Panik oder in Ruhe abwarten? Die neue Datenschutzgrundsatzverordnung und weshalb myHeimat-Fotografen sich damit beschäftigen sollten

Science-Fiction-Freunde wissen es. Ein Vorzug des Reiseführers „Per Anhalter durch die Galaxis“ (von Douglas Adams) war, dass er die dicke Aufschrift „Keine Panik!“ trug. Die neue Datenschutzgrundsatzverordnung – abgekürzt DSGVO – der Europäischen Union tut das leider nicht. Dafür wird es ab 25. Mai diesen Jahres ernst mit ihren Regelungen. Im Internet kursieren zum Teil Stellungnahmen und Befürchtungen, die einem durchaus schlaflose Nächte bereiten können. Jedenfalls, wenn man auf myHeimat auch über Ereignisse und Veranstaltungen in Wort und Bild berichtet und auf diesen Fotos dann noch (meistens unvermeidbar) Mitmenschen abgelichtet sind.

Steht man als Bürgerreporter von myHeimat ab Ende Mai mit einem Fuß schon im Gerichtssaal und muss sich gegen horrende Schadenersatzforderungen und Abmahnkosten verteidigen?

Um wenigsten ein bisschen Klarheit zu gewinnen, habe ich mal im Internet weiter gesurft und stelle im Folgenden einige dort vertretene Ansichten vor, wobei ich mich auf Quellen beschränken will, die mir einigermaßen seriös vorkommen (siehe Nachweise am Ende dieses Beitrages).

Fazit: Fest steht bislang leider nur eines: Nichts ist bislang klar. Es ist eigentlich wie immer: Drei Juristen, vier Meinungen. Und natürlich ist dieser Beitrag keine Rechtsberatung; er gibt lediglich meine vorläufige Einschätzung wieder. Und ich bin mir bewusst, dass die Gefahr besteht, dass ich auch mächtig daneben liegen kann.

Warum ist eine Reglung zum Datenschutz auch für uns Fotografen so wichtig?

Personenbezogene Daten dürfen zukünftig nur noch nach vorheriger Erlaubnis, die den Anforderungen der DSGVO entsprecht muss, verarbeitet werden. Verstößt man gegen diese Vorschriften, kann es teuer werden: Bußgelder, Schadenersatzklagen, Abmahnungen.

Wer jetzt sagt, ich verarbeite keine Daten, ich fotografiere doch nur, der dürfte zwar über einen gesunden Menschenverstand verfügen, rechtlich gesehen aber eher mit seiner Ansicht daneben liegen. Es sei denn, er fotografiert weiterhin analog. Vielleicht ist ja die DSGVO ein guter Grund, die alte Kamera für den Kleinbildfilm wieder aus dem Schrank zu holen, abzustauben und zu hoffen, dass der Verschluss infolge des langen Nichtgebrauchs noch nicht verharzt ist. Möglicherweise stehen wir wegen der DSGVO vor einer Renaissance des analogen Films. Aber ich greife vor.

Bevor wir auf die die einzelnen Aspekte eingehen, die uns für die Berichterstattung mit Fotos auf myHeimat beschäftigen könnten, sollten wir zu allererst einmal die Quelle allen Übels direkt in Augenschein nehmen.

Erste Frage: Was genau regelt eigentlich die neue DSGVO und in welchen Bereichen gilt sie?

Lesen wir Artikel 2 Abs. 1 der Verordnung: „Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.“

Ist das Fotografieren von Menschen und ggf. die spätere Nutzung dieser Aufnahmen in welcher Form auch immer eine Verarbeitung von personenbezogenen Daten in diesem Sinn? Nur wenn wir hier ein „ja“ dahinter schreiben müssen, brauchen wir uns weitere Gedanken zu machen. Aber leider müssen wir wohl ein ganz dickes „Ja“ vermerken.

In Art. 4 enthält die DSGVO selbst schon einige Definitionen.

„Personenbezogene Daten sind danach (Nr. 1 des Art. 4 DSGVO) „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind."

Und „verarbeiten“ bedeutet nach Art. 4 Nr. 2 DSGVO „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung …“

„Was hat das jetzt mit Fotos zu tun?“ wird so manch einer fragen. Die in diversen Internet-Beiträgen veröffentlichten Ansichten sind, soweit ich sehen kann, dazu einhellig. Wer ab 25. Mai 2018 digitale Fotos aufnimmt, auf denen auch Menschen zu sehen sind, verarbeitet personenbezogene Daten.

