Die neue EU-Datenschutzverordnung betrifft nicht nur alle Unternehmen und Webseitenbetreiber, sondern auch jeden, der fotografiert! Wer sich mit diesem Thema noch nicht auseinandergesetzt hat, sollte das schleunigst tun, denn die Zeit rennt und möglichen Strafen und ggf. Abmahnungen bei Nichtbeachtung sind heftig. Daher hier einige Denkansätze von mir.
Die folgenden Gedanken basieren auf meinem persönlichen Kenntnisstand und spiegeln in Teilen auch meine eigene Unsicherheit im Umgang mit dem, was da auf uns zukommt, wieder. Sie sollen vor allem Denkansätze sein, um in das Thema einzusteigen, keine Rechtsberatung!
Am 25. Mai 2018 tritt die neue EU-Datenschutzverordnung DSGVO in Kraft. Das hat nicht nur weitreichende Folgen für Unternehmen und Webseiten-Betreiber, sondern auch für jeden, der fotografiert! Denn das DSGVO «überstimmt» das in Deutschland bisher gültige und bewährte Künstlerurhebergesetz (KUG) und ordnet Digital-Fotos, auf denen Personen zu erkennen sind, als personenbezogene Daten ein, die besonders schützenswert sind.
Ich möchte auf zwei Bereiche eingehen, die uns Fotografie-Schaffende betreffen kann:
- Erstens: auf die Auswirkungen auf unsere Fotografie als solches, sobald wir Menschen auf unseren Fotos abbilden. Auch hier bleibt leider nichts beim Alten, es wird Einschränkungen geben!
- Zweitens: auf die Datenverarbeitung im Rahmen von eigenen Webseiten – viele von euch haben ja selbst einen Blog oder eine Fotografie-Webseite, die sie pflegen – hier besteht dringender Handlungsbedarf!
Kaum sind wir von unserer Reise zurück, müssen wir neben dem Tagesgeschäft und unseren weiteren Projekten uns auch noch um die Prüfung und Umsetzung der neuen Datenschutzrichtlinien, die zum 25. Mai 2018 in Kraft treten, kümmern. Auch bei uns wird die Zeit dafür knapp, immerhin habe ich mit LRTimelapse.com und gwegner.de zwei größere Websites, die entsprechend angepasst und umgestellt werden müssen.
Ich kann daher hier für euch auch nur einen Anreiz schaffen, sich mit dem Thema kurzfristig auseinanderzusetzen – eine Beratung kann ich aufgrund der Komplexität der Thematik nicht geben, werde euch aber weiter unten auf einen Anwalt verweisen, der sich darauf spezialisiert hat und derzeit ein recht attraktives Angebot für Webseitenbetreiber hat (welches ich auch genutzt habe).
Kurz zum Hintergrund der DSGVO
Die Datenschutz-Grundverordnung (DSGVO oder GDPR), gilt erstmalig für alle EU-Länder und hat zum Ziel, die Daten und Privatsphäre der EU-Bürger stärker zu schützen. Das Ziel der Datenschutz-Reform ist es, EU-weite, einheitliche Rahmenbedingungen und somit einen achtsameren Umgang mit personenbezogenen Daten zu schaffen. Soweit so gut!
Die neue Verordnung fordert, dass nur diejenigen Daten gespeichert werden dürfen, die für die jeweilige Datenverarbeitungstätigkeit absolut notwendig sind. Zusätzlich ist die Führung eines sogenannten «Verarbeitungsverzeichnisses» gefordert. Auch das Recht auf Löschung und «Vergessen» von Daten ist in der Verordnung verankert.
So gut sich das erstmal aus Verbrauchersicht anhört (gerade nach den letzten Daten-Skandalen bei Facebook & Co.), so weitreichend sind die Konsequenzen für jeden, der Daten erfasst. Besonders gravierend für jeden der fotografiert: der Begriff der schützenswerten «Daten» umfasst neuerdings auch Fotos – mit Konsequenzen nicht nur für Profi-Fotografen, sondern für fast alle, die eine digitale Kamera benutzen.
1. Jeder der Fotografiert
Jahrelang galt in Deutschland das bewährte Künstlerurhebergesetz (KUG). Hier galt grundsätzlich zunächst das Recht am eigenen Bild. Darüber hinaus gab es aber Ausnahmen, die z.B. regelten, dass Personen, die nicht das Hauptmotiv sind z.B. Passanten beim Fotografieren des Berliner Tors, das Publikum beim Fotografieren eines Sportlers oder die Hochzeitsgäste beim Fotografieren des Brautpaars keine Einverständniserklärung unterschreiben mussten.
Das ändert sich nun mit der DSGVO grundlegend. Aufgrund der Tatsache, dass Digitalfotos auch Metadaten wie Uhrzeit, ggf. Ort, etc. enthalten, die deutlich mehr Rückschlüsse auf die Person erlauben, als ein analoges Foto, werden sie nun als personenbezogene Daten behandelt. Das hat im Grunde genommen zur Folge, dass jeder, der Menschen fotografiert, und wenn auch nur als «Beiwerk», von diesen Menschen eine Einwilligung im Sinne eines Vertrages braucht.
