GDPR-Checkliste für Fotografie bei Corporate Events: Leitfaden für Eventplaner

Du hast nur drei Wochen bis zu einer 400‑Personen-Konferenz. Die Agenda ist fest, die Badges sind beim Druck, und aus der Rechtsabteilung kommt gerade die Frage, ob das gewählte Foto-Tool „GDPR-konform“ ist. Du brauchst dafür kein Jurastudium — du brauchst eine Checkliste, die du abarbeiten, abhaken und sicher zurückgeben kannst.

Das ist die Checkliste. Sie ist für Eventplaner, HR-Verantwortliche und Einkaufsleiter geschrieben, die in der EU/EEA Corporate Events mit fotografischem und video-on-the-fly-Verhalten bei identifizierbaren Teilnehmern veranstalten, wo jede Aufnahme sofort personenbezogene Daten darstellt. Bearbeite die folgenden Abschnitte vor dem Event, und du adressierst die Pflichten, die in einer Beschaffungsaudits wirklich geprüft werden — Rechtsgrundlage, Informationsblatt, Speicherfrist, Löschung, internationale Übermittlungen und DPA — inklusive Zitierung der Rechtsgrundlage zur Verifizierung durch die Rechtsabteilung.

Es gibt sechs Abschnitte in der Reihenfolge eines Events. Jeder enthält eine kurze Ja/Nein-Liste: Hake alles ab und du hast abgedeckt, was EU-Beschaffungsteams prüfen; lass ein Feld offen und genau dort wird dein Datenschutzbeauftragter nachhaken. Vorab-Hinweis: Die Prüflisten beziehen sich auf normale Foto- und Videogalerien (Speichern und Anzeigen von Bildern), nicht auf Gesichtserkennung. Nutzt dein Tool Face-Matching zum Gruppieren oder Identifizieren von Teilnehmenden, kommst du in ein deutlich strengeres Regime; siehe die eigene Prüfung in Abschnitt 1.

Abschnitt 1 — Vor der Tool-Auswahl: die Anbieter-Checks

Hier liegt der größte Unterschied zu Hochzeit oder Geburtstag: Die Plattformentscheidung ist nicht nur eine Feature-Frage, sondern eine Frage der Datenverarbeitung, die Ihre Rechtsabteilung prüft. Führen Sie diese Prüfungen bei jedem in die engere Wahl genommenen Anbieter durch.

☐ Stellt der Anbieter eine DSGVO-Datenverarbeitungsvereinbarung nach Art. 28 (DPA) bereit? Wenn ein externes Tool personenbezogene Daten auf deine Weisung hin in deinem Auftrag verarbeitet, handelt es sich um ein Rollenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter, und Art. 28(3) DSGVO verlangt einen verbindlichen schriftlichen Vertrag. Er muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datentypen und Kategorien der betroffenen Personen sowie deine Rechte als Verantwortlicher regeln und dem Auftragsverarbeiter konkrete Pflichten auferlegen (nur auf deine dokumentierten Weisungen verarbeiten, Vertraulichkeit, Sicherheit, Bedingungen für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe nach Ende der Leistung und Vorlage für Prüfungen). Wenn ein Anbieter keine DPA liefern kann, kann ein EU-Unternehmen ihn nicht nutzen. (DSGVO Art. 28(3).)

☐ Benennt der Anbieter seine Unterauftragnehmer und deren Standorte? Die DPA-Bedingungen für den Einsatz von Unterauftragnehmern sind Teil von Artikel 28. Ohne zu wissen, wer sonst noch auf die Daten zugreift und aus welchem Land, kannst du keine Transferanalyse oder Anbieter-Risikobewertung abschließen.

☐ Wird der Anbieter vertraglich, schriftlich zur Löschung oder Rückgabe der Daten am Ende der Leistungsdauer verpflichtet? Das ist eine Pflicht nach Artikel 28(3) für Auftragsverarbeiter. Nehmt das in den Vertrag auf, nicht in eine Sales-E-Mail.

