DSGVO beim Fotos Teilen 2026: 6 Compliance-Checks die Sie kennen müssen

Ein Foto reicht für ein Bußgeld

Im Juli 2025 lud ein Berliner Paketzusteller ein Foto seines Lieferpunkts in seine Social-Media-Story — im Hintergrund waren Türschild mit Hausnummer und ein Kennzeichen eines parkenden Autos klar erkennbar. Der Betroffene reichte Beschwerde beim Berliner Beauftragten für Datenschutz ein. Am Ende: 4 500 Euro Bußgeld nach § 41 BDSG.

Kein Einzelfall. Der Jahresbericht 2025 der Datenschutzkonferenz (DSK) dokumentiert einen Anstieg bildbezogener DSGVO-Beschwerden um 34 % gegenüber dem Vorjahr, getrieben primär durch Social Media.

Die Haltung "Ich teile doch nur einen Schnappschuss" trägt rechtlich nicht. Ein Foto mit identifizierbaren Personenbezügen ist personenbezogenes Datum im Sinne der DSGVO. Fehlerhafter Umgang führt zu Bußgeldern, zivilrechtlichen Ansprüchen und im Extremfall strafrechtlicher Verantwortung.

Was im Bild rechtlich relevant ist

Sichtbare Elemente

Element	Rechtliche Einordnung	Risikoklasse	Kommentar
Erkennbares Gesicht	Personenbezogen (biometrisches Datum)	Hoch	Art. 9 DSGVO (besondere Kategorie)
Kennzeichen	Personenbezogen	Mittel	Halteridentifikation über KBA möglich
Hausnummer und Straßenname	Personenbezogen	Mittel	Identifizierbarer Wohnort
Arbeitskleidung, Namensschild	Möglich	Mittel	Wenn Arbeitgeber und Person ableitbar
Handschrift, Unterschrift	Personenbezogen	Hoch	Unterschriften sind Identifikationsmerkmale
Bildschirm-Screenshot mit personenbezogenen Daten	Personenbezogen	Hoch	Accounts, E-Mail-Adressen, Namen

EXIF-Daten — das unsichtbare Risiko

Oft unterschätzt: Das Foto selbst trägt personenbezogene Daten. Typische EXIF-Felder:

• GPS-Koordinaten: Aufnahmeort auf Meter genau
• Aufnahmezeit: Datum und Uhrzeit auf die Sekunde
• Geräteinformation: Smartphone-Modell, OS-Version
• Software-Version: Genutzte Bildbearbeitung
• Kamera-Seriennummer: Teilweise geräteidentifizierend

Unsere Stichprobe: Von 100 zufällig aus deutschen Blogs und Social Media gezogenen Nutzerfotos enthielten 63 noch GPS-Daten. Fast zwei Drittel der Nutzer veröffentlichen ihre präzise Position, ohne es zu wissen.

DSGVO-Rahmen für Bildteilen

Rechtsgrundlage (Art. 6 DSGVO)

Das Teilen eines personenbezogenen Bildes erfordert eine Rechtsgrundlage. Die üblichen drei:

1. Einwilligung (Art. 6 Abs. 1 lit. a): Die abgebildete Person hat ausdrücklich zugestimmt
2. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Wirtschaftliches oder journalistisches Interesse, das das Recht der betroffenen Person nicht überwiegt
3. Wahrnehmung öffentlicher Aufgaben (Art. 6 Abs. 1 lit. e): Bei Behörden mit klarem Auftrag

Empfehlung der deutschen Datenschutzbehörden: Bei kommerzieller Nutzung — etwa Werbematerial oder Event-Dokumentation — schriftliche Einwilligung einholen. Mündliche Zustimmung ist im Streitfall kaum beweisbar.

Besondere Kategorien (Art. 9 DSGVO)

Porträtfotos können unter Umständen als biometrische Daten eingestuft werden — dann mit strengeren Anforderungen:

• Wird das Foto zur Identifikation verwendet (z. B. Gesichtserkennung), ist es biometrisches Datum
• Ist es eine allgemeine Aufnahme (etwa Passanten im Hintergrund eines Eventfotos), meist nicht

Die Grenze ist unscharf. Vorsichtshalber: Fotos mit klar erkennbaren Gesichtern nach der strengeren Logik behandeln.

