DSGVO-Konformität konkludenter Einwilligungen bei Aufnahmen

Bei der Verarbeitung personenbezogener Daten herrscht das Prinzip des Erlaubnisvorbehalts, die Verarbeitung ist also grundsätzlich verboten. Stützt sich die Verarbeitung jedoch auf eine Rechtsgrundlage, ist sie erlaubt. Eine dieser Rechtsgrundlagen ist die Einwilligung gemäß Art. 6 Abs. 1 lit. a) DSGVO. Eine Einwilligung gilt als erteilt, wenn die betroffene Person der Verarbeitung ihrer Daten aktiv zustimmt. Solch eine Zustimmung kann sich auch in Form einer aktiven Handlung ausdrücken, der konkludenten Einwilligung. Im Folgenden betrachten wir die DSGVO-Konformität konkludenter Einwilligungen näher.

Konkludente Einwilligungen

Als erstes ist der Begriff zu klären, was „konkludent“ bedeutet. Das Wort leitet sich von „concludere“ ab, was aus dem Lateinischen stammt. Konkludent sagt aus, dass ein Verhalten oder ein Handeln einer Person auf einen bestimmten Willen schließen lässt.

Einwilligungen im Sinne der DSGVO

Art. 6 Abs. 1 DSGVO klärt über die Voraussetzungen auf, die zutreffen müssen, um die Verarbeitung von Daten gemäß der DSGVO zu erlauben. Nur wenn also die Verarbeitung von Daten auf einer dieser Rechtsgrundlagen beruht, ist sie zulässig. (Genaue Informationen dazu können Sie in unserem Beitrag „Rechtmäßigkeit der Verarbeitung personenbezogener Daten“ finden.) Eine Ausnahme hierbei bilden Daten gem. Art. 9 Abs. 1 DSGVO – also personenbezogene Daten besonderer Kategorien (mehr dazu hier). Möchte ein Verantwortlicher diese verarbeiten, muss eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegen.

Beispiele konkludenter Einwilligungen

Generell gesehen, kann man konkludentes bzw. schlüssiges Handeln als Einwilligung gelten lassen. Wenn beispielsweise ein Gast einer Veranstaltung sich vor die Kamera des Fotografen stellt, kann man davon ausgehen, dass der Fotograf den Gast fotografieren darf. Gibt eine Person ein Interview vor laufender Kamera, kann auch dies als Einwilligung gesehen werden. Denn wenn eine Kamera auf sie zeigt, ist es wahrscheinlich, dass der Kameramann auch Aufnahmen macht. Bei öffentlichen Veranstaltungen ist dann auch davon auszugehen, dass die Aufnahmen gegebenenfalls veröffentlicht werden.

DSGVO-Konformität konkludenter Einwilligungen

Konkludente Einwilligungen haben dieselbe Gültigkeit wie alle anderen aktiv erteilten Einwilligungen. Der Nachweis derer könnte sich allerdings als problematisch herausstellen. Wenn ein Webseiten-Besucher seine Einwilligung zum Einsatz von Cookies erteilt, kann ein Verantwortlicher dies technisch dokumentieren. Bei einer Foto- oder Videoaufnahme ist dies dagegen schwieriger.

Lösungsansatz zur DSGVO-konformen Gestaltung konkludenter Einwilligungen

Ein Veranstalter, der in diesem Sinne der Verantwortliche für die Verarbeitung der Daten ist, sollte sich bemühen, seinen Pflichten gemäß Art. 5 Abs. 1 lit. a) DSGVO (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz) nachzukommen. Möglichkeiten dazu bestehen bspw. darin, die betroffene Person über die geplante Verarbeitung ihrer Daten bei einer Veranstaltung bei der Buchung oder bei Versand der Einladung zu informieren. Wird eine Rückmeldung erwünscht, kann gleichzeitig die Einwilligung eingeholt werden. Vor Ort kann man dies dann insofern kenntlich machen, dass eine Person ihre Zustimmung nicht erteilt hat, indem sie beispielsweise klar sichtbar einen Aufkleber erhält, sodass der Fotograf oder Kameramann erkennen kann, wer nicht wünscht, gefilmt oder fotografiert zu werden.

Natürlich ist es auch möglich, die Einwilligung vor Ort einzuholen. Hier könnte ein Veranstalter einzelne Zettel ausfüllen lassen, dies natürlich in einer Weise, die es Teilnehmern nicht ermöglicht, die Daten anderer einzusehen.

Die Rechtsgrundlage des berechtigten Interesses

Ein Verantwortlicher kann sich allerdings auch auf Art. 6 Abs. 1 lit. a) DSGVO berufen und die Einwilligung dokumentieren. Es gibt aber auch die Option, sich auf das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f) DSGVO zu stützen. Bezieht sich ein Verantwortlicher zur Nutzung von Aufnahmen einer Veranstaltung auf das berechtigte Interesse, muss er es natürlich genau begründen können. Diese sind – im Rahmen des Zumutbaren – nicht festgeschrieben. Sie können darin liegen, dass er über die Veranstaltung berichten und die dabei geschossenen Bilder verwenden möchte. Dies würde dann in den Bereich der Öffentlichkeits- und Werbearbeit des Unternehmens fallen. Das Unternehmen möchte damit unter anderem die Präsenz erhöhen und im Endeffekt Neukunden gewinnen. Zieht ein Verantwortlicher das berechtigte Interesse zur Verarbeitung solcher Daten (Foto-, Videoaufnahmen) heran, muss er keine Einwilligung einholen.