Einzige anwendbare Ausnahme besteht für «natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten» (sog. Haushaltsausnahme). Wobei extrem schwammig ist, wie «persönliche Tätigkeit» formuliert ist. Inwiefern hier das veröffentlichen von Bildern Anderer im Internet und Social Media eine rein persönliche Tätigkeit sein kann, wird schon länger kontrovers diskutiert.
Sobald eine gewerbliche Nutzung vorliegt, und dazu gehören auch Werbeeinahmen über Affiliate-Programme, Bannerschaltungen, Youtube-Erlöse etc. ist jegliche etwaige Ausnahme ohnehin vom Tisch.
Überlegt man sich, was das für Sport-Fotografen, Hochzeitsfotografen, Presse-Fotografen oder auch Street-Fotografen bedeutet, ist es weitreichend. Hier findet ihr eine ausführliche Herleitung der rechtlichen Grundlagen im KUG und im DSGVO.
Leider hat es die Bundesregierung bisher versäumt, dem deutschen Recht hier Vorrang einzuräumen, obwohl es wohl möglich gewesen wäre. Zum Beispiel hätte dem bewährten KUG als nationalem Gesetz Vorrang eingeräumt werden können. So hatte die EU es wohl auch vorgesehen. Schweden und Österreich haben z.B. für die Wahrung der Pressefreiheit eigene Gesetze zur «Verfeinerung» des DSGVO erlassen – Deutschland bisher nicht. Damit «überschreibt» das DSGVO unser KUG und wir müssen mit den Konsequenzen leben.
Ich zitiere mal aus o.g. Quelle von RA Rieck:
Ab dem 25. Mai 2018 gilt: Jede digitale Anfertigung eines Fotos, auf dem Personen erkennbar abgebildet sind, ist eine Datenerhebung. Ohne Einwilligung dürfen personenbezogene Fotos im Rahmen des KUG nur noch von der so genannten „institutionalisierten“ Presse und dem Rundfunk sowie den für sie arbeitenden Journalisten und Unternehmen angefertigt und genutzt werden. Damit haben z.B. freie Sportfotografen, freie Konzertfotografen, Hochzeitsfotografen und der gesamte Bereich Street Photography ab dem 25. Mai 2018 ein gravierendes Problem. Gemäß Art. 2 Abs. 1 DSGVO gilt die DSGVO ohne Einschränkungen „für ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“. Damit ist jegliche „automatisierte Verarbeitung“ ohne Einwilligung oder „berechtigtes Interesse“ grundsätzlich verboten. Nur, wenn ein so genannter Erlaubnistatbestand der DSGVO in Frage kommt, kann ausnahmsweise eine Erlaubnis vorliegen. Somit ist dann jede digitale Speicherung von personenbezogenen Fotos grundsätzlich verboten.
Das bedeutet aus meiner Sicht: ohne explizite Erlaubnis dürfen keine Bilder von Personen gemacht werden, auch wenn diese nicht das Hauptmotiv sind. Denn schon das Anfertigen eines Bildes bedeutet ja eine Speicherung. Die Unsicherheit treibt auf die Spitze, dass eine solche Erlaubnis in Zukunft auch nach Jahren wieder zurückgezogen können werden soll.
Und als explizite Erlaubnis reicht ein einfaches «Model Release» in Zukunft auch nicht mehr aus. Mit jedem Menschen, der fotografiert werden soll, muss ein Vertrag abgeschlossen werden. Das kann auch elektronisch passieren, aber der Mensch muss genau darüber aufgeklärt werden, was ihr mit seinem Bild vorhabt und für welche Zwecke ihr es verwenden wollt.
Und selbst solche verpixelten Bilder, wie ich sie hier zur Illustration verwende dürften ja nicht angefertigt werden, da die originale ja unverpixelt von der Kamera gespeichert werden. Ich sehe schon das neue Killer-Feature für Kamerahersteller: Gesichtserkennung mit Auto-Verpixelung vor der Speicherung. Sollte ich mir vielleicht patentieren lassen…
Die Zukunft wird zeigen, wie das alles weitergeht und welche Präzedenzfälle die Gerichte schaffen. Es bleibt zu hoffen, das unsere Regierung hier endlich eine klare Position bezieht (und zwar abseits vom derzeitigen «die Gerichte werden das schon regeln…») und für Fotografen – und damit meine ich jeden, der fotografiert – eine rechtssichere und realistische Regelung im Sinne eines deutschen Gesetzes erlässt, welches die durchaus sinnvolle Grundidee eines verbesserten Datenschutzes auf EU-Ebene aufgreift und verfeinert.
Update (8.5.2018): mittlerweile gibt es z.B. vom Hamburgischen Beauftragen für Datenschutz und Informationsfreiheit eine Stellungnahme zum Thema Fotografie von Menschen als «Beiwerk» – hier wird sehr gut hergeleitet, welche Lücken in den offiziellen Regelungen bestehen, und welche Regeln behelfsweise angewendet werden könnten. Danach sieht es nicht ganz so schlecht aus. Lohnenswerte Lektüre!
