Datenschutz Mitarbeiterfotos: Einwilligung und Veröffentlichung von Fotos richtig regeln
Rehana Harasgama
Rehana Harasgama ist Expertin im Schweizer und internationalen Technologie-, Cybersecurity- und Datenschutzrecht. Sie ist auch
Dozentin für Datenschutz an der Universität St. Gallen (HSG).
Passende Arbeitshilfen
Einleitung Datenschutz Mitarbeiterfotos
Mitarbeitende haben ein Recht am eigenen Bild, welches auch datenschutzrechtlich geschützt ist. Das bedeutet, Fotos und andere Aufnahmen von ihnen dürfen grundsätzlich nicht ohne Einwilligung veröffentlicht werden. In diesem Beitrag werden die Rechtsgrundlagen für die Aufnahme von Fotografien und Videos an Firmenanlässen kurz beleuchtet. Danach werden Praxistipps zur Erfüllung der rechtlichen Pflichten aufgezeigt sowie das Vorgehen bei nachträglichem Widerruf einer Einwilligung erläutert. Abschliessend wird noch kurz auf die rechtlichen Risiken hingewiesen, wenn die Voraussetzungen für solche Aufnahmen nicht erfüllt sind.
Dürfen Mitarbeitende fotografiert werden?
Das Fotografieren von Mitarbeitenden bei Unternehmensanlässen berührt verschiedene rechtliche Aspekte, insbesondere das schweizerische Datenschutzrecht und Persönlichkeitsrecht. Gerade im Zusammenhang mit Datenschutz Mitarbeiterfotos sind klare rechtliche Grundlagen und transparente Prozesse entscheidend. Grundsätzlich sind die folgenden Rechtsgrundlagen und Prinzipien zu beachten:
Persönlichkeitsrecht
Das Persönlichkeitsrecht schützt jeden Menschen – also auch Mitarbeitende – vor widerrechtlichen Verletzungen ihrer Privatsphäre. Dieser Schutz umfasst unterschiedlichste Aspekte des Lebensbereichs eines Mitarbeitenden, z.B. das Recht am eigenen Bild. Eine Persönlichkeitsverletzung ist widerrechtlich, sofern ein Eingriff in die Privatsphäre eines Mitarbeitenden ohne gesetzliche Grundlage, Einwilligung oder überwiegendes Interesse geschieht.
Da in der Regel für die Aufnahme und Veröffentlichung von Fotos und Videos von Mitarbeitenden an Firmenanlässen weder eine gesetzliche Grundlage noch ein überwiegendes Interesse vorliegt, müssen sich Unternehmen grundsätzlich auf die (ausdrückliche oder implizite) Einwilligung ihrer Mitarbeitenden stützen (Stillschweigen reicht nicht aus). Die Einwilligung muss freiwillig sein und dies muss für die betroffenen Mitarbeitenden auch klar erkennbar sein. Es darf keinerlei negative Folgen für die Mitarbeitenden haben, wenn sie eine Foto- oder Videoaufnahme an einem Firmenanlass nicht zustimmen.
Diese Voraussetzungen gelten auch bei Gruppenfotos. Der Eingriff in die Persönlichkeitsrechte ist dann weniger schwer, wenn keine Einzelperson aus der Gruppe heraustritt und als solche wahrgenommen wird. Dies muss jedoch stets im Einzelfall beurteilt werden.
Schliesslich ist zu beachten, dass die Aufnahmen die betroffenen Mitarbeitenden nicht in ein negatives Licht rücken dürfen und auch nicht in die Leistungsbeurteilung der Mitarbeitenden fliessen dürfen. Ein Firmenanlass ist eine Freizeitaktivität und somit nicht mit der Leistung der Mitarbeitenden im Arbeitsalltag verknüpft.
Datenschutz
Fotos von Mitarbeitenden gelten gemäss Datenschutzgesetz als Personendaten. Entsprechend sind alle datenschutzrechtlichen Pflichten und Voraussetzungen stets zu erfüllen, wenn solche Aufnahmen erfolgen. Im Bereich Datenschutz Mitarbeiterfotos ist besondere Sorgfalt geboten, da Bildaufnahmen regelmässig Rückschlüsse auf identifizierbare Personen zulassen. Insbesondere sollte ein Augenmerk auf folgende Grundsätze und Pflichten gelegt werden:
- Transparenz und Zweckbindung: Unternehmen müssen klar kommunizieren, warum Aufnahmen gemacht werden und wie sie verwendet werden (z.B. interne Kommunikation, Social Media, Website, Werbematerialien, Recruiting etc.).
