DSGVO-konforme Kundengalerie für Fotobox-Events: Was Betreiber wirklich brauchen

Gästefotos von Hochzeiten und Firmenevents sind personenbezogene Daten — oft sogar mit klarem Gesichtsbezug. Wer als Fotobox-Betreiber diese Bilder verarbeitet, speichert und weitergibt, ist damit automatisch Teil eines datenschutzrechtlich relevanten Vorgangs. Das betrifft nicht nur Konzerne, sondern jeden Einzelunternehmer, der eine Box vermietet.

Die drei häufigsten Fehler bei Foto-Galerien

• Öffentlich indexierte Galerie-Links. Wenn ein Link ohne Zugriffsschutz oder mit erratbarer URL öffentlich auffindbar ist, können auch Unbeteiligte auf Gästefotos zugreifen.
• Cloud-Speicher ohne Auftragsverarbeitungsvertrag. Wird ein Anbieter genutzt, mit dem kein AVV besteht, fehlt die rechtliche Grundlage für die Auftragsverarbeitung der Eventfotos.
• Keine klaren Löschfristen. Fotos, die unbegrenzt gespeichert bleiben, ohne dass Kunden oder Gäste wissen, wie lange und warum, sind ein regelmäßiger Kritikpunkt bei Anfragen von Firmenkunden.

Was passiert, wenn's schiefgeht

Ein hypothetisches, aber realistisches Szenario: Ein Gast scannt nach der Veranstaltung den QR-Code auf seiner Eventkarte — landet aber nicht in der eigenen Galerie, sondern, weil der Link erratbar oder gar von einer Suchmaschine indexiert war, in der Galerie eines völlig anderen Events aus derselben Woche. Für die betroffenen Personen ist das kein Bagatellfall: Es handelt sich um eine Datenpanne im Sinne der DSGVO, mit potenzieller Meldepflicht gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und, je nach Schwere, gegenüber den Betroffenen selbst (Art. 34 DSGVO). Für den Betreiber bedeutet das im ungünstigsten Fall Dokumentationsaufwand, Erklärungsbedarf beim Kunden und einen Reputationsschaden, der sich schwerer beheben lässt als jede technische Panne. Entscheidend dabei: Das Risiko entsteht nicht durch böse Absicht, sondern durch eine einzige strukturelle Schwachstelle — einen erratbaren oder indexierten Link.

Was eine saubere Galerie-Lösung braucht

Vier Bausteine machen den Unterschied zwischen "irgendwie gelöst" und einem Ablauf, der auch einer kritischen Nachfrage standhält:

• Private QR-Links statt offener Ordner — Zugriff nur für Personen mit dem passenden Link, nicht über Suchmaschinen auffindbar.
• AVV mit dem Software-Anbieter — klare Vertragsgrundlage, wer welche Daten wie lange verarbeitet.
• Definierte Löschkonzepte — ein Event-Ablaufdatum, nach dem Fotos automatisch oder auf Anfrage gelöscht werden.
• EU-Hosting — Datenverarbeitung innerhalb der EU vereinfacht die Argumentation gegenüber Kunden erheblich.

Löschkonzept in der Praxis

Ein Löschkonzept muss nicht kompliziert sein, aber es muss konkret sein. "Wir löschen irgendwann" reicht bei einer kritischen Nachfrage nicht aus. Sinnvoll ist ein klar kommuniziertes Ablaufdatum pro Event oder Paket — zum Beispiel eine feste Anzahl Tage im kostenlosen Testmodus, danach automatische Löschung, während sich die Aufbewahrung bei bezahlter Nutzung nach dem mit dem Kunden vereinbarten Zeitraum richtet. Wichtiger als die exakte Frist ist die Tatsache, dass es überhaupt eine gibt — und dass sie im Angebot oder AVV schriftlich festgehalten ist, statt erst auf Nachfrage improvisiert zu werden. Kunden, die vorab eine klare Antwort auf "Was passiert mit den Fotos danach?" bekommen, fragen seltener kritisch nach als Kunden, die selbst nachhaken müssen.

Wer ist eigentlich verantwortlich?

Als Betreiber bleibst du in aller Regel der datenschutzrechtlich Verantwortliche für die Fotos deiner Events — auch wenn du eine Software nutzt. Der Software-Anbieter agiert als Auftragsverarbeiter. Damit das rechtlich sauber läuft, braucht es einen AVV zwischen dir und dem Anbieter. Ohne diesen Vertrag fehlt die Grundlage dafür, dass der Anbieter Gästefotos überhaupt verarbeiten darf.

Checkliste: Was ein AVV mit dem Software-Anbieter regeln sollte

Nicht jeder AVV ist gleich vollständig. Diese Punkte sollten konkret beantwortet sein, bevor du ihn unterschreibst oder deinen Kunden vorlegst:

• Welche Daten genau verarbeitet werden (Fotos, ggf. Namen bei Freigabe-Workflows)
• Wo die Daten gespeichert werden — explizit innerhalb oder außerhalb der EU
• Wie lange die Daten vorgehalten werden, bevor sie automatisch gelöscht werden
• Wer im Fall einer Datenpanne informiert wird und innerhalb welcher Frist
• Ob und welche Unterauftragsverarbeiter eingesetzt werden
• Wie die Löschung nach Vertragsende oder Kündigung erfolgt

Praxis-Tipp für Firmenkunden-Anfragen

Bei Corporate-Events wird ein AVV häufig aktiv nachgefragt, bevor ein Angebot überhaupt akzeptiert wird. Wer hier sofort ein vorbereitetes Dokument anbieten kann, wirkt spürbar professioneller als Mitbewerber, die erst nach der Anfrage improvisieren müssen. Dasselbe gilt für die Löschfrist: Wer sie ungefragt im Angebot nennt, beantwortet die Rückfrage, bevor sie gestellt wird.

Dieser Beitrag ersetzt keine Rechtsberatung. Für eine verbindliche Einschätzung zu deinem konkreten Geschäftsmodell empfiehlt sich eine individuelle datenschutzrechtliche Prüfung.