Ist die Vermarktung der Fotos von Personen durch Bildgenturen unter der EU-Datenschutzgrundverordnung – DSGVO – weiterhin zulässig?
Müssen Bildagenturen bzw. Fotoagenturen etwas beachten, damit die Vermarktung von Personenfotos weiterhin zulässig ist?
Ist Straßenfotografie – Street Photography – noch möglich? (schöne Beispiele aus New York) Die Frage konnte man sich ja schon nach dem KUG stellen. Unter welche Ausnahmebestimmung des § 23 KUG fällt die Veröffentlichung von Fotos von Passanten? Ist das Kunst und daher aufgrund des höheren Interesses der Kunst zulässig, § 23 Abs. 1 Nr. 4 KUG? Schon das KG Berlin, 11.06.2015 – 10 U 119/14 meinte in einem Einzelfall nein und sprach der Passantin einen Unterlassungsanspruch zu (siehe FAZ-Artikel). Hiergegen hat der Fotograf Verfassungsbeschwerde eingelegt. Das Bundesverfassungsgericht hat mit Beschluss vom 08.02.2018, Az. 1 BvR 2112/15 die Verfassungsbeschwerde nicht zur Entscheidung angenommen. Der Nichtannahmebeschluß enthält grundlegende Ausführungen zur Kunstfreiheit der Straßenfotografie, die im konkreten Fall aber hinter dem Persönlichkeitsrecht der Passantin zurücktreten muss. Die DSGVO enthält aber keinerlei Ausnahmen zugunsten der Straßenfotografie oder der Kunstfreiheit, was auch auf die Fotoagenturen durchschlägt, die Fotografien dieses Genres, die zum Teil weltberühmt sind, vertreiben. Doch im Einzelnen:
Betrachtet werden nachfolgend nur Fotos, auf denen Personen erkennbar sind, sogenannte Bildnisse. Dabei ist zu unterscheiden, ob es sich um
a) Symbolfotos ohne nähere Informationen zur Person und ohne Bezug zu einem Ereignis handelt: z.B. Frau mit Hund beim Spaziergang (Fotos ohne personenbezogene Metadaten) oder
b) Personenfotos mit näheren Angaben zur Person und dem Ereignis, z.B. Max Mustermann bei der Scheckübergabe am DATUM in ORT … (Fotos mit personenbezogenen Metadaten). Gerade bei digitalen Fotos sind die Metadaten oft in den IPTC- und/oder in den EXIF-Daten enthalten, z.B. Datum, Uhrzeit, GPS-Infos.
Ergebnis zur Zulässigkeit der Bildnisvermarktung durch Bildagenturen unter der DSGVO
1. Bildnisse sind personenbezogene Daten im Sinne des neuen EU-Datenschutzrechts, der EU-Datenschutzgrund-Verordnung, kurz DSGVO, wenn die Personen identifiziert werden oder identifiziert werden können. Dies mag bei Symbolfotos, bei denen die Person von hinten aufgenommen wurde, nicht der Fall sein. Ist die Person auf dem Foto nicht erkennbar, ergibt sich die Identifizierbarkeit jedoch aus den Metadaten, liegt gleichwohl insgesamt ein personenbezogenes Datum vor, welches unter das Datenschutzrecht fällt.
2. Personenbezogene Daten zu verarbeiten ist verboten, sofern keine Rechtsgrundlage zur Verarbeitung vorliegt (Verbot mit Erlaubnisvorbehalt). Die Rechtmäßigkeit der Datenverarbeitung kann sich
a) aus einer Einwilligung der betroffenen Person oder
b) aufgrund eines Vertrages mit dieser Person ergeben.
c) In Betracht kommt auch ein berechtigtes Interesse der Agentur oder eines Dritten (z.B. eines Agenturkunden) als Rechtfertigung für die Datenverarbeitung.
Sofern kein berechtigtes Interesse vorliegt, bedarf es schon für das Einstellen der Fotos in die Bilddatenbank der Agentur (ob online abrufbar, frei abrufbar oder passwortgeschützt) einer auch (noch) unter der DSGVO wirksamen Einwilligung oder eines Vertrages mit der abgebildeten Person. Einwilligung und Vertrag müssen den Zweck der Datenverarbeitung und (weltweiten) Vermarktung der Fotos (via Internet) enthalten sowie die Betroffenenrechte adressieren. Die Rechtmäßigkeit muss sich, außer auf das Foto selbst, auch auf die damit verbundenen Daten (Metadaten) beziehen. Beides, Einwilligung und Vertrag, kann als Model Release bezeichnet werden. Der Begriff ist gesetzlich nicht geschützt oder definiert.
