Foto-Sharing bei der Betriebsfeier: Der konforme Weg zur Teamfotensammlung

Die Betriebsfeier ist das Event des Jahres, bei dem jeder sein Handy in der Hand hat. Am Ende des Abends hat euer Team hunderte Fotos und Clips eingefangen — und fast nichts davon erreicht den Rest des Unternehmens. Es verstreut sich auf privaten Kamerarollen, einer WhatsApp-Gruppe, aus der drei Leute nicht exportieren können, und einem „temporären“ freigegebenen Ordner. Dann bittet Internal Comms um ein paar Aufnahmen für den Neujahrs-Newsletter, und die Suche beginnt.

Es gibt einen schnelleren Weg, alles an einem Ort zu sammeln — und bei einer Firmenveranstaltung mit Mitarbeitenden im Bild muss der schnelle Weg auch der rechtskonforme sein. In dem Moment, in dem Ihre Organisation Fotos identifizierbarer Mitarbeitender erhebt, speichert oder veröffentlicht, gilt die Datenschutz-Grundverordnung, und "es war doch nur die Weihnachtsfeier" ist keine Position, die Ihr Datenschutzbeauftragter absegnen wird. Dies ist ein praktischer Leitfaden in klaren Schritten, wie Sie es richtig machen: Teamfotos ohne App sammeln, Einwilligungen beim Hochladen einholen, Mitarbeiterbilder in der EU speichern, ein sinnvolles Aufbewahrungsfenster festlegen und einem Löschersuchen nachkommen, wenn eines eingeht. Er ist für den EU-/EWR-Kontext geschrieben, mit Hinweisen für Deutschland; die ausführlichere rechtliche Einordnung finden Sie in unserem Begleitartikel DSGVO und Fotos von Mitarbeitenden bei Veranstaltungen: Was HR 2026 wissen muss.

Warum die herkömmlichen Methoden still ein Problem schaffen

Die Voreinstellungen wirken harmlos — deshalb machen sie Probleme. Ein WhatsApp- oder Teams-Chat zerstreut Mitarbeitendenfotos über einen Chat, den niemand kontrolliert, ohne sauberen Export und ohne Möglichkeit, Bilder auf Wunsch zu löschen — und Gruppenchats werden ohnehin ignoriert (40% der Menschen fühlen sich überfordert; News.com.au-Bericht zu Gruppenchat-Ängsten, 2024). Ein geteiltes Drive-Ordner hat keinen Zustimmungsnachweis, keine Aufbewahrungsfrist und bleibt ewig. Ein Berg persönlicher Kamerarollen bedeutet, dass Fotos das Unternehmen überhaupt nicht erreichen — rund 70% der Smartphone-Fotos werden nie wieder revisitiert (Popsa Memory Economy Report, 2026).

Keine dieser Lösungen beantwortet die fünf Fragen, die ein Unternehmens-Event haben muss: Welche Rechtsgrundlage? Haben wir informiert? Wo leben die Daten? Wie lange werden sie aufbewahrt? Wie schnell löschen wir auf Anfrage? Ein dafür gebauter Collector kann das — und das ist klar von der DSGVO gedeckt. Die oft zitierte „privaten Nutzung“-Ausnahme (Verarbeitung „durch eine natürliche Person im Rahmen einer rein persönlichen oder familiären Tätigkeit“, Art. 2(2)(c)) schützt einen Mitarbeiter, der seine eigenen Aufnahmen sichert; sie schützt aber nicht den Arbeitgeber. Ein vom Unternehmen organisiertes Event mit Unternehmenszweck ist Verarbeitung mit kommerziellem Charakter, und identifizierbare Kolleginnen und Kollegen in diesen Fotos sind personenbezogene Daten.

Schritt 1 — Wähle eine Erfassungsmethode, die datenschutzkonform by design ist

Die einzige Entscheidung, wie Fotos eintreffen, bestimmt, wie schwer jede spätere Pflicht wird. Ein QR-code-basierter, browsergestützter Sammler ist für ein Corporate-Publikum der geringste Widerstand: Gäste scannen einen Code und laden vom Handy hoch, ohne App und ohne Konto. Du kannst nicht 200 Kolleginnen und Kollegen bitten, Software herunterzuladen und sich anzumelden, bevor sie ein Bild teilen — und der App-freie Ansatz funktioniert, weil Smartphones und QR-Scanning heute fast universell sind (ca. 97 % Smartphone-Penetration in Deutschland 2024 laut Statista; 68 % der Verbraucher nutzten im Vorjahr einen QR, laut QRKit-Zusammenfassung der TEAM LEWIS-Verbraucher-QR-Forschung, 2024).

