Was bei der Bereitstellung von Presse-Handouts zu beachten ist – Datenschutz in Medienportalen

Von Christian W. Eggers

In diesem Artikel geht es um den Datenschutz bei der Bereitstellung von Foto-, Video- und Grafik-Downloads zur Pressearbeit mittels Online-Medienportalen auf der Website von Unternehmen.

Die hier veröffentlichte Musterdatenschutzerklärung (Beispiel Unternehmens-Fotoportal) zur Information der Besucher und Nutzer des Medienportals dient zur Orientierung.

Bei der Einrichtung und dem Betrieb eines datenbankgestützten Downloadbereichs für Hand-out Fotos und andere Medien einer Pressestelle sind einige datenschutzrechtliche Aspekte zu berücksichtigen. Wie diese in der Praxis umgesetzt werden können, beschreibt dieser Artikel.

Themenfelder des Datenschutzes sind Ihre Berechtigungen beim Einstellen der Abbildungen von Personen (Fotos, Videos), die Erstellung einer Datenschutzerklärung für die Nutzer der Mediendatenbank und Ihre Pflichten bei der Zusammenarbeit mit Dienstleistern.

Medienportale als Service in der Presse- und Öffentlichkeitsarbeit – Hintergund

Die Vorteile eines Mediendownload-Service als Bestandteil eines Internetauftritts zur Pressearbeit der Unternehmen, Vereine und Behörden liegen auf der Hand: Journalisten und weitere Multiplikatoren können ohne großen Kommunikationsaufwand mit der Pressestelle zum Beispiel Fotos recherchieren und zur Veröffentlichung in ihren Medien herunterladen. So wächst die Anzahl der Abteilungen der Öffentlichkeitsarbeit, die mit eigenen Foto- und Videoportalen auf der technischen Basis einer Mediendatenbank (Asset Management System) Fotos der Geschäftsführer, Illustrationen zu Pressemitteilungen und Produktfotos online gestellt haben. Fotos, Filme und Grafiken können meist frei recherchiert werden und nach einer Nutzerregistrierung von Journalisten und weiteren Multiplikatoren mit Anerkennung der Allgemeinen Geschäftsbedingungen (AGB) der jeweiligen Pressestelle heruntergeladen und in ihren Medien veröffentlicht werden.

Die drei Felder des Schutzes personenbezogener Daten bei der Einrichtung von Medienportalen

Zunächst ist darauf abzustellen, wer überhaupt für den Datenschutz eines Medienportals verantwortlich ist. Verantwortlicher im Sinne der DSGVO ist die Organisation (juristische Person), der die Pressestelle angehört. Unabhängig davon, wer die Bildinhalte liefert und welche Abmachungen und Zusicherungen seitens Fotografinnen und Fotografen und anderen Zuliefernden bestehen.

So ist das Bereitstellen von Personenfotos mittels einer Datenbank stets der Organisation als Datenverarbeitung zuzurechnen, die über die einzustellenden Inhalte entscheidet und die die technische Infrastruktur zur Verfügung stellt. Für Verarbeitungen, die nach dem Download durch Multiplikatoren vorgenommen werden, sind dann diese wiederum datenschutzrechtlich verantwortlich.

Die datenschutzrechtlichen Erlaubnisse (Rechtsgrundlagen) müssen sich dabei auf drei Punkte der mit dem Betrieb eines Online-Medienportals anfallenden Datenverarbeitungen beziehen:

Datenschutz abgebildeter Personen: Für das Veröffentlichen und für die Weitergabe an Multiplikatoren von Fotos, die identifizierbare Personen zeigen, bedarf es einer Rechtsgrundlage entsprechend Art. 6 DSGVO.
Datenschutz bei Besuch und Nutzung des Portals: Datenverarbeitungen, die mit dem Besuch des Portals verbunden sind, bedürfen einer Rechtsgrundlage entsprechend Art. 6 DSGVO.
Technische externe Dienstleistungen: Häufig werden Bildportale mit einer gemieteten Software eines Dienstleisters betrieben, der darüber hinaus auch den Speicherplatz für die Bilder zur Verfügung stellt. In diesen Fällen bedarf es einer Vereinbarung über die datenschutzrechtlichen Pflichten in der Form eines sogenannten Auftragsdatenverarbeitungsvertrages gemäß Art. 28 DSGVO.