- Rechtsgrundlage für Datenbearbeitung: Gleich wie beim Persönlichkeitsschutz bedarf die Aufnahme von Fotos oder Videos eine gültige Rechtsgrundlage, da solche Aufnahmen an Firmenanlässen nicht direkt mit dem Arbeitsverhältnis verbunden sind. Entsprechend sollte die Datenbearbeitung auf Grundlage einer freiwilligen Einwilligung der Mitarbeitenden abgestützt werden.
- Datensicherheit: Die Aufnahmen müssen sicher aufbewahrt werden und durch angemessene technische und organisatorische Massnahmen vor Missbrauch und Zugriffen Dritter geschützt sein.
- Auftragsbearbeitung: Wenn die Aufnahmen von externen Dienstleistern gemacht oder bearbeitet werden, ist sicherzustellen, dass sie die Aufnahmen nicht für ihre eigenen Zwecke verwenden und nicht mit Dritten teilen. Die Aufnahmen sollten dem Unternehmen ausgehändigt werden und das Unternehmen kontrolliert die Verwendung der Aufnahmen gemäss Einwilligung der Mitarbeitenden.
Datenlöschung: Wenn Mitarbeitende ihre einmal erteilte Einwilligung widerrufen, sind die Aufnahmen zu löschen. Das bedeutet nicht nur in der Datenbank, sondern im Intranet, auf der Website und auf den Social Media-Kanälen. In der Praxis lässt sich einzig rechtfertigen, dass bereits gedruckte Fotos, z.B. in Broschüren, Geschäftsberichten oder einem Jubiläumsband, nicht zerstört werden müssen. Darüber muss aber auch klar informiert werden und nach Widerruf dürfen keine weiteren Broschüren mit Fotos von den betroffenen Mitarbeitenden gedruckt werden.
Macht es einen Unterschied, ob die Aufnahmen im Intranet oder im Internet veröffentlicht werden?
Es gibt Unterschiede hinsichtlich der rechtlichen Anforderungen für die Veröffentlichung von Aufnahmen von Mitarbeitenden im Intranet im Vergleich zur Veröffentlichung im Internet oder auf Social Media. Diese Unterschiede beruhen insbesondere auf dem Grad der Öffentlichkeit, der Reichweite und den damit verbundenen Risiken für die betroffenen Mitarbeitenden.
Das Intranet ist grundsätzlich nur für Mitarbeitende des Unternehmens zugänglich. Entsprechend ist die Reichweite und Öffentlichkeit begrenzt. Dennoch braucht auch eine Veröffentlichung im Intranet eine vollständige Information und eine Einwilligung der betroffenen Personen. Diese Einwilligung kann jedoch in der Regel implizit erfolgen, sofern Mitarbeitende vorab informiert werden, wie und warum Fotos oder Videos des Firmenanlasses im Intranet publiziert werden. Widerspricht eine betroffene Person der Veröffentlichung, ist dies zu respektieren.
Die Veröffentlichung von Aufnahmen aus Firmenanlässen im Internet – wie auf der Unternehmenswebsite oder dem Social Media-Kanal – stellt eine weitaus öffentlichere Form der Datenbearbeitung dar. Beispiel: Ein Foto aus dem Firmenanlass auf der „Job“-Seite des Unternehmens oder die Veröffentlichung eines Videos mit Rückblick des Events auf einem Social Media-Kanal. Aus diesem Grund gelten auch strengere rechtliche Anforderungen, denn die Aufnahmen sind für jeden sichtbar. Somit reicht eine implizite Einwilligung normalerweise nicht, sondern es setzt eine informierte, freiwillige und ausdrückliche Zustimmung der betroffenen Mitarbeitenden voraus. Die betroffenen Mitarbeitenden müssen ausserdem die Möglichkeit haben, die zur Publikation vorgesehenen Bilder einzusehen und sie müssen über den Kontext der Veröffentlichung informiert werden. Schliesslich sollte die Einwilligung in solchen Fällen besonders gut dokumentiert und eindeutig sein, da der Kontrollverlust durch eine solche Veröffentlichung im Gegensatz zu einer Veröffentlichung im Intranet ein erhebliches Risiko für die betroffenen Mitarbeitenden darstellt.
Wie ist diese Einwilligungspflicht praktisch umsetzbar?