Update (17.05.2018): Immer mehr Interpretationen erscheinen, die das Gesetze-Mischmasch in einer Fotografen-freundlichen Weise interpretieren. Hier z.B. der Datenchutzbeauftragte der Fotocommunity, mit einer Auskunft des BMI im Anhang. So gerne ich auch «Jawoll, es ändert sich nichts» rufen würde – aus meiner sicht sind das gut gemeinte Interpretationen, die die Gerichte in den nächsten Jahren entweder bestätigen oder verwerfen werden. Einen Grund zur Panik sehe ich aber auch nicht.
Update (27.06.2018): Erstes Urteil durch OLG Köln, was «etwas Klarheit» schafft, aber im Endeffekt doch nicht unbedingt. Aber lest selbst.
Update (22.07.2018): EBook des Rheinwerk Verlages: Die Auswirkungen der DSGVO auf die Fotografie
Kommen wir nun zu den Dingen, wo ihr dringend tätig werden müsst, falls ihr außer Fotos noch andere personenbezogene Daten verarbeitet, z.B. weil ihr eine Webseite betreibt.
2. Webseiten-Betreiber
Jeder, der eine Webseite betreibt auf der er Daten der Nutzer erfasst (und dazu gehören auch die IP Adresse) unterliegt der DSGVO und muss tätig werden!
So sicher wie das Amen in der Kirche, wird DSGVO ab dem 25. Mai die Abmahnanwälte auf den Plan rufen, die das Internet automatisiert abgrasen auf der Suche nach Verstößen gegen das Gesetz und dann teure Briefe versenden.
Zu den Bereichen, in denen Daten der Webseiten-Besucher gespeichert werden und in denen u.U. dringender Handlungsbedarf besteht, gehören:
- Facebook / Twitter /Google-Plus-Plugins – sie sind absolutes No-Go, da sie bei jedem Aufruf der Seite schon personenbezogene Daten an die entsprechenden Dienste schicken. Als datensparsame Alternative setze ich die von der c’t entwickelten Shariff-Buttons ein, dafür gibt es auch ein WordPress-Plugin.
- Google Analytics – Alleine dieses Thema ist extrem umfangreich, z.B. hier abgehandelt – beispielsweise muss ein Vertrag zur Auftragsdatenverarbeitung mit Google abschlossen werden.
- Auch mit anderen Dienstleistern, z.B. Hostern aber auch Cloud-Betreibern müssen spezielle DSGVO-konforme Verträge geschlossen werden.
- Kommentare (IP Adresse ggf. anonymisieren!)
- Newsletter
- Daten, die von anderen Servern nachgeladen werden, z.B. eingebettete Videos, Google Maps, Google-Fonts etc.
- WordPress Plugins checken! Hier gibt es eine ganz gute Auflistung.
- Personenbezogene Daten haben ein Verfallsdatum und müssen, wenn kein berechtigtes Interesse besteht, sie längerfristig zu speichern, gelöscht werden. Auch das ist nicht trivial zu implementieren.
Und das ist nur die Spitze des Eisbergs (kein Anspruch auf Vollständigkeit!)
Externe anwaltliche Unterstützung kann sinnvoll sein!
Mein Fazit
Leider ist die DSGVO wieder eines dieser Gesetze, bei denen leider nicht alle Implikationen bedacht wurden und das unfassbar viele Auswirkungen hat, die der Gesetzgeber ziemlich sicher vorab nicht abgesehen hat, und die wir alle nun ausbaden müssen.
Jetzt ist es 5 vor 12, die (schwache) Hoffnung, dass die neue Regierung noch tätig würde haben sich aufgelöst und wir müssen handeln. Das Thema Fotografie kann derzeit eigentlich nicht wirklich umfassend gelöst werden. Im Privaten Umfeld wird es kaum durchsetzbar sein, dass keine Fotos mehr gemacht werden. Gewerbliche Fotografen hingegen tun gut daran, sich wirklich eingehend mit der Materie zu beschäftigen und ihrer Model-Releases rechtssicher der DSGVO anpassen zu lassen. Da ich selbst meist nur im außereuropäischen Ausland Menschen fotografiere, betrifft es mich derzeit weniger. Aber ganz sicher werde ich in Zukunft stärker aufpassen, bei Bildern die ich veröffentliche.
Update: hier gibt es eine Petition, die es sich sicher lohnt zu unterschreiben!
Im Bereich der Websites gibt es noch unfassbar viel zu tun, um die ganzen Erfordernisse technischer aber auch dokumentatorischer Art umzusetzen – und die Zeit wird jetzt echt knapp!
Wie seht ihr das Thema? Was sagt ihr zu den Einschränkungen im Bereich der Fotografie? Habt ihr eure Webseiten schon fit gemacht? Ich freue mich über eure Kommentare!
Linksammlung (wird ergänzt):