln, Beschluss v. 18.06.2018 – 15 W 27/18; in dieselbe Richtung weist die obergerichtliche Folgejudikatur.
Veröffentlichen (sonstige)	DSGVO – Art. 6, ggf. Art. 9	In nicht-publizistischen Konstellationen (klassische Hochschul-Öffentlichkeitsarbeit, Werbung, interne Kommunikation) dürfte die DSGVO unmittelbar maßgeblich sein. Das KUG kann ergänzend herangezogen werden, ersetzt aber die DSGVO-Rechtsgrundlage nicht.

§§ 22, 23 KUG enthalten eine austarierte Abwägungssystematik zwischen Persönlichkeitsrecht und Veröffentlichungsinteresse, die auch im DSGVO-Rahmen herangezogen werden kann – etwa als Auslegungshilfe für die Abwägung im Rahmen des Art. 6 Abs. 1 lit. e oder lit. f DSGVO. §§ 22, 23 KUG; Art. 85 DSGVO; OLG Köln, Beschluss v. 18.06.2018 – 15 W 27/18

Rechtsgrundlagen für Fotos im Hochschulkontext

Da Hochschulen und sonstige öffentliche Stellen Sachsen-Anhalts in Erfüllung ihrer Aufgaben tätig werden, scheidet Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) bei Aufgabenwahrnehmung grundsätzlich aus (Art. 6 Abs. 1 UAbs. 2 DSGVO). Die infrage kommenden Rechtsgrundlagen lassen sich für den Hochschulalltag wie folgt gruppieren:

Konstellation	Mögliche Rechtsgrundlage	Anmerkung
Fotos im Rahmen klassischer Aufgabenwahrnehmung (Veranstaltungsdokumentation, Pressefotos im Bildungsauftrag)	Art. 6 Abs. 1 lit. e DSGVO i. V. m. Aufgabennorm (z. B. §§ 3, 4 HSG LSA, Öffentlichkeitsarbeit)	Stets verbunden mit Verhältnismäßigkeitsprüfung; ein Widerspruchsrecht aus Art. 21 DSGVO ist zu beachten.
Werbliche Nutzung (Imagebroschüren, Recruiting-Kampagnen)	Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; bei Beschäftigten ergänzend § 26 BDSG bzw. – auf Landesebene Sachsen-Anhalt – Art. 88 DSGVO i. V. m. der jeweiligen beamten-/tarifrechtlichen Norm)	Werbung dürfte regelmäßig nicht unter den Aufgabenkanon der lit. e DSGVO fallen; Einwilligung ist hier sicherer Weg.
Vortragsmitschnitt (mit Sprecherin/Sprecher im Bild)	Einwilligung der Vortragenden i. V. m. arbeitsrechtlicher Grundlage	Beschäftigte: doppelte Prüfung Datenschutz + Beschäftigtenkontext.
Pressefotos auf öffentlichen Veranstaltungen	Art. 6 Abs. 1 lit. e DSGVO + §§ 22, 23 KUG (Bildnisse von Personen aus dem Bereich der Zeitgeschichte / Versammlungen)	Im publizistischen Bereich gewinnt das KUG zusätzliche Bedeutung über Art. 85 DSGVO.
Forschung mit Bildaufnahmen (z. B. ethnografische Studien, Feldforschung)	Art. 6 Abs. 1 lit. e + Art. 9 Abs. 2 lit. j DSGVO i. V. m. § 27 DSAG LSA	Veröffentlichung ist regelmäßig anonymisiert vorzunehmen; siehe Themenseite Forschungszweck.
Sicherheitsbezogene Bildaufzeichnung (Videoüberwachung)	Art. 6 Abs. 1 lit. e DSGVO i. V. m. § 8 DSAG LSA	Eigene Konstellation; vertieft auf der Themenseite Videoüberwachung.

Art. 6 Abs. 1 lit. a, e und UAbs. 2, Art. 9 Abs. 2 lit. j, Art. 21, 85, 88 DSGVO; § 8 und § 27 DSAG LSA; § 26 BDSG (auf Landesebene Sachsen-Anhalt mit § 26 DSAG LSA nur Sondertatbestände Personalakten/Eignungsuntersuchungen/GenDG); §§ 22, 23 KUG; §§ 3, 4 HSG LSA

Hinweis und Information vor der Aufnahme

Unabhängig davon, ob eine Aufnahme später veröffentlicht werden soll, dürften für jede personenbezogene Bildaufnahme die Informationspflichten nach Art. 13 DSGVO eingreifen. In der Praxis hat sich – analog zur Videoüberwachung – ein zweistufiges Modell bewährt:

