GDPR und Fotos von Mitarbeitenden bei Events: Das müssen HR-Teams 2026 wissen

Euer Unternehmen hat gerade sein Sommer-Offsite durchgeführt. Drei­hundert Fotos sind über private Handys verstreut, in einer WhatsApp-Gruppe, die niemand sauber exportieren kann, und in einem gemeinsam genutzten Laufwerkordner, den jemand 2023 „vorübergehend“ eingerichtet hat. Interne Kommunikation braucht zwölf gute Bilder für den Newsletter. Und ein*e Mitarbeiter*in hat gerade eine E-Mail geschickt, dass nirgendwo Bilder von ihm/ihr veröffentlicht werden sollen.

Die letzte dieser E-Mails sollte die Personalabteilung stoppen lassen. Denn sobald eure Organisation Fotos identifizierbarer Mitarbeitender erhebt, speichert oder veröffentlicht, gilt die DSGVO — und »es war nur die Weihnachtsfeier« ist keine Verteidigung, die eine Datenschutzbeauftragte akzeptiert.

Dieser Leitfaden führt HR-Manager und interne Eventplaner durch die DSGVO-Pflichten bei Fotos von Mitarbeiter-Events: Welche Rechtsgrundlage wirklich greift, wann eine Einwilligung erforderlich ist und wann nicht, wie lange Bilder aufbewahrt werden dürfen und was du von jedem Tool zur Fotensammlung verlangen musst, bevor es das Gesicht eines einzigen Mitarbeiters verarbeitet. Er ist für den EU-/EWR-Raum geschrieben, mit spezifischen Hinweisen für Deutschland.

Gelten die DSGVO-Bestimmungen überhaupt für Fotos von Mitarbeitenden bei einer Veranstaltung?

Ja — und die häufig weitergereichte „Privatnutzung“-Ausnahme hilft dir hier nicht.

Die DSGVO nimmt die Verarbeitung durch „eine natürliche Person im Rahmen einer rein persönlichen oder häuslichen Tätigkeit“ ohne Bezug zu einer beruflichen oder kommerziellen Tätigkeit aus (Art. 2(2)(c)) aus. Ein Gast, der privat seine eigenen Partyfotos aufbewahrt, kann darunter fallen. Der Arbeitgeber fällt nicht darunter. Eine von der Firma organisierte Veranstaltung, fotografiert zu Unternehmenszwecken — Newsletter, Intranet, Recruiting-Seite, nächste All-Hands-Präsentation — ist per Definition eine berufliche und kommerzielle Verarbeitung. Die Ausnahme schützt den einzelnen Mitarbeiter; nicht die Organisation als Verantwortliche, noch eine Plattform als Auftragsverarbeiter in deren Auftrag.

Ein weiterer Grenzfall ist wichtig. Der Europäische Gerichtshof hat im Verfahren Ryneš (C-212/13) den Haushaltsausnahme eng ausgelegt: Verarbeitung „nach außen gerichtet vom privaten Bereich der Person“ — dort war Videoüberwachung eines öffentlichen Raums — kann nicht als rein privat gelten. Auf Veranstaltungen kann das Veröffentlichen von Fotos anderer Personen über einen geschlossenen privaten Kreis hinaus (beispielsweise im offenen Internet) daher schnell außerhalb der Ausnahme liegen und den Anbieter eindeutig in den Geltungsbereich der DSGVO bringen.

Die praktische Antwort für HR ist einfach: Gehe davon aus, dass die DSGVO auf jedes identifizierbare Foto eines Mitarbeiters bzw. jeder Mitarbeiterin in jedem Foto gilt, das dein Unternehmen sammelt, sobald du es erhebst.

Was ist eure Rechtsgrundlage: Einwilligung oder berechtigtes Interesse?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6. Für normale Eventfotos sind in der Praxis zwei realistisch: berechtigtes Interesse (Art. 6(1)(f)) und Einwilligung (Art. 6(1)(a)).

Berechtigte Interessen sind möglich, wenn die Verarbeitung für die Interessen des Verantwortlichen oder eines Dritten notwendig ist und diese Interessen nicht durch die Rechte und Freiheiten der betroffenen Person überwiegt — ein tatsächlicher Abwägungstest, den man durchführen und dokumentieren muss, mit erhöhtem Schutz, wenn ein Kind beteiligt ist. Für risikogeringe, intern ausgerichtete Eventdokumentation können viele Organisationen darauf zurückgreifen.

