Fotobox DSGVO-konform: Checkliste für Veranstalter

Eine Fotobox produziert in wenigen Stunden Hunderte Bilder von erkennbaren Personen. Nach der Datenschutz-Grundverordnung (DSGVO) ist jedes dieser Bilder ein personenbezogenes Datum. Für den rein privaten Geburtstag im Wohnzimmer gelten die Regeln kaum; sobald ein Unternehmen, ein Verein oder ein bezahlter Anbieter beteiligt ist oder Fotos hochgeladen werden, gelten sie sehr wohl. Dieser Leitfaden erklärt ohne Juristendeutsch, was zählt, und endet mit einer Checkliste zum Ausdrucken.

Hinweis: Dieser Artikel ist eine allgemeine Information aus der Praxis, keine Rechtsberatung. Für Firmenevents, öffentliche Veranstaltungen oder alles mit vielen Minderjährigen fragen Sie Ihren Datenschutzbeauftragten oder eine Anwältin.

Warum Fotos personenbezogene Daten sind

Ein Gesicht reicht aus, um eine Person zu identifizieren. Damit fällt ein Fotobox-Bild unter Art. 4 Nr. 1 DSGVO. Biometrische Verarbeitung (Gesichtserkennung, automatisches Tagging) würde das Foto in die "besonderen Kategorien" nach Art. 9 DSGVO mit deutlich strengeren Anforderungen verschieben. Eine Fotobox, die ein Bild aufnimmt und einen Sofortbild-Rahmen darauflegt, tut das nicht; manche Cloud-Fotoboxen mit Gesichtssuche schon.

Wann die DSGVO für Ihre Feier überhaupt gilt

Die DSGVO kennt die Haushaltsausnahme (Art. 2 Abs. 2 lit. c): ausschließlich persönliche oder familiäre Tätigkeiten fallen nicht in ihren Anwendungsbereich. Eine Familienhochzeit, bei der die Fotobox-Bilder bei den Gästen bleiben, ist in der Regel davon erfasst. Die Ausnahme greift nicht mehr, wenn:

• ein Unternehmen oder Verein die Veranstaltung organisiert (Betriebsfeier, Vereinsjubiläum, Produktvorstellung);
• ein gewerblicher Vermieter die Fotos im Rahmen seiner Dienstleistung verarbeitet;
• Fotos veröffentlicht werden, etwa in einer öffentlichen Galerie, auf der Firmenwebseite oder in sozialen Netzwerken;
• Fotos in einen Cloud-Dienst unter dem Konto des Gastgebers geladen werden.

Mit den meisten Mietfotoboxen und Cloud-Fotobox-Apps landen Sie im zweiten und vierten Fall.

Rechtsgrundlage: Einwilligung oder berechtigtes Interesse

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für Veranstaltungsfotos kommen realistisch zwei infrage:

Einwilligung (Art. 6 Abs. 1 lit. a)

Die Gäste stimmen zu, fotografiert zu werden, und dem, was mit dem Bild passiert. Die Einwilligung muss informiert, konkret, freiwillig und widerrufbar sein. Das Hintreten vor die Kamera nach dem Lesen eines klaren Schilds wird meist als Einwilligung in die Aufnahme selbst gewertet. Sie deckt aber nicht Veröffentlichung oder Marketing ab; dafür braucht es eine gesonderte, ausdrückliche Zustimmung, am besten schriftlich. In Deutschland gilt zusätzlich das Recht am eigenen Bild nach § 22 Kunsturhebergesetz (KUG): Erkennbare Personen dürfen grundsätzlich nur mit ihrer Einwilligung veröffentlicht werden.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)

Der Veranstalter hat ein berechtigtes Interesse, die Veranstaltung zu dokumentieren, abgewogen gegen die Rechte der Gäste. Das trägt Aufnahme und interne Weitergabe bei einer Firmenfeier, sofern die Gäste informiert sind und ausweichen können, indem sie die Fotobox nicht nutzen. Für die Veröffentlichung erkennbarer Nahaufnahmen von Mitarbeitenden oder die Weitergabe an Dritte ist es eine schwache Grundlage.

