Einwilligung Foto- & Bildrechte Muster | KUG + DSGVO-konform

Eine Einwilligungserklärung Foto- und Bildrechte ist ein einseitiges, höchstpersönliches Rechtsgeschäft, mit dem die abgebildete Person dem Verantwortlichen die Verarbeitung ihres Bildnisses gestattet. Juristisch handelt es sich um die Einwilligung des Abgebildeten im Sinne des § 22 KUG und zugleich um die Einwilligung der betroffenen Person nach Art. 4 Nr. 11 DSGVO. Beide Rechtsregime greifen parallel, seit das Bundesverwaltungsgericht und die Datenschutzkonferenz die Geltung des KUG neben der DSGVO ausdrücklich bestätigt haben. Wer das verkennt und nur eine Modellfreigabe nach KUG einholt, läuft Gefahr, datenschutzrechtlich angreifbar zu sein, denn ein Foto ist immer auch ein personenbezogenes Datum im Sinne des Art. 4 Nr. 1 DSGVO.

Die Einwilligung unterscheidet sich vom Model-Release-Vertrag vor allem durch ihre Widerruflichkeit. Während ein klassischer Modelvertrag eine vertragliche Nutzungsrechtseinräumung darstellt, ist die Einwilligung ein freiwilliger, jederzeit für die Zukunft widerrufbarer Akt. Sie unterscheidet sich auch vom Lichtbildvertrag zwischen Fotograf und Auftraggeber, der das Urheberrecht am Lichtbild selbst regelt, nicht aber die Persönlichkeitsrechte der abgebildeten Person. Beide Dokumente sind unabhängig voneinander erforderlich, sobald ein Foto eine identifizierbare Person zeigt und veröffentlicht werden soll. Unsere Vorlage deckt ausschließlich die persönlichkeitsrechtliche und datenschutzrechtliche Seite ab, also genau das Dokument, das in der Praxis am häufigsten fehlt.

Der rechtliche Rahmen ruht auf zwei Säulen, die nebeneinander Anwendung finden. Die erste Säule ist das Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie (KUG). Nach § 22 KUG dürfen Bildnisse nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden. § 23 KUG lässt eng begrenzte Ausnahmen zu, etwa für Personen der Zeitgeschichte, Bilder von Versammlungen oder Bildnisse als Beiwerk einer Landschaft. Diese Ausnahmen sind in der Praxis schmal: Ein Foto eines Kunden bei einer Firmenfeier ist kein Bild der Zeitgeschichte, und ein Mitarbeiterporträt auf der Unternehmenswebsite ist kein Beiwerk im Sinne der Rechtsprechung des BGH zur kommerziellen Bildnisverwendung.

Die zweite Säule ist die Datenschutz-Grundverordnung. Jedes Personenfoto stellt eine Verarbeitung personenbezogener Daten dar, die nach Art. 6 Abs. 1 DSGVO einer Rechtsgrundlage bedarf. Im außerjournalistischen Bereich, also bei Vereinen, Unternehmen, Schulen und Veranstaltern, ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO der praktisch wichtigste Rechtfertigungstatbestand. Die DSGVO stellt dabei strenge Anforderungen: Die Einwilligung muss freiwillig, informiert, spezifisch und unmissverständlich erteilt werden. Sie muss vom übrigen Vertragstext deutlich abgesetzt sein (Art. 7 Abs. 2 DSGVO) und der Betroffene muss vor Abgabe über sein Widerrufsrecht belehrt werden (Art. 7 Abs. 3 DSGVO). Verstöße können nach Art. 83 Abs. 5 lit. a DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden.

