Die Wellen schlugen hoch, als am 25.05.2018 die Datenschutz-Grundverordnung (DSGVO) in Kraft getreten ist. Von Experten wurde sie unter anderem als „größte Katastrophe des 21. Jahrhunderts“ (Prof. Dr. Thomas Hoeren, Leiter des Instituts für Informations-, Telekommunikations- und Medienrecht an der Universität Münster im Rahmen des Euroforum-Datenschutzkongresses 2016 in Berlin ) gescholten, von Datenschützern als „Meilenstein“ (Andrea Voßhoff, damalige Bundesdatenschutzbeauftragte, auf dem Verbandstag des Bundesverbands der Datenschutzbeauftragten 2016 in Berlin) gefeiert und von Unternehmen wie Bloggern und kleinen Internethändlern gefürchtet. Dabei will die DSGVO vor allem eins, nämlich den Umgang mit personenbezogenen Daten europaweit einheitlich regeln. Trotz verhängter Bußgelder in Höhe von bis zu 14,5 Millionen Euro (s. hier) haben sich die Wogen – zumindest in der öffentlichen Wahrnehmung – inzwischen weitestgehend geglättet. Die anwaltliche Praxis zeigt allerdings, dass viele Fragen nach wie vor ungeklärt sind. Dies gilt unter anderem für die Nutzung von Mitarbeiterfotos und das Spannungsverhältnis zwischen KUG und DSGVO.
Viele Unternehmen verwenden Mitarbeiterfotos, vor allem als Bestandteil ihrer Unternehmenskommunikation. So werden auf Unternehmenswebsites Mitarbeiterfotos öffentlich zugänglich gemacht, um dem Unternehmen „ein Gesicht“ zu geben. Auf YouTube werden Schulungsvideos von Mitarbeitern hochgeladen, Mitarbeiterfotos werden für Recruitingzwecke, Social-Media-Kanäle oder Newsletter verwendet, manche Unternehmen halten gar interne Fotodatenbanken mit Mitarbeiterfotos bereit, um Marketingmaterial zu bebildern. Bei diesen Mitarbeiterfotos handelt es sich allerdings um personenbezogene Daten oder unter Umständen sogar um sensible personenbezogene Daten. Es müssen also zum einen die Vorgaben aus der DSGVO zum Schutz von personenbezogenen Daten berücksichtigt werden, zum anderen gelten die Regeln des Gesetzes, betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie (KUG), nach denen Bildnisse von Personen grundsätzlich nur mit deren Einwilligung verbreitet oder öffentlich zur Schau gestellt werden dürfen (vgl. § 22 KUG).
Im ersten Schritt stellt sich daher die Frage, in welchem Spannungsverhältnis KUG und DSGVO stehen, und im zweiten Schritt, welche Auswirkungen dies auf die praktische Handhabung von Mitarbeiterfotos hat.
Anwendbarkeit von KUG und DSGVO
Grundsätzlich sind KUG und DSGVO nebeneinander anwendbar, davon ist jedenfalls der deutsche Gesetzgeber ausgegangen (s. hier). Das bedeutet für die Verwendung von Mitarbeiterfotos erst einmal grundsätzlich, dass diese zum einen den Vorgaben des KUG, aber auch den Vorgaben der DSGVO entsprechen müssen. Art. 85 Abs. 2 DSGVO sieht eine Öffnungsklausel dergestalt vor, dass für die Datenverarbeitung zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken Abweichungen oder Ausnahmen möglich sind. Als erstes Gericht hat 2018 das Oberlandesgericht Köln in einem Verfügungsverfahren entschieden, dass das KUG, soweit es sich auf die Veröffentlichung von Bildnissen zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken bezieht, eine Regelung im Sinne dieser Öffnungsklausel ist (OLG Köln, Beschluss vom 18.06.2018, in: GRUR-RS 2018, 12712). Nach wie vor ungeklärt ist aber die Frage, ob das KUG auch anwendbar ist, wenn die Veröffentlichung zu keinem der vorgenannten Zwecke erfolgt (Anmerkungen von Hoeren zum Beschluss des OLG Köln vom 18.06.2018, in: ZD 2018, 434.), wie es etwa bei Mitarbeiterfotos der Fall wäre. Nur vereinzelt haben Gerichte hierzu bereits entschieden und das KUG – wenn auch ohne weitere Begründung – auch außerhalb dieser Zwecke neben der DSGVO für anwendbar erklärt (LG Frankfurt am Main, Urteil vom 26.09.2019, in: ZD 2020, 2).