Erste Stufe – sichtbarer Hinweis vor Ort Aushang am Veranstaltungseingang, Hinweis im Einladungsschreiben oder in der Tagungsmappe. Inhalt: Hinweis auf Foto- und ggf. Videoaufnahmen, Verantwortlicher, Zweck, Möglichkeit, sich nicht fotografieren zu lassen, Verweis auf eine Volltextinformation.
Zweite Stufe – Volltextinformation Vollständige Information nach Art. 13 DSGVO: Verantwortliche, Datenschutzbeauftragter, Rechtsgrundlage, Zwecke, Empfänger, Speicherdauer, Drittlandstransfer, Widerspruchsrecht (Art. 21 DSGVO), Beschwerderecht (Art. 77 DSGVO). Bereitstellung über QR-Code, Webseite, Tagungsmappe oder Aushang.

Praktikable „No-Photo"-Lösungen für Veranstaltungen

Farbige Lanyards oder Sticker, die signalisieren: „bitte nicht fotografieren".
Räumlich abgegrenzte Foto-Bereiche („Photo Zone"), in denen aktiv fotografiert wird – Rest des Raums bleibt aufnahmefrei.
Klar definierte Foto-Zeitfenster (Eröffnung, Pausen) statt durchgehender Aufnahme.
Eigene Hinweistafeln in mehreren Sprachen, wenn internationale Gäste erwartet werden.
Briefing der Fotografin oder des Fotografen vor der Veranstaltung – inklusive Sensibilität für Personen mit Schutzbedürfnis (z. B. Gewaltschutz).

Art. 13, Art. 21, Art. 77 DSGVO; ErwGr 58, 60 DSGVO

Veröffentlichung – wann erforderlich, wann optional?

Die rechtssichere Veröffentlichung von Personenfotos durch eine Hochschule erfordert in der Regel drei Bewertungsschritte durchlaufen:

DSGVO-Rechtsgrundlage prüfen: Art. 6 Abs. 1 lit. e DSGVO i. V. m. Aufgabennorm (z. B. Öffentlichkeitsarbeit, Bericht über Veranstaltung) oder Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
KUG-Bewertung: Greift § 23 Abs. 1 KUG (zeitgeschichtliches Ereignis, Bildnis als Beiwerk, Versammlungen, höheres Interesse der Kunst)? Liegt eine Einwilligung nach § 22 KUG vor?
Konkrete Einzelfallabwägung: Schwere des Eingriffs, erkennbarer Beitrag zur öffentlichen Meinungsbildung, kommerzielle vs. journalistische Nutzung, Schutzbedürfnis der abgebildeten Person.

Sichere Konstellationen für die Veröffentlichung

Bildnisse aus dem Bereich der Zeitgeschichte (z. B. Vortragende, Hochschulleitung in Funktion).
Bilder, auf denen Personen nur als Beiwerk erscheinen (Saalansicht, Architektur).
Bilder von Versammlungen und ähnlichen öffentlichen Vorgängen.
Bilder mit ausdrücklicher schriftlicher Einwilligung der abgebildeten Person.
Anonymisierte Bilder (Unschärfe, Verpixelung von Gesichtern, Maskierung).

Eher kritische Konstellationen

Werbliche Nutzung ohne ausdrückliche Einwilligung.
Hervorgehobene Einzelpersonen ohne erkennbaren zeitgeschichtlichen Bezug.
Personen in privater oder höchstpersönlicher Situation.
Identifizierbare Studierende ohne erkennbares Vortrags- oder Auftrittsmoment.
Veröffentlichung in sozialen Netzwerken mit unklaren Rechte-AGB und potenziellem Drittlandstransfer.

§§ 22, 23 KUG; Art. 6 Abs. 1, Art. 21, Art. 85 DSGVO; § 33 KUG (Strafvorschrift, Antragsdelikt) i. V. m. § 34 KUG (Einziehung)

Mitarbeiterportraits und Fotos von Beschäftigten

Im Beschäftigtenkontext stoßen die allgemeinen Foto-Regeln auf das besondere Über-Unterordnungs-Verhältnis. Aus diesem Grund hat die arbeitsgerichtliche Rechtsprechung die Anforderungen für Mitarbeiterfotos konkretisiert. Nach hier vertretener Auffassung dürften folgende Leitlinien gelten:

