Mitarbeiterfotos DSGVO-konform: 4 Methoden im Überblick

Mitarbeiterfotos DSGVO-konform zu veröffentlichen erfordert mehr als nur eine schnelle Unterschrift. Holen Unternehmen die Einwilligung ihrer Beschäftigten nicht wirksam ein oder missachten sie Persönlichkeitsrechte, drohen rechtliche Folgen. Art. 83 DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die Datenschutz-Grundverordnung verlangt eine transparente Rechtsgrundlage nach Art. 6 DSGVO, eine widerrufbare Mitarbeitereinwilligung und klare Informationspflichten — doch in der Praxis scheitern viele Arbeitgeber an unvollständigen Datenschutzerklärungen oder fehlender Beteiligung des Betriebsrats. Besonders kritisch wird es bei Bildveröffentlichungen auf der Website oder in Social Media: Ohne dokumentierte Fotogenehmigung können Abmahnungen und Bußgelder von Datenschutzbehörden drohen. Dieser Leitfaden zeigt Ihnen, wie Sie sorgfältig mit Mitarbeiterfotos umgehen, von der korrekten Einwilligungserklärung über Betroffenenrechte und Löschpflichten bis hin zu praktischen Alternativen wie Anonymisierung und Verpixelung.

Gesichter oder Text im Foto direkt im Browser verpixeln.

Kostenlos ausprobieren

Gängige Ansätze bei Mitarbeiterfotos DSGVO

Die rechtskonforme Nutzung von Mitarbeiterfotos erfordert strategisches Vorgehen auf mehreren Ebenen. Unternehmen stehen vor der Herausforderung, einerseits Persönlichkeitsrechte zu wahren und andererseits ihre Kommunikationsziele zu erreichen. Die DSGVO und das Kunsturhebergesetz (KUG) bilden den rechtlichen Rahmen, der drei grundlegende Ansätze ermöglicht: die Einholung einer wirksamen Einwilligung, die Berufung auf berechtigtes Interesse oder die technische Anonymisierung durch Verpixelung.

1. Freiwillige Einwilligung nach Art. 6 Abs. 1 DSGVO

Die Mitarbeitereinwilligung ist die häufigste Rechtsgrundlage für die Veröffentlichung von Mitarbeiterfotos auf Websites, in Social Media oder Printmaterialien. Art. 7 DSGVO definiert klare Anforderungen: Die Einwilligung muss freiwillig, informiert, spezifisch und unmissverständlich erfolgen. Im Arbeitsverhältnis stellt sich jedoch die Frage der Freiwilligkeit besonders kritisch, da ein strukturelles Machtgefälle zwischen Arbeitgeber und Arbeitnehmer besteht. Die Datenschutzbehörde prüft bei Beschwerden genau, ob Mitarbeiter ohne Nachteile ablehnen konnten.

Eine wirksame Einwilligungserklärung muss den konkreten Verwendungszweck benennen: "Veröffentlichung auf der Unternehmenswebsite im Team-Bereich" ist ausreichend spezifisch, "für Marketingzwecke" zu vage. Die Informationspflicht nach Art. 13 DSGVO verlangt zusätzlich Angaben zu Speicherdauer, Widerrufsrecht und Betroffenenrechten. Der Widerruf muss jederzeit möglich sein, ohne dass dem Mitarbeiter Nachteile entstehen. Hier liegt ein häufiger Stolperstein: Viele Arbeitgeber formulieren die Einwilligung als Teil des Arbeitsvertrags, was die Freiwilligkeit gefährdet. Besser ist ein separates Dokument, das ausdrücklich auf die Freiwilligkeit hinweist.

Praktische Umsetzung: Erstellen Sie eine schriftliche Einwilligungserklärung mit folgenden Elementen: (1) Konkrete Beschreibung der Verwendung ("Foto auf Website, LinkedIn-Unternehmensseite, Geschäftsbericht"), (2) Hinweis auf Freiwilligkeit und fehlende arbeitsrechtliche Konsequenzen bei Ablehnung, (3) Belehrung über Widerrufsmöglichkeit, (4) Unterschriftenfeld mit Datum. Bewahren Sie unterzeichnete Einwilligungen geordnet auf, denn Sie müssen die Rechtsgrundlage nachweisen können (Art. 5 Abs. 2 DSGVO). Nach einem Widerruf greift die Löschpflicht: Entfernen Sie das Foto unverzüglich aus allen Kanälen und dokumentieren Sie die Löschung.

