DSGVO für Eventfotografen: wofür du haftest

Ja. Gästefotos sind personenbezogene Daten. Wenn Sie sie bei Veranstaltungen in der EU oder von Personen mit Wohnsitz in der EU erfassen, gilt die DSGVO daher auch für Sie und nicht nur für die verwendete Plattform. Zu Ihren Pflichten gehören vor allem eine Rechtsgrundlage und ein klarer Hinweis für die Erhebung, angemessene Aufbewahrungsfristen und die Möglichkeit, Löschanfragen zu erfüllen. Eine in der EU gehostete Plattform mit Einwilligungs- und Löschwerkzeugen sowie verfügbarem AV-Vertrag deckt vieles davon ab, doch die Beurteilung aufseiten des Verantwortlichen bleibt Ihre Aufgabe. Dies sind allgemeine Hinweise und keine Rechtsberatung.

In der Regel ein Verantwortlicher, manchmal gemeinsam mit Ihrem Kunden, denn Sie entscheiden, warum und wie die Gästemedien gesammelt werden. Die Plattform, die Fotos speichert und ausliefert, ist in der Regel der Auftragsverarbeiter und verarbeitet die Daten auf Grundlage Ihrer dokumentierten Weisungen. Die Unterscheidung ist wichtig, weil sich Pflichten je nach Rolle unterscheiden, und weil die Beziehung in der Regel über eine vom Anbieter bereitgestellte Auftragsverarbeitungsvereinbarung (DPA) dokumentiert werden sollte. Für Details sprechen Sie mit einem Fachmann.

Eine Datenschutzvereinbarung (DPA) ist der DSGVO-Art.-28-Vertrag, der die Beziehung zwischen Verantwortlichem und Auftragsverarbeiter formalisiert. Sie benötigen eine solche Vereinbarung mit Ihrer Plattform (dem Auftragsverarbeiter), und Unternehmens- oder öffentliche Auftraggeber verlangen sie oft als Teil ihrer Beschaffung. Gathmo stellt auf Anfrage eine DPA bereit, sodass Sie diese schnell vorbereiten können. Eine vorliegende DPA, bevor ein Kunde danach fragt, gehört dazu, sich als professioneller, konformer Anbieter zu präsentieren.

Die DSGVO verlangt, dass personenbezogene Daten nicht länger als nötig für den Zweck gespeichert werden, schreibt aber keine feste Zahl vor – du wählst ein plausibles Aufbewahrungsfenster und wendest es konsequent an. Eine Plattform mit definierten Fristen und Löschwerkzeugen macht das handhabbar: Du setzt das Fenster, danach werden Gästedaten entfernt, und du kannst Löschanfragen erfüllen. Dokumentiere deine Aufbewahrungsentscheidung, damit du sie auf Nachfrage erklären kannst.

Du brauchst eine Rechtsgrundlage und klare Hinweise — Gäste müssen verstehen, was gesammelt wird und warum. Eine Rechtsgrundlage ist die Einwilligung, und klare Beschilderung plus ein Upload-Fluss, der den Zweck erklärt, unterstützt das. Die genaue Grundlage kann vom Kontext abhängen (beispielsweise kann in manchen Fällen ein berechtigtes Interesse gelten), dort hilft fachkundiger Rat. In der Praxis sorgen transparente Hinweise beim Upload und eine Plattform, die Einwilligungen erfasst, für die häufigen Fälle.

Es übernimmt die Processor-Seite und reduziert deine Last. Gathmo hostet Gästemedien in der EU (Frankfurt), bietet eine DSGVO-Art.-28-DPA, hat keinen Datentransfer in Drittstaaten, und stellt Zustimmungs-Erfassung, definierte Retentionsfenster und Löschfunktionen bereit. Das deckt technische und vertragliche Punkte ab, die Kunden nachfragen, und lässt dir das Ermessen auf Controllerseite (Hinweise, Rechtsgrundlage, Aufbewahrungsentscheidung). Eine Consumer-App ohne diese Elemente macht denselben Nachweis deutlich schwerer.

Das kann der Fall sein, denn die Übertragung personenbezogener Daten von EU-Gästen in ein Drittland erfordert geeignete Garantien (etwa Standardvertragsklauseln) und erhöht die Komplexität, die du managen und dokumentieren musst. Eine EU-gehostete Plattform ohne Drittlandsübertragung vermeidet diese Frage vollständig, was für dich einfacher ist und für Unternehmenskunden beruhigender. Wenn du ein Nicht-EU-Tool nutzt, prüfe deren Schutzmaßnahmen für Übermittlungen vor der Verarbeitung von EU-Gästedaten – und prüfe, ob EU-Hosting nicht der einfachere Weg ist.