Bei Minderjährigen wird das Regelwerk noch enger. Bis zur Vollendung des 14. Lebensjahres müssen ausschließlich die Sorgeberechtigten einwilligen. Zwischen 14 und 18 Jahren verlangt die ganz herrschende Meinung eine Doppeleinwilligung der Eltern und des Jugendlichen, weil die Jugendlichen die Tragweite zwar einschätzen können, aber noch nicht voll geschäftsfähig sind. Eine Einwilligung, die nur ein Elternteil unterschreibt, obwohl gemeinsames Sorgerecht besteht, ist unwirksam. Wer professionelle Vorlagen für DSGVO-konforme Erklärungen im Alltag benötigt, sollte diese Stolperfallen kennen.

Der Klassiker ist das Mitarbeiterporträt auf der Unternehmenswebsite. Sobald ein Arbeitnehmer mit Bild und Funktionsbezeichnung im Team-Bereich der Website oder auf LinkedIn erscheint, braucht es eine schriftliche Einwilligung, die nicht im Arbeitsvertrag versteckt sein darf. Das Landesarbeitsgericht Köln hat in einem viel zitierten Urteil festgestellt, dass eine pauschale Klausel im Arbeitsvertrag nicht den Anforderungen der DSGVO genügt und der Arbeitnehmer auch nach dem Ausscheiden die Löschung verlangen kann. Praktisch heißt das: separate Erklärung, separate Unterschrift, separater Widerruf.

Der zweite große Anwendungsfall sind Veranstaltungen und Vereinsleben. Wer Fotos von einer Vereinsfeier, einem Firmenjubiläum, einer Hochzeit oder einer Konferenz auf Social Media stellen will, muss die Einwilligung jeder erkennbaren Person einholen, bevor das Bild online geht. Die in vielen Einladungen versteckte Klausel "Mit Ihrer Teilnahme erklären Sie sich mit Foto- und Videoaufnahmen einverstanden" ist nach ständiger Rechtsprechung der Aufsichtsbehörden unwirksam, weil sie weder freiwillig noch spezifisch ist. Sportvereine, die Kinder beim Training fotografieren und in der Vereinszeitschrift oder auf Instagram zeigen, brauchen eine separate Elterneinwilligung pro Kind.

Der dritte Fall betrifft die kommerzielle Nutzung von Personenbildnissen in Werbung, Katalogen, Imagebroschüren oder Print-Anzeigen. Hier wird neben der Foto-Einwilligung in aller Regel zusätzlich ein vergüteter Model-Release benötigt, weil das KUG bei werblicher Nutzung besonders streng ausgelegt wird. Auch Schulen, Kitas und soziale Einrichtungen, die Bilder ihrer Schüler oder Klienten verwenden, fallen in diese Kategorie. Ein Sonderfall: Patientenfotos in Arztpraxen oder Kliniken unterliegen zusätzlich der ärztlichen Schweigepflicht nach § 203 StGB und erfordern eine besonders detaillierte Einwilligung mit klarer Zweckbestimmung.

• Die Identifikation der Parteien benennt die abgebildete Person mit vollständigem Namen, Geburtsdatum und Anschrift, ferner den Verantwortlichen im Sinne des Art. 4 Nr. 7 DSGVO mit Firmenname, Anschrift und Kontaktdaten des Datenschutzbeauftragten, sofern bestellt. Ohne diese Angaben ist die Einwilligung nicht "informiert" und damit nach Art. 7 Abs. 2 DSGVO angreifbar.

• Die Zweckbestimmung beschreibt präzise, wofür die Bilder verwendet werden dürfen: Website, Social-Media-Kanäle (jeweils einzeln benannt), Print-Publikationen, Pressearbeit, interne Kommunikation oder kommerzielle Werbung. Eine Sammeleinwilligung "für alle denkbaren Zwecke" ist nach Auffassung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) unwirksam und in jedem Bußgeldverfahren ein leichtes Ziel.

• Die Nutzungsumfang-Klausel legt fest, ob die Veröffentlichung weltweit, EU-weit oder nur national erfolgt, und ob die Bilder an Dritte (Pressestellen, Agenturen, Druckereien) weitergegeben werden dürfen. Bei Übermittlung in Drittländer außerhalb der EU ergänzt die Vorlage automatisch den Hinweis nach Art. 49 Abs. 1 lit. a DSGVO zum Schutzniveau-Risiko.

