Werbevideos für Reisen: Sind Gesichter unkenntlich zu machen?

Die Veröffentlichung von Videoaufnahmen, auf denen Urlauber ohne ihre Einwilligung erkennbar sind, verstößt gegen Art. 5 Abs. 1 lit. a DSGVO, wenn sich der Verantwortliche nicht auf eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO berufen kann. Die Aufsichtsbehörde darf in einem solchen Fall nach Art. 58 Abs. 2 lit. d DSGVO anordnen, sämtliche veröffentlichten Filmaufnahmen so zu verändern, dass eine Identifizierung der abgebildeten Personen ausgeschlossen ist, sofern keine Einwilligung vorliegt.

Welcher Sachverhalt lag der vorliegenden Entscheidung zugrunde?

Gegenstand des Verfahrens war eine datenschutzrechtliche Anordnung einer Aufsichtsbehörde gegenüber einem Unternehmen, das über einen Social-Media-Account Videoaufnahmen von Reiseerlebnissen veröffentlichte. In den Aufnahmen waren teils leicht bekleidete Personen erkennbar, ohne dass eine Einwilligung zur Veröffentlichung vorlag. Die Behörde ordnete an, sämtliche veröffentlichten Filmaufnahmen so zu verändern, dass eine Identifizierung der abgebildeten Personen nicht mehr möglich ist, und drohte für den Fall der Nichtbefolgung ein Zwangsgeld an. Zugleich wurde die sofortige Vollziehung der Anordnung angeordnet.

Wann ist eine Anordnung inhaltlich hinreichend bestimmt?

Eine behördliche Anordnung muss nach § 37 Abs. 1 VwVfG NRW inhaltlich so klar und unzweideutig gefasst sein, dass der Adressat sein Verhalten danach ausrichten kann. Maßgeblich ist dabei nicht allein der verfügende Teil des Bescheids, sondern die Auslegung des gesamten Regelungsgehalts unter Berücksichtigung der Begründung, entsprechend §§ 133, 157 BGB.

Bezieht sich eine Anordnung darauf, dass eine Identifizierung von Personen „unter Berücksichtigung aller Mittel, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden“, ausgeschlossen sein muss, greift dies den Wortlaut von Erwägungsgrund 26 Sätze 3 und 4 zur DSGVO auf. Diese Formulierung stellt eine hinreichende Konkretisierung des Ziels der Maßnahme dar und begründet keine unzulässige Übertragung einer Auswahlentscheidung auf den Adressaten, da die Frage der Identifizierbarkeit von der zum Verarbeitungszeitpunkt verfügbaren Technologie und den objektiven Umständen des Einzelfalls abhängt. Aus der Rechenschaftspflicht nach Art. 5 Abs. 2, Art. 24 Abs. 1 Satz 1 DSGVO folgt zudem, dass der Verantwortliche selbst zu beurteilen hat, ob eine Person anhand der veröffentlichten Aufnahmen identifizierbar ist.

Eine Anordnung, die sich auf sämtliche bis zum Zeitpunkt des Bescheiderlasses veröffentlichten Aufnahmen bezieht, ist ebenfalls hinreichend bestimmt, wenn sie sich auf eine bestimmbare Gruppe von Videos bezieht und nicht auf künftig zu veröffentlichende Inhalte erstreckt.

Welche Rechtsgrundlage ist für die Datenverarbeitung erforderlich?

Personenbezogene Daten dürfen gemäß Art. 5 Abs. 1 lit. a DSGVO nur auf rechtmäßige Weise verarbeitet werden. Eine Rechtmäßigkeit setzt eine Verarbeitungsgrundlage nach Art. 6 Abs. 1 DSGVO voraus. Fehlt eine Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO, kommt eine Rechtfertigung über das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO nur in Betracht, wenn eine dreistufige Prüfung durchlaufen wird: Zunächst muss ein berechtigtes Interesse des Verantwortlichen oder eines Dritten bestehen. Sodann muss die Verarbeitung zur Verwirklichung dieses Interesses erforderlich sein, wofür kein milderes, gleich effektives Mittel zur Verfügung stehen darf. Schließlich dürfen die Grundrechte und Grundfreiheiten der betroffenen Person das Interesse des Verantwortlichen nicht überwiegen.

Ein wirtschaftliches Interesse an werblicher Nutzung von Videoaufnahmen genügt für sich genommen nicht, um die Erforderlichkeit der Identifizierbarkeit unbeteiligter Personen zu begründen, wenn diese Personen weder zum inhaltlichen Beitrag des Videos beitragen noch selbst über ihre Reiseeindrücke berichten. Die Erforderlichkeit kann insbesondere nicht allein damit begründet werden, dass eine bestimmte Verarbeitungsform aus Sicht des Verantwortlichen wirtschaftlich am sinnvollsten erscheint (vgl. VG Ansbach, 23.02.2022 - Az: AN 14 K 20.00083; EuGH, 04.07.2023 - Az: C-252/21; EuGH, 11.12.2019 - Az: C-708/17).

Wie ist die Interessenabwägung vorzunehmen?

Im Rahmen der abschließenden Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO trägt der Verantwortliche nach Art. 5 Abs. 2, Art. 24 Abs. 1 Satz 1 DSGVO die Darlegungslast dafür, dass die Interessen der betroffenen Person nicht überwiegen (vgl. EuGH, 04.07.2023 - Az: C-252/21). Werden Personen in einer Situation aufgenommen, in der sie vernünftigerweise nicht mit einer weiteren Verarbeitung ihrer Daten rechnen müssen, können die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen (Erwägungsgrund 47 Satz 4 zur DSGVO). Dies gilt insbesondere, wenn zwischen den Beteiligten keine vertraglichen oder geschäftlichen Verbindungen bestehen, die eine solche Datenverarbeitung vernünftigerweise absehbar machen (vgl. OVG Niedersachsen, 19.01.2021 - Az: 11 LA 16/20).

Der weitere Inhalt ist nur für registrierte Nutzer zugänglich. Bitte melden Sie sich an oder registrieren Sie sich für einen Zugang.

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.