3. Bzgl. der Metadaten ist zu berücksichtigen, dass das Datenschutzrecht fordert, nur so viele Daten zu verarbeiten, wie gerade zur Erfüllung des Zwecks der Verarbeitung notwendig sind, Datenminimierung, Art. 5 Abs. 1c) DSGVO. Welche Daten warum für die Zweckerfüllung notwendig sind, ist zu dokumentieren, Art. 5 Abs. 2 DSGVO (Accountability).
4. Die Möglichkeit, die Einwilligung bzw. das Model Release zukünftig erst im Falle einer Bildlizenzierung einzuholen, lässt die Rechtswidrigkeit der Datenverarbeitung durch das Einstellen der Fotos in die Datenbank und die Vermarktung der Bildnisse ohne Rechtsgrundlage nicht entfallen. (Je nach Ausgestaltung kann es sich bei einem Model Release auch um einen Vertrag handeln, insbesondere wenn darin gegenseitige Leistungspflichten inkl. Vergütung geregelt sind.)
5. Schon das Einstellen der Fotos in eine Bilddatenbank, selbst wenn diese nicht öffentlich abrufbar ist, ist eine Datenverarbeitung. Dies gilt erst recht für öffentlich abrufbare Bilddatenbanken. Die Zugangsbeschränkung zur Bilddatenbank reduziert die Eingriffsintensität, was sich reduzierend auf ein etwaiges Bußgeld auswirken kann, Art. 83 Abs. 2 a) DSGVO.
6. Da datenschutzrechtliche Einwilligungen – anders als Einwilligungen nach dem Kunsturhebergesetz (KUG) – jederzeit frei widerruflich sind, lässt sich der Vertrieb von Personenfotos datenschutzrechtlich am besten durch einen Vertrag mit den abgebildeten Personen absichern.
7. Rechtssicherheit bei der Vermarktung von Personenfotos ohne Einwilligung oder Vertrag im Bereich der berechtigten Interessen bzw. im Bereich der Meinungs- und Informationsfreiheit gibt es bislang mangels entsprechender gesetzgeberischer Aktivitäten auf Bundes- oder Landesebene zur Umsetzung des Art. 85 DSGVO oder gar Rechtsprechung derzeit (noch) nicht. Es bleibt abzuwarten, ob der Gesetzgeber die Fallgruppen des § 23 KUG, die in bestimmten Fällen eine Nutzung ohne Einwilligung erlauben und zu denen es umfangreiche langjährige Rechtsprechung auf höchstrichterlicher deutscher und europäischer Ebene gibt, beibehalten wird. Ebenso bleibt abzuwarten, ob die Rechtsprechung und die Praxis der Datenschutzaufsichtsbehörden auch ohne Tätigkeit des nationalen Gesetzgebers in die Rechtsgrundlage „berechtigte Interessen“ hinein interpretieren. Erwägungsgrund 4 der DSGVO würde hierfür einen argumentativen Einstieg bieten.
8. Für Personen, die gestorben sind, gilt das Datenschutzrecht nicht mehr. Sind die Personen länger als 10 Jahre tot, gilt auch das KUG nicht mehr. Dann kommt allenfalls noch das länger nachwirkende postmortale allgemeine Persönlichkeitsrecht in Betracht, wobei sich hier durch die DSGVO keine Änderungen zur bisherigen Rechtslage ergeben.
9. Zu den weiteren von Bildagenturen (wie von allen anderen Unternehmen auch) zu erbringenden Umsetzungsmaßnahmen der DSGVO gehören die Erfüllung der Informationspflichten nach Art. 13 DSGVO und Art. 14 DSGVO, die Bestellung eines Datenschutzbeauftragten ab 10 mit der Datenverarbeitung beschäftigten Personen, § 38 BDSG n.F. (n.F. = neue Fassung, BDSG 2018) und die Erstellung von Verarbeitungsverzeichnissen, Art. 30 DSGVO, samt Verzeichnis technischer und organisatorischer Datensicherungsmaßnahmen, Art. 32 DSGVO sowie das Aufsetzen von Prozessen zur Meldung von Datenschutzverletzungen, Art. 33 DSGVO und Art. 34 DSGVO.
Rechtliche Stellungnahme
Das Recht am eigenen Bild im Kunsturhebergesetz von 1907
Das Recht am eigenen Bild wird seit 1907 durch das Kunsturhebergesetz, KUG, geschützt. Das KUG regelt nicht die Erstellung der Fotos, auf denen Personen erkennbar sind, sondern nur deren Verbreitung und Veröffentlichung, die nur mit Einwilligung zulässig ist, § 22 KUG, außer es liegt einer der Ausnahmetatbestände des § 23 KUG vor (Zeitgeschichte, Beiwerk, Versammlungen, Kunstinteresse). Eingeschränkt werden die Ausnahmetatbestände durch eine Gegenausnahme: berechtigtes Interesse des Abgebildeten.
