Datenschutz-Grundverordnung Fotos: Was Fotografen 2026 beachten müssen

Erkennbare Personen auf Fotos gelten nach Art. 4 Nr. 1 DSGVO als personenbezogene Daten. Das gilt unabhängig davon, ob du das Foto veröffentlichst oder nur speicherst. Auch das reine Ablegen auf deiner Festplatte ist rechtlich eine Verarbeitung.

Parallel zur DSGVO gilt in Deutschland das Kunsturhebergesetz (KUG). Beide Regelwerke ergänzen sich: Die DSGVO regelt den gesamten Umgang mit personenbezogenen Daten, das KUG konkretisiert das Recht am eigenen Bild für Bildnisse. Du musst beide einhalten.

Die sogenannte Haushaltsausnahme der DSGVO befreit dich nur dann, wenn du ausschließlich für private Zwecke ohne jede Veröffentlichungsabsicht fotografierst. Für professionelle Fotografen ist diese Ausnahme nicht anwendbar.

Die richtige Rechtsgrundlage ergibt sich aus zwei Faktoren: dem Verhältnis zu den abgebildeten Personen und dem Verwendungszweck der Fotos. Für die Bildlieferung an deinen Auftraggeber ist in den meisten Konstellationen der Vertrag deine Rechtsgrundlage. 

Sobald du die Bilder für deine eigene Vermarktung nutzt, brauchst du eine Einwilligung der erkennbaren Personen. Bei Hochzeiten und geschlossenen Firmenevents kommt außerdem eine Informationspflicht gegenüber fotografierten Dritten hinzu.

Szenario	Rechtsgrundlage (Lieferung)	Einwilligung für eigene Nutzung?	Informationspflicht gegenüber Dritten?
Hochzeit: Lieferung ans Brautpaar	Art. 6 Abs. 1 lit. b DSGVO	Ja, Einwilligung des Brautpaares	Ja, Gäste nach Art. 13/14 DSGVO
Hochzeit: Portraits einzelner Gäste im Portfolio	Art. 6 Abs. 1 lit. a DSGVO	Ja, der jeweiligen Person	Enthalten in der Einwilligung
Business: Mitarbeiterporträts, Lieferung ans Unternehmen	Art. 6 Abs. 1 lit. b DSGVO	Ja, für eigene Portfolio-Nutzung	AVV mit Unternehmen prüfen
Business: Firmenevent intern/geschlossen	Art. 6 Abs. 1 lit. b DSGVO	Ja, bei eigener Nutzung	Hinweis an Teilnehmer erforderlich
Business: öffentliche Veranstaltung	§ 23 Abs. 1 Nr. 3 KUG möglich	Bei Porträtfokus: ja	Hinweis empfohlen

DSGVO bei Hochzeit

Gegenüber dem Brautpaar:

Der unterzeichnete Buchungsvertrag ist nach Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage für die Aufnahme und Lieferung der Fotos. Für diese Leistung brauchst du keine separate Einwilligung des Brautpaares.

Willst du die Bilder darüber hinaus in deinem Portfolio, auf deiner Website oder in sozialen Medien zeigen, reicht der Vertrag dafür nicht. Für jede eigene Vermarktungsnutzung brauchst du eine separate Einwilligung des Brautpaares, am besten schriftlich und direkt beim Vertragsabschluss eingeholt.

Gegenüber den Gästen:

Das Verhältnis zu den Gästen liegt außerhalb deines Vertrags. Du fotografierst sie gewerblich, ohne dass sie dir gegenüber eine Einwilligung erteilt haben. § 23 KUG greift hier nicht, weil er öffentliche Veranstaltungen voraussetzt. Eine geschlossene Hochzeitsfeier fällt nicht darunter.

Für die reine Hochzeitsdokumentation, bei der du die Bilder ausschließlich ans Brautpaar für den privaten Gebrauch lieferst, kann das berechtigte Interesse des Brautpaares nach Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage herangezogen werden. Du musst die Gäste aber nach Art. 13/14 DSGVO über die Fotoaufnahmen informieren, zum Beispiel durch einen kurzen Hinweis auf der Hochzeitseinladung.

