Bei der Aufnahme und Veröffentlichung von Mitarbeiterfotos werden personenbezogene Daten (Art. 4 Nr. 1 DSGVO) verarbeitet. Die Verarbeitung von personenbezogenen Daten bedarf immer einer Rechtsgrundlage. Bei Mitarbeiterfotos ergibt sich diese bis auf wenige Ausnahmen aus der Einwilligung (Art. 6 Abs. 1 lit. a), 7, 4 Nr. 11 DSGVO).
Wichtig ist, dass die Einwilligung vor der Fotoaufnahme und Veröffentlichung beim Mitarbeiter eingeholt wird. Dabei muss der Mitarbeiter über die Art (Zweck) und den Umfang der Veröffentlichung seines Fotos sowie seiner Rechte umfassend informiert werden. Wichtig ist auch, dass die Einwilligung freiwillig erfolgt und dem Mitarbeiter bei einer nichterteilten Einwilligung keine Nachteile entstehen dürfen.
Welche Anforderungen müssen bei der Einholung von Einwilligungserklärungen konkret beachtet werden
- Einwilligung freiwillig und unabhängig vom Arbeitsvertrag:
Die Einwilligung sollte unabhängig vom Arbeitsvertrag eingeholt werden, da der Mitarbeiter sich sonst gezwungen fühlen kann, die Einwilligung zu erteilen. Die Freiwilligkeit muss explizit zum Ausdruck gebracht werden. Das Arbeitsverhältnis stellt aufgrund des ihm immanenten Abhängigkeitsverhältnisses eine besondere Situation dar. Aus diesem Grund regelt § 26 Abs. 2 S. 1 BDSG, dass bei Beurteilung der Freiwilligkeit der Einwilligung im Beschäftigungsverhältnis neben der bestehenden Abhängigkeit auch die Umstände, unter denen die Einwilligung erteilt wurde, zu berücksichtigen sind. Keinesfalls darf der Abschluss des Arbeitsvertrages von dem Nutzungsrecht an Fotoaufnahmen abhängig gemacht werden. Das wäre nicht nur nicht freiwillig, sondern würde auch gegen das Kopplungsverbot aus Art. 7 Abs. 4 DSGVO verstoßen.
- Einwilligung vor Fotoaufnahme und Veröffentlichung:
Die Einwilligung muss vor der Fotoaufnahme und Veröffentlichung des Fotos eingeholt werden, damit der Mitarbeiter im vornherein schon weiß, für welche konkreten Zwecke (auf Homepage, in Printmedien, auf Social Media Seiten wie Facebook) die Fotoaufnahmen später genutzt werden sollen. Somit hat er die Möglichkeit, sich gleich zu Beginn für alle oder nur bestimmte Verwendungszwecke zu entscheiden (vgl. auch Erwägungsgrund 32 der DSGVO). In jedem Fall unzulässig ist eine sog. Generaleinwilligung, also eine Einwilligung ohne Nennung eines konkreten Zwecks.
- Einwilligung in Schriftform:
Zu Beweiszwecken sollte die Einwilligung immer schriftlich oder elektronisch eingeholt werden, vgl. § 26 Abs. 2 S. 3 BDSG. Denn auf eine nur mündlich erteilte Einwilligung kann sich das Unternehmen im Streitfall nicht berufen.
- Allgemeine Informationspflichten nach Art. 13 DSGVO:
Wie bereits ausgeführt sind Unternehmen verpflichtet, den Betroffenen bei der Einholung der Einwilligung über die Zwecke, sowie Art und Ort der Veröffentlichung der Mitarbeiterfotos zu informieren. Auch ist der Mitarbeiter über sein jederzeitiges Widerrufsrecht nach Art. 7 Abs. 3 DSGVO zumindest in Textform aufzuklären, § 26 Abs. 2 S. 4 DSGVO.
Fazit
Der Einsatz von Mitarbeiterfotos im unternehmerischen Kontext hat viele Vorteile, durch das jederzeitige Widerrufsrecht und die datenschutzrechtlichen Vorgaben für eine wirksam erteilte Einwilligung jedoch auch seine Tücken. Macht der Mitarbeiter von seinem Widerrufsrecht Gebrauch, ist die weitere Verwendung und Veröffentlichung der Fotos für die Zukunft nicht mehr zulässig. Einer Begründung für den Widerruf bedarf es nicht. Das Unternehmen muss im Falle eines Widerrufs dafür sorgen, dass das Foto auf sämtlichen Plattformen entfernt wird. Sofern die abgebildete Person besonders herausgestellt wird – beispielsweise weil mit ihrer Expertise geworben wird – ist das Mitarbeiterfoto bei Beendigung des Beschäftigungsverhältnisses sogar ohne ausdrücklichen Widerruf von der Seite zu nehmen. Anders verhält es sich nur bei Gruppenbildern, in denen es nicht auf den Einzelnen ankommt, bzw. wenn die abgebildete Person nur „schmückendes Beiwerk“ ist. Bei Veröffentlichung von Mitarbeiterfotos ohne Erlaubnis des Mitarbeitenden drohen nicht nur Bußgelder; der Mitarbeitende kann in dem Fall auch einen Schadenersatz nach Art. 82. DSGVO verlangen.
Autoren: Sebastian Wurzberger (Data Privacy Consultant) &
Cansu Muti (Data Privacy Consultant)