Thema: Dienstliches Fotografieren

Was ist "Dienstliches Fotografieren"

Ich habe das Thema bewusst "Dienstliches Fotografieren" genannt, um diese Fotografiersituation vom privaten Fotografieren abzugrenzen. Dienstlich fotografieren die Mitarbeiterinnen und Mitarbeiter und auch die ehrenamtlich Tätigen in Ausübung und Erfüllung ihres Amtes bzw. Dienstes. In einem solchen Fall ist die das KDG anwendbar und die datenschutzrechtliche Verantwortlichkeit trifft  die Kirchengemeinde.

Obacht: Ich meine mit "Fotografieren" hier das Anfertigen von Abbildungen mit personenbezogenen Daten, also im häufigsten Fall von solchen Fotos, auf denen Menschen erkennbar sind. Aber auch ein Foto von einer Namensliste enthält personenbezogene Daten. Unproblematisch sind z.B. reine Naturfotos.

Worin besteht diese datenschutzrechtliche Verantwortlichkeit?

Fotografieren ist Datenverarbeitung. Das gilt für das "Schießen des Fotos" selbst, aber natürlich auch für eine Speicherung, Verbreitung oder  Veröffentlichung. Selbst das Löschen von Fotos ist Datenverarbeitung. Deshalb gelten beim Fotografieren alle einschlägigen Vorschriften des KDG. Das sind u.a.:

- Grundsätze für die Verarbeitung personenbezogener Daten nach § 7 Abs. 1 müssen beachtet werden, also

• Rechtmäßige und transparente Verarbeitung: Eine Rechtsgrundlage erlaubt das Fotografieren (z.B. ein Gesetz oder eine Einwilligung)
• Zweckbindung: Das Foto wird für einen oder mehrere Zwecke geschossen. Zwecke müssen klar sein, vor allem bei eine Einwilligung. Andere Zwecke sind wieder neue Zwecke.
• Datenminimierung: Nur die Daten erheben, die für den Zweck erforderlich sind.
• Richtigkeit der Daten: Stimmt z.B. eine Adresse noch? Der Betroffene kann Berichtigung verlangen.
• Speicherbegrenzung:  die Daten werden nur so lange gespeichert, wie es nötig ist
• Integrität und Vertraulichkeit: z.B. Sicherheitsmaßnahmen werden gegen zufälligem Verlust, Zerstörung, Ausspähung etc. ergriffen. Beispiel: verschlüsselte Datenträger.

- Es gilt die Rechenschaftpflicht nach § 7 Abs. 2 KDG, die Einhaltung vorgenannter Grundsätze muss also dokumentiert werden. Also aufschreiben, wie man vorgeht.

- Nach § 6 und/oder § 11 KDG dürfen die Daten nur auf einer Rechtsgrundlage verarbeitet werden. Es gibt mehrere Möglichkeiten, z.B. Gesetz oder Einwilligung.

- Nach § 8 Abs. 5 KDG muss eine Einwilligung nachgewiesen werden können. Also das Einwilligungsformular ca. 4 Jahre aufbewahren

- Der betroffenen Person muss im Zusammenhang mit der Datenerhebung eine Datenschutzerklärung übermittelt werden. Der Inhalt und die Art und Weise einer solchen Datenschutzerklärung oder Datenschutzinformation ist in §§ 14 und 15 KDG geregelt. Ein Einwilligungformular und eine Datenschutzerklärung finden sie z.B. hier auf meiner Website unter:

Datenschutzerklärungen für Kirchengemeinden zum Download im rtf-Format

- Es müssen angemessene technisch-organisatorische Maßnahmen zum Schutz der Daten bestehen, vgl. § 26 KDG. Bewahren Sie Fotos z.B. nur auf verschlüsselten Datenträgern auf, lassen Sie Abzüge nur bei renommierten Online-Dienstleistern machen. Schützen Sie Daten vor unbefugtem Zugriff.

- Die Daten sollten so organisiert sein, dass die Auskunftsrechte der Betroffenen nach § 17 KDG erfüllt werden können. Auskunft muss spätestens innerhalb eines Monats erteilt werden. Wenn sie riesengroße Fotosammlungen anlegen, müssen diese Fotos nötigensfalls alle von jemandem durchgesehen werden, ob der Anfragende darauf abgebildet ist. Prüfen Sie, ob die Fotodatei im System nach Zweckerfüllung gelöscht werden kann. So verringern sie einen Suchaufwand.

- Es sollte geregelt sein, wann Daten gelöscht werden (Löschkonzept), vgl. § 19 KDG. Für die Pfarrei filt die Kirchliche Archivordnung. Alle Daten sind also nach Zweckerreichung dem Archiv (Pfarrarchiv, ggf. Diözesanarchiv anzubieten). Die Archivwürdigkeit kann ein Jahr lang geprüft werden. dann wird entweder gelöscht oder archiviert. Die Archivierung ersetzt die Löschung. Konzipieren Sie hierfür einen Ablaufplan.

Privates Fotografieren

Demgegenüber ist privates Fotografieren nach der DSGVO privilegiert. Es gilt die sog. Haushaltsausnahme (vgl. Art. 2 Abs. 2 lit. c) DSGVO), nach der auf Datenverarbeitung im privat-familiären Bereich die DSGVO keine Anwendung findet. Diese Haushaltsausnahme wird aber eng ausgelegt. Das bedeutet, dass alle einschlägigen Vorschriften der DSGVO auch für Privatleute gelten, wenn z.B. Fotos veröffentlicht werden. Fotos für das private Fotoalbum zu schießen und Sie mit Tante Erna anschauen ist also unproblematisch. Fotos "privat" auf Facebook posten oder in einer nichtfamiliären WhatsApp-Gruppe zu teilen, löst aber alle Pflichten der DSGVO aus, die letztlich den o.g. Pflichten beim dienstlichen Fotografieren entsprechen, nur eben in der DSGVO geregelt sind. Bei Minderjährigen müssen übrigens alle Sorgeberechtigte mit einer Veröffentlichung einverstanden sein.

Vor diesem Hintergrund wird auch klar, warum das schlichte Einholen einer Einwilligung letztlich nicht ausreichend ist, sondern die Überlegungen zur Einhaltung der Pflichten weiter gehen müssen.
 

Ergänzung vom 26.11.2019:

Die Diözesandatenschutzkonferenz war zunächst der Meinung, dass eine Fotoeinwilligung, gerade bei Minderjährigen, immer in das konkrete Foto zu erfolgen habe, was natürlich sehr umständlich gewesen wäre. Von dieser Meinung ist die Konferenz mit Beschluss vom 4.4.2019 abgerückt:

"Die Konferenz der Diözesandatenschutzbeauftragten der Katholischen Kirche Deutschlands sieht es als ausreichend an, wenn die Einwilligung für konkret benannte Veranstaltungen vor bzw. bei Beginn des Schul- oder Kitajahres für das jeweilige Jahr eingeholt wird. Die Einwilligung kann entweder unmittelbar im Anmeldeprozess oder am ersten Schul- oder Kitatag eingeholt werden. Das Erfordernis, dass das konkrete Bild im Zeitpunkt der Unterzeichnung der Einwilligungserklärung vorliegen soll, entfällt."