Der Datenschutzbeauftragte der EKD hat am Mittwoch eine neue Handreichung zu »Datenschutz bei der Anfertigung und Veröffentlichung von Fotos« veröffentlicht. Angesichts seiner letzten Veröffentlichungen könnte man mit einer besonders strengen Auslegung rechnen – tatsächlich bewegt er sich dieses Mal im eher gemäßigten Bereich der Auslegung ohne große Überraschungen.

Berechtigtes Interesse – kreativ nachgebaut

Interessant ist dabei vor allem, wie mit den Rechtsgrundlagen umgegangen wird – denn das DSG-EKD hat eine sehr deutlichen Unterschied zur DSGVO bei den Rechtsgrundlagen. In der Handreichung des EKD-Datenschützers zeichnet sich aber eine sehr praktische Umgehungsstrategie ab.

Normalerweise ist die Rechtsgrundlage der Wahl für die Aufnahme und das Veröffentlichen von Fotos »berechtigtes Interesse«. Anwender*innen des DSG-EKD haben aber ein Problem: »die Verarbeitung ist zur Wahrung der berechtigten Interessen eines Dritten erforderlich«, lautet die Formulierung in § 6 Nr. 8 DSG-EKD – im Vergleich zur DSGVO fehlt hier der Verantwortliche als Partei, deren Interessen in die Waagschale geworfen werden kann.

In früheren Stellungnahmen, etwa zum Datenschutz im Verein und zum Medienprivileg, kam das berechtigte Interesse bei Fotos nicht vor. In der neuen Arbeitshilfe steht es plötzlich gleich an erster Stelle – allerdings in einer ungewöhnlichen Formulierung: »Werden die Fotos zu Zwecken angefertigt, bei denen es sich um berechtigte Interessen der verantwortlichen Stelle handelt, so sind § 6 Nr. 4 i. V. m. (der Interessenabwägung aus) § 6 Nr. 8 DSG-EKD als Rechtsgrundlage heranzuziehen.« – Nr. 4 ist das bisher (auch im KDG) reichlich unklare »kirchliche Interesse«. Hier scheint es, als hätte sich der DSB-EKD ein DSGVO-äquivalentes berechtigtes Interesse mit etwas kreativer Akrobatik aus den zur Verfügung stehenden Rechtsgrundlagen zusammengebaut. Anders als die DSGVO und die KDG kennt das DSG-EKD auch keine Einschränkung des berechtigten Interesses auf Stellen, nicht nicht öffentlich-rechtlich verfasst sind sowie öffentliche Stellen, soweit sie im Wettbewerb stehen.

Folgt man dieser Strategie, kann das DSG-EKD plötzlich für Verantwortliche deutlich einfacher angewandt werden. (Bereits in der Vereins-FAQ wurde diese Formulierung en passant, aber nicht für Fotos, verwendet; aufgefallen ist sie mir erst hier.)

Weitere interessante Punkte

• Die Handreichung geht sehr klar davon aus, dass das Kunsturhebergesetz (KUG) anwendbar ist – und zwar nicht nur für journalistische Zwecke (wie es eine zurückhaltende Interpretation der bisherigen Rechtssprechung zu DSGVO und KUG nahelegen würde), sondern generell. Noch ein Punkt, an dem der Umgang mit Fotos deutlich vereinfacht wird.
• Normalerweise kann man darauf bauen, dass der DSB-EKD immer die schärfstmögliche Interpretation wählt – hier überraschenderweise fast durchgängig nicht, inklusive dem Hinweis, dass der Begriff der Versammlung oder ähnlicher Vorgänge im Kunsturheberrecht weit zu verstehen sei. Als Beispiele werden »Veranstaltungen von Kirchengemeinden (z. B. Gemeindefest, Adventsbasar)« und »Veranstaltungen diakonischer Einrichtungen (z. B. Sommerfest, Tag der offenen Tür)« genannt.
• Ein deutlicher Widerspruch findet sich in der Handreichung: Während auf S. 9 unter der Überschrift »Gegenausnahme bei berechtigtem Interesse« bei Minderjährigen »stets« eine Einwilligung erforderlich sein soll, wird schon im Abschnitt eine Seite später doch von »Konstellationen« gesprochen, »in denen Bilder von Kindern und Jugendlichen im Rahmen des berechtigten Interesses nach § 6 Nr. 4 i. V .m. Nr. 8 DSG-EKD verarbeitet werden dürfen«. Aufgelöst wird der Widerspruch nicht. (Eine Antwort auf meine Presseanfrage dazu ist für kommende Woche angekündigt.)
• Kein im engeren Sinne datenschutzrechtlicher, sondern ein kluger pädagogischer Hinweis: »Von einer Unkenntlichmachung eines Kindes, dessen Eltern keine Einwilligung erklärt haben – etwa durch einen schwarzen Balken – sollte abgesehen werden. Dies hätte zum einen eine stigmatisierende Wirkung und zum anderen könnten sich die Betroffenen in ihrer freien Entscheidung eingeschränkt fühlen.«
• Ähnlich dem Beschluss seiner katholischen Kolleg*innen sieht auch der DSB-EKD in Kitas und Schulen eine pauschale Einwilligung bei der Anmeldung unter bestimmten Bedingungen als zulässig an.
• An einer Stelle gibt es dann doch eine viel zu weitreichende Position: Wenn »Gesundheitsdaten oder ethnische Merkmale erkennbar sind«, sollen Fotos besondere Kategorien personenbezogener Daten enthalten. Explizit genannt werden »sichtbare Behinderung oder auch ein medizinisches Hilfsmittel«. Die Position ist so überzogen (jeder Mensch hat »erkennbare ethnische Merkmale«) wie inklusionsfeindlich – jeder Mensch mit Rollstuhl, Hörgerät oder sogar Brille wäre dann in der Darstellung ein datenschutzrechtliches Problem. Mit Blick auf Videoüberwachung hat der Europäische Datenschutzausschuss explizit mit den Beispielen Rollstuhl und Brille die Position vertreten, dass nicht jede Bilderfassung schon die Anwendbarkeit der Normen über besondere Kategorien nach sich zieht. (Guidelines 3/2019 on processing of personal data through video devices, Rn. 60 und 61.) In Erwägungsgrund 51 der DSGVO hat der Gesetzgeber genau dazu nichts gesagt, allerdings mit Blick auf die Frage nach biometrischen Daten festgestellt, dass die »Verarbeitung von Lichtbildern […] nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden« sollte. (Dazu auch bei Reichert & Reichert: Fotos als sensible Daten.)

Fazit

In der Tendenz ist die neue Arbeitshilfe sehr erfreulich und bricht mit dem DSB-EKD-Trend, immer die strengstmögliche Auslegung zu vertreten. Pragmatische, umsetzbare Auslegungen schwächen nicht das Datenschutzniveau – sie ermöglichen vielmehr eine breitere Umsetzung und erhöhen die Vermittelbarkeit von Datenschutzmaßnahmen.

Die Argumentation, wie sich Verantwortliche auch nach dem DSG-EKD auf berechtigtes Interesse berufen können, ist kreativ – aber sinnvoller wäre es, wenn es solche Krücken erst gar nicht bräuchte und das DSG-EKD berechtigtes Interesse gleichlautend mit der DSGVO formulieren würde.