Die Einwilligung muss spezifisch, informiert und freiwillig sein. Sie ist die sichere Rechtsgrundlage und wird zur Pflicht, wenn die Interessenabwägung beim berechtigten Interesse scheitert oder Sonderkategorien verarbeitet werden.

Der Haken bei HR ist klar: das Beschäftigungsverhältnis. Weil Mitarbeitende vom Arbeitgeber abhängig sind, gehen Regulierer davon aus, dass Einwilligung in diesem Kontext selten wirklich „freiwillig" ist. Das Bundesdatenschutzgesetz regelt Arbeitnehmerdaten direkt in BDSG §26, erlaubt Verarbeitung, soweit sie für das Beschäftigungsverhältnis erforderlich ist, und anerkennt, dass Einwilligung möglich ist, aber in Bezug auf die Abhängigkeit geprüft werden muss und meistens schriftlich erfolgen sollte.

Die ehrliche Einordnung für Unternehmensfotografie bei Events ist diese: Die Erforderlichkeit nach §26 passt bei Marketing- und Newsletter-Fotos meist nicht (ein poliertes Recruiting-Foto ist für die Durchführung des Arbeitsvertrags nicht „erforderlich“). Für alles Außenkommunikations- und Werbebezug ist daher der vertretbare Weg die freiwillig erteilte, dokumentierte Einwilligung mit einem klaren Recht, ohne Nachteile zu verweigern. Beachte außerdem, dass §26(1) nach EU- und deutscher Rechtsprechung teilweise als EU-rechtswidrig eingestuft wurde und die Verarbeitung sich auch direkt auf Art. 6 DSGVO stützen kann — ein weiterer Grund, Fotos auf einer klaren, ausdrücklichen Einwilligung aufzubauen statt auf einem überdehnten Erforderlichkeitsargument.

Praktische Faustregel fürs HR:

• Interne, risikoarme Dokumentation (ein paar Aufnahmen im nächsten Team-Update): Das berechtigte Interesse kann genügen — sofern Sie die Interessenabwägung dokumentiert haben.

• Alles, was nach außen geht oder im Marketing/Recruiting genutzt wird: hole explizite, aktive Zustimmung ein, und gestatte ein folgenloses Ablehnen.

Braucht man eine gesonderte, ausdrückliche Zustimmung für die Gesichtserkennung?

Das ist die Frage, die ein normales Fotoalbum von einer rechtlichen Stolperfalle trennt — und bei der viele Consumer-Event-Apps im Stillen Risiko erzeugen.

Ein Foto eines Gesichts gilt nicht automatisch als besondere Kategorie personenbezogener Daten. Erwägungsgrund 51 der DSGVO ist eindeutig: Fotografien fallen nur dann unter biometrische Daten, „wenn sie durch ein spezielles technisches Verfahren verarbeitet werden, das die eindeutige Identifikation oder Authentifizierung einer natürlichen Person ermöglicht.“ Das bloße Speichern und Anzeigen von Fotos löst Artikel 9 nicht aus.

Sobald ein Tool jedoch Gesichtserkennungs-Feature-Extraction nutzt — also eine Gesichts-Vorlage zur Gruppierung oder Identifikation von Gästen erstellt oder Menschen mit einem Selfie "alle Fotos von mir" finden lässt — verarbeitet es biometrische Daten mit dem Zweck, eine Person eindeutig zu identifizieren. Das verbietet Art. 9(1), sofern keine konkrete Ausnahme greift (in der Regel eine gesonderte, ausdrückliche Einwilligung). Das ist eine deutlich höhere Hürde als die Einwilligung für normale Fotos.

Das ist wichtig bei der Anbieterauswahl. Mehrere Wettbewerber positionieren Gesichtserkennung als Kernfeature. Diese Funktion ist bei einer Hochzeit tatsächlich sinnvoll; bei einem Firmen-Event mit Mitarbeitern verwandelt sie jedoch Ihre Fotosammlung in eine Verarbeitung nach Artikel 9 und verpflichtet Sie, eine explizite biometrische Einwilligung einzuholen und einen Artikel-9-Rechtsgrund zu dokumentieren. Für ein HR-Team, das die Offsite-Fotos einfach an einem Ort bündeln will, ist das ein Risiko, das Sie nicht wollten.