Nach Wanckel ist bereits die Herstellung eines Personenfotos eine „Datenerhebung“ (1) . Wegner wird hier etwas konkreter und nennt ausdrücklich Digitalfotos: Die DSGVO ordnet Digital-Fotos, auf denen Personen zu erkennen sind, als personenbezogene Daten ein, die besonders schützenswert sind (2). Begründet wird das mit dem Umstand, dass „Digitalfotos auch Exif- bzw. Metadaten wie Uhrzeit, ggf. Ort, etc. enthalten, die deutlich mehr Rückschlüsse auf die Person erlauben, als ein analoges Foto“ (2). Diese Auffassung vertritt auch der Autor auf den Seiten von Rieck & Partner (3); ebenso Seiler (4). Ausdrücklich wird hier die Auffassung vertreten, dass für rein analoge Fotos nach wie vor nur die bisherigen Vorschriften insbesondere des Kunsturhebergesetzes gelten.

Wir können also festhalten, bereits die Aufnahme mit einer Digitalkamera gilt ab 25. Mai 2018 als Verarbeitung von personenbezogenen Daten, das Fotografieren auf analogen Film nach Ansicht der zitierten Autoren hingegen nicht (doch Vorsicht, auch das ist strittig und kann auch anders gesehen werden).

Da die Verordnung nicht rückwirkend in Kraft tritt, dürften alle vor dem 25. Mai 2018 aufgenommenen Digitalfotos noch – jedenfalls hinsichtlich der Aktion „Auslöser drücken und auf Speicherkarte speichern“ – keine Datenverarbeitung darstellen, für die die DSGVO gilt.

Wenn nicht Ausnahmen greifen (auf die wir später noch zu sprechen kommen) gilt jedoch: ab 25. Mai 2018 brauchen wir schon für die Aufnahme eine den Voraussetzungen der DSGVO entsprechende Erlaubnis von auf dem Bild abgebildeten Personen, egal ob diese Personen nun gezielt porträtiert werden oder ob es sich um Akteure einer öffentlichen Veranstaltung (Redner, Sportler, Künstler und Teilnehmer etwa eines Schützenumzuges oder eines Demonstrationszuges) handelt oder ob diese Menschen gar nur als Beiwerk (Zuschauer, Passanten) mit ins Bild geraten. Beispiel: wer von einem Hochzeitspaar gebeten wird, Hochzeitsaufnahmen zu machen, wird wohl hinsichtlich der Eheleute selbst eine Einwilligung bekommen, er braucht eine derartige Einwilligung zum Fotografieren aber auch für die Onkel und Tanten, Nichten und Neffen und Freunde, die, vielleicht nur im Hintergrund, mit aufs Bild kommen.

Bisher haben wir nur von dem Moment des Fotografierens an sich gesprochen, Laut einigen Internet-Autoren war die Rechtslage bislang dazu eine andere und soll es auch weiterhin für analoge Fotos sein. Stimmt einerseits und ist anderseits aber  falsch. Richtig ist, dass nach den bis zum 25. Mai für alle Arten der Fotografie geltenden § 22 Kunsturhebergesetz (KUrhG) ein Fotograf grundsätzlich nicht für das Fotografieren, sondern erst für das Verbreiten oder öffentlich zur Schau-stellen eine Einwilligung des Abgebildeten benötigte (wenn nicht sogar die Ausnahmen des § 23 KUrhG griffen und auch eine Einwilligung nicht notwendig war). Aber die deutschen Gerichte hatten sich schon lange über § 22 KUrhG hinweggesetzt und das Fotografieren an sich bereits dann für verboten erklärt, wenn der fotografierte Mensch dabei so in einer Situation gezeigt wurde, dass dadurch seine Menschenwürde verletzt wurde. In Gesetzesform ist diese Rechtsprechung zum Schutz des allgemeinen Persönlichkeitsrechtes dann vor einige Zeit sogar in das Strafgesetzbuch nachträglich eingefügten § 201a StGB gegossen worden.

Also: wild drauflos fotografieren durfte man auch bislang schon lange nicht mehr. Die Anforderungen wurden aber mit der DSGVO noch einmal sehr verschärft.

Und es stellen sich weitere Fragen: Wie sind digitalisierte (eingescannte) analoge Fotos zu beurteilen? Wie haben gelesen, die Einordnung als Dateiverarbeitung beruht auf den mit der Aufnahme verbundenen Metadaten der Bilder. Diese gibt es aber beim nachträglichen Scannen nicht. Eigentlich dürfte nach dieser Argumentation das Einscannen dann auch keine Verarbeitung personenbezogener Daten sein. Eigentlich … (Wir kommen später darauf zurück).

