Mitarbeiterfotos in sozialen Medien: Was HR wissen muss

Rechtlicher Hinweis: Dieser Artikel bietet allgemeine Informationen, keine Rechtsberatung. Arbeitsrecht, Datenschutz und Bildrechte können sich in jedem Einzelfall unterschiedlich auswirken. Wende dich für eine Beratung zu deiner Organisation, Kampagne und Rechtsordnung an eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt.

Deine sicherste Grundregel ist einfach: Hol dir eine dokumentierte, konkrete, freiwillige Zustimmung (Opt-in), bevor du eine identifizierbare Mitarbeiterin oder einen identifizierbaren Mitarbeiter auf einem öffentlichen Social-Media-Kanal veröffentlichst.

Verstecke diese Erlaubnis nicht in einem Arbeitsvertrag. Leite sie nicht daraus ab, dass jemand für die Kamera gelächelt hat. Und mache berechtigtes Interesse nicht zur routinemäßigen Rechtfertigung für Employer-Branding-Beiträge.

Dieser Maßstab mag konservativ wirken, schützt dich aber vor den Problemen, mit denen HR-Teams tatsächlich zu kämpfen haben: Beschwerden von Mitarbeitenden, Löschanfragen, beschädigtes Vertrauen, Abmahnungen und Beiträge, die noch lange nach Ende der ursprünglichen Kampagne online bleiben.

Warum ein Mitarbeiterfoto mehrere Rechtsfragen aufwirft

Ein identifizierbares Mitarbeiterfoto ist im Sinne der DSGVO grundsätzlich personenbezogene Daten. Das Aufnehmen, Speichern, Auswählen, Bearbeiten und Veröffentlichen sind jeweils eigenständige Verarbeitungsvorgänge.

In Deutschland und anderen DACH-Märkten musst du zusätzlich die Persönlichkeits- und Bildrechte der Mitarbeitenden berücksichtigen, oft als „Recht am eigenen Bild" bezeichnet. Der zentrale Grundsatz ist, dass Menschen selbst kontrollieren sollen, ob und wie erkennbare Bilder von ihnen veröffentlicht werden.

Eine dritte Ebene ist das Urheberrecht. Die Fotografin, der Fotograf oder die Agentur kann Rechte am Bild besitzen, selbst wenn jede fotografierte Mitarbeiterin und jeder fotografierte Mitarbeiter zugestimmt hat. Die Erlaubnis der abgebildeten Person verschafft dir nicht automatisch eine Lizenz vom Fotografen, und eine Fotolizenz ersetzt nicht die Erlaubnis der Mitarbeitenden.

Du musst deshalb drei Fragen beantworten:

1. Hast du eine Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten der Mitarbeiterin oder des Mitarbeiters?
2. Hast du die Erlaubnis, das Abbild der Person im geplanten Kontext zu veröffentlichen?
3. Verfügst du über die nötige Lizenz, um das Foto zu nutzen, zu bearbeiten und zu verbreiten?

Mitarbeiterfotos in sozialen Medien brauchen eine echte Zustimmung

Einwilligungen im Arbeitsverhältnis werden besonders kritisch geprüft, weil der Arbeitgeber die stärkere Machtposition hat. Mitarbeitende könnten befürchten, dass eine Ablehnung sie unkooperativ wirken lässt oder ihrer Karriere schadet.

Dein Prozess muss eine Ablehnung wirklich folgenfrei machen. Sag das klar, biete eine praktikable Möglichkeit zum Opt-out, und beweise durch dein Verhalten, dass ein „Nein" akzeptiert wird.

Eine gültige Einwilligung sollte:

• konkret in Bezug auf Zweck und vorgesehene Nutzung sein;
• informiert erfolgen, mit verständlichen Datenschutzhinweisen;
• durch eine eindeutige, aktive Handlung erteilt werden;
• freiwillig und frei von Druck sein;
• dokumentiert sein, damit du nachweisen kannst, was die Mitarbeiterin oder der Mitarbeiter akzeptiert hat;
• genauso leicht widerrufbar sein, wie sie erteilt wurde.

Schweigen ist keine Einwilligung. Die Teilnahme an einer Firmenveranstaltung ist keine Einwilligung. In eine Kamera zu blicken ist keine Einwilligung zur Veröffentlichung auf LinkedIn, Instagram, in bezahlter Werbung und in künftigen Recruiting-Kampagnen.

Verzichte auf pauschale Einwilligungen beim Onboarding

Eine pauschale Klausel, die zusammen mit Dutzenden Onboarding-Dokumenten unterschrieben wird, ist eine schwache Grundlage für öffentliche Social-Media-Beiträge. Sie gibt der Mitarbeiterin oder dem Mitarbeiter wenig Kontext und verlangt oft eine unbegrenzte Nutzung über nicht näher bestimmte Kanäle und künftige Kampagnen hinweg.

Ersetze pauschale Formulierungen durch Entscheidungen auf Kampagnenebene. Jemand ist vielleicht gerne in einem organischen LinkedIn-Beitrag zu sehen, lehnt aber bezahlte Werbung, persönliches Tagging oder eine zeitlich unbegrenzte Nutzung auf einer Karriereseite ab.

Dein Formular oder digitaler Freigabeprozess sollte Folgendes festhalten:

• den Zweck der Kampagne oder des Inhalts;
• das Foto oder eine klar definierte Auswahl von Fotos;
• jeden relevanten Kanal;
• ob bezahlte Promotion geplant ist;
• ob die Mitarbeiterin oder der Mitarbeiter namentlich genannt oder getaggt werden darf;
• den voraussichtlichen Veröffentlichungszeitraum;
• wer den Inhalt erhält oder verwaltet;
• wie die Einwilligung widerrufen werden kann;
• was eine öffentliche Social-Media-Veröffentlichung in der Praxis bedeutet.