Datenschutz abgebildeter Personen

Werden Personen identifizierbar gezeigt, handelt es sich um personenbezogene Daten im Sinne der DSGVO. Als Rechtsgrundlagen für das Bereitstellen der Personenfotos kommen ein (Model-) Vertrag, die „berechtigten Interessen“ (bzw. das öffentliche Interesse bei behördlicher Pressearbeit) der jeweiligen Organisation und die Einwilligung der abgebildeten Personen in Betracht.

Die drei möglichen Erlaubnisse (Einwilligung, Vertrag, Interessen) müssen sich nicht nur auf das Veröffentlichen in der Datenbank beziehen. Wichtig ist, dass die Besonderheit der Weiterverwendung durch Multiplikatoren rechtlich abgesichert ist.

Die Reichweite der Einwilligung oder der Zustimmung im Rahmen eines Model-Vertrags muss sich daher ausdrücklich auf die Weitergabe der Fotos der Abgebildeten zur Nutzung durch Multiplikatoren der Presse- und Öffentlichkeitsarbeit beziehen.

Bei Weitergaben ist im Rahmen einer „Interessen-Rechtsgrundlage“ ist sehr genau abzuwägen, ob eine Weitergabe zur Verbreitung durch Dritte die Interessen der abgebildeten Personen überwiegt und damit rechtmäßig ist. Ein Prüfungsschema zur Rechtsgüterabwägung der „berechtigten Interessen“ für Unternehmen finden Sie hier im Nordbild Medienrecht-Blog.

Sollen die Namen der abgebildeten Personen angezeigt und in die IPTC-Daten des Bildes aufgenommen werden, so ist auch hierfür entweder eine Zustimmung (Einwilligung oder Model-Vertrag) oder ein „berechtigtes Interesse“ bzw. ein „öffentliches Interesse“ einer öffentlichen Stelle erforderlich.

Datenschutz beim Besuch und der Nutzung des Medienportals

Auffallend ist, dass nicht alle Medienportale der Pressestellen Datenschutzerklärungen für die Datenverarbeitungen enthalten, die der Verarbeitung von Nutzerdaten des Portals Rechnung tragen. In einigen Fällen werden die nach Art. 13 DSGVO notwendigen Informationen in das Kleingedruckte der AGB zur Einräumung der urheberrechtlichen Nutzungsrechte gemogelt. Hiervon ist abzuraten, da derartige Konstruktionen nicht der durch die DSGVO geforderten Transparenz entsprechen können. Aus Gründen der Anschaulichkeit wird nachfolgend die Datenschutzerklärung am Beispiel eines Fotoportals einer Pressestelle erläutert.

Datenschutzerklärung zur Nutzung des Portals

Im Prinzip verhält es sich bei der Datenschutzerklärung eines Medienportals genauso wie auf allen Websites. Die Erklärung muss von jeder aufgerufenen Seite per Link abrufbar sein und sämtliche Datenverarbeitungen beschreiben, die bei der Nutzung der Internetpräsenz anfallen. Die Datenschutzerklärung der Pressestelle bzw. der Organisation, der die Pressestelle angehört muss zwingend auch über die speziellen Datenverarbeitungen, die mit der Nutzung des Bildportals verbunden sind, informieren. In der Praxis kann dieses mit der Abrufbarkeit der Datenschutzerklärung der jeweiligen Organisation auf der Website erfolgen oder auch eine Datenschutzerklärung zusätzlich, nochmals speziell und hervorgehoben, auf den Fotoportalseiten auf die Umstände der Verarbeitung von Besucher- und Nutzerdaten des Portals hinweisen.

Was muss nun in der Datenschutzerklärung zum Download-Fotoportal stehen? Inhalt und Umfang der Erklärung richtet sich nach den jeweiligen Datenverarbeitungen sowie der Erlaubnis (Rechtsgrundlage), auf deren Grundlage die Besucher- und Nutzerdaten verarbeitet werden.

Rechtsgrundlagen zur Datenverarbeitung der Besucher- und Nutzerdaten

Mit der Datenschutzerklärung ist dem Betroffenen mitzuteilen, auf welcher Rechtsgrundlage seine Besucher und Nutzerdaten verarbeitet werden. Abzustellen ist auf zwei Vorgänge der Datenverarbeitungen: Zunächst geht es um die Daten, die mit dem Besuch des Bildportals und der Recherche im Bildbestand erhoben und gespeichert werden.