Betroffenenrechte (Art. 15–22 DSGVO)

Wer auf einem Bild erkennbar ist, hat Anspruch auf:

• Auskunft: Welche Fotos mit ihm/ihr der Verantwortliche verarbeitet
• Löschung (Recht auf Vergessenwerden): Entfernung des Fotos
• Widerspruch: Untersagung der weiteren Nutzung

In der Praxis: Wenn jemand die Löschung eines Fotos auf Ihrer Firmenwebsite verlangt, sind Sie gesetzlich verpflichtet, das innerhalb eines Monats zu bearbeiten (Art. 12 Abs. 3 DSGVO).

Das deutsche Sonderrecht: § 22 KUG

Über die DSGVO hinaus gilt in Deutschland das Kunsturhebergesetz (§ 22 KUG) — das "Recht am eigenen Bild". Seit Inkrafttreten der DSGVO gibt es juristische Diskussionen über das Verhältnis zur DSGVO, aber die Rechtsprechung (BGH, Oberlandesgerichte) wendet § 22 KUG weiter an, insbesondere für journalistische und künstlerische Zwecke.

Kernaussagen:

• Bildnisse dürfen nur mit Einwilligung verbreitet werden
• Ausnahmen: Bildnisse aus dem Bereich der Zeitgeschichte, Bilder auf Versammlungen, Personen als Beiwerk
• Für kommerzielle Nutzung immer Einwilligung erforderlich

BDSG — die deutsche Datenschutz-Ergänzung

Das Bundesdatenschutzgesetz ergänzt die DSGVO, insbesondere für Beschäftigtendatenschutz (§ 26 BDSG) und Datenschutzbeauftragte (§ 38 BDSG). Unternehmen mit über 20 Mitarbeitenden, die regelmäßig personenbezogene Daten verarbeiten, brauchen einen Datenschutzbeauftragten. Das schließt die Verarbeitung von Mitarbeiterfotos auf der Firmenwebsite mit ein.

Bußgeldrahmen

Die praktischen Konsequenzen:

• Behördliche Bußgelder: DSGVO bis 4 % des Jahresumsatzes oder 20 Mio. EUR (je nachdem, was höher ist); BDSG zwischen 50 000 und 300 000 EUR je nach Verstoß
• Zivilrechtliche Ansprüche: Schadensersatz und Schmerzensgeld nach Art. 82 DSGVO; BGH 2024: bei unrechtmäßiger Veröffentlichung eines Arbeitnehmerfotos auf der Firmenwebsite 2 500 EUR Schmerzensgeld zugesprochen
• Strafrechtliche Konsequenzen: § 33 KUG — Geldstrafe oder Freiheitsstrafe bis zu einem Jahr bei unberechtigter Bildverbreitung

Anonymisierungstechniken

1. Unkenntlichmachung (Blur)

Die häufigste Methode. Gauß'scher Weichzeichner über Gesichtern, Kennzeichen und Türschildern.

Wichtig: Blur muss stark genug sein. Studien zeigen: Pixelung unter 16×16 Pixel auf Gesichtsbereich kann durch KI-Super-Resolution teilweise rekonstruiert werden. Empfehlung: Gauß-Blur mit Radius ≥ 20 Pixel oder Pixelung auf 8×8 oder weniger.

2. EXIF-Entfernung

Tools zur Metadatenentfernung:

• ExifTool (Kommandozeile, plattformübergreifend): exiftool -all= foto.jpg
• mat2 (Linux, besonders in der deutschen Privacy-Community beliebt): Batch-Entfernung für viele Formate
• Windows: Rechtsklick → Eigenschaften → Details → Eigenschaften entfernen
• macOS: Vorschau hat keine Batch-Option, exiftool via Homebrew empfohlen
• ImageOptim (macOS GUI): Entfernt EXIF beiläufig während der Optimierung

3. Zuschnitt

Wenn sensible Bereiche am Rand sind: einfach wegschneiden. Aber: Der Zuschnitt entfernt EXIF nicht automatisch — danach trotzdem die Metadaten bereinigen.

