Firmenfeier-Fotos DSGVO-konform sammeln: der Leitfaden

Das Sommerfest war ein Erfolg, der Fotograf hat 300 Bilder geliefert — und am Montag fragt die HR-Leiterin: Dürfen die ins Intranet? Darf das Gruppenbild auf LinkedIn? Und was ist mit den Schnappschüssen, die Kollegen selbst in die Teamgruppe geladen haben? Wer für eine Firma, einen Verein oder eine Organisation ein Event ausrichtet, landet schnell beim Thema Firmenfeier-Fotos und DSGVO: Wie darfst du Fotos von erkennbaren Personen sammeln, speichern und nutzen? Dieser Leitfaden gibt dir einen klaren Überblick — ohne so zu tun, als wäre er eine Rechtsberatung.

Wer trägt die Verantwortung? Die Firma, nicht die App

Ein verbreiteter Irrtum: Wer einfach WhatsApp oder Google Drive nutzt, denkt, die datenschutzrechtliche Verantwortung liege beim Anbieter. So ist es nicht. Sobald deine Firma Fotos von Mitarbeitern oder Gästen sammelt, verarbeitet oder speichert, ist sie Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Heißt konkret: Du musst eine Rechtsgrundlage haben, die Betroffenen informieren und auf Löschanfragen reagieren können. Das genutzte Tool ist in der Regel dein Auftragsverarbeiter (sauber geregelt über einen Auftragsverarbeitungsvertrag) — die Pflicht bleibt bei dir.

Rechtsgrundlage: Einwilligung oder berechtigtes Interesse?

Fotos von erkennbaren Personen sind personenbezogene Daten. Für ihre Verarbeitung brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO — in Österreich und Deutschland zusätzlich unter Beachtung des Rechts am eigenen Bild (KunstUrhG). In der Praxis kommen zwei Varianten in Betracht:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Freiwillig, informiert, widerrufbar. Geeignet für alle Fotonutzungen, besonders wenn Fotos extern veröffentlicht werden sollen (Website, Social Media, Pressemitteilung).
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Kann für rein internen Gebrauch in Betracht kommen (z. B. Intranet, interner Newsletter). Erfordert eine Interessenabwägung und transparente Information — kein Freifahrtschein.
• Beschäftigtendatenschutz (§ 26 BDSG / § 11 DSG): In einigen Fällen können für Arbeitsverhältnisse spezifische nationale Regelungen greifen. Im Zweifel Datenschutzbeauftragten fragen.

Warum WhatsApp und US-Cloud für Firmen-Events heikel sind

Viele Teams greifen spontan zu dem, was alle kennen: eine WhatsApp-Gruppe, ein geteilter Google-Drive-Ordner oder ein iCloud-Album. Das ist praktisch — aber aus Datenschutzsicht für betriebliche Zwecke problematisch. Das Kernproblem heißt Drittlandtransfer: WhatsApp (Meta), Google Drive und Apple iCloud verarbeiten Daten auf Servern außerhalb der EU oder leiten sie an US-Konzerne weiter. Seit dem Schrems-II-Urteil (2020) und laufenden Entscheidungen der EU-Datenschutzbehörden reichen Standard-Contractual Clauses allein nicht immer aus, um den Transfer zu legitimieren — besonders wenn es sich um sensiblere Arbeitnehmer-Daten handelt.

Dazu kommt das Geräte-Problem: Laden Mitarbeiter über ihre privaten Smartphones Fotos in eine Gruppe, liegt das Bildmaterial verstreut auf privaten Geräten — außerhalb deiner Kontrolle. Eine Löschanfrage sauber umsetzen? Schwierig. Eine feste Speicherdauer garantieren? Geht nicht. Kurz: Für die Freundesrunde ist WhatsApp prima, für betriebliche Fotoverwaltung wird es schnell zum Risiko.

Wie ein QR-Album die praktische Umsetzung vereinfacht

Das Prinzip hinter einem QR-Album ist denkbar einfach: Du legst vor dem Event ein Album an, druckst den QR-Aufsteller zuhause aus (PDF) und stellst ihn auf die Tische. Kollegen scannen mit der normalen Handy-Kamera, eine Webseite öffnet sich, und sie laden freiwillig Fotos und Videos hoch — ohne App, ohne Konto, ohne Anmeldung. Alles landet in einem Album, das nur du als Gastgeber siehst. Du kannst einzelne Fotos löschen und ziehst am Ende alles als ZIP in Originalqualität.

Albumora macht das mit EU-Hosting (Hetzner, Server in der EU), ohne Cookies oder Tracking auf der Gäste-Seite, und entfernt GPS-Koordinaten aus dem EXIF der hochgeladenen Fotos automatisch. Der Speicher ist zeitlich begrenzt — je nach Paket 6 bis 24 Monate — und danach werden Inhalte gelöscht. Das deckt sich mit dem, was die DSGVO fordert: Zweckbindung, Speicherbegrenzung, technische Schutzmaßnahmen. Was es nicht ersetzt: deine Informationspflicht gegenüber den Mitarbeitern und die Entscheidung, welche Rechtsgrundlage du nutzt.

„Das Tool ist der Auftragsverarbeiter — die Firma bleibt Verantwortlicher. Wer das versteht, trifft deutlich bessere Entscheidungen bei der Tool-Wahl.“

Fotos extern nutzen: andere Regeln gelten

Alles oben Gesagte bezieht sich auf das Sammeln und die interne Nutzung. Sobald du Fotos extern verwenden willst — auf der Unternehmenswebsite, in einer Pressemitteilung, auf LinkedIn, in einer Broschüre — brauchst du in fast allen Fällen eine ausdrückliche schriftliche Einwilligung der abgebildeten Personen. Das gilt auch für öffentlich zugängliche Bereiche wie Social Media. Eine mündliche Zusage reicht nicht aus, und eine allgemeine Klausel im Arbeitsvertrag ist rechtlich unsicher. Am sichersten: kurzes Einwilligungsformular mit konkretem Verwendungszweck, das freiwillig unterschrieben wird.

Ehrlicher Hinweis zum Schluss

Kein Tool nimmt dir die Pflichten ab, die die DSGVO einer Firma auferlegt. Albumora macht die technische Seite leichter — EU-Hosting, kein Tracking, EXIF-Bereinigung, begrenzte Speicherdauer, Löschung einzelner Fotos. Den Rest erledigst du: Mitarbeiter vorab informieren, Freiwilligkeit sichern, Verwendungszweck klar benennen. Gibt es im Betrieb einen Datenschutzbeauftragten, zieh ihn früh ein. Gibt es keinen und die Unsicherheit ist groß, hol dir eine kurze anwaltliche Einschätzung. Das ist machbar — nur eben nichts, was du komplett an eine App auslagern kannst.