Nach den Ausführungen zu den wichtigsten DSGVO-Maßnahmen, die erfahrungsgemäß noch nicht alle Anwälte umgesetzt haben, gibt es einige Aspekte in der Praxis, die in Bezug auf die DSGVO nicht unproblematisch sind; nachfolgend werden die bislang vorliegenden Erkenntnisse vorgestellt. Als erstes Fazit, etwa ein halbes Jahr nach dem DSGVO-Stichtag, lässt sich festhalten, dass nichts so heiß gegessen wird, wie es gekocht wird. Das heißt: In einigen Fällen verhalten sich die Aufsichtsbehörden durchaus "sportlich", weil sie erkannt haben, dass etwa die Vorschriften in Art. 13, 14 DSGVO nicht unbedingt praxistauglich ausgestaltet sind.
1. Spezialproblem Fotos?
Die entscheidende Frage in Bezug auf Aufnahmen von Personen lautet: Gilt weiterhin das Kunsturheberrechtsgesetz (KUG) oder wird es durch die DSGVO verdrängt? Denn das Ablichten von Personen stellt – solange diese erkennbar abgebildet werden – eine Verarbeitung personenbezogener Daten dar. Von rein privaten Schnappschüssen einmal abgesehen, muss bei der Ablichtung von Personen auf Fotos oder Videos auf jeden Fall das Datenschutzrecht beachtet werden.
Es ist noch nicht geklärt, ob von erkennbar abgebildeten Personen nicht nur" normale" personenbezogene Daten erhoben werden, sondern vielleicht sogar besondere Kategorien von personenbezogenen Daten. Dabei handelt es sich um sehr sensible personenbezogenen Daten i.S.v. Art. 9 Abs. 1 DSGVO, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung. Es lassen sich viele Situationen vorstellen, wie z.B. die Teilnahme an einer politischen Demonstration oder das Heraustreten aus einer Kirchentür, die im Rahmen einer Fotografie eben solche sensiblen Daten transportieren können. Möglicherweise gilt das schon für "normale" Fotos von Menschen, die eine Brille tragen (Gesundheitsdaten?), eine dunkle Hautfarbe haben (Ethnie?) oder ein Kreuz als Schmuckstück tragen (Religionszugehörigkeit?).
Würde man in diesen Fällen davon ausgehen, dass die Fotos unter die besonderen Kategorien i.S.v. Art. 9 Abs. 1 DSGVO fallen, dürften sie nur in eingeschränkten Fällen, nämlich unter den Voraussetzungen des Art. 9 Abs. 2 DSGVO verarbeitet werden. Ohne auf die Details dieser Problematik hier eingehen zu wollen – für die es ohnehin noch keine befriedigende Lösung gibt – stellen Fotos von erkennbar abgebildeten Personen in jedem Fall eine Verarbeitung "normaler" personenbezogener Daten dar.
Das führt einerseits zu der Frage, auf welcher Rechtsgrundlage die Fotos erstellt bzw. weiterverwendet werden dürfen und ob bei einem Widerruf einer erteilten Einwilligung die Hürde des "besonderen Grundes" aus dem KUG gilt oder ob jederzeit ein freier Widerruf i.S.d. Art. 7 Abs. 3 DSGVO möglich ist. Andererseits muss im Zeitpunkt der Datenerhebung, also bei der Anfertigung der Fotos, die Informationspflicht aus Art. 13 DSGVO erfüllt werden, wobei auch hier zur Umsetzung in die Praxis leider noch niemand eine klare, abschließende und rechtssichere Antwort geben.
Bei der Frage nach der Rechtsgrundlage kommt primär die Annahme eines überwiegenden berechtigten Interesses in Frage. Ein gesetzlicher Ausnahmetatbestand besteht vielfach hierfür nicht und die Einwilligung ist zwar denkbar, aber – aufgrund der ungeklärten Widerrufsproblematik – wenig empfehlenswert (bisweilen aber leider die einzige Möglichkeit). Werden die abgelichteten Personen für ihre Dienste entlohnt, kann jedoch "zur Erfüllung eines Vertrags" als taugliche Rechtsgrundlage herangezogen werden (Art. 6 Abs. 1 lit. b DSGVO). Nimmt man hingegen das Vorliegen berechtigter Interessen an, müssen diese im Zweifel begründet werden und belegbar sein.
Hinweis:
Das OLG Köln hat sich zur Frage des Verhältnisses zwischen DSGVO und KUG geäußert: In seinem Beschl. v. 18.6.2018 (Az.15 W 27/18) geht das Gericht davon aus, dass es hinsichtlich der Verwendung von Personenfotos bei der Anwendbarkeit des KUG bleibt. Das führt dazu, dass etwa die Ausnahmeregelungen des § 23 KUG (u.a. Personen nur als Beiwerk zum eigentlichen Fotomotiv) bei der Interessenabwägung Berücksichtigung finden können.
Unabhängig von der Frage, auf welcher Rechtsgrundlage Fotos verarbeitet werden dürfen, müssen in jedem Fall die Informationspflichten gem. Art. 13 DSGVO beachtet werden. Die dort genannten Informationen müssen proaktiv mitgeteilt werden und zwar "zum Zeitpunkt der Erhebung". Sie sollten also beispielsweise zusammen mit der Einladung für eine Veranstaltung verschickt werden, auch ein Aushang am Eingang zur Veranstaltung ist sinnvoll. Werden die Aufnahmen nicht im Rahmen einer Veranstaltung, sondern aus anderen Gründen gefertigt, muss die Übermittlung der Pflichtinformationen auf die konkrete Situation angepasst werden. Möglicherweise reicht auch ein stufiges Vorgehen aus, so dass z.B....