Bei einem Firmenevent sind die entscheidenden Fragen nicht Filter und Sticker — sondern diese, und der Rest dieses Leitfadens behandelt jede einzeln:

• Erfasst ihr die Einwilligung und zeigt ihr einen Hinweis bei der Upload-Hinweis-Seite an? (Schritt 2)
• Wo werden die Daten gehostet? (Schritt 4)
• Kannst du auf Anfrage den Inhalt einer Person schnell löschen? (Schritt 6)
• Bietet es eine Vereinbarung zur Auftragsverarbeitung? (Schritt 7)
• Vermeidet es standardmäßig die Gesichtserkennung? (unten)

Ein Fallstrick vorab: Mehrere Consumer-Event-Apps setzen auf Gesichtserkennung („Selfie scannen, alle Fotos finden“). Eine clevere Spielerei auf einer Hochzeit; im Büro-PARTY ein Haftungsrisiko. Ein Gesichtsfoto ist nicht automatisch ein besonderes Datenelement — die Erwähnung in Erwägungsgrund 51 bestätigt: Bilder zählen als biometrische Daten nur, wenn sie mit einem spezifischen technischen Mittel verarbeitet werden, das eine eindeutige Identifikation oder Authentifizierung einer natürlichen Person ermöglicht. Sobald ein Tool ein Gesichts-Template erstellt, um Personen zuzuordnen, werden biometrische Daten verarbeitet und die eindeutige Identifikation findet statt — was Art. 9(1) ohne spezifische Ausnahme (in der Regel separate ausdrückliche Einwilligung) verbietet. Eine einfache Galerie, die keine Gesichts-Templates erstellt, bleibt standardmäßig außerhalb von Art. 9. (Gathmo bietet keine Gesichtserkennung oder Gesichtssuche — das ist eine Phase-2-Roadmap-Funktion, kein Live-Feature. Genau deswegen ist hier die sichere Konfiguration aktiv.)

Schritt 2 — Einwilligung einholen und den Hinweis beim Upload anzeigen

Transparenz ist nicht durch ein Schild erfüllt, das niemand liest. Wenn du personenbezogene Daten direkt von Personen erhebst, verlangt Art. 13 Abs. 1, dass du zum Zeitpunkt der Erhebung mitteilst, wer der Verantwortliche ist und wie man ihn erreicht, zu welchen Zwecken und auf welcher Rechtsgrundlage, und bei berechtigtem Interesse den konkreten Zweck dieses Interesses.

Die Upload-Maske hinter deinem QR-Code ist dafür der natürliche Ort. Wenn ein Kollege scannt und dort landet, kann diese Seite den Hinweis anzeigen und die Einwilligung im Kontext erfassen — dort, wo das Foto geteilt wird, nicht versteckt in einer niemals gelesenen Richtlinie. Halte den Hinweis klar: wer der Verantwortliche ist und wie er erreichbar ist (plus den Datenschutzbeauftragten, falls vorhanden); warum die Fotos gesammelt werden; die Rechtsgrundlage (und bei berechtigtem Interesse, welches Interesse); wie lange die Bilder aufbewahrt werden; und welche Rechte die Betroffenen haben, inklusive Widerspruch und Löschung.

Bei der Rechtsgrundlage wird es durch das Beschäftigungsverhältnis komplizierter: Weil Beschäftigte von ihrem Arbeitgeber abhängig sind, bezweifeln Aufsichtsbehörden, dass eine Einwilligung in diesem Kontext jemals wirklich „freiwillig“ erteilt wird. Für interne Dokumentation mit geringem Risiko – einige Aufnahmen im nächsten Team-Update – kann das berechtigte Interesse (Art. 6 Abs. 1 Buchst. f) ausreichen, sofern Sie die Interessenabwägung durchgeführt und dokumentiert haben. Für alles, was nach außen gerichtet ist oder Werbezwecken dient – Recruiting, Marketing, soziale Medien – ist eine ausdrückliche Einwilligung per Opt-in mit dem Recht, ohne Nachteile abzulehnen, der rechtlich belastbarere Weg. In Deutschland regelt § 26 BDSG Beschäftigtendaten unmittelbar, und die dort geforderte „Erforderlichkeit“ passt kaum zu Marketingfotos – ein weiterer Grund, außerhalb des Intranets auf eine dokumentierte Einwilligung zu setzen. Für die Offsite-Variante desselben Anlasses behandelt Fotoideen fürs Firmen-Offsite, was sich festzuhalten lohnt.