☐ Wo werden die Daten gehostet — und sagt der Anbieter es klar? Ein Anbieter, der die Hosting-Jurisdiktion nicht benennen kann, macht deine Transferbewertung unmöglich. Behandle „wir geben das nicht an“ als Durchfall. (Abschnitt 5 beschreibt das Vorgehen mit der Antwort.)

☐ Nutzt das Tool Gesichtserkennung — und wenn ja, willst du diese Haftungsfrage wirklich tragen? Das ist die häufigste übersehene Prüfung, weil Gesichtssuche als Komfort verkauft wird. Ein Gesichtsfoto ist nicht automatisch ein „Sonderdaten“-Datensatz; Erwägungsgrund 51 stellt klar, dass Bilder in die Definition biometrischer Daten fallen, „nur wenn sie durch ein spezifisches technisches Mittel verarbeitet werden, das eine einzigartige Identifizierung oder Authentifizierung einer natürlichen Person erlaubt.“

Sobald ein Tool jedoch ein Gesichtsvorlage erstellt, um Teilnehmer zu gruppieren oder Menschen mit einem Selfie „alle Fotos von mir“ finden zu lassen, verarbeitet es biometrische Daten mit dem Zweck, eine Person eindeutig zu identifizieren. Das ist nach Art. 9 Abs. 1 verboten, es sei denn, eine spezifische Ausnahme greift (in der Regel getrennte, ausdrückliche Einwilligung). Das ist eine deutlich höhere Zustimmungshürde als bei normalen Fotos.

Mehrere Wettbewerber in diesem Markt starten mit face-recognition-Fotosuche; bei Firmenveranstaltungen mit Mitarbeitenden macht diese Funktion aus eurer Fotosammlung eine Verarbeitung nach Art. 9 mit dokumentierter ausdrücklicher Einwilligung, die ihr nicht angefordert habt. (GDPR Art. 9(1); Erwägungsgrund 51.)

Abschnitt 2 — Deine Rechtsgrundlage festlegen

Du bist der Verantwortliche: dein Team entscheidet, warum und wie Fotos verarbeitet werden. Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6. Bei Standard-Eventfotos sind zwei Optionen realistisch, und die richtige Wahl ist der Unterschied zwischen belastbarer Lage und bloßem Raten.

☐ Haben Sie Ihre Rechtsgrundlage nach Art. 6 identifiziert – und ist sie für die Nutzung wirklich die richtige? Legitimes Interesse (Art. 6(1)(f)) ist zulässig, wenn die Verarbeitung für Ihre oder Dritter Interessen notwendig ist und nicht die Rechte der betroffenen Person überwiegen – eine Interessenabwägung, mit erhöhtem Schutz bei Kindern. Einwilligung (Art. 6(1)(a)) muss spezifisch, informiert und freiwillig sein; sie ist die sicherere Grundlage und die erforderliche, wenn die Balance nicht hält oder besondere Kategorien von Daten betroffen sind. (RGPD Art. 6(1)(a) und 6(1)(f)).

☐ Wenn du dich auf berechtigtes Interesse stützt: Hast du den Abwägungstest durchgeführt und dokumentiert? „Wir hielten es für sinnvoll“ ist kein dokumentierter Abwägungstest. Bei risikobewehrter interner Dokumentation – ein paar Aufnahmen im nächsten Team-Update – kann berechtigtes Interesse ausreichen, aber nur wenn du es wirklich abgewogen und dokumentiert hast.

☐ Speziell bei Mitarbeiterfotos: habt ihr das Beschäftigungsverhältnis berücksichtigt? Da Beschäftigte vom Arbeitgeber abhängig sind, sind Regulierungsbehörden skeptisch, ob eine Einwilligung in diesem Kontext wirklich „frei gegeben“ ist. In Deutschland regelt BDSG §26 Arbeitnehmerdaten direkt: Er erlaubt Verarbeitung, soweit sie für das Arbeitsverhältnis erforderlich ist, und erkennt an, dass Zustimmung im Beschäftigungskontext möglich sein kann, verlangt aber Prüfung der Freiwilligkeit und in der Regel schriftliche Form. Notwendigkeit nach §26 passt meist nicht für Marketing- oder Recruiting-Fotos – deshalb ist für alles Außenwirksame der frei-genehmigte, dokumentierte Konsens mit konsekutionsfreiem Widerspruchsrecht der belastbare Weg. (Hinweis: §26(1) wurde teilweise als EU-rechtswidrig beurteilt, sodass Verarbeitung auch unmittelbar auf Art. 6 GDPR beruhen kann — ein weiterer Grund für saubere, explizite Zustimmung bei Werbefotos.) (BDSG §26(1).)