Praxisregel: Aufnahme an der Fotobox → berechtigtes Interesse plus deutliches Schild reicht normalerweise. Veröffentlichung oder Werbung → ausdrückliche Einwilligung der abgebildeten Personen einholen.

Gäste informieren: das Hinweisschild an der Fotobox

Art. 13 DSGVO verpflichtet Sie, die Betroffenen bei der Erhebung zu informieren, wer ihre Daten wofür verarbeitet. Für eine Fotobox heißt das: ein gedrucktes Schild auf Augenhöhe, mindestens DIN A4, neben dem Bildschirm:

• wer verantwortlich ist (Gastgeber oder Unternehmen, Kontakt-E-Mail);
• was mit den Fotos passiert (nur Gäste-Download / Galerie / Druck);
• wo sie gespeichert werden und wie lange;
• ob Dritte (Vermieter, Cloud-Anbieter) sie erhalten;
• wie man ein Foto löschen lassen kann;
• dass die Nutzung der Fotobox freiwillig ist.

Wenn die Fotobox die Bilder nur auf dem Gerät verarbeitet, wird das Schild kurz: "Die Fotos entstehen im Browser dieses Tablets, werden von Ihnen selbst heruntergeladen und vom Veranstalter weder gespeichert noch übertragen." Dieser Satz beantwortet vier der sechs Punkte. Bei Firmenveranstaltungen ergänzen Sie einen QR-Code zur vollständigen Datenschutzerklärung und erwähnen die Fotobox in der Einladung.

Kinder

Kinder genießen in der gesamten DSGVO erhöhten Schutz. Unterhalb der digitalen Einwilligungsgrenze (Art. 8 DSGVO: 16 Jahre, in Deutschland unverändert; Österreich hat auf 14 abgesenkt) müssen in der Regel die Eltern einwilligen. Beim Familienfest heißt das: Fragen Sie die Eltern, bevor die Collage eines Kindes in ein gemeinsames Album wandert. Bei Schulfesten, Sportvereinen und Jugendveranstaltungen holen Sie vorab schriftliche Einwilligungen ein und weisen die Person an der Fotobox an, Kinderbilder ohne diese Einwilligung weder hochzuladen noch zu veröffentlichen. Wie Sie eine Helferin dafür briefen, steht im Hochzeits-Fotobox-Ratgeber.

Wo die Dateien landen

Lokale Verarbeitung vereinfacht alles: Wenn Sie nichts speichern und nichts an einen Server geschickt wird, gibt es keinen Auftragsverarbeiter, keine Löschfrist, keine Drittlandübermittlung und keinen Löschantrag, den Sie nicht erfüllen könnten. Die kostenlose Online-Fotobox Fotobox Online arbeitet genau so: Die Fotobox läuft im Browser, nimmt vier Fotos mit Countdown auf, baut die Collage lokal zusammen, und die Fotos bleiben auf diesem Gerät: als JPEG, das die Gäste herunterladen, und – falls eingeschaltet – in der Galerie auf dem Gerät, die der Gastgeber jederzeit leeren kann. Eine separate QR-Code-Galerie wie Guest Pictures ist ein eigener Dienst; behandeln Sie ihn wie die Zeile "Cloud-Galerie" oben.

Speicherdauer und Löschung

Art. 5 Abs. 1 lit. e DSGVO verlangt, dass Daten nicht länger aufbewahrt werden als nötig. Legen Sie die Speicherdauer vor der Veranstaltung fest, schreiben Sie sie auf das Schild und tragen Sie eine Erinnerung in den Kalender ein:

• Private Feier mit gemeinsamem Album: vier bis zwölf Wochen, danach löschen oder das Archiv dem Brautpaar übergeben.
• Firmenfeier: den Rohbestand nach dem internen Newsletter löschen; nur Bilder mit Veröffentlichungseinwilligung behalten.
• Galerie des Vermieters: nach der Standard-Speicherdauer fragen (oft 30–90 Tage) und die Löschbestätigung schriftlich anfordern.

