Während Datenschutzgesetze auf nationaler Ebene keine Neuigkeit sind, wird mit der DSGVO der EU das Ziel verfolgt, die Datenschutzbestimmungen in den Mitgliedstaaten der Europäischen Union zu stärken und untereinander zu harmonisieren. Dies betrifft alle Unternehmen, die mit personenbezogenen Daten von EU-Staatsangehörigen umgehen und wird deshalb auch für die meisten Unternehmen ausserhalb der EU (wie z.B. in den USA oder der Schweiz) wirksam.

Die DSGVO tritt automatisch per 25. Mai 2018 in Kraft. Die Medien, Berater und Rechtsanwälte versuchen seit langem, daraus Kapital zu schlagen, indem sie beispielsweise allerlei Übereinstimmungs-Checklisten und massgescheiderte Beratungen anbieten.

Viele Inhalte, welche in Digital Asset Management (DAM) Systemen verwaltet werden, stellen personenbezogene Daten dar. Es stellt sich deshalb die Frage, inwiefern Kunden von DAM-Systemen von der DSGVO betroffen sind und wie sie Ihre Compliance-Prozesse optimieren können.

Sensitive persönliche Daten in DAM-Systemen

Unternehmen, welche Digital Asset Management (DAM)-Systeme einsetzen, sind in der Regel stark von der der DSGVO betroffen, weil Bilder und Videos von Privatpersonen mehr als nur ihre ID oder Namen aufdecken können. Ein Bild kann leicht “Rassenzugehörigkeit” oder ethnische Herkunft, den physischen oder psychischen Zustand, religiöse Ansichten und noch mehr enthüllen.

Solche personenbezogenen Daten werden als besonders schützenswerte Personendaten betrachtet und als solche im Rahmen der DSGVO an strengere Bedingungen geknüpft. Deshalb sollten die Kunden und Benutzer von einer Digital Asset Management Software als Datenverantwortliche (Data Controllers) folgendes sicherstellen:

• Die DAM-Softwareanbieter müssen den Verarbeitungsanweisungen der Auftraggeber Rechnung tragen und allgemein die DSGVO einhalten, wie dies bspw. bei Picturepark der Fall ist.
• Die ausdrückliche Zustimmung der bspw. auf Bildern abgebildeten Personen (Datensubjekte) für die Verarbeitung der persönlichen Daten muss vorliegen und auch später jederzeit vom Datensubjekt zurückgezogen werden können.

Einhaltung der DSGVO seitens DAM-Systemanbietern

Die Kunden von DAM-Systemen und ihre Benutzer sind die auftraggebenden Datenverantwortlichen (Data Controllers) und die DAM-Systemanbieter (bzw. Cloud-Hoster) die Auftragsdatenverarbeiter (Data Processors).

Datenverantwortliche müssen sicherstellen, dass die Auftragsdatenverarbeiter personenbezogene Daten nur gemäss Anweisung und übereinstimmend mit dem Einverständnis der Datensubjekte verarbeiten sowie den gesetzlichen Anforderungen der DSGVO genügen. Der Auftragsdatenverarbeiter muss seinerseits sicherstellen, dass alle seine Unterlieferanten wiederum denselben Prinzipien folgen.

In der Praxis bedeutet dies, dass die Kunden von DAM-Systemen ganz genau wissen müssen, wo und wie ihre Daten durch DAM-Systemanbieter abgelegt und verarbeitet werden, z.B. im Rahmen des Cloud Hostings oder für die Erbringung von technischem Support.

Obwohl dies auf den ersten Blick als eine Angelegenheit für Rechsanwälte erscheinen mag, erfordert die DSGVO von international tätigen Unternehmen das Ergreifen diverser Massnahmen und Änderungen vieler technischer und organisatorischer Prozesse, was bei einer Kette von Unterlieferanten rasch sehr anspruchsvoll werden kann.

Deshalb sollten sich Kunden von DAM-Systemen rechtzeitig mit dem Inhalt ihrer bestehenden Verträge mit ihrem DAM-Anbieter vertraut machen, um sicherzustellen, dass sie als Datenverantwortliche den Datensubjekten auch wirklich guten Gewissens die Einhaltung der DSGVO ab dem 25. Mai 2018 gewährleisten können.

In der Realität bedeutet dies, dass ein Editor, der die Bilder mit Menschen in ein DAM-System hochladen möchte, von allen auf dem Bild erscheinenden Menschen das Einverständnis vorliegen haben muss, und zwar genau für den Zweck, wie das Bild später verwendet werden soll.

Bei vielen Aufnahmen kann die explizite Zustimmung direkt bei einem Shooting eingeholt werden, indem bspw. alle Teilnehmer ein Freigabeformular unterzeichnen – eigentlich nichts Neues, aber halt doch öfters nicht gemacht.

In vielen anderen Situationen aber befinden sich Menschen auf den Bildern, die unter Umständen nicht einmal wissen, dass Aufnahmen von ihnen gemacht werden oder wofür diese später genau Verwendung finden. Nehmen wir als Beispiel eine Veranstaltung, auf welcher miteinander sprechende Personen fotografiert werden oder bspw. auch explizit zu einem Gruppenfoto zusammenkommen. Ein Plakat am Eingang der Veranstaltung mit der Aufschrift “Hiermit erteilen Sie Ihre Freigabe zur Verwendung der Bilder für allerlei Zwecke” reicht leider nicht, denn man muss eine explizite Zustimmung für bestimmte Verwendungen von jeder Person einholen.

Diese Zustimmung sollte unbedingt in Schriftform vorliegen, und sie kann beim Registrieren für die Veranstaltung erteilt oder wiederum durch das Zeichnen von Formularen eingeholt werden. Grundsätzlich sollte auch eine mündliche Zusage reichen, diese sind später aber schwierig zu beweisen.