Eine Daumenregel zum Abhaken:

• Intern, low-stakes Dokumentation → berechtigtes Interesse kann genügen (mit dokumentierter Abwägung).

• Sichtbar nach außen, marketing oder recruiting → ausdrückliche, freiwillige Einwilligung, Verweigerung ohne Nachteil.

Abschnitt 3 — Bereite die Informationsmitteilung vor (Transparenz)

Transparenz ist nicht optional, und ein Schild, das niemand liest, genügt nicht. Wenn du personenbezogene Daten direkt von der betroffenen Person erhebst, verlangt Artikel 13(1), diese Informationen zum Erhebungszeitpunkt bereitzustellen: Identität und Kontaktdaten des Verantwortlichen, Zweck und Rechtsgrundlage der Verarbeitung sowie bei berechtigtem Interesse die konkret verfolgten Interessen. (GDPR Art. 13(1).)

Markiere jedes Element in deiner Liste:

☐ Wer ist der Verantwortliche (Ihre Organisation), wie Sie ihn erreichen, und der Datenschutzbeauftragte, sofern vorhanden. ☐ Warum Sie die Fotos sammeln (internes Newsletter, Intranet-Galerie, Recruiting-Seite). ☐ Die Rechtsgrundlage — und bei berechtigtem Interesse, worin dieses Interesse besteht. ☐ Wie lange die Bilder gespeichert werden. ☐ Welche Rechte die Teilnehmer haben, inkl. Widerspruch und Löschung.

☐ Wird der Hinweis im Moment der Aufnahme bzw. des Uploads angezeigt oder irgendwo anders versteckt? Bei einem QR-gestützten Sammelprozess ist die Upload-Landingpage der natürliche Ort dafür. Wenn der Scan einen Teilnehmer auf die Upload-Seite führt, stehen die Infos direkt dort, und die Einwilligung (wo sie genutzt wird) wird im Kontext eingeholt statt vorausgesetzt. Ein Tool, das die Einwilligung beim Upload erfasst, macht diesen Prüfschritt leicht machbar.

Abschnitt 4 — Lege die Aufbewahrungsdauer vor der Veranstaltung fest

Eine unbegrenzte Speicherung ist ein Befund, der nur darauf wartet, entdeckt zu werden. Zwei Grundsätze in Artikel 5 bestimmen, wie lange Fotos gespeichert werden dürfen:

• Datenminimierung (Art. 5 Abs. 1 lit. c): Personenbezogene Daten müssen angemessen, relevant und auf das für den Zweck Erforderliche beschränkt sein.

• Speicherbeschränkung (Art. 5 Abs. 1 Buchst. e)) — personenbezogene Daten dürfen in identifizierbarer Form nicht länger als nötig für den jeweiligen Zweck gespeichert werden. (DSGVO Art. 5 Abs. 1 Buchst. c) und 5 Abs. 1 Buchst. e).)

☐ Hast du vor der Veranstaltung eine Aufbewahrungsdauer festgelegt — nicht erst nach einer Beschwerde? Ein Album, das automatisch nach festem Fenster löscht, unterstützt die Speicherbegrenzung, statt darauf zu vertrauen, dass jemand an das Löschen eines gemeinsamen Laufwerks denkt. Genau deshalb ist ein speziell dafür gebautes Tool mit definierter, automatischer Löschfrist einem spontanen Ordner überlegen. Zum Vergleich bietet Gathmo pro Event explizit endliche Aufbewahrungsfenster: 30 Tage in Free bis 365 Tage im Top-Tier — statt unbegrenzter Speicherung. Was immer du nutzt, die entscheidende Frage bleibt: ein klares Enddatum für die Daten.