Nach den Aktionen „Fotografieren“ und „Einscannen“ will man seine Fotos ja auch nutzen. Myheimat-Bürgerreporter etwa laden die Bilder bei myHeimat hoch und illustrieren damit ihre Berichte.

Ist ab 25. Mai 2018 das Hochladen ins Internet ebenfalls eine Datenverarbeitung im Sinne der DSGVO und macht es dabei einen Unterschied, ob Fotos mitsamt der Meta-/Exifdaten hochgeladen werden oder nur nach vorheriger Löschung der Exifdaten (deren Vorhandensein ja gerade die Rechtfertigung für die Unterordnung von Digitalbildern unter der DSGVO sein soll)? Unklar. In Art. 4 Nr. 2 DSGVO ist von „Übermittlung, Verbreitung oder eine andere Form der Bereitstellung“ die Rede. Damit könnte auch ein Upload auf myHeimat erfasst sein.

So verstehe ich auch Seiler (4): „Fotografieren, Speichern, Vermarkten und Veröffentlichen von Fotos stellen eine dem Datenschutzrecht unterliegende Verarbeitung personenbezogener Daten dar.“ In die gleiche Richtung geht wohl auch die Ansicht von „Dr. Datenschutz“ (5).

Eine weitere interessante Frage schließt sich an. Wie sind vor dem 25. Mai 2018 auf myHeimat veröffentlichte Bilder zu bewerten? Ist allein der Umstand, dass man diese Bilder ab dem 25. Mai auf dem Portal belässt, bereits ebenfalls eine Verarbeitung personenbezogener Daten? Eigentlich dürfte das ja nicht sein, weil ein schlichtes Unterlassen vom Begriff doch keine Verarbeitung sein kann, denn „Verarbeitung“ setzt eigentlich vom Wortsinn eine Tätigkeit voraus. Aber vielleicht ist das „Bereitstellen“ ja als eine Art Dauertätigkeit gemeint.

Also: Unter „Erheben“ wird man die eigentliche Aufnahme verstehen müssen,  ein Upload etwa auf myHeimat könnte möglicherweise schon ein „Offenlegen durch Übermittlung“ im Sinn der DSGVO darstellen, das schlichte Belassen des Fotos auf myHeimat als „Verbreitung“ oder „Bereitstellung“ eingestuft werden, dass nach dem 25. Mai andauert. Bei einer solchen Sichtweise wäre man auch mit älteren Beiträgen nicht mehr „auf der sicheren Seite".

Eine generelle Schwierigkeit bei der Auslegung der DSGVO kommt noch hinzu. Jedenfalls die obersten europäischen Richter in Luxemburg meinen, dass man bei der Auslegung europäischer Regelungen die verschiedenen Sprachfassungen beachten muss. In der englischen, französischen, dänischen und meinetwegen auch finnischen Fassung kann die Vorschrift etwas anders lauten als in Deutsch. Das soll zu berücksichtigen sein. Hier sind Sprachgenies gefordert.

Für heute soll es mit der DSGVO aber genug sein. Der Text ist eh schon wieder zu lang geworden. In einem geplanten zweiten Teil soll der Frage nachgegangen werden, wann nach der DSGVO Aufnahmen von Menschen noch zulässig sind und dazu werden wieder Artikel aus dem Internet ausgewertet.

Nachweise
(1) Dr. Endress Wanckel, DSGVO für Fotografen, Eine erste fotorechtliche Einordnung, Fotomagazin.de
www.fotomagazin.de/bild/kolumne/dsgvo-fuer-fotografen-eine-erste-fotorechtliche-einordnung
(2) Gunther Wegner, Die neue Datenschutzverordnung DSGVO und ihre Auswirkungen auf Fotografen und Webseitenbetreiber
https://gwegner.de/blog/dsgvo-und-auswirkungen-fue...
(3) IPCL Rieck & Partner Rechtsanwälte, Wissen zur DSGVO – 7 Tipps für Fotografen
www.ipcl-rieck.com/allgemein/wissen-zur-dsgvo-7-tipps-fuer-fotografen.html
(4) David Seiler, DSGVO und Fotobusiness – Teil 1
www.fotorecht-seiler.eu/dsgvo-fotobusiness/
(5) „Dr. Datenschutz“ (Pseudonym), Veröffentlichung von Fotos – Was ändert sich mit der DSGVO?
www.datenschutzbeauftragter-info.de/veroeffentlichung-von-fotos-was-aendert-sich-mit-der-dsgvo/