Jedes Foto vom Firmenevent ist ein personenbezogenes Datum. Bevor ihr sammelt, braucht HR eine klare Linie: Rechtsgrundlage, Information, Speicherfrist, AVV. Hier der Kurzüberblick – ohne die Frage, wie die Bilder ins Album kommen.
Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Bei konkreten Fragen wendet euch an eure:n Datenschutzbeauftragte:n.
1. Rechtsgrundlage klären
Fotos auf dem Firmenevent können auf zwei Wegen rechtssicher verarbeitet werden: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für Gruppenbilder und Stimmungsfotos reicht meist das berechtigte Interesse – für gezielte Porträts oder Marketing-Verwendung ist eine Einwilligung Pflicht.
2. Transparent informieren
Am Einlass, auf Tischkarten oder per Intranet-Mail vor dem Event: Eure Mitarbeiter:innen müssen vor dem Ereignis wissen, dass fotografiert wird, wer die Fotos verarbeitet und wo sie später landen.
Mustertext für Einladungen
3. Speicherdauer festlegen
DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie sie benötigt werden. Tipp: Definiert eine klare Frist (z. B. 6 Monate) und automatisiert die Löschung. eventPIXX macht das von Haus aus – alle Inhalte werden nach der gewählten Frist automatisch auf Servern in der EU gelöscht.
4. Betroffenenrechte sicherstellen
Jede:r Mitarbeiter:in hat das Recht auf Auskunft, Berichtigung und Löschung. Eine Ansprechperson und ein klarer Prozess sind Pflicht – idealerweise koordiniert mit euer:m/-er Datenschutzbeauftragten.
5. Auftragsverarbeitung (AVV)
Wenn ihr einen externen Dienst nutzt, um Fotos zu sammeln und zu speichern, ist ein Auftragsverarbeitungsvertrag (AVV) Pflicht. Seriöse Anbieter liefern den AVV auf Anfrage oder direkt mit. eventPIXX stellt euch den AVV kostenlos zur Verfügung.
6. Server-Standort prüfen
Fotos auf US-Servern (WhatsApp, Google Drive, iCloud) bedeuten Datentransfer in ein unsicheres Drittland – rechtlich heikel. Server innerhalb der EU sind die sicherste Variante.
7. Datensparsamkeit: Metadaten, Nachweis, Widerruf
Die ersten sechs Punkte stehen in jeder Checkliste. Der siebte wird fast immer übersehen, obwohl er beim Sammeln von Handyfotos der praktisch relevanteste ist: Ein Foto besteht nicht nur aus dem Bild.
Was in einem Handyfoto steckt, das niemand sehen will
Jedes Smartphone schreibt unsichtbare Zusatzinformationen in die Bilddatei, das sogenannte EXIF-Paket. Darin stehen typischerweise die GPS-Koordinaten des Aufnahmeorts, das Kameramodell, die Seriennummer des Geräts und teils der im Gerät eingetragene Besitzername. Das ist eine eigene Verarbeitung personenbezogener Daten, die im Datenschutzkonzept meist gar nicht vorkommt. Praktisch heißt das: Reicht eine Kollegin abends von zu Hause noch drei Bilder nach, klebt an diesen Dateien ihre Wohnadresse – und die Datei geht später mit dem ZIP-Export an alle Teilnehmenden.
Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verlangt hier, was technisch ohnehin sinnvoll ist: Diese Angaben braucht ihr für ein Eventalbum nicht. Fragt einen Anbieter also konkret, ob er sie entfernt, statt nur allgemein nach „DSGVO-konform“ zu fragen.
eventPIXX entfernt Standortdaten, Geräte-Seriennummer und Besitzernamen beim Upload aus dem Original, bevor die Datei gespeichert wird. Erhalten bleiben bewusst nur Aufnahmedatum und Bildausrichtung, denn ohne sie steht die Galerie in falscher Reihenfolge und halbe Bilder liegen quer.
Einwilligung, die man auch belegen kann
Eine Einwilligung, die niemand nachweisen kann, ist im Streitfall keine. Verlangt deshalb einen technischen Nachweis pro Person, nicht bloß einen Aushang am Einlass. Bei eventPIXX bestätigt jeder Gast vor dem ersten Upload einen kurzen, verständlichen Hinweis; gespeichert wird dazu ein serverseitiger Zeitstempel und die Version des Einwilligungstextes. Ändert sich der Text, zählt die neue Version, alte Einwilligungen bleiben mit ihrer Fassung dokumentiert. Damit könnt ihr auch Monate später belegen, wer wann welchem Text zugestimmt hat.
Widerruf ohne Ticket-Umweg
Der Widerruf ist der Punkt, an dem Prozesse in der Praxis scheitern: Ein Mitarbeiter will ein Bild weg haben, schreibt an HR, HR sucht die Ansprechperson, die Ansprechperson sucht das Bild. Deutlich einfacher wird es, wenn Betroffene den ersten Schritt selbst tun können. In eventPIXX sieht jeder Gast unter „Meine Uploads“ seine eigenen Beiträge und löscht sie selbst – ohne Konto und ohne Anfrage bei euch. Ein Bild, auf dem jemand anderes eine dritte Person nicht haben will, bleibt der klassische Weg über euch als Moderator. Zwei ergänzende Mittel dazu: Ihr aktiviert die Freigabepflicht, dann erscheint kein Upload ohne eure Sichtung in Galerie und Slideshow. Und Gäste können unpassende Bilder melden, worauf ein Foto nach mehreren unabhängigen Meldungen automatisch aus dem Gästealbum verschwindet, bis ihr entschieden habt.
Für die Doku eures Datenschutzbeauftragten lässt sich das in einem Satz zusammenfassen: Standortdaten werden beim Upload entfernt, Einwilligungen sind mit Zeitstempel und Textversion dokumentiert, Betroffene können eigene Inhalte selbst löschen, und die Veröffentlichung ist auf Wunsch freigabepflichtig.
Rechtssicher & einfach: eventPIXX
EU-Server, automatische Löschung, AVV auf Anfrage. Ideal für HR und Eventmanager:innen.
Mehr für UnternehmenFazit
DSGVO beim Firmenevent muss nicht kompliziert sein. Mit klarer Information, kurzer Speicherdauer und DSGVO-konformem Anbieter seid ihr rechtlich sauber aufgestellt – und holt trotzdem alles aus dem Event heraus. Wie ihr die Fotos überhaupt einsammelt, steht im Artikel Firmenevent-Fotos sammeln.