DSGVO und Veranstaltungsfotos: Was jeder Gastgeber 2026 wissen muss

Wenn Sie auf Ihrer Hochzeit, Party oder Firmenveranstaltung Fotos und Videos von Gästen sammeln, verarbeiten Sie personenbezogene Daten Dritter — und in der EU gilt dafür die DSGVO. Die gute Nachricht: für eine gewöhnliche private Veranstaltung sind die Regeln deutlich vernünftiger als das Kürzel vermuten lässt. Das hier ist relevant, in einfacher Sprache, mit den passenden Artikeln, damit Sie sie selbst prüfen können.

1. Sind Fotos einer Veranstaltung „personenbezogene Daten“? (In der Regel ja)

Ein Foto, das eine Person identifiziert, sind personenbezogene Daten. Der Haken ist aber: Ein Foto ist nicht automatisch „besondere Kategorie“-Daten (biometrisch). Nach Erwägungsgrund 51 der DSGVO wird ein Bild erst zu biometrischen Daten, wenn es über „ein spezifisches technisches Verfahren zur eindeutigen Identifizierung einer Person“ läuft, also Gesichtserkennung. Daher ist ein normales geteiltes Fotoalbum gewöhnliche personenbezogene Daten; eine App, die Fotos von Gästen automatisch nach Gesicht abgleicht, verarbeitet biometrische Daten und unterliegt deutlich strengeren Regeln (Art. 9), meist mit ausdrücklicher Einwilligung. (DSGVO Erwägungsgrund 51; Art. 9(1))

Merksatz: Ein einfacher QR-Fotoalbum ist risikoarm. Foto-Sucher mit Gesichtserkennung sind es nicht — dann benötigst du eine ausdrückliche Opt-in-Einwilligung.

2. Welche Rechtsgrundlage? Einwilligung vs. „berechtigtes Interesse“

Für die Verarbeitung der Fotos der Gäste brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO. Realistisch sind für einen Gastgeber zwei Varianten:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)) — du kannst dich dafür in der Regel bei üblichen Fotos auf einer von dir organisierten Veranstaltung berufen, sofern dein Interesse nicht von den Rechten der Gäste übertroffen wird. Das Gesetz verlangt besondere Sorgfalt speziell, „wenn die betroffene Person ein Kind ist“.

• Einwilligung (Art. 6(1)(a)) — die sichere Rechtsgrundlage, und die erforderliche, wenn die Interessenabwägung gegen berechtigte Interessen ausfällt oder besondere Datenkategorien (Gesichtserkennung) betroffen sind. Die Einwilligung muss „spezifisch, informiert und freiwillig“ sein. (DSGVO Art. 6(1))

Fazit: Bei einer privaten Hochzeit oder Party ist ein Gästefotoalbum in der Regel durch ein berechtigtes Interesse gedeckt. Setzt auf eine eindeutige Einwilligung, wenn Kinder deutlich im Mittelpunkt stehen, wenn ihr Fotos öffentlich veröffentlichen wollt oder wenn ihr euch unsicher seid.

3. Die Ausrede „Es ist nur meine private Party“ — und ihre Grenze

Die DSGVO kennt eine Ausnahme für „ausschließlich persönliche oder familiäre Tätigkeiten“ (Art. 2 Abs. 2 lit. c, Erwägungsgrund 18). Eine Privatperson, die Fotos auf der eigenen Geburtstagsfeier oder Hochzeit sammelt und nur mit Gästen teilt, fällt im Allgemeinen nicht unter den vollen Geltungsbereich der DSGVO. Diese Ausnahme ist jedoch eng: Sobald Fotos öffentlich veröffentlicht werden oder systematisch Personen außerhalb des eigenen Haushalts abdecken, gilt sie nicht mehr — der EuGH hat dies im Fall Ryneš (C‑212/13, 2014) klargestellt. Und sie gilt niemals für ein Unternehmen, das eine Veranstaltung betreibt. (Art. 2 Abs. 2 lit. c; Erwägungsgrund 18; EuGH C‑212/13)

Fazit: Ein privates, nur auf Einladung zugängliches Album = geringe Verpflichtung. Eine öffentliche Galerie oder ein Firmen-Event = volle DSGVO-Anwendung.

4. Erkläre deinen Gästen (die häufigste Vergesslichkeit des Hosts)

Nach Art. 13 musst du bei direkter Datenerhebung direkt mitteilen, wer die Daten erhebt, warum, auf welcher Rechtsgrundlage (und bei berechtigtem Interesse welches Interesse), und zwar im Moment der Erhebung. Für ein Event ist eine Zeile auf dem QR-Schild und im Upload-Screen ausreichend: „Die hochgeladenen Fotos werden von [Host] gesammelt, um ein gemeinsames Eventalbum zu erstellen; gehostet in der EU; du kannst jedes Foto von dir entfernen lassen." (Art. 13 Abs. 1 DSGVO)

5. Gäste können ihre Fotos binnen eines Monats löschen lassen

Das Recht auf Löschung (Art. 17) erlaubt einem Gast, die Löschung seiner Daten zu verlangen (etwa nach Rückzug der Einwilligung). Du musst ohne unangemessene Verzögerung, spätestens binnen eines Monats nach der Anfrage handeln (Art. 12(3)), mit Verlängerung um zwei weitere Monate nur bei wirklich komplexen Fällen unter Hinweis. Das heißt, welches Tool du nutzt, sollte das Löschen eines einzelnen Fotos einfach machen. (DSGVO Art. 17(1); Art. 12(3))

Merken: Wähle eine Plattform, die du (oder der Gast) schnell ein Bild entfernen lassen kann — die Einmonatsfrist ist real.