Zentrale Limitation: Die Einwilligung schützt nicht vor späteren Konflikten. Nach Kündigung oder bei Streitigkeiten können Mitarbeiter ihre Zustimmung widerrufen. Sie müssen die Fotos dann aus allen weiter genutzten Kanälen entfernen und sollten auch gedruckte Materialien wie Broschüren oder Messestände nicht weiterverwenden. Zudem gilt: Eine Einwilligung, die vor Inkrafttreten der DSGVO (Mai 2018) erteilt wurde, erfüllt oft nicht die aktuellen Anforderungen. Prüfen Sie ältere Einwilligungen deshalb mit Ihrem Datenschutzbeauftragten und erneuern Sie sie bei Bedarf.

2. Berechtigtes Interesse als Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO erlaubt die Verarbeitung personenbezogener Daten, wenn ein berechtigtes Interesse des Unternehmens die Interessen des Mitarbeiters überwiegt. Diese Rechtsgrundlage funktioniert ohne Einwilligung, ist aber an strenge Voraussetzungen gebunden. Das berechtigte Interesse muss konkret sein: "Darstellung des Teams zur Vertrauensbildung bei Kunden" kann legitim sein, "allgemeine Unternehmensdarstellung" reicht nicht aus. Die Datenschutz-Grundverordnung verlangt eine Interessenabwägung, die Sie dokumentieren müssen.

Dieser Ansatz eignet sich für interne Verwendungen: Fotos im Intranet, auf Mitarbeiterausweisen oder in internen Organigrammen. Hier überwiegt oft das Unternehmensinteresse an reibungsloser Kommunikation. Bei externer Veröffentlichung wird die Abwägung schwieriger: Ein Foto eines Mitarbeiters auf der öffentlichen Website ohne dessen Zustimmung ist rechtlich riskant. Das Persönlichkeitsrecht wiegt hier oft schwerer als das Marketinginteresse. Abmahnung oder Bußgeld drohen, wenn Sie sich auf berechtigtes Interesse berufen, ohne eine tragfähige Abwägung vorgenommen zu haben.

Strategische Überlegung: Führen Sie eine schriftliche Interessenabwägung durch: (1) Definieren Sie Ihr konkretes Geschäftsinteresse, (2) bewerten Sie die Eingriffsintensität für den Mitarbeiter (öffentliche Website vs. internes System), (3) prüfen Sie mildere Mittel (z.B. Anonymisierung), (4) dokumentieren Sie das Ergebnis. Informieren Sie betroffene Mitarbeiter über die Verarbeitung – auch ohne Einwilligung besteht eine Informationspflicht. Prüfen Sie außerdem, ob der Betriebsrat zu beteiligen ist: § 87 Abs. 1 Nr. 6 BetrVG gibt ihm ein Mitbestimmungsrecht bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen.

Wesentliche Einschränkung: Berechtigtes Interesse funktioniert nur bei geringer Eingriffsintensität. Sobald Fotos öffentlich zugänglich sind oder für Werbezwecke genutzt werden, kippt die Abwägung oft zugunsten des Mitarbeiters. Die Rechtsprechung entwickelt sich hier dynamisch – was vor zwei Jahren noch akzeptiert wurde, kann heute als Verstoß gegen Persönlichkeitsrechte gelten. Zudem haben Mitarbeiter nach Art. 21 DSGVO ein Widerspruchsrecht: Sie können der Verarbeitung aus Gründen ihrer besonderen Situation widersprechen. Können Sie keine überwiegenden Gründe nachweisen, müssen Sie die Fotos in der Regel löschen.

3. Technische Anonymisierung und Verpixelung

Anonymisierung durch Verpixelung bietet einen dritten Weg: Werden Personen so unkenntlich gemacht, dass sie nicht mehr identifiziert werden können, handelt es sich um anonyme Informationen, für die die DSGVO nicht gilt (Erwägungsgrund 26). Dann brauchen Sie weder Einwilligung noch berechtigtes Interesse. Ob das erreicht ist, muss im Einzelfall geprüft werden. Dieser Ansatz eignet sich für Situationen, in denen Sie Arbeitsatmosphäre oder Teamdynamik zeigen möchten, ohne einzelne Personen zu identifizieren. Typische Anwendungsfälle: Produktionsfotos, Büroaufnahmen für Karriereseiten, Eventdokumentation.

Die technische Umsetzung muss irreversibel sein. Eine schwache Weichzeichnung reicht nicht aus – moderne Bildbearbeitung kann solche Effekte rückgängig machen. Verwenden Sie stattdessen pixelbasierte Verpixelung oder Mosaikfilter, die Originalpixel dauerhaft überschreiben. Blur.me bietet automatische Gesichtserkennung für Fotos: Laden Sie ein Bild hoch, die KI erkennt die Gesichter, ein Foto dauert etwa 3 Sekunden, und Sie erhalten ein verpixeltes Bild. Bei Gruppenfotos mit 20 Mitarbeitern spart das erheblich Zeit gegenüber manueller Bearbeitung in Photoshop.