Das KUG regelt nur die Abbildung der Person, nicht die damit ggf. verbundenen personenbezogenen Metadaten. Für diese Daten gilt strenggenommen bereits nach derzeit noch geltendem Recht das Datenschutzrecht.
Auch wenn das KUG nicht eingreift, ist jemand, der nicht fotografiert werden will, nicht rechtlich schutzlos gestellt, sondern kann sich auf sein allgemeines Persönlichkeitsrecht, Art. 1 und Art. 2 GG (Grundgesetz), berufen und nach § 1004 BGB einen Unterlassungsanspruch geltend machen. Genau genommen ist schon nach geltendem Recht das Fotografien an sich schon einen Datenverarbeitung in Form der Datenerhebung und müsste gleichfalls nach noch aktuellem Bundesdatenschutzgesetzes (BDSG a.F. = alte Fassung) geprüft werden. Das Datenschutzrecht wird nur insoweit verdrängt, wie das KUG als vorrangiges Recht angesehen wird. Da das KUG aber das Fotografieren von Personen nicht regelt, gilt dafür (auch nach altem Recht) das BDSG.
Datenschutzgrundrecht und Recht am eigenen Bild
Das Recht am eigenen Bild ist Teil des durch das Grundgesetz geschützten allgemeinen Persönlichkeitsrechts, ebenso wie das „Datenschutzgrundrecht“, das sogenannte „Recht auf informationelle Selbstbestimmung“ (Volkszählungsurteil des Bundesverfassungsgerichts 1983). Ein echtes, auch so bezeichnetes Datenschutzgrundrecht gibt es erst seit 2008 in Art. 8 der EU-Grundrechtscharta.
Datenschutzrecht (BDSG alt) und KUG
Das Datenschutzrecht schützt seit 1978 durch das Bundesdatenschutzgesetz (BDSG) den einzelnen Menschen vor der Verletzung seiner Persönlichkeitsrechte durch die Verarbeitung seiner personenbezogenen Daten. Personenbezogene Daten sind alle Informationen, die sich einer konkreten Person zuordnen lassen, einschließlich der Informationen, die sich aus einem Foto der betreffenden Person auslesen lassen oder mit dem Foto verbunden sind.
§ 1 Abs. 3 BDSG (alte Fassung = a.F.) regelt, dass das BDSG nur dann anwendbar ist, wenn es keine anderen vorrangigen Regelungen / Gesetze gibt, die auf personenbezogene Daten anwendbar sind (Nachrangigkeit / Subsidiarität des BDSG). Obwohl Fotos selbst, gerade bei digitalen Fotos, oft nicht nur die Abbildung, die im KUG geregelt ist, enthalten sondern auch Metadaten, wurde das KUG als dem BDSG vorrangig angesehen, so dass das BDSG im Bereich des Rechts am eigenen Bild bislang nur eine untergeordnete Rolle gespielt hat. Auch die Datenschutzbehörden, die sich bislang mit dem Recht am eigenen Bild beschäftigt haben, haben es als spezielle Regelung angesehen und nicht sauber nach der Abbildung der Person, deren Veröffentlichung das KUG regelt, und dem Fotografieren sowie den Metadaten, die dem Datenschutzrecht unterfallen, unterschieden.
Zudem galt ein Medienprivileg. § 41 Abs. 1 BDSG sah vor, dass die Länder Regelungen erlassen (Landespressegesetze), die Unternehmen und Hilfsunternehmen der Presse (inkl. Fotografen, Bildagenturen für Pressekunden) bis auf wenige Bestimmungen (Verpflichtung auf das Datengeheimnis, technisch-organisatorischer Datenschutz, Verhaltensregelungen zum Schutz von Daten) vom Datenschutzrecht ausnahmen. Diese Ausnahmen gelten für die Presseberichterstattung, nicht für Werbung (kommerzielle Verwendung). Die Ausnahmen gelten auch nur, sofern sich die Berichterstattung auf die abgebildete Person bezieht. Beispiel: Eine redaktionelle Berichterstattung über die Sinnhaftigkeit von Vorsorgeuntersuchungen mit einem Foto eines Arztes zu bebildern, welches dieser für eine Imagebroschüre seiner Klinik hat aufnehmen lassen, ist nicht durch eine Ausnahme von § 23 KUG gerechtfertigt, da sich die Berichterstattung nicht auf den abgebildeten Arzt bezieht, sondern nur das Foto von ihm als Symbolfoto genutzt wird. Die Bildnisnutzung bedarf also der Einwilligung nach § 22 KUG.
