Mitarbeiterfotos und Datenschutz: Einwilligung, Widerruf und was bei KI dazukommt

Das Wichtigste in Kürze

• Für Fotos auf Website, Social Media oder in Werbung brauchen Sie die Einwilligung jeder Person, schriftlich oder elektronisch.
• Die Teilnahme muss freiwillig sein. Wer nicht mitmacht, darf keine Nachteile haben.
• Ein Widerruf gilt ab sofort: Die Bilder verschwinden von Website und digitalen Kanälen.
• Bei KI-Porträts kommen dazu: ein Vertrag zur Auftragsverarbeitung, der Ort der Datenverarbeitung, Gesichtsmerkmale als mögliche biometrische Daten und die Kennzeichnung nach der KI-Verordnung.

Fotos von Mitarbeitenden sind personenbezogene Daten. Für die meisten Unternehmen ist das kein Hindernis, solange drei Dinge stimmen: eine saubere Einwilligung, ein klarer Weg für den Widerruf und Dienstleister, die nachweislich sorgfältig arbeiten. Bei KI-Porträts kommen einige Punkte hinzu, die klassische Ratgeber zu Mitarbeiterfotos noch nicht behandeln.

Die Einwilligung

Für Fotos auf der Website, in sozialen Medien, in Stellenanzeigen oder in Werbung braucht es die Einwilligung jeder abgebildeten Person. Das ergibt sich aus der DSGVO und für die Veröffentlichung zusätzlich aus dem Kunsturhebergesetz (§ 22 KUG). Eine gut formulierte Einwilligung deckt beides ab.

Im Arbeitsverhältnis gelten dafür besondere Regeln (§ 26 Abs. 2 BDSG):

• Freiwillig: Weil Beschäftigte abhängig sind, muss die Freiwilligkeit besonders klar sein. Wer nicht mitmacht, darf keine Nachteile haben.
• Schriftlich oder elektronisch: Ein mündliches Okay genügt nicht. Eine elektronische Einwilligung ist ausdrücklich zulässig.
• Vorher informiert: Die Person erfährt in Textform, wofür die Bilder genutzt werden und dass sie jederzeit widerrufen kann.

In die Einwilligung gehören:

1. Wer verantwortlich ist, also das Unternehmen mit Kontakt für Datenschutzfragen.
2. Die Zwecke, möglichst konkret: Website, Print, Social Media, Stellenanzeigen, interne Kommunikation.
3. Welche Dienstleister die Fotos verarbeiten und wo, vor allem bei einer Verarbeitung außerhalb der EU.
4. Wie lange Fotos und Bilder gespeichert werden.
5. Der Hinweis auf den Widerruf und wie er funktioniert.

Das Unternehmen muss die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO). Dokumentieren Sie deshalb, wer wann welcher Fassung zugestimmt hat.

Widerruf und Ausscheiden

Eine Einwilligung lässt sich jederzeit widerrufen, mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Praktisch heißt das: Die Bilder dieser Person verschwinden von der Website und aus den digitalen Kanälen. Bereits gedruckte Broschüren müssen nach verbreiteter Ansicht nicht eingestampft werden, neu gedruckt wird ohne die Person.

Endet das Arbeitsverhältnis, endet die Einwilligung nicht automatisch. Das hat das Bundesarbeitsgericht 2015 entschieden (BAG, 8 AZR 1011/13). Ob das unter der DSGVO uneingeschränkt gilt, ist umstritten. Üblich und sinnvoll ist, ausgeschiedene Mitarbeitende zeitnah von der Teamseite zu nehmen, weil der Zweck entfällt.

Was bei KI-Porträts dazukommt

Auftragsverarbeitung. Wer die Fotos von einem Dienstleister verarbeiten lässt, schließt mit ihm einen Vertrag zur Auftragsverarbeitung ab (Art. 28 DSGVO). Darin stehen auch seine Unterauftragnehmer, etwa Rechenzentren und Bildmodelle. Fragen Sie nach dieser Liste.

Ort der Verarbeitung. Viele Bildmodelle laufen in den USA. Das ist rechtlich möglich, etwa über das EU-US Data Privacy Framework oder Standardvertragsklauseln, muss aber in der Einwilligung stehen. Wenn Datenschutz- oder Compliance-Vorgaben es verlangen, wählen Sie einen Anbieter, der die gesamte Verarbeitung in der EU anbietet.

Gesichtsmerkmale. Um die Ähnlichkeit zu prüfen, vergleichen manche Anbieter technische Merkmale des Gesichts. Solche Merkmale können biometrische Daten sein, für die strengere Regeln gelten (Art. 9 DSGVO). Die Einwilligung sollte das deshalb ausdrücklich nennen. Bei großen Belegschaften kann eine Datenschutz-Folgenabschätzung nötig sein (Art. 35 DSGVO). Das entscheidet Ihr Datenschutzbeauftragter.

Training. Klären Sie, ob der Anbieter die Fotos zum Training von KI-Modellen nutzt. Für Mitarbeiterfotos sollte das ausgeschlossen sein.

Löschfristen. Handyfotos braucht nach der Fertigstellung niemand mehr. Sie sollten deutlich früher gelöscht werden als die fertigen Bilder.

Kennzeichnung. Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung (Art. 50 KI-VO). Anbieter müssen KI-Bilder maschinenlesbar kennzeichnen. Wer realistische KI-Bilder echter Personen veröffentlicht, muss offenlegen, dass sie künstlich erzeugt sind, wenn sie als Deepfake gelten. Die Leitlinien der EU-Kommission nennen als Beispiel den realistischen KI-Avatar eines Geschäftsführers. Sie sind nicht verbindlich, zeigen aber die Richtung. Ein Satz auf der Teamseite wie „Unsere Porträts sind mit KI erstellt“ oder ein kleines AI-Zeichen am Bild ist ein einfacher Weg.

Betriebsrat. Gibt es einen Betriebsrat, informieren Sie ihn früh. Ob er mitbestimmen darf, hängt vom Einzelfall ab.

Checkliste für Arbeitgeber

So setzt Tronio das um

• Jede Person liest vor dem ersten Foto die Einwilligung mit den Zwecken, die Ihr Unternehmen festgelegt hat. Tronio speichert Zeitpunkt und Fassung als Nachweis.
• Widerrufen geht jederzeit über den persönlichen Link. Fotos und Bilder werden dann sofort gelöscht, und Sie erfahren es im Portal und per E-Mail.
• Sie wählen den Berechnungsweg: „Nur in der EU“ oder „Höchste Bildqualität“ mit Verarbeitung außerhalb der EU, in den USA und in Asien.
• Der Vertrag zur Auftragsverarbeitung gilt mit der Bestellung, die Unterauftragnehmer stehen darin.
• Handyfotos löscht Tronio 30 Tage nach Fertigstellung, fertige Bilder nach 12 Monaten mit Erinnerung vorher.
• Tronio nutzt Fotos und Bilder nicht für Werbung und nicht zum Training von KI-Modellen.
• Jedes Bild ist in der Datei als KI-Bild gekennzeichnet. Auf Wunsch kommt ein dezentes, sichtbares AI-Zeichen dazu.

Wie die Mitarbeitenden gute Fotos machen, steht im Artikel Handyfotos für KI-Porträts.

Häufige Fragen