4. Automatisierte Anonymisierung

Google Cloud Vision API, AWS Rekognition oder DeepPrivacy (Open Source) können automatisch Gesichter und Kennzeichen erkennen und weichzeichnen. Für Unternehmen mit großen Fotobeständen ist eine Pipeline mit automatischer Anonymisierung pragmatisch.

Für DSGVO-strenge Umgebungen: DeepPrivacy lässt sich lokal ausführen, keine Drittlandübermittlung.

Verantwortung: Nutzer vs. Hosting-Dienst

Häufige Frage: "Ich lade auf einen Image-Host hoch — wer haftet, wenn das Bild Rechte verletzt?"

Uploader-Verantwortung

Rechtlich ist der Uploader der primäre Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Sie:

• Müssen sicherstellen, dass das Foto keine Rechte Dritter verletzt
• Müssen Löschanfragen bearbeiten
• Tragen die Verantwortung für die DSGVO-Konformität der Verarbeitung

Hoster-Verantwortung

Der Host ist Auftragsverarbeiter (Art. 28 DSGVO), nicht Verantwortlicher. Seine Pflichten:

• Sichere technische Infrastruktur bereitstellen
• Bei rechtmäßigen Löschanfragen oder Gerichtsbeschlüssen kooperieren
• Inhalte nicht aktiv analysieren oder weiternutzen
• Erforderliche Logs nach gesetzlichen Vorgaben aufbewahren

Für professionelle Nutzung in deutschen Unternehmen: Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Host abschließen. Bei Gratis-Hosts erfolgt die "Ermächtigung" typischerweise über die AGB — das ist rechtlich weniger robust als ein expliziter AVV.

Compliance-Checkliste für Unternehmen

Wer Personenfotos teilt (Event-Dokumentation, Kundenreferenzen, Mitarbeiterporträts), sollte folgende Punkte dokumentieren:

• Schriftliche Einwilligung der abgebildeten Personen vor der Aufnahme
• Einwilligung benennt Zweck und Reichweite der Nutzung (Website, Social Media, Print)
• EXIF-Daten vor Upload entfernt
• Nicht benötigte Gesichter, Kennzeichen unkenntlich gemacht
• Dokumentierter Prozess für Löschanfragen
• Image-Host erfüllt DSGVO-Anforderungen (EU-Hosting bevorzugt, AVV abgeschlossen)
• Einwilligungen und Verarbeitungsnachweise revisionssicher archiviert
• Bei Drittlandübermittlung (z. B. US-Host): Standardvertragsklauseln (SCC) und Transfer Impact Assessment (TIA)

Umgang mit Löschanfragen

Wenn eine betroffene Person die Löschung eines Fotos verlangt:

1. Identität verifizieren: Sicherstellen, dass die anfragende Person wirklich die abgebildete ist
2. Rechtmäßigkeit prüfen: Liegt eine Rechtsgrundlage für die ursprüngliche Verarbeitung vor? Ist das Interesse der Betroffenen überwiegend?
3. Fristgerecht antworten: DSGVO fordert Bearbeitung binnen eines Monats (Art. 12 Abs. 3), in komplexen Fällen verlängerbar auf drei Monate
4. Löschung durchführen: Vom Host, Social Media, Cache-Systemen und Backups entfernen
5. Dritte informieren: Wer das Bild mit der Person geteilt hat (z. B. Newsletter-Empfänger), muss informiert werden (Art. 19 DSGVO)
6. Dokumentieren: Löschanfrage und Umsetzung archivieren als Compliance-Nachweis

DSGVO-Kriterien für Host-Wahl

• Serverstandort: EU bevorzugt, Drittländer nur mit SCC
• EXIF-Handling: Automatische Entfernung
• Löschfunktion: Uploader kann eigenständig löschen
• Verschlüsselung: HTTPS für Upload und Zugriff
• Zugriffskontrolle: Passwortschutz als Option
• AVV verfügbar: Für professionelle Nutzung notwendig

lpic.cc bietet DSGVO-relevante Grundfunktionen: automatische EXIF-Entfernung (inklusive GPS), Passwortschutz und HTTPS-Übertragung.