Übersicht
Nun stellt sich die Frage, wie die Einwilligungspflicht bei einem Firmenanlass praktisch umsetzbar ist. In diesem Kontext empfiehlt es sich zunächst, eine allgemeine Information und Einwilligungsregelung beim Onboarding der Mitarbeitenden mittels Formulars, Mitarbeiterdatenschutzerklärung oder im Anstellungsreglement oder Personalhandbuch sicherzustellen. Darin sollten Mitarbeitende vorab über die Verwendung von Aufnahmen von ihnen informiert werden (z.B. auf der Website und im Intranet für die Kontaktaufnahme durch Kunden oder Arbeitskolleginnen und -Kollegen oder von Firmenanlässen für interne Zwecke, zur Veröffentlichung auf Website oder Social Media-Kanälen oder zu Marketingzwecken). Ausserdem sollte Klarheit über die Möglichkeit, Foto- und Videoaufnahmen zu verweigern bzw. eine einmal erteilte Einwilligung jederzeit zu widerrufen, geschaffen werden. Bei jeder Änderung des Verwendungszwecks solcher Aufnahmen müssen alle Mitarbeitenden, bspw. mittels E-Mail oder Ankündigung im Intranet, vorab informiert werden, ansonsten können sie dieser neuen Verwendungsart nicht rechtzeitig widersprechen.
Seminar-Empfehlungen
Am Firmenanlass selbst kann durch entsprechende Beschilderung nochmals darauf aufmerksam gemacht werden, dass Fotos und Videos aufgenommen werden. Darüber hinaus kann Mitarbeitende die Möglichkeit geboten werden, sich bspw. mittels Sticker oder Badge zu kennzeichnen, wenn sie nicht wünschen, dass von ihnen Aufnahmen gemacht oder veröffentlicht werden. Eine weitere Möglichkeit das Einwilligungserfordernis zu erfüllen, wäre, wenn bei der Anmeldung zum Firmenanlass eine Option für die Zustimmung zu Aufnahmen angekreuzt werden kann. So lässt sich sehr gut dokumentieren, welche Mitarbeitenden einer Aufnahme und Veröffentlichung ihrer Bilder zugestimmt haben. Sofern die Aufnahmen auch im Internet oder auf einem Social Media-Kanal publiziert werden sollen, sollte jeder Person die Möglichkeit haben, die Aufnahmen vorab zu überprüfen und allenfalls ihre Zustimmung zu widerrufen.
Allgemeines Einwilligungsformular
Das Einwilligungsformular muss genaue Informationen bzgl. Aufnahmen von Mitarbeitenden enthalten, insbesondere wenn es Aufnahmen betrifft, die zu Marketingzwecken online oder auf Social Media publiziert werden:
- Zweck(e) der Aufnahmen.
- Verwendungsorte (Website, Flyer, Social Media etc.).
- Gültigkeitsdauer oder Hinweis auf Widerrufsmöglichkeiten.
- Angaben, ob eine Weitergabe an Dritte (z.B. Marketing-Agenturen) und/oder ins Auslanderfolgt.
- Angaben, wer Zugriff auf die Aufnahmen erhält.
- Möglichkeiten zur Einsicht vor Veröffentlichung erläutern.
- Erklärungen zur Freiwilligkeit der Einwilligung.
- Unterschrift.
Umsetzungsprozesse
Aus Compliance-Gründen empfiehlt es sich, die Einwilligung (sowie deren Widerruf) in die Verwendung von Fotos oder Videos zu dokumentieren, sofern keine implizite Einwilligung ausreicht. Gerade im Bereich Datenschutz Mitarbeiterfotos ist eine nachvollziehbare Dokumentation zentral. So ist sichergestellt, dass keine Fehler unterlaufen und somit weder für das Unternehmen noch für die betroffenen Mitarbeitenden irgendwelche Risiken entstehen. Dies kann mittels schriftlichen Formulars und dessen Ablage oder über Online-Tools (wie z.B. Workday, Personio, OneTrust) erfolgen.
Intern sollte eine Kontaktstelle für Einwilligungen und deren Widerruf etabliert werden und die Mitarbeitenden sollten wissen, wie sie diese kontaktieren können.
Schliesslich sollten die eingeholten Einwilligungen sollten regelmässig überprüft und aktualisiert werden. So kann z.B. alle 2-4 Jahre überprüft werden, ob die betroffenen Mitarbeitenden immer noch mit der Verbreitung der Aufnahmen im Internet einverstanden sind.
Was gilt, wenn Mitarbeitende ihre Einwilligung nachträglich widerrufen?
Wenn Mitarbeitende ihre Einwilligung zu den Aufnahmen widerrufen, ist es für Unternehmen von entscheidender Bedeutung, professionell, respektvoll und rechtskonform zu reagieren.
