Ist eine Fotobox DSGVO-konform?

Die kurze Antwort

Eine Fotobox auf einer privaten Feier ist datenschutzrechtlich unproblematisch, solange die Nutzung freiwillig ist und die Bilder nicht ohne Zustimmung veröffentlicht werden. Bei Firmenevents kommen zwei Punkte hinzu: Fotos von Mitarbeitenden brauchen für eine Veröffentlichung eine gesonderte, wirklich freiwillige Einwilligung, und wenn der Anbieter die Bilder auf seinen Servern verarbeitet, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Der einfachste Weg, beides klein zu halten: eine Box, die Bilder lokal speichert und nichts automatisch hochlädt.

• Aufnahme: freiwillige Nutzung ist die Einwilligung — niemand wird hineingezogen
• Veröffentlichung: braucht eine gesonderte Zustimmung, auch bei privaten Feiern
• Cloud-Upload durch den Anbieter: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
• Rein private Feiern fallen unter die Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO)

Die Haushaltsausnahme — warum private Feiern anders sind

Die DSGVO gilt nach Art. 2 Abs. 2 lit. c nicht für die Verarbeitung personenbezogener Daten durch natürliche Personen zu ausschließlich persönlichen oder familiären Zwecken. Eine Hochzeit oder ein Geburtstag im Freundes- und Familienkreis fällt darunter — die Bilder, die dort entstehen, unterliegen für das Brautpaar oder den Gastgeber nicht dem vollen Pflichtenprogramm der Verordnung. Diese Ausnahme endet allerdings an zwei Stellen, und beide werden regelmäßig übersehen.

• Sie endet bei der Veröffentlichung: Ein Bild auf einem öffentlichen Instagram-Profil ist nicht mehr rein privat
• Sie endet beim Anbieter: Für den Vermieter der Box ist die Verarbeitung geschäftlich, nie privat
• Sie gilt gar nicht bei Firmenevents, Vereinsfesten oder öffentlichen Veranstaltungen
• Unabhängig davon gilt das Recht am eigenen Bild (§ 22 KUG) bei jeder Veröffentlichung

Wo die Bilder liegen — die wichtigste Frage an jeden Anbieter

Hier trennt sich die Spreu vom Weizen, und es ist der Punkt, an dem ihr am meisten Aufwand sparen könnt. Eine Fotobox, die Bilder ausschließlich lokal auf dem Gerät speichert und erst nach dem Event vom Kunden selbst ausgelesen wird, verarbeitet für den Anbieter praktisch keine personenbezogenen Daten. Eine Box, die jedes Bild sofort in eine Cloud hochlädt, tut das sehr wohl — und dann braucht es einen Auftragsverarbeitungsvertrag, eine Auskunft über den Serverstandort und eine Löschfrist.

• Werden Bilder automatisch hochgeladen, oder bleiben sie auf dem Gerät?
• Wo stehen die Server — EU oder Drittland? Bei Drittland: auf welcher Grundlage?
• Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und zwar ohne Nachfragen?
• Wie lange bleiben Bilder in einer Online-Galerie abrufbar, und wer kann sie löschen?
• Ist die Galerie öffentlich erreichbar oder nur über einen nicht erratbaren Link?
• Werden Gesichter automatisch erkannt oder zugeordnet? Das wäre ein biometrisches Datum nach Art. 9 DSGVO und damit eine ganz andere Kategorie

Firmenfeier: Fotos von Mitarbeitenden

Im Arbeitsverhältnis ist Einwilligung ein empfindliches Wort, weil zwischen Arbeitgeber und Beschäftigten kein Gleichgewicht besteht. § 26 Abs. 2 BDSG verlangt deshalb, dass die Freiwilligkeit tatsächlich gegeben ist — wer ablehnt, darf keinen Nachteil haben, und niemand darf sich gedrängt fühlen. Für die Nutzung der Box selbst ist das unkritisch: Wer nicht hineingeht, wird nicht fotografiert. Kritisch wird es bei der Verwendung der Bilder auf der Karriereseite, auf LinkedIn oder im Newsletter.

• Interne Erinnerungsfotos: unkritisch, freiwillige Nutzung genügt
• Veröffentlichung nach außen: gesonderte, schriftlich dokumentierte Einwilligung — und Widerruf jederzeit möglich
• Eine Sammel-Einwilligung im Arbeitsvertrag trägt eine spätere Veröffentlichung nicht zuverlässig
• Ein Aushang neben der Box mit Zweck, Verantwortlichem und Widerruf kostet nichts und beendet die Diskussion
• Betriebsrat: Eine Fotobox überwacht kein Verhalten und keine Leistung — eine Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG greift in der Regel nicht. Information vorab erspart trotzdem Rückfragen

Neu seit August 2026: KI-Fotoboxen müssen gekennzeichnet werden

Boxen, die Bilder durch künstliche Intelligenz verändern — Stilfilter, Comic-Effekte, generierte Hintergründe, Avatar-Erzeugung — fallen unter Art. 50 der EU-KI-Verordnung. Deren Transparenzpflichten gelten seit dem 2. August 2026. Wer solche Bilder erzeugt, muss sie als künstlich erzeugt oder bearbeitet kennzeichnen, maschinenlesbar und für die abgebildete Person erkennbar. Das betrifft Anbieter wie Gastgeber gleichermaßen und ist bei den meisten am Markt beworbenen KI-Fotoboxen bislang nicht umgesetzt.

• Kennzeichnungspflicht für KI-erzeugte oder KI-veränderte Bilder (Art. 50 EU-KI-VO)
• Die Kennzeichnung muss maschinenlesbar sein, ein Wasserzeichen allein genügt nicht zwingend
• Wer Gesichter an einen externen KI-Dienst sendet, verarbeitet dort personenbezogene Daten — Serverstandort und Auftragsverarbeitung klären
• Gesichtserkennung oder -zuordnung wäre ein biometrisches Datum nach Art. 9 DSGVO und braucht eine ausdrückliche Einwilligung
• Fragt einen Anbieter mit KI-Funktion konkret, wie er Art. 50 umsetzt — die Antwort ist aufschlussreich

Was ihr als Gastgeber konkret tun könnt

Der Aufwand ist gering, wenn man ihn vor dem Event erledigt statt danach. Diese fünf Punkte decken die praktisch relevanten Fälle ab und sind in einer Viertelstunde erledigt.

• Ein kleines Schild neben der Box: wer verantwortlich ist, wofür die Bilder verwendet werden, wie man widerspricht
• Die Box so aufstellen, dass niemand versehentlich im Bild landet, der nicht will
• Vor einer Veröffentlichung fragen — bei Gruppenbildern jede erkennbare Person
• Bilder nach dem Event zeitnah vom Gerät nehmen und dort löschen
• Bei Firmenevents: kurze Abstimmung mit dem oder der Datenschutzbeauftragten vor der Buchung

Wie BoxShot es handhabt

Die BoxShot-Fotobox speichert alle Aufnahmen lokal auf dem Gerät. Es gibt keinen automatischen Cloud-Upload, keine Gesichtserkennung und keine biometrische Auswertung — die Box arbeitet auch vollständig ohne Internetverbindung. Die Online-Galerie ist optional, nur über einen nicht erratbaren Link erreichbar und wird auf Wunsch gelöscht. Weil damit für uns als Anbieter im Regelfall keine Bildverarbeitung stattfindet, bleibt der organisatorische Aufwand auf eurer Seite klein. Für Firmenkunden stellen wir auf Anfrage einen Auftragsverarbeitungsvertrag bereit, falls die Online-Galerie genutzt wird. Details stehen in unserer Datenschutzerklärung.