☐ Sammelst du nur, was du brauchst? Die Datenminimierung ist schon eine eigene Prüfung. Wenn das Tool Metadaten oder Medien aufnimmt, für die du keinen Zweck hast, kannst du dieses Kästchen nicht ehrlich anklicken.

Abschnitt 5 — Internationale Datenübertragungen und Datenresidenz

Wenn eure Teilnehmer mehrere EU-Mitgliedstaaten umfassen, behalte dieselbe DSGVO-Checkliste bei. Die schwierigere Frage ist, wo die Daten landen; dort wird deine Tool-Auswahl zu einer Compliance-Entscheidung.

☐ Weißt du, ob Daten die EU verlassen — und gibt es einen rechtmäßigen Transfermechanismus, falls sie es tun? Übermittlungen außerhalb der EU sind nur mit Angemessenheitsbeschluss (Art. 45) oder geeigneten Garantien wie den Standardvertragsklauseln (Art. 46) zulässig, mit durchsetzbaren Rechten und Rechtsbehelfen. Stand Mitte 2026 ist der EU-US Data Privacy Framework-Entscheidungsbeschluss (adoptiert Juli 2023) weiterhin in Kraft — der Europäische Gerichtshof im Verfahren C-311/18 (Schrems II) verwarf die erste Anfechtung im September 2025, und eine Berufung beim EuGH mit anhängigem Verfahren ist ohne Termin angesetzt. Übertragungen zu DPF-zertifizierten US-Organisationen sind daher möglich, aber der Rahmen ist nicht risikofrei; SCCs plus TIA bleiben der vorsichtige Standard. (GDPR Art. 45, Art. 46(2)(c); CJEU C-311/18 Schrems II; EU-Kommission DPF-Entscheidung 2023.)

☐ Der klare Shortcut: Hält die Daten einfach in der EU? Der einfachste Weg, die gesamte Übertragungsfrage zu umgehen, ist, die Daten von Anfang an in der EU zu halten. Hier teilt sich der Markt klar auf. Betrachtet man nur die eigenen, öffentlich verfügbaren Angaben der Anbieter vom 8. Juni 2026:

• Mehrere beliebte Tools sind explizit US-basiert — GuestCam nennt Datenhosting auf US-Cloud mit keiner EU-/Europa-Option; Kululu speichert Hauptinhalte auf Google-Cloud-Firebase-Servern in den Vereinigten Staaten; Fotify wird von einem Unternehmen aus Delaware, USA, betrieben.
• Ein kleinerer Anbieter ist in der EU gehostet — EventPics (österreichisches Unternehmen, Hosting in einer EU-Region) und JoinMyMoment (Sub-Auftragsverarbeiter in der EU/EWR: Deutschland, Frankreich und AWS Frankfurt) nennen EU-Residenz ausdrücklich.
• Einige Tools sagen nicht klar, wo die Daten liegen — und das ist bereits ein Beschaffung-Risikofaktor, weil du keine Transferanalyse gegen eine leere Angabe abschließen kannst.

Gathmos Antwort auf genau diesen Check: Anwendungsserver und Datenbank laufen auf einem dedizierten Host in Phoenix, Arizona (USA), Eventmedien liegen bei Cloudflare, und es gibt DPAs mit seinen Prozessoren. Seid hier dennoch präzise: mehrere Anbieter behaupten europäische Server, daher sollte ein Beschaffungsteam den Unterschied testen auf verifizierbaren Beleg und eine unterschriebene DPA, nicht nur auf die EU-Behauptung allein.

Abschnitt 6 — Sei auf eine Löschanfrage vorbereitet

Das ist das Recht auf Vergessenwerden, und es ist keine Gefälligkeit, die du ablehnen darfst. Nach Art. 17 Abs. 1 kann eine betroffene Person die Löschung ihrer personenbezogenen Daten ohne unangemessene Verzögerung verlangen, wenn ein Grund vorliegt (etwa dass die Daten nicht mehr erforderlich sind oder die Einwilligung widerrufen wurde und keine andere Rechtsgrundlage besteht). Und es gibt eine harte Frist: Nach Art. 12 Abs. 3 musst du ohne unangemessene Verzögerung reagieren und spätestens einen Monat nach Eingang des Antrags, verlängerbar um zwei weitere Monate bei tatsächlich komplexen oder zahlreichen Anfragen – aber nur, wenn du der Person die Verlängerung und deren Gründe innerhalb dieses ersten Monats mitteilst. (Art. 17 Abs. 1; Art. 12 Abs. 3 DSGVO.)