6. Fotos von Kindern brauchen besondere Sorgfalt

Für Online-Dienste legt Art. 8 ein je nach Land unterschiedliches Einwilligungsalter fest – Deutschland liegt bei 16, Österreich bei 14. Bei einer Kinderfeier lautet die praktische Antwort: holt die Zustimmung der Eltern vor dem Sammeln und vor allem vor dem Teilen von Kinderfotos ein, haltet das Album privat und löscht auf Anfrage sofort. (DSGVO Art. 8(1); BDSG (DE); § 4(4) DSG (AT))

7. Wo deine Fotos gespeichert sind: EU oder USA

Genau hier wird Tool-Wahl zu Compliance-Entscheidung. Werden Fotos von EU-Bürgern auf einen US-gehosteten Dienst übertragen, ist das eine internationale Übermittlung nach Kapitel V. Nach Schrems II (C-311/18), das Privacy Shield aufhob, stützten sich Übermittlungen auf Standardvertragsklauseln; der EU-US Data Privacy Framework schuf 2023 wieder einen Angemessenheitsweg — obwohl er rechtlich weiterhin angefochten wird. Am saubersten ist es, diese Frage ganz zu umgehen, indem die Daten in der EU bleiben. (GDPR Kapitel V; EuGH C-311/18; Kommissionsdurchführungsentscheidung (EU) 2023/1795)

Die meisten Eventfoto-Apps sind in den USA gehost. Einige — darunter Gathmo (EU/Frankfurt) und EventPics (Cloudflare R2 EU) — hosten in der EU, wodurch die Transferanalyse für EU-Events umgangen wird. (research-foundation/02 — eu-residency tab, captured 2026-06-08)

8. Behalte nur das, was du brauchst, und nur so lange, wie du es brauchst

Artikel 5 verlangt Datenminimierung und Speicherbegrenzung: nur das Notwendige erfassen und nicht unbegrenzt speichern. In der Praxis: Setze ein Album-Ablaufdatum und lösche die Sammlung, sobald der Anlass erledigt ist. Eine Plattform mit automatischem Ablauf (statt stiller Archivierung) macht das automatisch. (DSGVO Art. 5(1)(c),(e))

9. Für Unternehmen: Du brauchst mit deinem Tool einen DPA

Wenn Sie ein Firmen-Event betreuen, verarbeitet die Plattform Mitarbeiter-/Gästedaten in Ihrem Namen – das ist eine Verantwortlicher‑Auftragsverarbeiter-Beziehung, und Art. 28 verlangt einen schriftlichen Auftragsverarbeitungsvertrag mit Umfang der Verarbeitung, Sicherheit, Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten und Löschung nach Ende der Nutzung. Bitten Sie jeden Anbieter vor Vertragsabschluss um Ihr DPA; ein seriöses B2B-Tool hat es bereithalten. In Deutschland ist bei der Verarbeitung von Mitarbeitendendaten zusätzlich das BDSG § 26 relevant.

Wie das in echten Event-Szenarien aussieht

Für eine private Hochzeit ist das risikoärmste Setup meist einfach: Mach die Einladung zum Album nur für Eingeladene, zeige neben dem QR-Code einen kurzen Hinweis, nutze keine Gesichtserkennung, es sei denn die Gäste stimmen aktiv zu, und ermögliche Entfernen auf Anfrage. Das Paar braucht keinen juristischen Vollprozess für jedes Candidatafoto, sollte aber einen privaten Albumzustand nicht zum öffentlichen ohne Einwilligung überführen.

Bei einer Kindergeburtstagsfeier gelten die gleichen Grundlagen, nur mit höheren Sorgfaltsstandards. Eltern sollten wissen, wohin die Fotos gehen, wer das Album sehen kann und wie lange es online bleibt. Ein privates QR-Album ist etwas völlig anderes, als das Gesicht eines Kindes auf einem öffentlichen sozialen Netzwerk zu posten. Wenn ein Elternteil dich bittet, das Kind nicht einzubinden, entferne das Foto und fahre fort.

Bei einer Firmenauszeit oder Konferenz behandelst du den Prozess wie ein kleines Datenverarbeitungsprojekt: Lege fest, wer Controller ist, bestätige die DPA der Plattform, platziere einen klaren Upload-Hinweis am QR-Schild, vermeide unnötige Gesichtserkennung und nutze ein definiertes Aufbewahrungsfenster. Wenn Mitarbeitende in Deutschland beteiligt sind, sollte HR auch den BDSG §26-Aspekt berücksichtigen.

Bei einer öffentlichen oder ticketpflichtigen Veranstaltung gilt GDPR/DSGVO vollumfänglich. Ihr braucht ggf. Beschilderung am Venue, Mitarbeiterschulung und einen Moderationsworkflow, damit hochgeladene Bilder keine Personen zeigen, die nicht mit Veröffentlichung rechnen. Je öffentlicher die Veranstaltung, desto weniger reicht der Satz „bei Events werden Fotos halt gemacht“ als Datenschutzplan.

Ein einfacher Hinweis, den du neben den QR-Code setzen kannst

Auf einem Tischblatt brauchst du keine juristische Floskel. Du brauchst Klarheit. Ein praktischer Hinweis kann kurz sein:

Für ein Unternehmens-Event fügen Sie den Firmennamen und den vollständigen Datenschutzhinweis-Link hinzu. Für eine Hochzeit oder private Party kann der Kontakt der Gastgeber sein. Bei Kinderveranstaltungen sollte erwähnt werden, dass Eltern den Löschantrag für ihr Kind stellen können. Wichtig ist, dass der Gast vor dem Upload versteht: Wer sammelt die Medien, warum, wo sie gespeichert sind und wie er widersprechen kann.