Willst du einzelne Gäste erkennbar in deinem Portfolio oder für dein Marketing nutzen, brauchst du deren individuelle schriftliche Einwilligung.

Praktisch umsetzen:

Leg dem Brautpaar beim Vertragsabschluss einen fertigen Hinweistext bei, den es in die Einladungen integrieren kann. So ist die Informationspflicht gegenüber den Gästen erfüllt, ohne dass du selbst Kontakt zu jedem Gast aufnehmen musst.

DSGVO bei Businessshootings

Wirst du von einem Unternehmen für Einzelaufnahmen der Mitarbeiter beauftragt, brauchst du die Zustimmung der Personen nicht. Das Unternehmen muss dies intern mit den Mitarbeitern klären. Dies gilt auch für geschlossene Firmenevents, auf denen du fotografieren sollst. Für Einzelaufnahmen von Personen auf einer öffentlichen Veranstaltung brauchst du ihre Zustimmung.

DSGVO bei Mitarbeiterporträts im Auftrag des Unternehmens

Der Vertrag mit dem Unternehmen ist deine Rechtsgrundlage für Aufnahme und Lieferung. Die abgebildeten Mitarbeiter haben dir gegenüber aber keine Einwilligung erteilt. Das Unternehmen ist selbst dafür verantwortlich, gegenüber seinen Mitarbeitern eine Rechtsgrundlage für die weitere Nutzung der Fotos sicherzustellen, zum Beispiel durch Einwilligung oder ein berechtigtes betriebliches Interesse. Das liegt außerhalb deines Verantwortungsbereichs.

Deine Pflicht als Fotograf: Für die Lieferung ans Unternehmen bist du durch den Vertrag abgesichert. Für die Nutzung der Porträts in deinem eigenen Portfolio brauchst du hingegen die schriftliche Einwilligung der abgebildeten Mitarbeiter. Die holst du am einfachsten direkt vor Ort beim Shooting ein, mit einem kurzen Formular, das du zur Beauftragung bereithältst.

Szenario 2: Begleitung eines internen Firmenevents

Ein internes Firmenevent ist eine geschlossene Veranstaltung. § 23 KUG greift deshalb nicht. Rechtsgrundlage für die Bildlieferung ans Unternehmen ist der Vertrag. Das Unternehmen übernimmt die Verantwortung für die Informationspflicht gegenüber seinen Mitarbeitern und Teilnehmern.

Kläre beim Briefing mit dem Unternehmen aktiv, ob ein Datenschutzhinweis an die Teilnehmer kommuniziert wird, zum Beispiel als Aushang oder als Hinweis in der Event-Einladung. So stellst du sicher, dass die Transparenzpflicht erfüllt ist, und dokumentierst gleichzeitig, dass du die Frage adressiert hast.

Für jede eigene Nutzung der Bilder, Portfolio, Website, Social Media, gilt auch hier: schriftliche Einwilligung der erkennbar abgebildeten Personen.

Szenario 3: Begleitung einer öffentlichen Veranstaltung

Wenn das Unternehmen an einer öffentlichen Veranstaltung teilnimmt, zum Beispiel einer Messe, einem Stadtfest oder einer Konferenz, greift § 23 Abs. 1 Nr. 3 KUG. Du kannst Fotos der Veranstaltung veröffentlichen, wenn die Veranstaltung das eigentliche Bildmotiv ist und Personen nur als Beiwerk erscheinen.

Die Grenze liegt dort, wo du eine erkennbare Person bewusst in den Fokus nimmst: ein Redner in Nahaufnahme, ein Messebesucher als zentrales Motiv oder ein Mitarbeiter des Unternehmens erkennbar im Vordergrund. In diesen Fällen fällt die Ausnahme weg. Dann brauchst du die Einwilligung dieser Person, bevor du das Bild veröffentlichst.