DSGVO und Bildnisvermarktung durch eine Bildagentur
Spielte sich das KUG auf der zivilrechtlichen Ebene zwischen Abgebildetem und Bildagentur ab, so kommt durch die DSGVO die öffentlich-rechtliche Ebene von Datenschutzaufsichtsbehörde zu Agentur ins Spiel. Ausgangspunkt meiner Überlegungen dabei ist, dass Bildnisse personenbezogene Daten sind und die DSGVO Anwendungsvorrang hat, also nicht durch das KUG verdrängt wird, sondern ihrerseits das KUG weitgehend (außer im privaten Bereich und bei Toten) verdrängt. Das neue BDSG kennt kein Medienprivileg mehr. Dem Auftrag des Art. 85 DSGVO an den nationalen (deutschen) Gesetzgeber, das Datenschutzgrundrecht mit dem Grundrecht auf Freiheit der Meinungsäußerung in Informationsfreiheit einschließlich journalistische, wissenschaftliche, künstlerische oder literarische Zwecke in Einklang zu bringen (Art. 85 Abs. 1 DSGVO) und die erforderlichen Abweichungen oder Ausnahmen vom Datenschutzrecht vorzusehen (Art. 85 Abs. 2 DSGVO), ist dieser noch nicht nachgekommen.
Wenn (nur) die DSGVO anwendbar ist, gilt Folgendes: schon das Anbieten von Personenfotos durch die Bildagentur (unabhängig von der Kundengruppe und dem Angebotsmedium und auch wenn niemand das Foto kauft, sondern es nur gespeichert wird) ist eine Verarbeitung personenbezogener Daten in Form der Offenlegung bzw. Bereitstellung, Art. 4 Nr. 2 DSGVO. Die Datenverarbeitung ist nur zulässig, wenn eine der Rechtfertigungsnormen des Art. 6 DSGVO eingreift (sogenanntes Verbot mit Erlaubnisvorbehalt). Der Verantwortliche, in unserem Fall die Bildagentur, ist für die Einhaltung der Regelungen der DSGVO verantwortlich und auch nachweispflichtig (sog. Accountability), sprich beweispflichtig, Art. 5 Abs. 2 DSGVO.
Sanktionen bei Verstoß gegen die DSGVO durch die Bildvermarktung
Liegt keine rechtmäßige Datenverarbeitung vor, kann es zu folgenden Sanktionen kommen:
Die abgebildete Person hat Anspruch auf materiellen und – das ist neu – auf immateriellen Schadensersatz (vergleichbar Schmerzensgeld), gegen den für die unrechtmäßige Datenverarbeitung Verantwortlichen, Art. 82 Abs. 1 DSGVO. Hat die abgebildete Person z.B. den Kunden der Agentur in Anspruch genommen, hat der Agenturkunde nach Art. 82 Abs. 5 DSGVO einen Regressanspruch gegen die Agentur, wenn diese ein Bildnis ohne ausreichende Rechtsgrundlage lizenziert hat. In der Praxis dürften aber die Lizenzbedingungen der Bildagenturen vorsehen, dass nur das urheberrechtliche Nutzungsrecht lizenziert wird und – sofern nicht ausdrücklich angegeben ist, dass ein Model Release vorliegt – der Kunde der Bildagentur selbst für die Rechtmäßigkeit der Veröffentlichung und Verbreitung des Bildnisses zu sorgen hat, wobei die Bildagentur ggf. bei der Einhaltung des Model Release unterstützt.
Die Datenschutzaufsichtsbehörden haben nach Art. 83 DSGVO sicherzustellen, dass Verstöße gegen die DSGVO durch das Verhängen einer Geldbuße geahndet werden. Die Geldbußen können 4% des Konzernjahresgesamtumsatzes oder bis zu 20 Millionen Euro betragen, Art. 83 Abs. 5 DSGVO. Bußgelder können verhängt werden, wenn
a) gegen die Grundsätze der Datenverarbeitung (z.B. Erfordernis einer Rechtsgrundlage) oder
b) gegen die Rechte der betroffenen Personen – insbesondere Informationspflichten – verstoßen wurde oder
c) Daten in Drittländer ohne ausreichende Garantien für die Rechte der Betroffenen übermittelt wurden.