Schritt 3 — Moderiere, bevor etwas auf den Bildschirm oder in den Newsletter kommt

Eine Feier ist genau das Event, bei dem du Fotos vor der Veröffentlichung sehen willst — jemand lädt möglicherweise ein unvorteilhaftes, farblich misslungenes Bild hoch oder etwas, das ein Kollege nicht auf der All-Hands-Folie sehen will. Die konforme Strategie ist "Review before publish": Uploads landen in einer privaten Warteschlange, und ein Veranstalter genehmigt, was in das geteilte Album, auf den Bildschirm oder in die Shortlist der internen Kommunikation gelangt. KI-Vorscreening kann offensichtliche unangemessene Inhalte markieren, die finale Entscheidung trifft jedoch ein Mensch. So werden sowohl die Personen auf den Fotos als auch die Firmenmarke geschützt — eine Kontrolle, die dir fehlt, wenn Bilder direkt in einen Gruppenchat gehen. (Gathmo nutzt visuelle KI-Moderation plus eine menschliche Review-Warteschlange; KI-Moderation ist ab dem Essential-Tarif enthalten — der Free-Tarif ist unmoderiert, wichtig zu wissen, wenn du Mitarbeiterfotos sammelst.)

Schritt 4 — Mitarbeiterfotos in der EU halten

Für ein EU-Unternehmen, das eigenes Personal fotografiert, ist der Speicherort eine Compliance-Entscheidung, kein Feature-Wunsch — und die Daten in der EU zu halten vermeidet die Frage des Drittlandtransfers vollständig. Transfers außerhalb der EU sind nur auf Basis eines Angemessenheitsbeschlusses (Art. 45) oder geeigneter Garantien wie Standardvertragsklauseln (Art. 46) rechtmäßig. Stand Mitte 2026 bleibt der Angemessenheitsbeschluss des EU-US Data Privacy Framework (Juli 2023) in Kraft — der Europäische Gerichtshof hat die erste Klage im September 2025 abgewiesen, eine Berufung ist beim EuGH anhängig — sodass Übermittlungen zu DPF-zertifizierten US-Organisationen möglich sind, das Framework ist aber nicht risikofrei, und SCCs plus Transfer Impact Assessment sind der vorsichtige Ausweg. Die sauberere Lösung ist, Daten gar nicht zu exportieren. Hier spaltet sich der Markt deutlich nach den jeweils öffentlich verfügbaren Informationen der Anbieter, wie am 2026-06-08 erfasst:

• Explizit in den USA: GuestCam hostet Daten in US-Cloud-Speicher ohne EU-Option; Kululu speichert Primärinhalte in Google Cloud (Firebase) in den USA; Fotify wird von einem US-Unternehmen aus Delaware betrieben.

• EU-gehostet: EventPics (österreichische Firma, Hosting in einer EU-Region) und JoinMyMoment (Sub-Prozessoren in Deutschland, Frankreich und AWS Frankfurt in der EU/EEA) geben EU-Residenz ausdrücklich an.

• Nicht genannt: Einige Tools sagen gar nicht, wo die Daten liegen — ein klares Warnsignal, weil du die Analyse ohne Gerichtsbarkeit nicht abschließen kannst.

(Gathmo hostet in der EU — Objektspeicher in der EU-Jurisdiktion, Primärdatenbank in Frankfurt, Rechenleistung in der EU — mit unterschriebenen Datenverarbeitungsvereinbarungen mit seinen Prozessoren. Genau genommen behaupten mehrere Anbieter europäische Server; der echte Differenzierer ist verifizierbarer Beweis — ein benannter Rechenzentrumstandort und unterzeichnete DPAs — nicht der EU-Claim allein.)

Schritt 5 — Lege vor der Party ein Aufbewahrungsfenster fest, nicht nach einer Beschwerde

Fotos von Mitarbeitenden können nicht ewig auf einem Laufwerk liegen. Zwei Grundsätze in Art. 5 gelten hier: Datenminimierung (Art. 5 Abs. 1 c) — nur das Notwendige erheben — und Speicherbegrenzung (Art. 5 Abs. 1 e) — Daten nur so lange identifizierbar halten, wie es der Zweck erfordert. Legt also die Speicherfrist fest, bevor ihr sammelt: Eine Galerie, die nach einem definierten Zeitfenster automatisch löscht, setzt automatisch die Speicherbegrenzung durch, statt darauf zu hoffen, dass jemand im nächsten Jahr einen Ordner aufräumt. Setzt sie lang genug, damit interne Kommunikation zieht, was sie braucht, und das Team seine Fotos herunterladen kann, dann lasst sie ablaufen. (Die Event-Tarife von Gathmo haben explizite, endliche Speicherfristen — von 30 Tagen im Free-Tarif bis zu 1 Jahr im Top-Tarif — statt unbegrenzter Speicherung, genau das Verhalten, das Art. 5 Abs. 1 e fordert.)

