Bilder im Unternehmen und die Datenschutz-Grundverordnung
Die Datenschutz-Grundverordnung (DSGVO) erfasst Abbildungen von Personen, sofern diese Personen zu erkennen sind.
Bilder als personenbezogene Daten
Bei solchen Abbildungen handelt es sich um personenbezogene Daten im Sinn von Art. 4 Nr. 1 DSGVO. Daran besteht kein Zweifel.
Dies bestätigt Erwägungsgrund 51 Satz 3 zur DSGVO. Er geht ganz selbstverständlich davon aus, dass die „Verarbeitung von Lichtbildern“ in den Anwendungsbereich der DSGVO fällt.
Auch der Europäische Gerichtshof (EuGH) betrachtet Bilder von Personen als personenbezogene Daten. Das hat er schon im Jahr 2014 für Videoaufnahmen von Personen entschieden (siehe EuGH, Urteil vom 11. Dezember 2014 – C-212/13 „Rynes“, Randnummern 24/25).
Bilder von Verstorbenen
Diese Aussage gilt allerdings nur für Bilder von Personen, die noch leben. Erwägungsgrund 27 Satz 1 zur DSGVO lässt daran keinen Zweifel.
Er lautet: „Diese Verordnung gilt nicht für die personenbezogenen Daten Verstorbener.“ Bilder, die verstorbene Personen zeigen, fallen also nicht in den Anwendungsbereich der Datenschutz-Grundverordnung.
Es geht hier nicht nur um Bilder, die Verstorbene zeigen, sondern auch um Bilder von Personen, die nach Anfertigung der Aufnahme gestorben sind.
Die praktische Bedeutung dieser Einschränkung ist groß. In vielen Firmenarchiven befinden sich historische Aufnahmen, die schon einige Jahrzehnte alt sind.
Für sie gelten die Regelungen der DSGVO normalerweise von vornherein nicht.
Private Bilder
Nicht anwendbar ist die DSGVO, wenn Bilder im Rahmen „ausschließlich persönlicher oder familiärer Tätigkeiten“ entstehen (so Art. 2 Abs. 2 Buchst. c DSGVO). Klassisches Beispiel: private Fotos vom Kindergeburtstag oder private erotische Fotos, beides jeweils nur für den „Eigengebrauch“.
Unternehmen können sich auf diese Ausnahme nicht berufen. Der EuGH legt sie sehr eng aus. Er hält sie nur dann für einschlägig, wenn es um Tätigkeiten geht, „die zum Privat- oder Familienleben von Privatpersonen gehören“ (so zuletzt EuGH, Urteil vom 10.7.2018 – C-25/17 „Zeugen Jehovas“, Randnummer 42).
Erkennbarkeit von Personen
Dass Personen zu erkennen sind, nimmt die Rechtsprechung bereits unter relativ geringen Voraussetzungen an.
Es reicht aus, dass der persönliche Bekanntenkreis die abgebildete Person erkennen kann, beispielsweise anhand einer etwas ungewöhnlichen Frisur oder anhand von ungewöhnlicheren Schuhen. Das Gesicht muss nicht zu sehen sein.
Die bloße Verpixelung des Gesichts beseitigt die Erkennbarkeit oft nicht. Ebenso wenig gelingt dies durch schwarze Balken über den Augen.
DSGVO und nationales Recht
Die DSGVO hat den Vorrang gegenüber nationalen Regelungen der Mitgliedstaaten. Das gilt generell und ergibt sich aus Art. 288 Abs. 2 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV).
Er lautet: „Die Verordnung hat allgemeine Geltung. Sie ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.“
Regelungen speziell für Bilder von Personen enthält die DSGVO nicht. Nationale Regelungen für Bilder von Personen sind nur noch dann zulässig, wenn die DSGVO dies ausdrücklich vorsieht oder jedenfalls zulässt.
Das „KUG“ – inzwischen wertlos?
An dieser Stelle kommt üblicherweise das deutsche „Kunsturheberrechtsgesetz“ (abgekürzt: KUG) in die Diskussion. Es handelt sich um ein über 100 Jahre altes Gesetz.
Entgegen seiner Bezeichnung enthält es (jedenfalls inzwischen) keinerlei Regelungen mehr zu Fragen des Urheberrechts. Erhalten geblieben sind nur Bestimmungen, die sich mit dem Recht am eigenen Bild befassen.
Dies wirft die Frage auf, ob dieses Gesetz neben der DSGVO weiterhin gilt. Sie ist relativ einfach zu beantworten:
- Vom Grundsatz her ist für das KUG neben der DSGVO kein Raum mehr. Alles andere wäre mit der unmittelbaren und allgemeinen Geltung der DSGVO in allen Mitgliedstaaten nicht zu vereinbaren.
- Das KUG kann jedoch weiterhin zur Anwendung kommen, sofern es um Abbildungen geht, die die DSGVO überhaupt nicht erfasst.