Auswirkungen auf die Handhabung von Mitarbeiterfotos
Die Vorgaben aus KUG und DSGVO sind indes unterschiedlich ausgestaltet. Während etwa die nach § 22 KUG erforderliche Einwilligung des Abgebildeten grundsätzlich formlos und unwiderruflich ausgestaltet werden kann, muss die Einwilligung nach Art. 6 Abs. 1a) DSGVO zwingend jederzeit frei widerrufen werden können. Auch sind die weitergehenden Vorgaben aus der DSGVO einzuhalten. Das bedeutet, dass die Verarbeitung von personenbezogenen Daten grundsätzlich verboten ist, solange sie gesetzlich nicht ausnahmsweise erlaubt ist. Dabei sind die Abgebildeten umfangreich zu informieren und zu belehren. Für eine mögliche gesetzliche Erlaubnis stehen vor allem folgende Tatbestände zur Verfügung:
• Einwilligung der betroffenen Person gemäß Art. 6 Abs. 1a) DSGVO
• Erfüllung eines Vertrags gemäß Art. 6 Abs. 1b) DSGVO
• berechtigte Interessen gemäß Art. 6 Abs. 1f) DSGVO
Da die meisten Unternehmen bei der Verwendung von Bildnissen in Form von Mitarbeiterfotos die Vorgaben des KUG gewöhnt sind, nach der eine Verbreitung des Fotos nur mit Einwilligung des Mitarbeiters zulässig ist, tendieren die Unternehmen dazu, die gesetzliche Erlaubnis auf die Einwilligung nach Art. 6 Abs. 1a) DSGVO zu stützen. Unmittelbare Folge der Einwilligung ist aber – wie oben bereits erwähnt –, dass diese zwingend jederzeit frei widerrufen werden kann und dass der Betroffene über die Widerrufsmöglichkeit natürlich auch belehrt werden muss (ebenso wie über weitere Betroffenenrechte nach Art. 15 ff. DSGVO). Hinzu kommt, dass das Bildnis nach Erklärung des Widerrufs unverzüglich gelöscht werden muss. Der gesetzliche Erlaubnistatbestand der Einwilligung nach Art. 6 Abs. 1a) DSGVO ist daher bei der Verwendung von Mitarbeiterfotos nur bedingt geeignet.
Stattdessen könnten Unternehmen erwägen, die gesetzliche Erlaubnis auf berechtigte Unternehmensinteressen gemäß Art. 6 Abs. 1f) DSGVO zu stützen. Die Folge ist allerdings auch hier, dass der betroffenen Person ein Widerspruchsrecht nach Art. 21 DSGVO zusteht, allerdings nur aus „Gründen, die sich aus ihrer besonderen Situation ergeben“. Anders als beim Widerruf der Einwilligungserklärung ist hier allerdings eine Interessenabwägung erforderlich, die – je nach Umständen des Einzelfalls – auch zugunsten des Unternehmens ausfallen kann. Wenn man also die Regelungen des KUG weiterhin für anwendbar halten will, und zwar unabhängig vom Zweck, könnte man erwägen, die umfassend im Rahmen der Rechtsprechung zum KUG herausgearbeiteten Aspekte auch im Rahmen dieser Interessenabwägung zu berücksichtigen.
So sind Fallkonstellationen denkbar, in denen die Unternehmensinteressen das Interesse des Mitarbeiters überwiegen können, etwa wenn mit großem finanziellen Aufwand ein Schulungsvideo mit Einwilligung des Mitarbeiters gedreht worden ist oder die Nutzung des Mitarbeiterfotos zeitlich begrenzt ist, zum Beispiel im Rahmen einer Stellenanzeige. Andererseits wäre das Vorhalten einer internen Fotodatenbank nicht zu rechtfertigen, stellt sie doch eine unzulässige Vorratsdatenspeicherung dar. Am Ende wird es den Gerichten überlassen sein, die Interessen von Unternehmen und Mitarbeitern nach den Umständen des Einzelfalls gegeneinander abzuwägen.
Auswirkungen des Ausscheidens von Mitarbeitern
Aber auch die gesetzliche Erlaubnis der berechtigten Unternehmensinteressen würde aufgrund des Prinzips der Zweckbindung (vgl. Art. 5 Abs. 1b) DSGVO) mit dem Ausscheiden eines Mitarbeiters enden, da die Verknüpfung der personenbezogenen Daten mit dem Unternehmen nicht mehr zulässig wäre. Das Problem ausscheidender Mitarbeiter für die Unternehmenskommunikation in Form von Mitarbeiterfotos kann also von Unternehmen rechtssicher nur dadurch gelöst werden, dass etwa professionelle Schauspieler für Schulungsvideos oder professionelle Models vertraglich verpflichtet werden. Damit können sich die Unternehmen auf die gesetzliche Erlaubnis der Erfüllung eines Vertrags gemäß Art. 6 Abs. 1b) DSGVO stützen. Aber diese Ausweichmöglichkeit wird für viele Unternehmen keine überzeugende Alternative sein, da es ihnen in den meisten Fällen gerade darum gehen wird, ihre eigenen Mitarbeiter und damit das Unternehmen zu präsentieren.
Insofern bleibt es dabei, dass das Ausscheiden eines Mitarbeiters dazu führt, dass das Foto ab diesem Zeitpunkt nicht mehr verwendet werden darf oder dass dieses sogar unverzüglich zu löschen ist, und zwar unabhängig davon, ob die Datenverarbeitung auf eine Einwilligung der betroffenen Person (Art. 6 Abs. 1a) DSGVO) oder berechtigte Interessen (Art. 6 Abs. 1f) DSGVO) gestützt wird.
Fazit
Da viele Detailfragen im Spannungsverhältnis zwischen KUG und DSGVO nach wie vor ungeklärt sind, sollten Unternehmen bei der Nutzung von Mitarbeiterfotos grundsätzlich zurückhaltend sein oder sich über die rechtlichen Konsequenzen der Wahl der gesetzlichen Erlaubnisgrundlage oder das Ausscheiden von Mitarbeitern im Klaren sein. Die Auswirkungen eines Datenschutzverstoßes werden die Unternehmen weitaus empfindlicher treffen als ein Verstoß gegen das KUG.