Eine Einwilligung der Beschäftigten ist regelmäßig erforderlich – das bloße arbeitsvertragliche Verhältnis trägt eine Veröffentlichung nicht. Maßgeblich sind insbesondere BAG, Urteil v. 11.12.2014 – 8 AZR 1010/13 (Pflicht zur schriftlichen Einwilligung nach § 22 KUG) und BAG, Urteil v. 19.02.2015 – 8 AZR 1011/13 (Bindungsdauer der Einwilligung über das Beschäftigungsende hinaus).
Die Einwilligung sollte schriftlich, klar formuliert und auf konkrete Verwendungen beschränkt werden (interne Mitarbeiterzeitung, Webseite, Social Media, Recruiting-Material).
Der jederzeitige Widerruf nach Art. 7 Abs. 3 DSGVO ist dem Beschäftigten ohne Nachteilsbesorgnis zu ermöglichen. Nach BAG-Rechtsprechung wirkt der Widerruf nicht automatisch mit Beendigung des Beschäftigungsverhältnisses.
Bei direktem Vorgesetztenverhältnis ist die Freiwilligkeit besonders kritisch zu prüfen; idealerweise wird die Einwilligung durch eine unbeteiligte Stelle eingeholt.
Eine standardmäßige Einwilligungsklausel im Arbeitsvertrag dürfte nach EuGH C-34/21 (Hessen-Lehrkräfte, Urt. v. 30.03.2023) und der Folgejudikatur regelmäßig nicht den Anforderungen des Art. 88 DSGVO an spezifische Schutzvorkehrungen genügen.
Einrichtungs- und Mitarbeiterportraits, die der dienstlichen Erreichbarkeit gegenüber externen Dritten dienen (z. B. Mitarbeiterverzeichnis Pforte, Lehrstuhlseite mit Funktionsbezug), können in Einzelfällen auf Art. 6 Abs. 1 lit. e DSGVO i. V. m. der Aufgabennorm gestützt werden – die Erforderlichkeitsprüfung ist hier streng.

§§ 22, 23 KUG; Art. 6 Abs. 1, Art. 7 Abs. 3, Art. 88 DSGVO; § 26 BDSG (auf Bundesebene; § 26 DSAG LSA betrifft demgegenüber nur Personalakten und Eignungsuntersuchungen); BAG, Urteil v. 11.12.2014 – 8 AZR 1010/13; BAG, Urteil v. 19.02.2015 – 8 AZR 1011/13; EuGH, Urteil v. 30.03.2023 – C-34/21

Praxisbeispiele aus dem Hochschulalltag

Konferenz

Wissenschaftliche Konferenz mit internationalen Gästen

Die Hochschule veranstaltet eine zweitägige wissenschaftliche Konferenz. Eine Fotografin soll ausgewählte Momente festhalten; geplant ist eine Veröffentlichung auf der Webseite und in einem Bericht für die Mitgliederzeitschrift.

Bewertungsansatz: Aufnahme und Veröffentlichung dürften regelmäßig auf Art. 6 Abs. 1 lit. e DSGVO i. V. m. Öffentlichkeitsarbeit als Aufgabe gestützt werden können. Zweistufige Hinweispflicht beachten: Aushang/Tagungsmappe-Eintrag + Volltextinformation per QR-Code. „No-Photo"-Lösung anbieten (z. B. farbige Lanyards). Bei besonders hervorgehobenen Einzelpersonen außerhalb der Vortragsrolle – etwa Lehrende oder Studierende in Großporträts für die Werbeunterlage – empfiehlt sich eine ergänzende Einwilligung. Bei Konferenzteilnehmenden aus sicherheitssensiblen Kontexten (z. B. Forschende aus autoritären Staaten) ist besondere Sorgfalt geboten.

Veranstaltungsfoto

Empfang nach einer Promotionsfeier

Im Anschluss an eine Promotionsfeier soll der Empfang fotografiert werden – die Fotos sollen in einer Mitarbeiterzeitung erscheinen.

Bewertungsansatz: Es handelt sich um eine hochschultypische Aufgabe mit Berichtscharakter; Art. 6 Abs. 1 lit. e DSGVO und §§ 22, 23 KUG dürften regelmäßig die Veröffentlichung tragen können. Die Promovierenden sollten dennoch vorab informiert werden; das Widerspruchsrecht aus Art. 21 DSGVO ist zu kommunizieren. Gruppenaufnahmen mit Fokus auf die Promovierenden sind regelmäßig unproblematisch; isolierte Großporträts privater Gäste ohne deren Einwilligung dürften dagegen kritisch sein.

Werbung / Imagebroschüre

Recruiting-Kampagne der Personalabteilung

Die Personalabteilung möchte für eine Recruiting-Kampagne fotografierte Beschäftigte zeigen – inklusive Aussagen wie „Ich arbeite gerne an dieser Hochschule".

Bewertungsansatz: Werbliche Nutzung dürfte regelmäßig nicht durch Art. 6 Abs. 1 lit. e DSGVO gedeckt sein. Empfohlen wird eine ausdrückliche, schriftliche und konkret zweckgebundene Einwilligung der jeweiligen Beschäftigten. Die Einwilligung sollte Verwendungsbereich, Medien und Veröffentlichungsdauer benennen sowie das Widerrufsrecht erläutern. Bei direkter Vorgesetztenanforderung ist die Freiwilligkeit besonders sorgfältig zu sichern; idealerweise erfolgt die Einwilligungseinholung über eine zentrale Stelle.