Eine gültige Einwilligung nach Art. 7 DSGVO braucht: den Zweck der Aufnahmen, die Art der Nutzung (z.B. Website, Social Media, Portfolio), den Hinweis auf das Widerrufsrecht und die Kontaktdaten des Verantwortlichen. Schriftliche Einwilligungen sind zwar nicht gesetzlich vorgeschrieben, aber aus Beweisgründen realistisch immer ein Muss.

Wird die Einwilligung widerrufen, musst du die Fotos ab diesem Zeitpunkt aus allen genutzten Kanälen entfernen. Der Widerruf wirkt nicht rückwirkend, aber er betrifft jede zukünftige Nutzung sofort.

Checkliste: DSGVO-konforme Einwilligung einholen

• Vorab informieren: Kläre die abgebildeten Personen über Zweck und Umfang der Aufnahmen auf.
• Formular bereitstellen: Übergib das Formular vor dem Shooting, digital oder auf Papier.
• Bestätigung einholen: Lass die Einwilligung schriftlich oder nachweisbar digital bestätigen.
• Aufbewahren: Bewahre die Einwilligung mindestens drei Jahre nach der letzten Nutzung auf.
• Widerrufsweg dokumentieren: Halte fest, über welchen Kanal Widerrufe eingehen können, und benenne eine zuständige Person.

Jeder Cloud-Dienst, dem du Fotos übergibst, ist nach Art. 28 DSGVO ein Auftragsverarbeiter. Du brauchst mit ihm zwingend einen Auftragsverarbeitungsvertrag (AVV). Cloud-Dienste mit Servern außerhalb der EU können zusätzliche Probleme mit sich bringen, weil der US-amerikanische Cloud Act potenziell Zugriff auf dort gespeicherte Daten ermöglicht.

Um nach Hochzeiten, Taufen oder Firmenevents Fotos zu teilen, solltest du auf ein professionelles Online-Album setzen. Auf diese Weise versendest du ganze Galerien auf einmal und ermöglichst es allen Beteiligten, die Bilder sofort in hoher Qualität zu betrachten, herunterzuladen und/oder zu kaufen, ohne dass eine App-Installation oder ein Account für die Gäste nötig ist. 

scrappbook betreibt Server ausschließlich in der EU und stellt dir einen AVV zur Verfügung. Passwortgeschützte Galerien stellen sicher, dass nur die Personen auf Bilder zugreifen, für die sie bestimmt sind.

Fotos von erkennbaren Personen sind personenbezogene Daten und mit jeder Aufnahme trägst du als Fotograf die rechtliche Verantwortung, die über den Vertrag mit deinem Auftraggeber hinausgeht. 

Hochzeitsgäste, Mitarbeiter beim Businessshooting oder Teilnehmer eines Firmenevents: Für jede Gruppe gilt eine eigene Rechtsgrundlage, und für jede eigene Vermarktungsnutzung brauchst du eine separate Einwilligung.

Dazu kommt die Pflicht, Fotos DSGVO-konform zu speichern und zu übertragen. Der letzte Schritt in dieser Kette ist die Bildübergabe an deine Kunden und genau hier hilft dir scrappbook: EU-Hosting, AVV inklusive und passwortgeschützte Galerien, damit Fotos zuverlässig nur bei den Personen ankommen, für die sie bestimmt sind.

• DSGVO-Konformität ab Tag 1: EU-Hosting und AVV sind in jedem Paket enthalten, ohne Mehraufwand für dich.
• Passwortschutz für jede Galerie: Fotos erreichen ausschließlich die Personen, für die sie bestimmt sind.
• Weniger Verwaltung, mehr Zeit fürs Fotografieren: Einrichtung in zwei Minuten, Galerie direkt beim Kunden.
• Integrierter Shop für Prints und digitale Produkte: Umsatz direkt aus der Galerie heraus, ohne externe Dienstleister.