Praktischer Workflow: Für einzelne Fotos nutzen Sie GIMP (kostenlos): Öffnen Sie das Bild, wählen Sie das Auswahlwerkzeug, markieren Sie Gesichter, wenden Sie Filter → Weichzeichnen → Verpixeln an (Pixelgröße so groß, dass das Gesicht nicht mehr erkennbar ist). Für Stapelverarbeitung von 50+ Bildern ist Blur.me effizienter: Laden Sie alle Fotos hoch, die KI verarbeitet sie automatisch, Sie laden verpixelte Versionen herunter. Wichtig: Löschen Sie Originalfotos nach Anonymisierung. Solange Sie identifizierbare Versionen aufbewahren, unterliegen diese der DSGVO.

Kritischer Nachteil: Anonymisierung reduziert die emotionale Wirkung. Gesichter schaffen Vertrauen und Nähe – verpixelte Aufnahmen wirken distanziert oder erwecken den Eindruck, Mitarbeiter würden sich verstecken. Für Teamvorstellungen oder Expertenprofile ist dieser Ansatz ungeeignet. Zudem ist echte Anonymisierung schwer zu erreichen: Wenn Personen durch Kontext (Kleidung, Umgebung, Körperbau) identifizierbar bleiben, greift die DSGVO weiterhin. Die Datenschutzbehörde prüft bei Beschwerden, ob tatsächlich Anonymität vorliegt.

4. Betriebsvereinbarung als kollektive Lösung

In Unternehmen mit Betriebsrat bietet eine Betriebsvereinbarung einen strukturierten Rahmen. Diese Vereinbarung regelt zentral, wie Mitarbeiterfotos erstellt, verwendet und gelöscht werden. Der Vorteil: Einheitliche Standards für alle Mitarbeiter, klare Prozesse für HR-Abteilungen und verbindliche Absprachen mit der Mitarbeitervertretung. Die Vereinbarung ersetzt jedoch nicht die individuelle Einwilligung – sie definiert lediglich den Rahmen, innerhalb dessen Einwilligungen eingeholt werden.

Eine wirksame Betriebsvereinbarung enthält: (1) Zwecke der Fotoverwendung (Website, Intranet, Pressearbeit), (2) Verfahren zur Einholung der Mitarbeitereinwilligung, (3) Regelungen zum Widerruf und zur Löschpflicht, (4) Verantwortlichkeiten (wer löscht Fotos nach Austritt?), (5) technische Maßnahmen (Speicherort, Zugriffsbeschränkungen). Der Betriebsrat achtet darauf, dass Mitarbeiter nicht benachteiligt werden, wenn sie Fotos ablehnen. Diese kollektive Kontrolle stärkt die Freiwilligkeit individueller Einwilligungen.

Umsetzungsschritte: Initiieren Sie Verhandlungen mit dem Betriebsrat frühzeitig. Legen Sie einen Entwurf vor, der alle DSGVO-Anforderungen berücksichtigt. Definieren Sie klare Löschfristen: "Fotos werden spätestens 6 Monate nach Austritt des Mitarbeiters gelöscht, sofern kein berechtigtes Interesse an längerer Speicherung besteht." Schulen Sie HR-Mitarbeiter und Führungskräfte zur Vereinbarung. Kommunizieren Sie die Regelungen transparent an alle Mitarbeiter. Aktualisieren Sie die Datenschutzerklärung entsprechend.

Strukturelle Herausforderung: Betriebsvereinbarungen sind zeitaufwendig in der Aushandlung und können Konflikte mit dem Betriebsrat auslösen, wenn unterschiedliche Interessen aufeinandertreffen. Zudem binden sie nur Mitarbeiter im Geltungsbereich des Betriebsrats – für Führungskräfte oder Mitarbeiter ohne Betriebsrat gelten separate Regelungen. Die Vereinbarung muss regelmäßig überprüft werden: Ändern sich Verwendungszwecke (z.B. neue Social-Media-Kanäle), muss sie angepasst werden. Ohne diese Pflege entsteht eine Lücke zwischen dokumentiertem und tatsächlichem Verfahren, was bei Prüfungen problematisch wird.

