Praxistipp
DSGVO-konforme Fotoveröffentlichung ohne Einwilligung
Sinuswelle – stock.adobe.com
Sind Personen auf einem Foto identifizierbar, handelt es sich um personenbezogene Daten. Für die Identifizierbarkeit kommt es nicht darauf an, ob das Gesicht der Person zu erkennen ist, sondern es ist ausreichend, wenn die betroffene Person direkt oder indirekt, insbesondere mittels Zuordnung zu einem oder mehreren besonderen Merkmalen, identifiziert werden kann. Die Veröffentlichung eines solchen Fotos stellt eine Verarbeitung der personenbezogenen Daten dar.
Die Verarbeitung personenbezogener Daten ist jedoch grundsätzlich verboten. Es handelt sich allerdings um ein Verbot mit sogenanntem Erlaubnisvorbehalt. Das bedeutet, die Verarbeitung kann erlaubt sein, wenn einer der Erlaubnistatbestände des Art.6 Abs. 1 DSGVO erfüllt ist.
Neben einer Einwilligung (gem. Art. 6 Abs. 1 lit. a) DSGVO) ist das berechtigte Interesse (gem. Art 6 Abs. 1 lit. f) DSGVO) des Verarbeitenden ein praxisrelevanter Grund, der die Verarbeitung rechtfertigen kann. Wenn also ein berechtigtes Interesse des Verantwortlichen vorliegt, kann die Fotoveröffentlichung auch ohne die Einwilligung der auf dem Foto identifizierbaren Person erlaubt sein. Ob tatsächlich ein berechtigtes Interesse vorliegt, ist im Rahmen einer dreistufigen Prüfung zu ermitteln.
1.Stufe
Auf der ersten Stufe ist zunächst das berechtigte Interesse zu identifizieren.
Dem berechtigten Interesse liegt ein weites Begriffsverständnis zugrunde. Daher können nicht nur rechtliche, sondern auch tatsächliche, wirtschaftliche oder ideelle Interessen darunterfallen. Das Interesse muss schutzwürdig und objektiv zu begründen sein. Besondere Bedeutung kommt den Grundrechten des Verantwortlichen zu. Vor allem die Meinungs-, Presse- und Rundfunkfreiheit können daher ein berechtigtes Interesse begründen.
2. Stufe
Auf der zweiten Stufe ist dann zu prüfen, ob die in Rede stehende Datenverarbeitung zur Wahrung der berechtigten Interessen tatsächlich erforderlich ist.
Voraussetzung hierfür ist, dass kein milderes, gleich effektives Mittel zur Verfügung steht, um die Interessen des Verantwortlichen zu erreichen. Das Merkmal der Erforderlichkeit ist eng auszulegen. Das bedeutet, es werden hohe Anforderungen an die Erforderlichkeit gestellt, sodass sie im Zweifelsfall eher nicht vorliegt. Eine reine Zweckdienlichkeit der Datenverarbeitung ist nicht ausreichend. Die Verarbeitung ist beispielsweise nicht erforderlich, wenn ihr Ziel auch durch die Verarbeitung anonymisierter Daten erreicht werden kann.
So wurde etwa die Veröffentlichung eines nicht anonymisierten Personenfotos auf einer Facebook Fanpage ohne Einwilligung der Betroffenen als nicht erforderlich und damit rechtswidrig eingestuft. Der Ortsverein einer Partei hatte ein Foto einer von ihm durchgeführten öffentliche Veranstaltung in Form eines Ortstermins, auf dem insgesamt ca. 30 bis 40 Personen zu sehen, und zwei Betroffene identifizierbar waren, auf ihrer Facebook Fanpage veröffentlicht. Nach der Auffassung des Gerichts sei der dieser Veröffentlichung zugrundeliegende Zweck der Information über ihre parteipolitischen Aktivitäten des Ortsvereins auch durch eine anonymisierte Veröffentlichung in Form der Unkenntlichmachung von Personen u.a. durch Verpixelung erreichbar. Im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO sei zu Gunsten der betroffenen Personen unter anderem zu berücksichtigen, dass eine solche Veröffentlichung auf Grund bestehender Missbrauchsmöglichkeiten sowie auf Grund der großen Reichweite derartiger Netzwerke mit erheblichen Risiken verbunden sei (OVG Lüneburg, Beschluss vom 19.1.2021 – 11 LA 16/20).
3. Stufe
Auf der dritten und letzten Stufe hat eine umfassende Interessenabwägung zu erfolgen.
Hierbei sind die Belange der von der Verarbeitung betroffenen Person und den Auswirkungen der Datenverarbeitung gegen die berechtigten Interessen des Verarbeitenden abzuwägen. Um die Verarbeitung auf ein berechtigtes Interesse und damit den Erlaubnistatbestand des Art 6 Abs.1 lit. f) stützen zu können, dürfen die Belange des Betroffenen die Interessen des Verarbeitenden nicht überwiegen.
Im Grundsatz kommt den Betroffeneninteressen immer eine besondere Schutzwürdigkeit zu. Zu diesen gehören insbesondere Grundrechte, Freiheiten und auch andere Interessen des Betroffenen. Von Relevanz ist dabei das Verhältnis von Art, Inhalt und Aussagekraft der Daten, die verarbeitet werden sollen und dem mit der Datenverarbeitung verfolgten Zweck.
Die Beeinträchtigung der Grundrechte der betroffenen Person durch die Datenverarbeitung kann, in Abhängigkeit davon, ob die Daten bereits öffentlich zugänglich sind oder nicht, unterschiedlich stark sein. Besonderes Gewicht kommt missbrauchsanfälligen Daten (zum Beispiel Kontodaten) zu, wenn sie verarbeitet werden soll. Wenn die Datenverarbeitung allerdings im Zusammenhang mit einer gewerblichen Tätigkeit der betroffenen Person steht, ist das Interesse dieser Person zunächst weniger schutzwürdig.
Zu berücksichtigen sind außerdem die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen. Insoweit ist zu prüfen, ob die betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und im Hinblick auf die Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Im Umkehrschluss können Interessen und Grundrechte der betroffenen Person dann überwiegen, wenn diese vernünftigerweise nicht mit einer Verarbeitung ihrer personenbezogenen Daten rechnen muss.
Sonderfall: Kind als betroffene Person
Wenn personenbezogene Daten von Kindern verarbeitet werden soll, ist regelmäßig von einem Überwiegegen der Betroffeneninteressen auszugehen. Als Kind ist jede Person bis zur Vollendung des achtzehnten Lebensjahres zu verstehen. Allerdings variiert die Schutzwürdigkeit des Kindes je nach Alter. Aus der Wertung des Art. 8 DSGVO folgt, dass die Vollendung des sechzehnten Lebensjahres ein zentrales Abwägungskriterium darstellt, welches die Schutzwürdigkeit reduzieren kann. Hat das Kind das sechzehnte Lebensjahr noch nicht vollendet, verbleibt e bei der Annahme der besonderen Schutzwürdigkeit seiner Interessen.
Datenschutzgrundverordnung
Art. 6 Rechtsmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(…)