Nach § 42 BDSG (neue Fassung, n.F.) wird mit Freiheitsstrafe bis zu 3 Jahren oder mit Geldstrafe bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen unberechtigt einem Dritten (Anderen) übermittelt oder sonst zugänglich macht und dabei gewerbsmäßig handelt. Wissentlich und willentlich werden Bildnisse einer großen Zahl von Personen über die Webseiten der Bildagenturen zugänglich gemacht (die – hochauflösenden – Fotodateien auf den Rechnern oder in den Archiven der Agenturen sind nicht allgemein zugänglich). Bleibt nur die Frage, ob die Bildnisvermarktung mit einer Berechtigung (auf einer Rechtsgrundlage) erfolgt.
Rechtsgrundlage zur Vermarktung von Bildnissen: Einwilligung
Nach Art. 6 Abs. 1 a) DSGVO ist die Einwilligung (z.B. ein Model Release) der betroffenen Person eine zulässige Verarbeitungsgrundlage, wobei die Anforderungen an eine Einwilligung nach Art. 7 DSGVO einzuhalten sind. Hierzu gehört neben transparenten Informationen über die Datenverarbeitungsvorgänge, in die einwilligt werden soll auch, dass – anders als nach dem KUG – die Einwilligung jederzeit widerrufbar ist. Die Einwilligenden müssen auf das jederzeitige Widerrufsrecht hingewiesen werden. Die jederzeitige Widerrufbarkeit dürfte ein großes praktisches Problem darstellen, gerade wenn eine Agentur mit Partneragenturen zusammenarbeitet und die Fotos so von verschiedenen Agenturen weltweit vermarktet werden. Da dürfte sich ein Schwenk zu einer anderen Rechtsgrundlage anbieten (Datenverarbeitung zur Vertragserfüllung, s.u.), wenn dies nicht ohnehin schon bisher die Rechtsgrundlage der Bildnisvermarktung ist.
Bei Alteinwilligungen aus der Zeit vor der DSGVO (vor dem 25.05.2018) regelt Erwägungsgrund 171 (und eine Entschließung der Datenschutzkonferenz der Aufsichtsbehörden), dass unter der alten Datenschutzrichtlinie abgegebene Einwilligungen weitergelten sollen, wenn sie den Anforderungen der DSGVO genügen. Hier besteht aber das Problem, dass Model Release (sofern sie nicht bereits vertraglich ausgestaltet sind, s.u.) im Regelfall keine Einwilligung nach der Datenschutzrichtlinie bzw. dem alten BDSG darstellen, sondern nach dem KUG, da dieses ja nach überwiegender Auffassung das BDSG verdrängt hat. Gerade der Punkt der jederzeitigen Widerruflichkeit und diesbezüglichen Aufklärung ist bei Model Releases aber gerade regelmäßig nicht vorgesehen. Es ist also fraglich, ob sich eine Bildagentur noch auf alte Model Releases schon aus formalen Gründen berufen kann.
Hinzu kommt die mögliche Zweckänderung. Beispiel: Hat ein Model einem Fotografen die Einwilligung in die Veröffentlichung einer Modestrecke in einer bestimmten Zeitschrift erteilt, hat der Verlag noch lange nicht das Recht, die Fotos über die erlaubte Veröffentlichung hinaus über eine Bildagentur vermarkten zu lassen. Das wäre ein anderer Zweck. Art. 5 Abs. 1b) DSGVO sieht jedoch eine enge Zweckbindung der Datenverarbeitung vor. Allerdings lässt Art. 6 Abs. 4 DSGVO in bestimmten Fällen nach einer eingehenden Interessenabwägung unter Berücksichtigung gesetzlich genannter Abwägungsüberlegungen die Zulässigkeit von Zweckänderungen zu. Das Risiko, eine unzulässige Zweckänderung vorgenommen zu haben, mit der Folge, dass die Datenverarbeitung zu dem anderen Zweck unzulässig ist und mit Bußgeld geahndet werden kann, trägt der Verantwortliche (die Agentur). Die Zweckänderung ist aber rein logisch und technisch nur möglich, wenn die Fotos nicht schon wegen Wegall oder Erreichung des Zweckes gelöscht werden mussten.