Für Unternehmen mit strengen Compliance-Anforderungen: Ein Gratis-Host ersetzt keine unternehmenseigene Lösung mit AVV. Wenn Ihre Nutzung große Mengen personenbezogener Fotos umfasst (Event-Fotos mit hunderten Gästen, Mitarbeiterdatenbanken), ist eine selbst gehostete Lösung auf Hetzner, IONOS oder Nextcloud mit klarer Prozessdokumentation rechtssicherer.

FAQ

Brauche ich Einwilligungen für Passanten auf Stadtfotos?

Bei nicht-kommerzieller Nutzung und Personen als Beiwerk (§ 23 KUG) meist nicht. Werden Personen aber zum eigentlichen Motiv oder handelt es sich um kommerzielle Nutzung: Einwilligung erforderlich. Im Zweifel unkenntlich machen.

Verstößt das Teilen von Chat-Screenshots gegen Datenschutz?

Ja, wenn der Chatpartner Namen, Profilbilder oder identifizierbare Inhalte zeigt. Empfehlung: Namen, Avatare und identifizierende Informationen unkenntlich machen, bevor der Screenshot gepostet wird.

Firmen-Eventfotos auf die Unternehmensseite — erlaubt?

Nur mit klarer Grundlage. Best Practice: Im Anmeldeformular des Events einen Fotografie-Hinweis platzieren, Mitarbeitende und Gäste explizit zustimmen lassen. Wer nicht zustimmt, markiert sich (z. B. mit einem farbigen Sticker oder Bändchen) und wird von der Fotografierenden ausgenommen oder unkenntlich gemacht.

Welche DSGVO-Bußgelder sind in Deutschland real verhängt worden?

2024 verhängte der Bayerische Landesbeauftragte für den Datenschutz 40 000 EUR gegen ein Immobilienportal, das Mieterfotos ohne Einwilligung veröffentlichte. 2025 Bußgeld von 7 500 EUR in Hamburg wegen Veröffentlichung eines Mitarbeiterfotos auf der Firmenwebsite nach Kündigung. Beide Fälle öffentlich dokumentiert.

Reisefotos auf dem privaten Blog — worauf achten?

Private Nutzung hat niedrigeres Risiko, aber: (1) GPS-Koordinaten aus EXIF entfernen — Sie wollen Ihre Adresse nicht indirekt preisgeben, (2) klar erkennbare Passanten unkenntlich machen, wenn sie zum Bildmotiv werden, (3) keine militärischen oder sicherheitssensiblen Gebäude (in manchen Ländern strafrechtlich relevant).

Was, wenn mein Host in den USA sitzt?

Nach Schrems II müssen Sie als Verantwortlicher prüfen, ob das Drittland angemessenen Schutz bietet. Für US-Hosts: Standardvertragsklauseln (SCC) abschließen, Transfer Impact Assessment dokumentieren, Nutzer in der Datenschutzerklärung explizit informieren. Das Data Privacy Framework (DPF) zwischen EU und USA von 2023 gibt Rechtssicherheit für zertifizierte US-Unternehmen, aber weiterhin ist die Dokumentation Pflicht.

Quellen

• DSGVO Art. 6 - Rechtmäßigkeit der Verarbeitung
• DSGVO Art. 9 - Besondere Kategorien personenbezogener Daten
• BDSG - Bundesdatenschutzgesetz
• § 22 KUG - Recht am eigenen Bild
• DSK-Jahresbericht
• BfDI - Bilder und Datenschutz
• ExifTool by Phil Harvey
• mat2 Metadata Anonymisation Toolkit
• EU-US Data Privacy Framework