Löschanfragen nach Art. 17 DSGVO müssen unverzüglich erfüllt werden. Mit einer lokalen Fotobox lautet die Antwort "Wir haben keine Kopie"; mit einer Cloud-Galerie brauchen Sie einen Admin-Zugang und jemanden, der ihn während der Feier bedienen kann.

Fragen an den Fotobox-Vermieter

Schicken Sie diese Fragen vor der Unterschrift und heften Sie die Antworten zum Vertrag.

1. Wo werden die Fotos gespeichert, in welchem Land und wie lange?
2. Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und können wir ihn vorab sehen?
3. Nutzen Sie oder Ihr Softwareanbieter die Gästefotos für Marketing, Portfolio oder KI-Training?
4. Verwendet die Software Gesichtserkennung oder automatisches Tagging?
5. Wie beantragen Gäste eine Löschung, und wie schnell wird sie umgesetzt?
6. Kann die Online-Galerie komplett abgeschaltet werden, sodass Fotos nur gedruckt und übergeben werden?

Ein seriöser Anbieter beantwortet alle sechs in einer E-Mail. Zögern bei Frage 3 oder 4 ist ein Grund, sich anderswo umzusehen.

Checkliste zum Ausdrucken

Vor der Veranstaltung

• Entschieden: lokale Verarbeitung, Cloud-Galerie oder Miete mit Galerie
• Rechtsgrundlage gewählt (berechtigtes Interesse für die Aufnahme, Einwilligung für Veröffentlichung)
• AVV mit Vermieter oder Cloud-Anbieter unterschrieben, falls zutreffend
• Drittlandübermittlung geprüft, falls der Anbieter außerhalb der EU sitzt
• Hinweisschild gedruckt (Verantwortlicher, Zweck, Speicherort, Speicherdauer, Kontakt, Freiwilligkeit)
• Elterneinwilligungen für Jugend- oder Schulveranstaltungen eingeholt
• Helfer gebrieft: keine Uploads oder Posts ohne Einwilligung

Während der Veranstaltung

• Schild sichtbar auf Augenhöhe neben der Fotobox
• Gesichtserkennung und Auto-Tagging in jeder App deaktiviert
• Gäste gefragt, bevor ihr Foto in ein gemeinsames Album kommt
• Sitzung nach jeder Gruppe zurückgesetzt

Nach der Veranstaltung

• Löschung zum notierten Termin durchgeführt und bei Vermieter-Galerien schriftlich bestätigt
• Veröffentlichung nur von Fotos mit ausdrücklicher Einwilligung

Für den praktischen Aufbau lesen Sie unsere Fotobox-Tipps und den DIY-Fotobox-Ratgeber.

Häufige Fragen

Brauche ich ein Datenschutzschild bei einem privaten Geburtstag?

Eine rein private Feier fällt meist unter die Haushaltsausnahme. Ein kurzes Schild ist trotzdem sinnvoll: Es sagt den Gästen, was mit ihren Bildern passiert, und erspart später das unangenehme "Bitte lösch das wieder".

Darf ich Fotobox-Bilder von der Betriebsfeier auf LinkedIn posten?

Nur mit ausdrücklicher Einwilligung der erkennbaren Personen. Das berechtigte Interesse deckt Aufnahme und interne Weitergabe ab, nicht die öffentliche Werbenutzung; in Deutschland gilt zusätzlich § 22 KUG.

Ist eine Fotobox-App aus den USA DSGVO-konform?

Sie kann es sein, wenn der Anbieter nach dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln nutzt und Sie einen Auftragsverarbeitungsvertrag abschließen. Prüfen Sie das vor der Veranstaltung, nicht danach.

Wie hilft eine lokale Browser-Fotobox bei der DSGVO?

Wenn Fotos auf dem Gerät verarbeitet und nie hochgeladen werden, speichert der Gastgeber nichts und gibt nichts weiter. Es gibt keinen Auftragsverarbeiter, keine Speicherdauer und keine Daten zu löschen; die Downloads der Gäste sind die einzigen Kopien.