Hier zeigt sich aber ein weiteres Problem: Das Recht auf Vergessenwerden bzw. die Pflicht, Daten nach Wegfall ihres Verarbeitungszwecks zu löschen (z.B. nach der Publikation), Art. 17 Abs. 1b) DSGVO. Dies kollidiert mit dem Interesse, ein kulturelles historisches Gedächtnis zu bewahren und mit der Meinungs- und Informationsfreiheit. Dieser Konflikt ist vom Gesetzgeber nur eingeschränkt gelöst, nämlich für die Meinungs- und Informationsfreiheit sowie öffentliche Archivzwecke, nicht aber z.B. bei Werbefotos. Einstweilen gilt also: ist eine Veröffentlichung von Fotos, die durch eine Einwilligung (Model Release) gedeckt ist, erfolgt, sind anschließend die Daten zu löschen (Erfüllung bzw. Wegfall des Verarbeitungszwecks), sofern nicht eine der nachstehenden Rechtfertigungen einschlägig ist oder dieser Aspekt vertraglich geregelt wurde. Ist die Datenverarbeitung aber erforderlich zur Ausübung des Rechts auf freie Meinungsäußerung und Information, ist die weitere Verarbeitung / Speicherung nach Art. 17 Abs. 3a) DSGVO zulässig. Fraglich ist, ob sich privatwirtschaftlich orientierte Unternehmen mit Gewinnerzielungsabsicht auch auf Art. 17 Abs. 3 d) DSGVO berufen können, wonach dem Löschungsanspruch ein im öffentlichen Interesse liegender Archivzweck, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke entgegen stehen.
Rechtsgrundlage – Datenverarbeitung zur Vertragserfüllung
Die Datenverarbeitung, die erforderlich ist, um einen Vertrag mit einer betroffenen Person zu erfüllen, ist zulässig, Art. 6 Abs. 1 b) DSGVO. Wenn der Vertrag mit einem Model vorsieht, dass die Bilder des Models in einer Zeitschrift X veröffentlicht oder über die Bildagentur Y zu redaktionellen oder werblichen Zwecken samt Model Release weltweit – ggf. über Partneragenturen im außereuropäischen Ausland – vermarktet werden dürfen, und das Model für die Zeit und Bereitschaft, sich fotografieren zu lassen und die Zustimmung zur Nutzung der Fotos den Betrag X oder die prozentuale Beteiligung Y erhalten hat bzw. erhält, ist die damit verbundene Datenverarbeitung datenschutzrechtlich zulässig. Die Informationspflichten nach Art. 13 DSGVO sind gleichwohl zu erfüllen. Die Zulässigkeit besteht während der Dauer des Vertrages und ist damit nicht jederzeit widerrufbar.
Die Altbestände an Model Releases wären darauf zu prüfen, ob sie unter die Kategorie „Einwilligung“ fallen (und ggf. keine zuverlässige Verarbeitungsgrundlage mehr darstellen) oder sie unter die Kategorie „Vertrag“ fallen. Neue Mustertexte wären danach auszurichten bzw. bisherige Texte / Vertragsklauseln entsprechend zu gestalten. Typisch für eine Einwilligung ist eine einseitige Erklärung. Typisch für einen Vertrag, § 320 BGB, sind sich ergänzende Willenserklärung (Antrag zum Abschluss eines Vertrages bzw. Angebot, § 145 BGB und Annahme, § 147 ff BGB) und gegenseitige Leistungspflichten (z.B. Model-Leistung samt Bildnisrechtseinräumung gegen Bezahlung).
Rechtsgrundlage Interessenabwägung – berechtigte Interessen
Die letzte für den vorliegenden Kontext praktisch relevante Rechtmäßigkeitsgrundlage ist die Verarbeitung zur Wahrung berechtigter Interessen
a) des Verantwortlichen oder
b) eines Dritten
sofern nicht die Interessen / Grundrechte der Betroffenen überwiegen, was insbesondere dann der Fall ist, wenn es sich um Kinder handelt, Art. 6 Abs. 1 f DSGVO.
Abwägungsregeln bieten viel Interpretationsspielraum, bergen aber auch immer die Gefahr einer rechtswidrigen Interessenabwägung, so dass jedes positive Abwägungsergebnis eine gewisse Rechtsunsicherheit beinhaltet, gerade in Anbetracht der erheblichen Sanktionsdrohungen.