- Damit ist klar: Die Regelungen des KUG über Abbildungen von Verstorbenen gelten unabhängig von der DSGVO weiter. Denn Daten Verstorbener will die DSGVO überhaupt nicht regeln. Das KUG sagt hierzu: „Nach dem Tode des Abgebildeten bedarf es [für die Verbreitung eines Bildes] bis zum Ablaufe von 10 Jahren der Einwilligung der Angehörigen des Abgebildeten“ (so § 22 Satz 2 KUG). Zehn Jahre nach dem Tod der abgebildeten Person müssen dann weder das KUG noch die DSGVO beachtet werden. Das ist für Firmenarchive wichtig.
- Ferner ist klar: Unabhängig von der DSGVO sind die Regelungen des KUG anwendbar, wenn es um Bilder geht, die im Rahmen ausschließlich persönlicher oder familiärer Tätigkeiten angefertigt wurden. Denn auch solche Abbildungen will die DSGVO überhaupt nicht regeln. Das KUG sagt hierzu: „Bildnisse dürfen nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden.“ (§ 22 Satz 1 KUG). Für Unternehmen spielt dies jedoch keine Rolle, weil sie sich auf diese Ausnahme von der DSGVO ohnehin nicht berufen können.
Als Zwischenergebnis ist festzuhalten: Das KUG hat für Unternehmen allenfalls Bedeutung, wenn es um Abbildungen von verstorbenen Personen geht – und auch dann nur für zehn Jahre nach deren Tod.
Im Übrigen können Unternehmen dieses Gesetz zur Seite legen.
Unternehmen als Journalisten?
Dass das KUG in den seltensten Fällen für Unternehmen anwendbar ist, wird manchmal für Situationen wie die Veröffentlichung von Jahresberichten bezweifelt. Solche Berichte enthalten oft Abbildungen von Mitarbeitern.
Manche Juristen vertreten die Meinung, dass Art. 85 DSGVO dazu führt, dass das KUG gilt. Diese Argumentation hat folgenden Hintergrund:
- Art. 85 Abs.1 DSGVO fordert die Mitgliedstaaten auf, die Verarbeitung personenbezogener Daten (u.a.) zu journalistischen Zwecken in nationalen Rechtsvorschriften zu regeln.
- Darauf aufbauend argumentieren manche, das KUG stelle eine solche nationale Regelung dar und sei deshalb auf solche Veröffentlichungen weiterhin anzuwenden.
Diese Überlegungen führen jedoch in mehrfacher Hinsicht in die Irre. Zunächst ist zu beachten, dass Jahresberichte von Unternehmen und ähnliche Veröffentlichungen regelmäßig keine Veröffentlichungen für journalistische Zwecke sind.
Journalistische Zwecke verfolgt eine Veröffentlichung nur, wenn sie eine meinungsbildende Wirkung für die Allgemeinheit hat, und zwar im Sinne einer Auseinandersetzung zwischen verschiedenen Meinungen.
So sieht es die Rechtsprechung des EuGH und des Europäischen Gerichtshofs für Menschenrechte. Bei den üblichen Firmenpublikationen ist dieses Kriterium nicht erfüllt.
Ferner ist zu bedenken, dass das KUG ein Gesetz des Bundes ist. Die Gesetzgebungskompetenz für den Presse-Bereich liegt jedoch nach den Regelungen des Grundgesetzes (GG) nicht beim Bund, sondern bei den Ländern.
Da das Grundgesetz insoweit keine Kompetenz ausdrücklich einräumt, bleibt es beim Grundsatz des Art 70 Abs.1 GG: „Die Länder haben das Recht der Gesetzgebung, soweit dieses Grundgesetz nicht dem Bunde Gesetzgebungsbefugnisse verleiht.“
Der Bund kann Art. 85 DSGVO also gar nicht durch nationales Recht für die Presse ausfüllen.
Als Zwischenergebnis ist festzuhalten, dass sich Unternehmen regelmäßig nicht darauf berufen können, sie würden Abbildungen für journalistische Zwecke veröffentlichen.
Dass Journalisten z.T. gern auf das Bildmaterial von Unternehmen zurückgreifen und dieses Material in ihre Veröffentlichungen einbauen, ändert daran nichts.
Bilder von Beschäftigten
Deutlich mehr Relevanz für Unternehmen hat die Frage, ob Bilder von Mitarbeitern zur „Datenverarbeitung im Beschäftigungskontext“ gehören können.
Die Datenschutz-Grundverordnung lässt in Art. 88 DSGVO zu, dass die Mitgliedstaaten „spezifischere Vorschriften“ für dieses Gebiet erlassen. Das ist durch § 26 Bundesdatenschutzgesetz (BDSG; „Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses“) geschehen.
Es besteht kein Zweifel daran, dass § 26 BDSG auch die Verarbeitung von Bildern von Mitarbeitern durch den Arbeitgeber erfasst.
