DSGVO und Mitarbeiterfotos in Luxemburg: ein praktischer Leitfaden für Unternehmen

Ja, Ihr Unternehmen darf Mitarbeitende fotografieren und diese Bilder in Luxemburg verwenden — aber nur mit einer klaren Rechtsgrundlage nach der DSGVO und wenn Sie den Menschen vorab sagen, wie ihr Bild verwendet wird. Für die meisten internen Verwendungen funktioniert ein dokumentiertes berechtigtes Interesse meist besser als eine Einwilligung; für Werbung und externe Nutzung brauchen Sie in der Regel eine echte, freiwillig erteilte Einwilligung, weil Mitarbeitende ihrem Arbeitgeber nicht ohne Weiteres Nein sagen können.

Dieser Leitfaden richtet sich an Luxemburger Unternehmen, Fintech- und Finanzteams und die vielen internationalen Arbeitgeber hier, deren Arbeitsplätze auf EN/FR laufen. Er ist eine allgemeine Orientierung, keine Rechtsberatung.

Was nach der DSGVO als „Foto“ zählt

Ein identifizierbares Foto eines Mitarbeitenden ist ein personenbezogenes Datum, die DSGVO gilt also ab dem Moment, in dem Sie es aufnehmen, speichern oder veröffentlichen. Ein Gesicht, ein Namensschild, ein Schreibtisch mit sichtbaren Dokumenten oder eine erkennbare Silhouette können jemanden identifizierbar machen.

Einige praktische Folgen:

• Fotos in Ihrem Intranet, auf Ihrer Website, auf LinkedIn, auf Dienstausweisen und im CRM sind alle eine „Verarbeitung“.
• Besondere Kategorien von Daten (z. B. religiöse Kleidung, eine sichtbare gesundheitliche Beeinträchtigung, ein gewerkschaftlicher Kontext) erfordern besondere Sorgfalt und eine stärkere Rechtsgrundlage.
• Auch die interne Speicherung in Dropbox, SharePoint oder auf einem gemeinsamen Laufwerk zählt und muss gesichert sein.

Einwilligung vs. berechtigtes Interesse: welche Rechtsgrundlage Sie nutzen

Wählen Sie die Rechtsgrundlage vor dem Shooting, nicht danach. Im Arbeitsverhältnis behandeln die Luxemburger Aufsichtsbehörde (die CNPD) und die EU-Leitlinien die Einwilligung mit Vorsicht, weil das Machtgefälle zwischen Arbeitgeber und Mitarbeitenden bedeutet, dass eine Einwilligung selten „freiwillig“ ist.

Eine nützliche Faustregel:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) ist meist die sauberere Grundlage für betriebliche Verwendungen, bei denen die Mitarbeitenden vernünftigerweise damit rechnen, fotografiert zu werden: ein Organigramm, ein internes Verzeichnis, ein Sicherheits-/Zugangsausweis, eine Teamseite. Sie müssen eine Interessenabwägung durchführen und dokumentieren, die zeigt, dass Ihr Interesse die Rechte der Mitarbeitenden nicht überwiegt.
• Einwilligung (Art. 6 Abs. 1 lit. a) ist die sicherere Grundlage für werbliche oder freiwillige Verwendungen: Marketingkampagnen, Werbung, die Karriereseite, Social Media, ein persönliches Porträt, das extern genutzt wird. Weil sich Mitarbeitende unter Druck gesetzt fühlen können zuzustimmen, muss eine Ablehnung wirklich folgenlos und einfach sein.

Was Sie auch wählen, schreiben Sie auf, warum. Wenn Sie je mit einer Beschwerde konfrontiert werden, ist „wir haben unsere Begründung dokumentiert“ der Unterschied zwischen einem behebbaren Problem und einer Feststellung gegen Sie.

Was in einen Fotohinweis oder ein Einwilligungsformular gehört

Ein guter Fotohinweis beantwortet in einfacher Sprache: wer, warum, wo und wie lange. Halten Sie ihn kurz, stellen Sie ihn auf EN und FR bereit, wenn das zu Ihrer Belegschaft passt, und bewahren Sie die unterschriebene oder protokollierte Version auf.