Wir möchten allerdings betonen, dass die Rechtsgrundlage des berechtigten Interesses kein Äquivalent zur Einwilligung ist.

Heranziehen des Kunsturhebergesetzes

23 Abs. 1 KUG bezieht sich auf Ausnahmen, in denen das Einwilligungserfordernis nicht zutrifft. Dies können folgende sein:

1)  Bei Veröffentlichung von Bildnissen aus dem Bereiche der Zeitgeschichte,

2)  bei Bildern, auf denen die Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen,

3)  bei Bildern von Versammlungen, Aufzügen und ähnlichen Vorgängen, an denen die dargestellten Personen teilgenommen haben oder

4)  bei Bildnissen, die nicht auf Bestellung angefertigt sind, sofern die Verbreitung oder Schaustellung einem höheren Interesse der Kunst dient.

Somit kann man sich im Einklang mit der DSGVO auch auf das KUG beziehen, wenn es um die Verarbeitung von Fotografien oder Videoaufnahmen handelt (es gibt allerdings weiterhin Ausnahmen, bspw. bei der Veröffentlichung von Aufnahmen der Beschäftigten, bei denen die jeweilige Person im Mittelpunkt steht oder allein abgelichtet wird).

Rechtsgrundlage der Einwilligung ungenügend

Nun gibt es allerdings Situationen, in denen eine konkludente Einwilligung nicht ausreichend ist: Ein Verantwortlicher, der personenbezogene Daten besonderer Kategorien verarbeitet, kann sich dabei nicht auf die konkludente Einwilligung berufen. Auch ist beispielsweise bei der Übermittlung personenbezogener Daten in Drittländer die Einwilligung dafür einzuholen. Des Weiteren kommt es in einem Beschäftigungsverhältnis zur Verarbeitung personenbezogener Daten. Diese beruht – wenn es um das reine Beschäftigungsverhältnis geht – auf § 26 Abs. 1 S 1. BDSG. Folglich ist die konkludente Einwilligung hierbei ebenfalls nicht die korrekte Rechtsgrundlage.

Widerruf der (konkludenten) Einwilligung

Wann immer eine Einwilligung durch einen Betroffenen erteilt worden ist, besteht die Möglichkeit, dass er diese auch widerrufen kann. Sobald der Widerruf eingeht, ist diesem Wunsch schnellstmöglich nachzukommen. Dies kann sich eventuell als sehr kostenaufwendig herausstellen, wenn nicht sogar unmöglich. Wurden Ablichtungen von Veranstaltungen beispielsweise in Broschüren verwendet, die in Umlauf gebracht worden sind, stellt es sich als unmöglich heraus, sicherzugehen, dass alle Exemplare und damit das Bild des jeweiligen Betroffenen vernichtet werden. Es wäre also gar nicht möglich, dem Löschbegehren der betroffenen Person nachzukommen. Sind die Broschüren noch nicht veröffentlicht worden, kann man diese natürlich vernichten und der Druck stellt sich „nur“ als sinnfreie Geldausgabe heraus. Um dies zu vermeiden, kann ein Verantwortlicher bei Bedarf Art. 6 Abs. 1 lit. f) DSGVO heranziehen. Ein Bild, auf dem ein Betroffener zu erkennen ist, von der Webseite zu nehmen, ist dagegen keine Hürde. Dem Wunsch auf Löschung ist folglich nachzukommen.

Fazit

Wünscht ein Verantwortlicher, Aufnahmen betroffener Personen zu verwenden, ist sicherzugehen, dass diese Art der Verarbeitung personenbezogener Daten auf einer Rechtsgrundlage beruht. Ist dies nicht der Fall, ist die Verarbeitung unzulässig. Jedoch sollte besagter Verantwortlicher ein genaues Augenmerk darauflegen, wie er die Verarbeitung DSGVO-konform begründet. Wird dies missachtet, stellt es einen Datenschutzverstoß dar. Wenn die Datenschutzaufsichtsbehörde – auf welche Weise auch immer – davon erfährt, kann dies ein empfindliches Bußgeld nach sich ziehen. Auch ist ein Schadenersatzanspruch durch eine betroffene Person möglich. Eventuell droht sogar eine Abmahnung durch die Konkurrenz.

Wir verstehen, dass es für Verantwortliche, die sich nicht tagtäglich mit der DSGVO beschäftigen, schwierig sein kann, diese und im Zusammenhang damit andere Gesetz im Blick zu behalten. Hierbei können wir helfen. Wir haben sowohl die juristische, technische als auch organisatorische Expertise, um sie kompetent zu beraten.