• Die Speicherdauer wird konkret benannt, entweder als feste Frist (zum Beispiel drei Jahre nach Veröffentlichung) oder zweckgebunden ("solange der Mitarbeiter dem Unternehmen angehört"). Eine unbegrenzte Speicherung ohne sachlichen Grund verstößt gegen den Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO.

• Die Widerrufsbelehrung weist gemäß Art. 7 Abs. 3 DSGVO darauf hin, dass die Einwilligung jederzeit für die Zukunft widerrufen werden kann, ohne dass dadurch die Rechtmäßigkeit bereits erfolgter Verarbeitung berührt wird. Sie nennt eine konkrete Anschrift und E-Mail-Adresse für den Widerruf. Wer hier nur "an die Geschäftsführung" schreibt, riskiert die Unwirksamkeit der gesamten Einwilligung.

• Die Betroffenenrechte nach Art. 15 bis 21 DSGVO werden vollständig aufgelistet: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie das Beschwerderecht bei der zuständigen Aufsichtsbehörde nach Art. 77 DSGVO. Diese Belehrung ist Pflicht, nicht Kür.

Bayern und Baden-Württemberg verfolgen über das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) und den Landesbeauftragten für Datenschutz Baden-Württemberg eine besonders strenge Linie bei Vereinsfotos. Beide Behörden haben öffentlich Bußgeldverfahren gegen Sportvereine geführt, die ohne saubere Einwilligungen Kinderfotos auf Vereinswebsites veröffentlicht hatten. Die Vorlage berücksichtigt diese Verwaltungspraxis und enthält in der bayerischen Variante einen verstärkten Hinweis auf die Sorgeberechtigtenbefugnis nach § 1629 BGB.

Nordrhein-Westfalen hat über das LDI NRW mehrfach klargestellt, dass Foto-Einwilligungen in Arbeitsverhältnissen besonders kritisch geprüft werden, weil die Freiwilligkeit zwischen Arbeitgeber und Arbeitnehmer wegen des Abhängigkeitsverhältnisses regelmäßig fraglich ist (§ 26 Abs. 2 BDSG). Unsere Vorlage enthält für arbeitsrechtliche Konstellationen eine ausdrückliche Klarstellung, dass die Verweigerung der Einwilligung keine nachteiligen Folgen für das Arbeitsverhältnis hat — ein Punkt, den das LDI in seinen Prüfungen besonders sucht. Wer regelmäßig Mitarbeiterfotos einsetzt, sollte zusätzlich seine Prozesse zur Mitarbeiterunterlagen und Personalverwaltung sauber dokumentieren.

Berlin und Hamburg haben in den letzten Bußgeldjahren mehrere fünfstellige Sanktionen gegen Veranstalter und Eventagenturen verhängt, die mit pauschalen Einlasshinweisen ("Mit Betreten der Veranstaltung erklären Sie sich mit Foto- und Videoaufnahmen einverstanden") gearbeitet hatten. Die Vorlage enthält daher für Veranstaltungsszenarien einen Mustertext für die individuelle Einholung am Empfang, nicht als versteckte AGB-Klausel.

Sachsen, Thüringen und Mecklenburg-Vorpommern wenden bei Vereins- und Bildungseinrichtungen denselben strengen Maßstab an, fokussieren aber besonders auf die Trennung von Trainings- und Wettkampfbildern. Wer Bilder von Schulwettbewerben oder Vereinsmeisterschaften verbreitet, muss in diesen Bundesländern in der Einwilligung ausdrücklich zwischen redaktioneller und werblicher Verwendung unterscheiden, weil die Aufsichtsbehörden hier am genauesten hinschauen.