Nehmen Sie auf:

• Identität des Verantwortlichen und Kontakt (sowie den DSB/Kontakt, falls vorhanden).
• Zweck: z. B. internes Verzeichnis, „Über uns“-Seite der Website, Recruiting, Social Media, Presse.
• Rechtsgrundlage für jede Verwendung (berechtigtes Interesse vs. Einwilligung).
• Umfang: nur intern oder extern/öffentlich; welche Kanäle.
• Aufbewahrungsdauer und was die Löschung auslöst.
• Rechte: Auskunft, Widerspruch, Löschung und das Recht, eine Einwilligung jederzeit zu widerrufen.
• Dritte: Ihr externer Fotograf, Ihre Agentur, Ihr CMS oder Social-Media-Plattformen.

Vermeiden Sie bei einwilligungsbasierten Verwendungen vorab angekreuzte Kästchen und Schweigen. Eine Einwilligung muss eine aktive, konkrete Zustimmung sein und so einfach zu widerrufen, wie sie erteilt wurde.

Interne vs. externe Nutzung: unterschiedlich behandeln

Interne Nutzung (Intranet, Ausweise, Verzeichnisse) und externe Nutzung (Website, Werbung, Social Media) tragen unterschiedliche Risiken, trennen Sie sie daher in Ihrem Formular. Jemand erscheint vielleicht gern im Mitarbeiterverzeichnis, möchte sein Gesicht aber nicht in einer bezahlten Recruiting-Anzeige sehen.

Praktisches Vorgehen:

• Nutzen Sie Kästchen pro Kanal, damit Menschen intern zustimmen und extern ablehnen können.
• Für externe werbliche Nutzung ziehen Sie die Einwilligung vor und bestätigen Sie sie vor einer großen Kampagne erneut.
• Denken Sie daran, dass sich externe Inhalte verbreiten: Ein LinkedIn-Post kann per Screenshot festgehalten und weitergeteilt werden, genau deshalb sind Menschen hier wählerischer.

Aufbewahrung und Austritte: einen Löschplan haben

Legen Sie vorab fest, wie lange Sie Mitarbeiterfotos aufbewahren und was passiert, wenn jemand das Unternehmen verlässt. Standardmäßig sollten interne Bilder, die an eine aktive Funktion gebunden sind, entfernt oder archiviert werden, wenn diese Funktion endet, es sei denn, Sie haben einen gesonderten, dokumentierten Grund, sie zu behalten.

Wenn jemand das Unternehmen verlässt:

• Entfernen Sie die Person zügig aus aktivem Intranet, Verzeichnis und Ausweissystemen.
• Nehmen Sie extern veröffentlichte Fotos, deren Grundlage eine Einwilligung war, auf Anfrage herunter und prüfen Sie proaktiv die Karriereseite und aktuelle Kampagnen.
• Kommen Sie Lösch- und Widerrufsanfragen nach, indem Sie Kopien auf Laufwerken, in Backups und im Archiv des Fotografen finden, und dokumentieren Sie, was Sie gelöscht haben.
• Beachten Sie die Grenze: Sie dürfen ein Bild behalten, wenn es einen echten, rechtmäßigen Grund gibt (zum Beispiel ein historisches Pressefoto eines öffentlichen Events), aber „es ist praktisch“ ist keiner.

Gruppenfotos, Events und das Büro im Hintergrund

Gruppen- und Eventfotos sind normal und meist gut vertretbar, aber sagen Sie es den Menschen, bevor die Kamera herauskommt, und bieten Sie eine einfache Möglichkeit an, nicht abgebildet zu werden. Ein Sommerfest der Firma, ein Konferenzstand, ein Preisverleihungsabend — all das darf man vernünftigerweise fotografieren, sofern die Teilnehmenden informiert sind.