Schritt 6 — Sei bereit für „Bitte löscht meine Fotos“

Irgendwann wird ein Kollege darum bitten, dass seine Bilder nicht behalten oder veröffentlicht werden. Das ist das Recht auf Löschung (Art. 17) — das „Recht auf Vergessenwerden“ — und es ist kein Gefallen, den man ablehnen darf. Nach Artikel 17(1) kann eine Person die Löschung ohne unangemessene Verzögerung verlangen, wenn ein Grund vorliegt (etwa Daten sind nicht mehr erforderlich oder die Einwilligung wird mit Wegfall jeder anderen Grundlage zurückgezogen). Und es gibt eine harte Frist: Artikel 12(3) verlangt die Antwort innerhalb eines Monats, verlängerbar um zwei Monate nur bei wirklich komplexen Anfragen, und nur wenn die Person innerhalb dieses ersten Monats über die Verlängerung informiert wird. Zur Feier selbst statt zum Papierkram: wie man eine Firmenweihnachtsfeier ausrichtet, an die sich alle erinnern deckt den Rest ab.

Zwei Folgen: Du musst wissen, wo jedes Foto liegt — verteilt über Telefone, Chats und Laufwerke, dann wird ein Einsendungsfenster von einem Monat zur manuellen Hetzjagd. Eine einzige verwaltete Galerie mit klarer Löschlogik macht es zu einer Aktion. Und die Abmeldung der Einwilligung muss so einfach sein wie die Erteilung — wo Einwilligung die Rechtsgrundlage ist, kann eine Kollegin den Widerruf stellen, und ihr müsst dann löschen. Fragt jedes Tool direkt: Kannst du auf Anfrage innerhalb der gesetzlichen Frist den Inhalt einer bestimmten Person löschen — und schreibst du das zu? (Mit Gathmo ist DSGVO-konforme Löschung auf Anfrage Teil des Modells: auf jedem Tarif innerhalb der gesetzlichen Frist umgesetzt.)

Schritt 7 — Die Vereinbarung zur Datenverarbeitung (DPA) aufsetzen

Genau hier darf das Beschaffungs­team nicht vorbeigehen. Wenn ein externes Tool personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, ist die Beziehung Controller–Processor, und die DSGVO verlangt einen verbindlichen schriftlichen Vertrag — ein Data Processing Agreement — nach Art. 28 Abs. 3. Das ist kein Standardtext: Art. 28 Abs. 3 fordert, Gegenstand, Dauer, Art und Zweck der Verarbeitung, Arten von Daten und Kategorien von Betroffenen zu regeln und dem Processor konkrete Pflichten aufzuerlegen — nur auf dokumentierte Weisungen verarbeiten, Vertraulichkeit, Sicherheitsmaßnahmen nach Artikel 32, Bedingungen für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe der Daten am Ende sowie Vorlagepflichten für Audits.

Kurz gesagt: Eure Organisation ist Verantwortlicher, das Foto-Tool ist der Auftragsverarbeiter, und ihr braucht vor dem Einsatz Mitarbeiterfotos eine DSGVO-konforme DPA. Ein Anbieter, der das nicht liefern kann, ist kein Lieferant, den ein Arbeitgeber in der EU nutzen darf. Drei Fragen: Können Sie eine DSGVO-Art. 28 DPA vorlegen? (Wenn die Antwort lautet „Was ist das?“, hör auf). Nennen Sie Ihre Unterauftragsverarbeiter und deren Standorte? Verbindet ihr euch, Daten am Ende zu löschen oder zurückzugeben? (Gathmo stellt eine DPA bereit — auf Anfrage in den Event-Tarifen und inklusive bei den B2B- Paketen Studio, Agency und Enterprise. In diesem Markt sind eine dedizierte DPA und eine veröffentlichte Unterauftragsverarbeiterliste die Ausnahme, nicht die Regel.)

Ein praktischer Hinweis zum QR-Code selbst

Die Uploadseite hinter dem Code ist der Ort, an dem dein Hinweis nach Art. 13 steht; ein nicht scanbarer Code verliert daher nicht nur Fotos, sondern lässt Menschen an deiner Einwilligungshinweis vorbei kommen. Damit bleibt es nutzbar, achte auf ein paar Spezifikationen:

• Lege sie nach Lesedistanz aus (grobe Regel: Modulgröße ≈ Scanabstand ÷ 10): Eine Tischkarte, die im Sitzen bei 30–50 cm gelesen wird, braucht etwa 3–5 cm; ein A-Frame-Schild in 1–2,5 m Distanz, 10–25 cm; ein Bühnenbanner im Raum dahinter noch größer.

• Halte die Quiet Zone ein (den erforderlichen weißen Rand von mindestens vier Modulen auf allen vier Seiten), nutze einen dunklen Code auf hellem Hintergrund statt invertiert, und wenn du dein Logo darüberlegst, nutze die höchste Fehlerkorrekturstufe (H, ~30 %), damit es weiterhin lesbar bleibt.

• Teste Druck und scanne einen Proof in realer Größe, unter der tatsächlichen Raumbeleuchtung und auf dem tatsächlichen Material, bevor du einen Stapel druckst.