Schnellvergleich: Tools für Mitarbeiterfoto-Anonymisierung

Verdict: Für kostenlose Einzelbild-Anonymisierung eignet sich GIMP am besten, erfordert aber hohen manuellen Aufwand und Einarbeitung. Bei professionellen HR-Workflows mit regelmäßiger Mitarbeiterfoto-Veröffentlichung rechtfertigt Photoshop die Kosten durch präzise Kontrolle und etablierte Workflows. Blur.me ist auf das automatische Verpixeln spezialisiert: Ein Foto dauert etwa 3 Sekunden, bei 100 Mitarbeiterfotos sind das rund 5 Minuten. Das passt zu HR-Teams und Datenschutzbeauftragten ohne Bildbearbeitungs-Know-how. Ob ein verpixeltes Foto im Einzelfall genügt, hängt von den Umständen ab.

FAQ

Darf der Arbeitgeber Fotos von Mitarbeitern machen?

Ja, aber nur mit ausdrücklicher Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder wenn ein berechtigtes Interesse vorliegt. Für interne Zwecke (Mitarbeiterausweis, Zugangskontrolle) genügt oft die Rechtsgrundlage des Beschäftigungsverhältnisses. Für Veröffentlichungen auf der Website oder in Social Media braucht es in der Regel eine Einwilligung. Nach § 26 Abs. 2 BDSG hat sie schriftlich oder elektronisch zu erfolgen, soweit nicht besondere Umstände eine andere Form rechtfertigen. Für § 22 KUG hat das Bundesarbeitsgericht die Schriftform verlangt (BAG, 11.12.2014, 8 AZR 1010/13). Die Einwilligung muss freiwillig, informiert und jederzeit widerrufbar sein – ohne negative Konsequenzen für den Mitarbeiter.

Wann brauche ich eine Einwilligung für Mitarbeiterfotos?

Eine Einwilligung ist in der Regel erforderlich, wenn erkennbare Mitarbeiter außerhalb des Unternehmens gezeigt werden, etwa auf der Website, in Social Media oder in Printmedien. Auch für interne Veröffentlichungen im Intranet empfiehlt sich eine Einwilligungserklärung. Die Einwilligung muss konkret angeben, wo und wie lange das Foto verwendet wird. Normale Porträtfotos sind grundsätzlich keine besonderen Kategorien von Daten (Erwägungsgrund 51). Lassen Fotos aber etwa auf Gesundheitsdaten schließen, gilt zusätzlich Art. 9 DSGVO.

Kann ein Mitarbeiter die Einwilligung für Fotos widerrufen?

Ja, nach Art. 7 Abs. 3 DSGVO kann jeder Mitarbeiter seine Einwilligung jederzeit ohne Angabe von Gründen widerrufen. Der Arbeitgeber muss das Foto dann unverzüglich aus allen weiter genutzten Kanälen entfernen, etwa von der Website oder aus LinkedIn. Der Widerruf wirkt nur für die Zukunft, bereits erfolgte Veröffentlichungen waren rechtmäßig. Eine Alternative zur Löschung ist die Anonymisierung durch Gesichtsverpixelung, wenn die Person danach nicht mehr erkennbar ist. Ob das genügt, hängt vom Einzelfall ab.

Was passiert mit Mitarbeiterfotos nach Kündigung?

Eine wirksame Einwilligung erlischt nach einem Urteil des Bundesarbeitsgerichts zum KUG nicht automatisch mit dem Ende des Arbeitsverhältnisses (BAG, 11.12.2014, 8 AZR 1010/13). Der ehemalige Mitarbeiter kann sie aber nach Art. 7 Abs. 3 DSGVO jederzeit widerrufen. Gibt es keine Einwilligung, muss der Arbeitgeber die Fotos löschen, sobald sie nicht mehr erforderlich sind und keine andere Rechtsgrundlage besteht. Mit Tools wie Blur.me lassen sich Gesichter ausgeschiedener Mitarbeiter auf einzelnen Fotos in Sekunden verpixeln, statt ganze Fotos zu ersetzen. Dokumentieren Sie, wann welche Fotos gelöscht wurden.

Muss der Betriebsrat Mitarbeiterfotos zustimmen?

Das hängt vom Einzelfall ab. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Ob das auf eine Fotonutzung zutrifft, hängt vom eingesetzten System ab. Eine Betriebsvereinbarung kann Zweck, Umfang und technische Umsetzung regeln. Klären Sie die Frage frühzeitig mit dem Betriebsrat.

Die DSGVO-konforme Verwaltung von Mitarbeiterfotos erfordert sorgfältige Prozesse – von der Einholung der Einwilligung bis zur unverzüglichen Löschung nach einem Widerruf. Wenn Sie zusätzlich Gesichter in Videos verpixeln müssen, gelten dieselben Datenschutzgrundsätze. Für Unternehmen mit Betriebsrat ist auch die Betriebsvereinbarung zu Videoüberwachung relevant.

Gesichter oder Text im Foto direkt im Browser verpixeln.

Keine Installation – sofort loslegen.

Kostenlos ausprobieren