Für die Praxis bietet er dem Arbeitgeber allerdings deutlich geringere Handlungsspielräume, als viele glauben. Das hat mehrere Gründe.
Das Problem „Erforderlichkeit“
Eine Verarbeitung ohne Einwilligung des Arbeitnehmers ist nur zulässig, wenn sie beispielsweise für die Durchführung des Beschäftigungsverhältnisses erforderlich ist (§ 26 Abs. 1 Satz 1 BDSG).
Das ist durchaus denkbar. So kann es erforderlich sein, einen Werksausweis mit einem Lichtbild zu versehen, um den Arbeitnehmer bei der Eingangskontrolle eindeutig identifizieren zu können.
Die Erforderlichkeit als Maßstab bildet jedoch generell gesehen eine hohe Hürde. Dass eine Verarbeitung die Tätigkeit eines Unternehmens lediglich vereinfacht, macht sie noch nicht erforderlich. Das zeigt das folgende Beispiel:
Ein Auslieferungsdienst kündigt seinen Kunden bevorstehende Auslieferungen per E-Mail an. Dabei teilt er ihnen auch den Namen des Zustellers mit. Er möchte außerdem gern ein Foto des Zustellers beifügen. Denn das sehen die Kunden vielleicht als willkommenen Service an.
Erforderlich ist ein solches Foto jedoch nicht. Deshalb darf es nicht beigefügt werden. Dieses Beispiel stammt aus dem Arbeitspapier 249 der Gruppe nach Art. 29 („Stellungnahme 2/2017 zur Datenverarbeitung am Arbeitsplatz“, abrufbar unter http://ogy.de/wp-249), Seite 25.
Hohe Hürden für Einwilligungen
Eine Verarbeitung auf der Basis einer Einwilligung des Arbeitnehmers scheint auf den ersten Blick verlockend. Dies ändert sich jedoch bei näherem Hinsehen rasch.
In der Regel bedarf eine solche Einwilligung nämlich der Schriftform (§ 26 Abs. 2 Satz 3 BDSG). Das BDSG ist in dieser Hinsicht deutlich strenger als die Datenschutz-Grundverordnung. Sie sieht eine Schriftform der Einwilligung nur als Möglichkeit vor, nicht jedoch als Pflicht (siehe Art. 7 DSGVO).
Zudem ist zu beachten, dass die betroffene Person eine Einwilligung jederzeit widerrufen kann. Das besagt Art. 7 Abs. 3 DSGVO, der neben § 26 BDSG weiterhin gilt.
Ein Grund dafür muss weder vorliegen, noch muss der Betroffene einen Grund nennen. Steht dann das Bild beispielsweise auf der Webseite des Unternehmens im Internet, muss das Unternehmen es entfernen.
Betriebsvereinbarungen als Rechtsgrundlage?
§ 26 BDSG scheint die Möglichkeit zu bieten, die Verarbeitung von Bildern von Beschäftigten über den Kopf des einzelnen Mitarbeiters hinweg durch eine Kollektivvereinbarung (Betriebsvereinbarung) zu regeln. Denn § 26 Abs. 1 Satz 2 BDSG sieht diese Möglichkeit ausdrücklich vor.
Ob eine solche Regelung im Ernstfall Bestand hätte, ist allerdings durchaus zweifelhaft. Traditionell geht die Rechtsprechung des Bundesarbeitsgerichts davon aus, dass eine Betriebsvereinbarung nicht in individualrechtliche Positionen von Arbeitnehmern eingreifen kann. Als eine solche individualrechtliche Position ist möglicherweise auch das Recht am eigenen Bild anzusehen.
Denkbares Gegenargument: Da die Datenschutz-Grundverordnung in ihrem Erwägungsgrund 155 „Kollektivvereinbarungen“ ausdrücklich als Rechtsgrundlage für die Verarbeitung von Arbeitnehmerdaten erwähnt, können diese Überlegungen gerade nicht mehr gelten.
Weder dieser Erwägungsgrund noch § 26 BDSG haben somit die eigentlich angestrebte Rechtsklarheit geschaffen. Im Gegenteil: Durch diese Regelungen ist neuer Streit vorprogrammiert.
Ein Gedankenspiel
Als Ergebnis für das Thema „Bilder von Beschäftigten“ ist festzuhalten, dass § 26 BDSG die Situation für Unternehmen beim Umgang mit Bildern von Mitarbeitern eher erschwert als erleichtert.
Würde die Vorschrift nicht existieren und wäre stattdessen die DSGVO im Arbeitsverhältnis direkt anwendbar, könnten sich Unternehmen beispielsweise auf Art. 6 Abs. 1 Buchst. f DSGVO stützen.
Er würde eine Abwägung zwischen den berechtigten Interessen aller Beteiligter möglich machen. § 26 BDSG enthält dagegen keine derartige Klausel.