Sie beginnen mit der Auswahl des Szenarios: Mitarbeiter, Verein, Veranstaltung, Schule, Patient oder kommerzielles Modell. Das Formular passt daraufhin automatisch die Rechtsgrundlage, die Zweckbeschreibung und die zusätzlichen Belehrungen an. Anschließend tragen Sie die Daten der abgebildeten Person ein, bei Minderjährigen ergänzend die der Sorgeberechtigten. Geburtsdatum ist Pflicht, weil das System bei Personen unter 18 Jahren automatisch die Doppeleinwilligungsklausel einblendet.

Im nächsten Schritt definieren Sie den Nutzungsumfang: Welche Plattformen sollen abgedeckt sein? Soll die Nutzung weltweit oder regional erfolgen? Werden die Bilder an Dritte weitergegeben? Jede Antwort verändert den Vertragstext, sodass am Ende keine pauschale Sammeleinwilligung, sondern eine maßgeschneiderte Erklärung entsteht. Sie legen die Speicherdauer fest, entweder als feste Frist oder zweckgebunden, und benennen die Kontaktstelle für den Widerruf.

Zum Abschluss prüft das System, ob alle datenschutzrechtlichen Pflichtangaben enthalten sind: Verantwortlicher, Zwecke, Rechtsgrundlage, Speicherdauer, Betroffenenrechte, Widerrufsmöglichkeit und Beschwerderecht bei der Aufsichtsbehörde. Erst dann wird das Dokument als Word- und PDF-Datei freigegeben. Sie unterzeichnen es ausgedruckt oder per qualifizierter elektronischer Signatur, archivieren es im Personalbereich oder im Vereinsordner und können bei einer Aufsichtskontrolle jederzeit den Nachweis nach Art. 7 Abs. 1 DSGVO führen, dass die Einwilligung rechtswirksam erteilt wurde.

Der häufigste Fehler ist die Koppelung der Einwilligung an den Vertragsschluss. Eine Klausel im Arbeitsvertrag, im Vereinsbeitrittsformular oder in der Anmeldung zu einer Veranstaltung, die das Foto-Einverständnis miterklärt, verstößt gegen das Koppelungsverbot aus Art. 7 Abs. 4 DSGVO und ist regelmäßig unwirksam. Die Einwilligung muss optisch und inhaltlich vom Hauptgeschäft getrennt sein, idealerweise auf einem eigenen Blatt mit eigener Unterschrift. Ebenso fatal ist die fehlende Zweckbeschränkung: Wer pauschal "zur Öffentlichkeitsarbeit" einwilligen lässt, hat in der späteren Auseinandersetzung mit einem widerrufenden Mitarbeiter oder Vereinsmitglied keine Chance.

Der zweite Klassiker ist die schludrige Behandlung des Widerrufs. Sobald ein Betroffener widerruft, muss das Foto unverzüglich von allen aktiven Kanälen entfernt werden, einschließlich Social-Media-Posts, Pressemitteilungen und Werbematerialien. Bereits gedruckte Broschüren dürfen nicht weiterverteilt werden. Wer hier zögert oder den Widerruf einfach ignoriert, riskiert sowohl Unterlassungsansprüche nach § 1004 BGB analog in Verbindung mit § 823 BGB als auch ein Bußgeldverfahren der Aufsichtsbehörde. Ein dritter Stolperstein ist die unklare Behandlung von Gruppenfotos: Sobald eine Person nicht eingewilligt hat, muss sie unkenntlich gemacht werden, was in der Praxis oft vergessen wird. Schließlich übersehen viele Verantwortliche die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und können im Prüfungsfall nicht nachweisen, wann, wie und in welchem Umfang die Einwilligung eingeholt wurde. Eine saubere Archivierung der unterschriebenen Erklärungen ist daher keine Formalie, sondern Pflicht. Ein weiteres Element solider Compliance ist die DSGVO-konforme Mieterselbstauskunft, die nach denselben Prinzipien aufgebaut ist und in Vermieter-Konstellationen denselben Risiken vorbeugt.