Wichtig zur Technik: Gathmo bietet bei Launch keine Gesichtserkennung oder Face-Search — beides ist ein Phase-2-Element der Roadmap, kein Live-Feature. Für HR ist dieses Fehlen ein Vorteil: normale Foto-Galerien ohne Gesichts-Templates bleiben standardmäßig außerhalb von Artikel 9. Wenn du Face-Search irgendwann möchtest, entscheide es bewusst und mit separater Einwilligung — nicht als stiller Schalter im Hintergrund.

Was musst du Mitarbeitern sagen, wenn du Fotos sammelst?

Transparenz ist nicht optional und wird nicht durch ein Schild erfüllt, das niemand liest. Wo du personenbezogene Daten direkt beim Betroffenen erhebst, verlangt Art. 13 Abs. 1 DSGVO eine klar definierte Information zum Erhebungszeitpunkt: Identität und Kontaktdaten des Verantwortlichen, Zwecke und Rechtsgrundlage der Verarbeitung sowie, wenn du dich auf berechtigtes Interesse stützt, die konkreten berechtigten Interessen.

Bei einer Veranstaltung bedeutet das ein klares, leicht zugängliches Informationshinweis am Erhebungs- oder Uploadpunkt: wer die Fotos kontrolliert, warum, auf welcher Rechtsgrundlage, wie lange sie aufbewahrt werden und welche Rechte betroffene Personen haben. Ein QR-Code, der zu einer Uploadseite führt, ist der natürliche Ort dafür — die Landing- oder Uploadseite kann den Hinweis tragen, sodass die Einwilligung (wo ihr auf sie setzt) im Kontext abgegeben wird.

Eine kurze, verständliche Checkliste für Ihren Hinweis:

• Wer ist der Verantwortliche (deine Organisation) und wie kann man ihn erreichen — sowie der Datenschutzbeauftragte, falls vorhanden.

• Warum sammelst du die Fotos? (z. B. internes Newsletter, Intranet-Galerie)

• Die Rechtsgrundlage — und, falls berechtigtes Interesse, welches dieses Interesse ist.

• Wie lange die Bilder aufbewahrt werden.

• Welche Rechte Beschäftigte haben, einschließlich Widerspruch und Löschungsantrag.

Wie lange können die Fotos aufbewahrt werden?

Nicht unbegrenzt. Zwei Grundsätze in Artikel 5 regeln das:

• Datenminimierung (Art. 5 Abs. 1 lit. c): personenbezogene Daten müssen angemessen, relevant und auf das Notwendige beschränkt sein. Erfasse die Medien und Metadaten, die du brauchst — nicht alles, was technisch möglich ist.

• Aufbewahrungsbegrenzung (Art. 5 Abs. 1 Buchst. e): Daten dürfen nicht länger in identifizierbarer Form aufbewahrt werden als für die Zwecke nötig.

In der Praxis bedeutet das, eine Aufbewahrungsfrist vor der Veranstaltung festzulegen, nicht nach einer Beschwerde. Eine Unternehmensgalerie, die automatisch nach einem definierten Zeitraum gelöscht wird, statt für immer auf einem gemeinsamen Laufwerk zu liegen, ist der sauberere Weg. Hier ist ein aufgeräumtes Tool mit klarer, automatischer Löschung einem spontanen Ordner überlegen: Das System setzt die Speicherbegrenzung für dich durch, statt darauf zu vertrauen, dass jemand daran denkt, es zu leeren.

Zum Vergleich: Die pro-Event-Tarife von Gathmo haben explizite, endliche Aufbewahrungszeiträume — 30 Tage im Free-Tarif bis zu 1 Jahr im Top-Tarif — statt unbefristeter Speicherung, was dem Verhalten entspricht, das Art. 5(1)(e) fordert. Welche Lösung du nutzt: Das Prinzip ist dasselbe: ein definiertes Enddatum für die Daten.

Was passiert, wenn ein Mitarbeiter dich bittet, seine Fotos zu löschen?

Das ist das Recht auf Löschung – das „Recht, vergessen zu werden“ – und es ist kein Gefallen, den man ablehnen kann.

