Mitarbeiterfotos und Datenschutz: was HR beim revDSG beachten muss

Ein Portraitfoto identifiziert eine Person unmittelbar. Damit ist es ein Personendatum, und die Verarbeitung braucht einen definierten Zweck, eine begrenzte Dauer und eine saubere vertragliche Grundlage.

Zweckbindung

Ein Foto, das für den Zutrittsausweis erhoben wurde, ist damit nicht automatisch für das Intranet, die Website oder eine Marketingbroschüre freigegeben. Wer beides möchte, holt beides ein — und dokumentiert es getrennt.

Aufbewahrung

Nach dem Export in das Zielsystem hat die Fotoplattform keinen Grund mehr, das Bild vorzuhalten. Die Löschung sollte deshalb nicht als Aufräumarbeit geplant sein, sondern als fester Schritt am Ende des Prozesses.

Auftragsverarbeitung

Wird die Erfassung ausgelagert, entsteht ein Auftragsverarbeitungsverhältnis. Zu klären sind mindestens: Wo stehen die Server? Wer hat administrativen Zugriff? Werden Unterauftragnehmer eingesetzt? Wie lange dauert die Löschung nach dem Export?

Ein praktischer Hinweis zu KI

Ob und wie ein Gesicht verändert wird, ist eine eigene Frage. Ein System, das den Hintergrund ersetzt und den Ausschnitt setzt, verändert das Gesicht nicht. Ein generatives System täte das — bei einem Ausweisdokument wäre das nicht vertretbar.

Dieser Beitrag ist eine Einordnung und ersetzt keine Rechtsberatung.