Datenverarbeitungen beim bloßen Besuch des Portals und bei der Bildrecherche

Die Daten, die mit einer bloßen Recherche im Portal anfallen, können, soweit sie sich auf die technisch notwendigen Datenverarbeitungen zur Funktion beziehen, auf der Rechtsgrundlage „berechtigter Interessen“ (Art. 6 Abs. 1 Buchst. f DSGVO) bzw. „öffentliches Interesse“ (Art. 6 Abs. 1 Buchst. e DSGVO) bei einer Datenbank einer öffentlichen Stelle gestützt werden. Dem entsprechend ist in der Datenschutzerklärung grafisch hervorgehoben auf das Widerspruchsrecht des Betroffenen (Art. 21 DSGVO) hinzuweisen.

Datenverarbeitungen bei Bilddownloads über persönliche Zugangsberechtigungen

Wird die Downloadberechtigung mit einer Anmeldung zur Identifikation des Nutzers im Portal verbunden, bedarf es auch zur Speicherung der Registrierungsdaten der Nutzer einer Rechtsgrundlage entsprechend Art. 6 DSGVO. Mit dem Herunterladen werden die Nutzungsbedingungen des Bildangebotes (AGB) angenommen und die Nutzung der Bilddaten damit lizenziert. Unerheblich ist dabei, dass die Einräumung der Nutzungsrechte wie meist üblich und sinnvoll unentgeltlich erfolgt.

Wird mit zugeteilten Zugangsdaten gearbeitet und werden durch die Pressestelle Login-Daten zur Dokumentationen der Bildnutzungen erstellt, rechtfertigt die Rechtsgrundlage Vertrag (Art. 6 Abs. 1 Buchst. b DSGVO) diese weitgehenden Datenverarbeitungen. Denn ohne die Erhebung und Speicherung von Anmeldedaten (Kontaktdaten der Nutzer sowie Nutzer-Passwörter) wäre die Einräumung von Nutzungsrechten gegenüber bestimmten Personen als Vertragspartner nicht möglich. In der Datenschutzerklärung ist also der Nutzer darauf hinzuweisen, dass das Speichern der Kontaktdaten und der Login-Daten der Nutzer sowie das eventuelle Erfassen seiner getätigten Downloads auf der Rechtsgrundlage eines Vertrags zur Einräumung von Nutzungsrechten vorgenommen werden.

Technische Leistungen externer Dienstleister

Nicht alle Unternehmen, Vereine und öffentliche Stellen leisten sich eigene Server zur Bereitstellung ihrer Bilddaten zum Download durch Multiplikatoren. Werden also Dienstleister verpflichtet, ist der Besucher des Portals auch darüber aufzuklären, dass personenbezogene Daten im Rahmen einer Auftragsdatenverarbeitung zum Hosting durch den Dienstleister empfangen werden. Es ist weiterhin verpflichtend einen Auftragsdatenverarbeitungsvertrag mit dem Dienstleister schließen und Nutzer des Bildportals darüber zu informieren.

Wird eine Software zur Realisierung der Bilddatenbank gemietet, ist auch zu fragen, ob der Softwarevermieter des Asset Media Managementsystems Empfänger der Daten ist. So zum Beispiel, weil ein Fernwartungsvertrag abgeschlossen wurde und der Dienstleister Funktionen der Datenbank überwacht. Auch dieser Umstand eines externen Dienstleisters ist dann in der Datenschutzerklärung unter Empfänger der Daten im Rahmen eines Auftragsdatenverarbeitungsvertrages zu benennen.

Muster zur Datenschutzerklärung eines Fotoportals

Die hier gezeigte Datenschutzerklärung eines Portals eines Unternehmens soll Ihnen zeigen, wie die Informationen der Besucher aufgebaut werden können. Es sind natürlich immer individuelle Anpassungen an die besonderen rechtlichen Erfordernisse sowie der technischen Abläufe der Datenverarbeitungen der jeweiligen Organisation notwendig.

Letzte Aktualisierung dieses Artikels am 23. Mai 2020

Der Autor dieses Artikels, Christian W. Eggers, ist freiberuflicher Dozent für Fortbildungen im Bildrechtemanagement und Medienrecht, zertifizierte Fachkraft für Datenschutz sowie Autor des Buches „Quick Guide Bildrechte“. Sein Schulungsangebot zum Bildrecht ist auf die Fortbildung von Fach- und Führungskräften in der Unternehmenskommunikation und der Presseverlage ausgerichtet.