Über die Möglichkeit des Widerrufs einer Einwilligung sollte im Zeitpunkt der Einholung der Einwilligung explizit informiert werden. Auch lohnt es sich im Rahmen von Onboarding oder Schulungen und Workshops diese Widerrufsmöglichkeit immer wieder aufzunehmen. Darüber hinaus sollte der Prozess für den Widerruf kommuniziert werden. Mitarbeitende sollten wissen, an wen sie sich wenden müssen und was sie dieser Person genau mitteilen sollen (Name, Foto / Video, Datum etc.), wenn sie ihre Einwilligung widerrufen möchten.
Intern sollte die Zuständigkeit für die Umsetzung eines Widerrufs, das Vorgehen in einem solchen Fall sowie die Frist, innert welcher die Umsetzung des Widerrufs erfolgen muss, definiert werden. Diese Kontaktstelle sollte dann den Eingang des Widerrufs sowie die Löschung der Daten inkl. allfälliger Ausnahmen (z.B., wenn bereits gedruckte Broschüren, Geschäftsberichte oder Jubiläumsbände nicht nachträglich zerstört werden) bestätigen. Negative Reaktionen auf einen Widerruf sind zu vermeiden, schliesslich erfolgt eine Einwilligung stets freiwillig. Somit darf der Widerruf einer Einwilligung keinerlei Konsequenzen für die Mitarbeitenden zur Folge haben.
Die zuständige Stelle ist dann für die Umsetzung des Widerrufs zuständig. Sie muss sicherstellen, dass die Aufnahmen intern (z.B. interne Datenbanken, Intranet etc.) und extern (Website, Social Medial-Kanal etc.) entfernt werden. Dies bedeutet auch, dass sie externe Dienstleister, die die Aufnahmen getätigt oder bearbeitet haben, auch über den Widerruf informieren und auffordern muss, die Aufnahmen zu löschen und nicht weiter zu nutzen oder zu verbreiten. Bei Bedarf ist die IT-Abteilung oder die interne Datenschutzverantwortliche beizuziehen. Schliesslich sollte die Umsetzung für interne Zwecke dokumentiert werden.
1. Anerkennung und Respekt für den Widerruf
2. Transparente Kommunikation
3. Entfernung der Aufnahmen
4. Klärung bei Drittanbietern
5. Dokumentation
Ein fairer, transparenter und schneller Umgang mit Widerrufen stärkt nicht nur das Vertrauen der Mitarbeitenden, sondern zeigt auch, dass das Unternehmen Datenschutzverpflichtungen ernst nimmt und eine positive Unternehmenskultur fördert.
Welche rechtlichen Risiken entstehen, wenn die Voraussetzungen für die Aufnahme und Veröffentlichung von Fotos und Videos nicht erfüllt werden?
Die widerrechtliche Aufnahme und Veröffentlichung von Fotos und Videos von Mitarbeitenden an Firmenanlässen kann zivilrechtliche, datenschutzrechtliche und arbeitsrechtliche Risken nach sich ziehen.
- Zivilrechtliche Risiken: Die betroffene Person kann unterschiedliche Ansprüche vor dem Zivilgericht geltend machen (z.B. Unterlassung, Beseitigung, Schadenersatz oder Genugtuung).
- Datenschutzrechtliche Risiken: Die betroffene Person kann dieselben Ansprüche vor dem Zivilgericht geltend machen, jedoch sieht das Datenschutzgesetz für gewisse Verletzungen auch Bussen bis zu CHF 250'000.- vor, wenn bspw. unvollständig über die Verwendung von Video- und Fotoaufnahmen informiert wurde oder die Aufnahmen nicht angemessen vor Missbrauch oder Zugriffen von Dritten geschützt wurden.
- Arbeitsrechtliche Risiken: Die Aufnahme und Veröffentlichung von Foto- oder Videoaufnahmen ohne Einwilligung der Mitarbeitenden ist auch eine Verletzung es Arbeitsvertrages. Entsprechend können Mitarbeitende auch wieder dieselben zivilrechtlichen Ansprüche geltend machen, aber es kann auch ein Grund zur Kündigung darstellen oder eine Schadenersatzklage nach sich ziehen.
Neben diesen Risiken stehen jedoch vor allem auch Reputationsrisiken im Vordergrund. So kann die widerrechtliche Aufnahme und Veröffentlichung von Fotos oder Videos von Firmenanlässen das Vertrauen der Mitarbeitenden schwächen und, sofern dies an die Presse gelangt, zu Reputationsschäden des Unternehmens führen.