☐ Weißt du, wo jede Datei liegt, sodass du eine Löschung an einem Ort umsetzen kannst? Wenn eure Eventmedien über Telefone, Chatgruppen und geteilte Laufwerke verstreut sind, wird eine Ein-Monats-Löschanfrage zu einem manuellen Chaos. Eine einheitlich verwaltete Galerie mit klarem Löschpfad macht es zu einer einzigen Aktion — das ist der eigentliche betriebliche Grund für eine einzige Lösung.

☐ Wenn eure Rechtsgrundlage die Einwilligung ist, ist der Widerruf so einfach wie das Erteilen? Ein Teilnehmer kann seine Einwilligung widerrufen, und ihr müsst dann löschen (sofern keine andere Rechtsgrundlage vorliegt). Der Widerrufsweg muss real und nutzbar sein, nicht nur theoretisch.

☐ Hat der Anbieter zugesagt, Löschungen auf Anfrage binnen gesetzlicher Frist umzusetzen? Stellen Sie die Direktfrage schriftlich: Können Sie auf Anfrage Inhalte einer Person innerhalb der gesetzlichen Frist löschen, und wird das verbindlich zugesichert? Bei Gathmo ist DSGVO-konformes Löschen auf Anfrage Teil des Modells. In diesem Markt sind eine dedizierte DPA und eine veröffentlichte Liste von Sub-Auftragnehmern die Ausnahme, nicht die Norm — daher ist es der ganze Punkt, die Löschkette vor Vertragsunterzeichnung schriftlich zu sichern, statt sie bei einer Live-Anfrage zu entdecken.

Ein praktischer Hinweis: der QR-Code auf dem Badge

Wenn du per scannbarem Code auf Lanyards, Tischkarten oder Bühnenbeschilderung sammelst, sollte die verlinkte Upload-Seite auch den Artikel-13-Hinweis enthalten — denn ein nicht scanbarer Code verliert nicht nur Fotos, sondern frustriert Gäste vor der Einwilligungsmeldung. Ein paar Spezifikationen sorgen für Nutzbarkeit: Auf einem Lanyard oder Ausweis mindestens 2 x 2 cm (2,5 x 2,5 cm ist bei Armlänge angenehmer), auf einem Bühnenbanner aus dem Raum deutlich größer. Halte die erforderliche Quiet-Zone ein, nutze dunklen Code auf hellem Grund und teste einen Proof im echten Format vor dem Massen-Druck.

Die Checkliste auf einer Seite

Druck das aus und geh damit zu deinem Datenschutzbeauftragten

1. Lieferant — DPA (Art. 28) vorhanden · Unterauftragsverarbeiter benannt · Löschung/Rückgabe zugesichert · Hosting offengelegt · Gesichtserkennung verstanden und bewusst gewählt.

1. Rechtsgrundlage — Identifiziert die Art nach Art. 6 · Interessenabwägung dokumentiert (falls berechtigtes Interesse) · Mitarbeiterfotos nur auf Grundlage dokumentierter Einwilligung bei nach außen gerichteten Verwendungen (Art. 6, BDSG § 26).

1. Transparenz — Art. 13-Hinweis vorbereitet, vollständig und beim Upload bereitgestellt.

1. Löschung — vordefinierte endliche Aufbewahrungsdauer · nur sammeln, was du brauchst (Art. 5).

1. Datenübermittlungen — du weißt, ob Daten die EU verlassen und über einen Rechtsrahmen erfolgen oder du sie direkt in der EU hältst (Art. 45–46).

1. Löschung — alle Medien an einem Ort · Einwilligung jederzeit widerrufbar · der Anbieter verpflichtet sich zur Löschung innerhalb eines Monats (Art. 17, Art. 12(3)).