Eine mögliche Interpretation wäre, dass es ein berechtigtes Interesse eines Dritten, der Presse, gibt, mit Bildmaterial zur Berichterstattung über Tagesereignisse oder Veranstaltungen etc. versorgt zu werden, also die Meinungs- und Pressefreiheit auch auf die Bildagenturen durchschlägt und ein berechtigtes Interesse zur Datenverarbeitung durch diese darstellt. Art. 6 Abs. 1 f DSGVO könnte im Sinne der Rechtsprechung zu § 23 KUG bzgl. des berechtigten Interesses eines Dritten interpretiert werden. In welche Richtung die Waage der Justizia bei der Interessenabwägung ausschlägt, lässt sich aber anhand abstrakter, nur potentiell möglicher berechtigter Interessen der Presse nur schwer beurteilen, da der Bildagentur die konkreten Interessen ihres Kunden zum Zeitpunkt der Vermarktung noch nicht bekannt sind[1]. Es scheint fraglich, ob ein „es könnte sein, dass irgendeiner meiner potentiellen Kunden künftig ein berechtigtes Interesse hat“ ausreicht, um alle Fotos für alle Zwecke und Kundengruppen öffentlich im Internet recherchierbar zu vermarkten. Ein verschlüsselter bzw. passwortgeschützter, nur für Presseunternehmen bzw. deren Redaktionen zugänglicher Account würde die Waage wieder mehr Richtung Zulässigkeit neigen lassen.
Transparenz-/Informationspflichten nach der DSGVO für Bildagenturen
Zu den grundlegenden Anforderungen an die Datenverarbeitung nach der DSGVO gehört die Transparenz. Danach müssen Daten in einer für die betroffenen Person nachvollziehbaren Weise verarbeitet werden, Art. 5 Abs. 1 DSGVO. Konkretisiert wird dies in den Betroffenenrechten der Artikel 12 – 23 DSGVO. So legt Art. 13 DSGVO insgesamt 12 Informationspflichten fest, die den Betroffenen zu Beginn der Datenverarbeitung übermittelt und nicht nur (z.B. auf einer Webseite) bereitgestellt werden müssen. Hierzu gehören Informationen über die Dauer der Verarbeitung, mögliche Empfänger der Daten, eine etwaige Übermittlung in Drittstaaten, Widerrufs-, Auskunfts- und Beschwerderechte. Die Erfüllung der Transparenzpflichten gehört zu den Rechtmäßigkeitsvoraussetzungen. Es bleibt abzuwarten, ob im Rahmen eines noch zu schaffenden Medienprivilegs es bei diesem Punkt Ausnahmen geben wird, was mehr als sinnvoll erscheint.
Drittstaatenübermittlung und besondere Garantien
Bei einer Datenübermittlung in ein Drittland (Staaten außerhalb der EU/EWR, z.B. USA – etwa an Muttergesellschaften, Partneragenturen) muss der Verantwortliche dafür sorgen, dass dort das Schutzniveau der DSGVO nicht untergraben wird, Art. 44 DSGVO. In einige wenige Staaten dürfen Daten aufgrund eines Beschlusses der EU-Kommission über ein angemessenes Datenschutzniveau in diese Staaten ohne gesonderte Vorkehrungen nach den allgemeinen Regelungen übermittelt werden (z.B. Schweiz, Kanada), Art. 45 DSGVO.
Ansonsten sind „geeignete Garantien“ erforderlich, Art. 46 Abs. 1 DSGVO. Geeignete Garantien können konzerninterne verbindliche Datenschutzvorschriften sein, sogenannte Binding Corporate Rules, Art. 46 Abs. 2b), Art. 47 DSGVO, oder der Abschluss von EU-Standardvertragsklauseln, Art. 46 Abs. 2 c) DSGVO.
Hierauf kann jedoch verzichtet werden, wenn die betroffene Person in Kenntnis der Risiken der Drittlandübermittlung eingewilligt hat, Art. 49 Abs. 1 a) DSGVO oder die Übermittlung zur Erfüllung eines Vertrages erforderlich ist (z.B. Buchung eines Hotelzimmers in den USA, Erstellung von Fotos für einen Werbekunden in den USA), Art. 49 Abs. 1 b) DSGVO.
Am praktikabelsten zur Vermarktung von Personenbildnissen in Drittstaaten – ob via Internet oder Partneragentur – dürfte daher der Abschluss eines entsprechenden Vertrages sein. Bestehende Model Releases dürften jedenfalls im Regelfall keine ausreichende Risikoaufklärung über die Drittstaatenübermittlung enthalten.
Umsetzungsauftrag der DSGVO im Medienrecht
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat in einer Entschließung vom 09.11.2017 den Gesetzgeber aufgefordert, den Umsetzungsauftrag des Art. 85 DSGVO so zu verstehen, dass das (neue) Datenschutzrecht nur insoweit eingeschränkt wird, wie dies zur Erhaltung der Meinungs- und Informationsfreiheit erforderlich ist. Sie stellen dabei fest:
„Eine faktische Beibehaltung der bisherigen nationalen Rechtslage würde dem nicht gerecht.“
Der Landesdatenschutzbeauftragte Dr. Brink, Stuttgart, meint, dass die Welt nicht untergehen wird, aber
„Mehr Nachdruck ja, aber sicherlich kein Überdruck. …. Einen angemessenen Ausgleich unter prinzipiell gleichrangigen Grundrechten herzustellen ist also eine durchaus erfüllbare Verpflichtung des Gesetzgebers – und er wird sie, notfalls assistiert von europäischer Seite, auch erfüllen.“
Im Rahmen einer DSGVO-Fachtagung am 22.03.2018 in Berlin wurde – auch vom Unterzeichner – dem Gesetzgeber die Rechtsunsicherheit und der Umsetzungsbedarf vor Augen geführt.