Gute Praxis im EN/FR-Umfeld Luxemburgs:

• Bringen Sie am Eingang oder in der Einladung einen kurzen zweisprachigen Hinweis an: Es werden Fotos gemacht, verwendet für X, wenden Sie sich an Y, wenn Sie nicht abgebildet werden möchten.
• Halten Sie ein „Opt-out“-Band, einen Aufkleber oder einen Sitzbereich für alle bereit, die lieber nicht erscheinen möchten.
• Für nahe, identifizierbare Einzelaufnahmen, die im Marketing genutzt werden, holen Sie auch bei einem Event eine konkrete Einwilligung ein.
• Achten Sie auf beiläufige Daten im Hintergrund: Kundendokumente, Bildschirme, Sicherheitsanordnungen.

Nach dem Luxemburger Arbeitsgesetzbuch ist die systematische Überwachung von Beschäftigten ein eigenes Regelwerk, das die Information der Personalvertretung (oder der ITM) und gegebenenfalls eine Stellungnahme der CNPD erfordert. Gewöhnliche Unternehmens- und Eventfotografie ist keine Überwachung am Arbeitsplatz, aber lassen Sie ein „Fotoprojekt“ nicht stillschweigend zu einer dauerhaften Überwachung werden.

Zusammenarbeit mit Ihrem Fotografen: die Vertragsdetails

Ihr Fotograf ist Auftragsverarbeiter, wenn er die Bilder Ihres Teams aufnimmt und speichert, daher braucht die Zusammenarbeit einen schriftlichen Auftragsverarbeitungsvertrag. Er schützt Sie und macht den Fotografen für Sicherheit, Aufbewahrung und Löschung der Dateien verantwortlich.

Was Sie von einem professionellen Produktionspartner erwarten können:

• Eine Verarbeitungsklausel zu Vertraulichkeit, Sicherheit, Unterauftragsverarbeitern und Löschung auf Anfrage.
• Klarheit darüber, wer die Masterdateien hält, wie lange und wie sie gespeichert werden (verschlüsselt, mit Zugriffskontrolle).
• Eine saubere Übergabe der ausgewählten Bilder und die Löschung des Rests innerhalb einer festgelegten Frist.
• Mitwirkung bei Lösch- und Austrittsanfragen, einschließlich des Entfernens von Bildern aus seinem Archiv.
• Hilfe bei der Vorbereitung einfacher, zweisprachiger Vorlagen für Einwilligung und Hinweis für den Shootingtag.

Bei Lux Photo Pro bauen wir diese Erwartungen standardmäßig in Unternehmensshootings in Luxemburg ein, weil ein reibungsloser, regelkonformer Ablauf Teil eines professionellen Ergebnisses ist und kein nachträglicher Gedanke.

FAQ

Brauchen wir immer eine schriftliche Einwilligung, um Mitarbeitende zu fotografieren? Nein. Für routinemäßige interne Verwendungen können Sie sich oft auf ein dokumentiertes berechtigtes Interesse stützen. Für Marketing und externe Veröffentlichung ist eine echte Einwilligung der sicherere Weg, weil die Einwilligung von Mitarbeitenden freiwillig erteilt und einfach widerrufbar sein muss.

Kann ein Mitarbeitender verlangen, dass wir sein Foto nach dem Austritt entfernen? Ja. War die Grundlage eine Einwilligung, kann er sie widerrufen und die Löschung verlangen, und Sie sollten das Bild aus aktiven Kanälen und Archiven entfernen, es sei denn, Sie haben einen gesonderten rechtmäßigen Grund, es zu behalten.

Wer ist verantwortlich, wenn unser externer Fotograf die Bilder weitergibt? Beide Seiten haben Pflichten: Sie sind der Verantwortliche, der Fotograf ist Auftragsverarbeiter. Ein schriftlicher Auftragsverarbeitungsvertrag, der Sicherheit, Aufbewahrung und Löschung festlegt, ist unverzichtbar, um die Verantwortung zu verteilen und Ihr Team zu schützen.