Nach Art. 17(1) kann die betroffene Person vom Verantwortlichen verlangen, dass ihre personenbezogenen Daten unverzüglich gelöscht werden, wenn ein Grund vorliegt (zum Beispiel sind die Daten für den Zweck nicht mehr erforderlich oder die Einwilligung wird widerrufen und es gibt keine andere Rechtsgrundlage). Und es gibt eine harte Frist: Art. 12(3) verlangt, dass du auf den Antrag ohne unangemessene Verzögerung antwortest und in jedem Fall innerhalb eines Monats nach Eingang. Diese Frist kann um zwei weitere Monate verlängert werden, wenn der Antrag wirklich komplex oder sehr umfangreich ist — aber nur, wenn du die betroffene Person innerhalb des ersten Monats über die Verlängerung und den Grund informierst.

Für HR folgen zwei betriebliche Konsequenzen:

1. Du musst wissen, wo jede einzelne Datei liegt. Wenn deine Eventmedien über Telefone, Chats und Drives verstreut sind, ist die Durchsetzung einer Löschung nach einem Monat ein manueller Alptraum. Eine einzelne verwaltete Galerie mit klarer Löschroute macht es zu einer Ein-Aktion-Frage.

1. Der Widerruf der Einwilligung muss so einfach sein wie deren Erteilung. Wenn deine Rechtsgrundlage die Einwilligung ist, kann ein Mitarbeiter sie zurückziehen, und du musst dann löschen (sofern kein anderer Rechtsgrund besteht).

Bei der Bewertung eines Anbieters stelle die direkte Frage: Kannst du den Inhalt einer bestimmten Person auf Wunsch innerhalb der gesetzlichen Frist löschen — und hast du dich dazu zu verpflichten? Bei Gathmo ist DSGVO-konforme Löschung auf Anfrage Teil des Modells — in der gesetzlichen Frist auf jedem Tier. Für Procurement ist der Prüfpunkt die vertragliche Festlegung des Löschpfads, nicht seine Entdeckung im Live-Fall.

Wie ist es mit internationalen Events und US-basierten Tools?

Wenn deine Gäste über mehrere EU-Mitgliedstaaten verteilt sind, gilt trotzdem die DSGVO — es gibt keine inneren EU-Grenzen, die die Rechtslage ändern. Die größere Frage ist, wohin die Daten gehen, und genau da wird die Plattformwahl zur Compliance-Entscheidung, nicht nur zu einer Frage von Features. Warum EU-Datenstandort im B2B-Einkauf zählt zeigt, wie sich das im Beschaffungsprozess auswirkt.

Übermittlungen personenbezogener Daten außerhalb der EU sind nur bei einem Angemessenheitsbeschluss (Art. 45) oder mit geeigneten Garantien wie Standardvertragsklauseln (Art. 46) zulässig, inklusive durchsetzbarer Rechte und Rechtsbehelfe. Stand Mitte 2026 ist der EU-US Data Privacy Framework-Beschluss (eingeführt Juli 2023) in Kraft — der EuGH-Einwand wurde im September 2025 vom EU-Gerichtshof abgewiesen, eine Berufung beim EuGH ist anhängig ohne anberaumte Verhandlung. Deshalb sind Übermittlungen zu DPF-zertifizierten US-Anbietern möglich, aber nicht risikofrei; SCCs und eine Transfer-Impact-Assessment bleiben der sinnvolle Rückgriff.

Der einfachste Weg, die gesamte Transferfrage zu umgehen, ist, die Daten von Anfang an in der EU zu halten. Und hier teilt sich der Markt klar. Blick auf öffentlich verfügbare Unternehmensinformationen Stand Juni 2026:

• Mehrere beliebte Tools sind explizit in den USA ansässig — etwa GuestCam, das angibt, dass die Daten auf US-Cloud gespeichert werden ohne EU-/Europa-Option, und Kululu, das Primärinhalte auf Google Cloud (Firebase)-Servern in den Vereinigten Staaten speichert. Fotify wird von einem US-amerikanischen Unternehmen in Delaware betrieben.
• Eine kleinere Auswahl ist EU-gehostet — EventPics (geführt von einem österreichischen Unternehmen, Hosting in einer EU-Region) und JoinMyMoment (EU/EEA-Subunternehmer in Deutschland, Frankreich und AWS Frankfurt) sind Beispiele, die EU-Ansässigkeit ausdrücklich benennen.
• Einige Tools geben gar nicht klar an, wo die Daten liegen – das ist für ein Beschaffungsteam allein schon ein Warnsignal. Kann ein Anbieter dir die Hosting-Region nicht nennen, kannst du die Transferanalyse nicht abschließen.