Änderung KUG
Es liegt bislang kein öffentlich bekannter Entwurf zur Anpassung des KUG vor. Öffentlich bekannt ist, dass der Gesetzgeber ein sogenanntes Omnibusgesetz (mit vielen „Fahrgästen“) vorbereitet, in dem rund 120 Bundesgesetzes an das neue EU-Datenschutzrecht der DSGVO angepasst werden sollen.
Änderung Landespresse bzw. Landesdatenschutzgesetze
Es gibt in fast allen der 16 Bundesländer Gesetzgebungsaktivitäten zur Anpassung der Landesdatenschutzgesetze und / oder der Landespressegesetzes. Jedoch ist bislang, soweit bekannt, noch keines der Landesgesetze verabschiedet worden. Die dadurch entstehende Zersplitterung der Rechtslage ist genau das, was gerade durch die DSGVO verhindert werden sollte und von der Digitalstaatsministerin Bär als Kleinstaaterei des 18. Jahrhunderts kritisiert wurde.
Praktische Empfehlung
Sofern vorhanden, sollten die Kontaktdaten zu Models genutzt werden, um eine vertragliche Regelung über die Zulässigkeit des weiteren Bildvertriebes, einschließlich Drittstaatenvermarktung, zu vereinbaren, z.B. mit einer prozentualen Erlösbeteiligung.
Bilder ohne Model Release sollten nicht, insbesondere nicht frei zugänglich im Internet angeboten werden. Im Rahmen der berechtigten Interessen, wenn kein Model Release vorliegt oder eingeholt werden kann, sollten Bildnisse nur Kundengruppen angeboten werden, die sich zumindest potentiell ihrerseits auf berechtigte Interessen berufen können, z.B. Presse. Hierzu können passwortgeschützte Kundenaccounts zum Einsatz kommen.
David Seiler, Rechtsanwalt, März 2018 – berät insbesondere zu Datenschutzrecht, IT-Recht und Fotorecht
Verwendete Literatur
– Dix, Alexander, Schaar, Peter, Veranstaltung der Europäischen Akademie für Informationsfreiheit und Datenschutz am 1.12.2016 in Berlin: EU-Datenschutz versus Medien- und Informationsfreiheit, ZD-Aktuell 2017, 04223
– Engeler, Malte, Art. 85 DSGVO, die Meinungsfreiheit und das datenschutzrechtliche Verbotsprinzip
– Horvath, Benjamin, Das Ende der freien Veröffentlichung von Personenbildnissen – für die meisten von uns
– Klein, Florian, Personenbilder im Spannungsfeld von DSGVO und KUG, Diss. Frankfurt 2017
– Lauber-Rönsberg/Hartlaub: Personenbildnisse im Spannungsfeld zwischen Äußerungs und Datenschutzrecht, NJW 2017, 1057
– Lorenz: Das Schriftformerfordernis für das Veröffentlichen von Bildnissen- Verhältnis der Datenschutzgesetze zum KUG, ZD 2012, 367
– Moenikes, Jan, Presse- und Meinungsfreiheit im digitalen Zeitalter bewahren!
– Moenikes, Jan, Datenschutz-Grundverordnung: Das Ende der modernen Presse- und Öffentlichkeitsarbeit (wie wir sie kennen) –
– Seiler, David, DSGVO und Fotobusiness, Teil 1 – 4, https://www.fotorecht-seiler.eu/dsgvo-fotobusiness/ – https://www.fotorecht-seiler.eu/dsgvo-und-fotografie-teil-2/ – https://www.fotorecht-seiler.eu/dsgvo-und-fotografie-teil-3/ https://www.fotorecht-seiler.eu/massnahmenplan-umsetzung-dsgvo-fotobusiness/
– Stadler, Thomas, Schränkt die Datenschutzgrundverordnung Meinungsäußerungen im Internet ein?
– Wieduwilt, Hendrik, Das Recht des Fotografen als Datenkrake – Neues EU-Recht bedroht ungestellte Bilder, Photonews 04-2018