Mitarbeiterverzeichnis

Foto im Lehrstuhlverzeichnis

Ein Lehrstuhl möchte alle Beschäftigten mit Portraitfoto auf der Webseite zeigen.

Bewertungsansatz: Die Notwendigkeit eines Portraitfotos für die Aufgabenerfüllung ist regelmäßig nicht zwingend sein – ein Mitarbeiterverzeichnis ist regelmäßig auch ohne Bild funktionsfähig. Empfohlen wird die Einwilligung jeder oder jedes einzelnen Beschäftigten mit klarem Hinweis auf die Freiwilligkeit und die Möglichkeit, sich auch ohne Bild im Verzeichnis listen zu lassen. Direkte Vorgesetzte sollten bei der Einwilligungseinholung zurücktreten.

Lehrveranstaltung

Aufzeichnung einer Vorlesung

Ein Lehrender möchte seine Vorlesung mitschneiden und auf der Lernplattform für die Studierenden bereitstellen.

Bewertungsansatz: Die Vorlesungsaufzeichnung ist konzeptionell zwei Verarbeitungen: 1. Erfassung der oder des Lehrenden – Beschäftigtenkontext, Einwilligung oder Dienstvereinbarung erforderlich; 2. Erfassung Studierender im Bild oder im Ton – sollte technisch vermieden werden (Kameraführung, separate Mikrofone). Sollte eine Erfassung Studierender unvermeidbar sein, ist eine Information vor Beginn und – soweit Wortbeiträge identifizierbar werden – ergänzende Einwilligung sinnvoll. Vgl. auch Themenseite Videoüberwachung.

Social Media

Veröffentlichung auf Instagram / LinkedIn

Die Hochschulkommunikation möchte Veranstaltungsfotos auf ihrem Instagram-Kanal veröffentlichen.

Bewertungsansatz: Neben der allgemeinen Foto-Bewertung treten zwei Spezifika hinzu: 1. Drittlandstransfer (siehe Themenseite Drittlandstransfer) – auf der Plattform liegen Aufzeichnungen regelmäßig in den USA; 2. weitreichende Plattform-AGB, die der Plattform Nutzungsrechte einräumen. Empfohlen wird die zusätzliche Information der abgebildeten Personen, dass die Veröffentlichung auf Plattformen mit Sitz außerhalb des EWR erfolgt, sowie die Berücksichtigung eines anlassbezogenen Widerspruchsrechts.

Typische Stolpersteine

Berufung auf das berechtigte Interesse: Art. 6 Abs. 1 lit. f DSGVO ist für öffentliche Stellen in Aufgabenwahrnehmung regelmäßig ausgeschlossen. Stützung über Art. 6 Abs. 1 lit. e DSGVO i. V. m. Aufgabennorm.
Einwilligung als Standardweg: Wo eine Aufgabennorm trägt, ist die Einwilligung nicht zusätzlich erforderlich – sie verwirrt die Rechtslage und stellt das spätere Widerrufsmanagement infrage.
Pauschale Aushänge ohne Volltextinformation: Reine Piktogramm-Hinweise dürften der Informationspflicht nach Art. 13 DSGVO regelmäßig nicht gerecht werden.
Vermischung von Aufnahme und Veröffentlichung: Beide Stufen sind getrennt zu bewerten – eine Einwilligung für die Aufnahme deckt nicht automatisch die Veröffentlichung.
Unklare Reichweite der Einwilligung: Pauschale Klauseln („alle Verwendungen") dürften am Bestimmtheitsgrundsatz scheitern. Empfohlen wird die Auflistung der Verwendungszwecke und Medien.
Fehlendes Widerrufsmanagement: Wer Fotos auf Einwilligung stützt, sollte einen klaren Prozess für den Widerruf vorhalten – inklusive technischer Umsetzung auf Webseite und Social Media.
Drittlandstransfer übersehen: Social Media und Cloud-Bildbearbeitung verlagern Daten häufig in Drittländer; das ist gesondert zu prüfen.
Schutzbedürftige Personen: Personen aus dem Gewaltschutz, Whistleblower, Personen aus autoritären Drittstaaten oder Studierende mit Aufenthaltsstatusrisiken sollten besonders sensibel behandelt werden.

Weitere Themenseiten zu Datenschutz, KI-Verordnung und Informationssicherheit.

Zur Themenübersicht

Fragen zu dieser Seite?

Hinweise, Fehlerkorrekturen oder Anregungen zur Erweiterung dieser Seite nehme ich gerne entgegen.

kontakt@dennisawinkler.de