Gathmos Ansatz ist genau für diese Sorge gebaut: Datenresidenz in der EU, Objektspeicher im EU-Rechtsraum, primäre Datenbank in Frankfurt, EU-Compute und Data-Processing-Agreements mit den Auftragsverarbeitern. Für HR- oder Beschaffungsteams, deren Standardfrage lautet „bleiben Mitarbeitendendaten in Europa?“, ist das ein klares Ja, das vorgelegt werden kann — und die Residency ist mit Nachweis belegt (benannter Rechenzentrum, DPA-Processor), nicht nur mit einem Marketing-Hinweis. Es lohnt sich aber, präzise zu sein: Viele Anbieter behaupten europäische Server, deshalb ist der Unterschied die überprüfbare Nachweisebarkeit und eine unterschriebene DPA, nicht die EU-Behauptung allein.

Sie sind der Verantwortliche — wo ist das DPA Ihres Prozessors?

Das ist der Teil, den Beschaffung nicht überspringen darf. Wenn ein externes Tool personenbezogene Daten in Ihrem Auftrag und nach Ihren Anweisungen verarbeitet, liegt ein Verhältnis Controller-zu-Verarbeiter vor, und die DSGVO verlangt einen verbindlichen schriftlichen Vertrag — einen Auftragsverarbeitungsvertrag — nach Artikel 28 Abs. 3.

Dieser Vertrag ist kein Boilerplate, das man einfach abhakt. Art. 28(3) verlangt, dass er Gegenstand, Dauer, Art und Zweck der Verarbeitung, Arten und Kategorien der Daten sowie die Rechte und Pflichten des Verantwortlichen festlegt — und dem Auftragsverarbeiter konkrete Pflichten auferlegt: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32, Bedingungen für Unterauftragnehmer, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe der Daten nach Ende der Leistung und Auditfähigkeit.

Kurz gesagt: Deine Organisation ist die verantwortliche Stelle; das Fototool ist der Auftragsverarbeiter; und du brauchst einen DSGVO-konformen DPA, bevor Fotos von Mitarbeitenden dort landen. Ein Anbieter, der keinen vorlegen kann, kann von keinem EU-Unternehmen genutzt werden. Worauf man in einem Auftragsverarbeitungsvertrag für Event-Tech achten sollte geht die Klauseln durch, auf die es ankommt.

Bei der Bewertung ist dies die wertvollste Einzel-Frage:

• Könnt ihr eine DSGVO-Artikel-28-DPA vorlegen? (Wenn die Antwort lautet „Was ist das?“, abbrechen.)
• Nennt ihr eure Unterauftragsverarbeiter und deren Standort?
• Werden Sie zusagen, unsere Daten am Ende der Zusammenarbeit zu löschen oder zurückzugeben?

Gathmo stellt eine DPA bereit — auf Anfrage für die Ereignis-Tarife pro Event, inklusive im B2B Studio, Agency und Enterprise. Für eure Rechtsabteilung ist der klare Unterschied: In diesem Markt sind eine dedizierte, herunterladbare DPA und eine veröffentlichte Sub-Processor-Liste die Ausnahme, nicht die Regel — viele konsumorientierte Tools bieten keine solche Vereinbarung. Eine DSGVO-Checkliste für Firmenevent-Fotografie macht daraus etwas, das eine Eventplanerin abarbeiten kann.

Ein kurzer Hinweis zum QR-Code selbst

Wenn du Fotos per scannbarem Code auf Lanyards, Tischkarten oder Bühnenbeschilderung sammelst, halten ein paar praktische Spezifikationen den Ablauf brauchbar — und die Upload-Seite ist zugleich der richtige Ort für den Hinweis nach Art. 13. Für Lanyards und Badges mindestens 2 × 2 cm (2,5 × 2,5 cm sind in Armlänge angenehmer); auf einem Bühnenbanner aus der Ferne deutlich größer. Halte die notwendige Quiet-Zone ein, nutze dunklen Code auf hellem Hintergrund, und mach vor Massenproduktion immer einen Testdruck und echten Scantest in Originalgröße. Ein nicht lesbarer Code verliert nicht nur Fotos — er schickt frustrierte Gäste an anderer Stelle als eure Consent-Info.