Öffentliche Beiträge können außerhalb deiner Kontrolle kopiert, geteilt, heruntergeladen oder indexiert werden. Sag das den Mitarbeitenden von Anfang an, ohne es als Ausrede zu nutzen, um das Löschen von Inhalten aus Kanälen zu vermeiden, die du selbst kontrollierst.

Berechtigtes Interesse ist nicht die Standardgrundlage für Employer Branding

Die DSGVO erkennt berechtigte Interessen als mögliche Rechtsgrundlage für bestimmte Verarbeitungen an. Dafür musst du ein tatsächliches Interesse benennen, die Erforderlichkeit der Verarbeitung darlegen und dieses Interesse gegen die Rechte und berechtigten Erwartungen der betroffenen Person abwägen.

Für werbliche Social-Media-Inhalte solltest du stattdessen auf Einwilligung setzen. Employer Branding nützt der Organisation, die Veröffentlichung ist öffentlich, und die Mitarbeiterin oder der Mitarbeiter fühlt sich nach der Veröffentlichung des Bildes möglicherweise nicht mehr frei, zu widersprechen.

Es gibt engere Ausnahmefälle, in denen eine Mitarbeiterin oder ein Mitarbeiter nur beiläufig auf einer Übersichtsaufnahme zu sehen ist, etwa auf einem Weitwinkelfoto einer großen öffentlichen Veranstaltung. Behandle solche Fälle als Ausnahmen, die eine dokumentierte Prüfung erfordern, nicht als Abkürzung für Porträts, Team-Vorstellungen, Testimonials oder „Day in the life"-Beiträge. Wenn eine Person prominent genug ist, um deine Marketinggeschichte mitzutragen, frag sie zuerst.

Mehr dazu, wie du einen rechtlich abgesicherten Sammelprozess aufbaust, findest du unter wie du nutzergenerierten Content mit Einwilligung sammelst.

Ein Einwilligungs-Workflow, der in der Praxis funktioniert

Stell dir ein Fertigungsunternehmen mit 180 Mitarbeitenden vor, das eine sechswöchige Recruiting-Kampagne durchführt. HR lädt Freiwillige zu einem Fototermin ein, der Ausbildungsberufe, Engineering- und Produktionsrollen abdeckt.

Vierzehn Mitarbeitende melden sich an. Der Freigabebildschirm zeigt die ausgewählten Bilder und bietet getrennte Auswahlmöglichkeiten für die Karriereseite, organische LinkedIn-Beiträge, Instagram, bezahlte Social Ads und namentliche Nennung. Zwei Mitarbeitende stimmen der Karriereseite zu, lehnen aber soziale Medien ab. Eine Person stimmt LinkedIn zu, möchte aber nicht namentlich genannt werden.

Das Marketing erhält nur die zwölf Mitarbeitenden, die für mindestens einen Social-Media-Kanal freigegeben wurden. Jedes Asset trägt seine erlaubten Kanäle, das Kampagnenenddatum und den Einwilligungsnachweis. Neun Monate später widerruft eine Mitarbeiterin ihre Erlaubnis, sodass das Team die betroffenen Beiträge sofort findet, sie aus den kontrollierten Accounts entfernt, die geplante Wiederverwendung stoppt und die Maßnahme dokumentiert.

Das ist deutlich sicherer, als eine Tabelle mit dem Eintrag „Fotoeinwilligung: ja" zu führen, ohne Nachweis darüber, welches Bild, welchen Kanal, welchen Zweck oder welchen Zeitraum die Mitarbeiterin oder der Mitarbeiter gesehen hat.

Ein verlässlicher Workflow sollte dieser Reihenfolge folgen:

1. Erkläre die Kampagne, bevor du Bilder sammelst.
2. Lass Mitarbeitende ohne Druck teilnehmen und biete eine klare Opt-out-Möglichkeit.
3. Erfasse nur die Informationen und Inhalte, die du wirklich brauchst.
4. Zeig Mitarbeitenden das ausgewählte Material, wann immer das praktikabel ist.
5. Dokumentiere die Freigabe pro Bild, Zweck und Kanal.
6. Verhindere, dass nicht freigegebene Assets in die Veröffentlichungswarteschlange gelangen.
7. Bewahre den Einwilligungsnachweis zur Rechenschaftspflicht auf und beschränke den Zugriff darauf.
8. Überprüfe aktive Berechtigungen, wenn Kampagnen enden oder Mitarbeitende das Unternehmen verlassen.

Eine Plattform wie der geführte Content-Sammlungs- und Freigabe-Workflow von sharey kann rohe Uploads, Einwilligungsstatus, freigegebene Kanäle und entworfene Beiträge miteinander verknüpfen, statt diese Details über Postfächer und Tabellen zu verteilen.

Ein Widerruf muss eine operative Reaktion auslösen

Mitarbeitende haben das Recht, ihre Einwilligung zu widerrufen. Ein Widerruf betrifft grundsätzlich die künftige Verarbeitung, die auf dieser Einwilligung beruht; er macht frühere, auf der Einwilligung gestützte Verarbeitungen nicht automatisch rechtswidrig.

Dein Team braucht trotzdem ein Verfahren zur Entfernung. Stoppe geplante Beiträge, entferne Inhalte aus Accounts und Mediatheken, die du kontrollierst, informiere Agenturen oder Partner, die das Bild nutzen, und dokumentiere, was du unternommen hast.

Screenshots, Weitergaben durch Dritte oder von anderen Nutzer:innen heruntergeladene Kopien kannst du möglicherweise nicht löschen. Diese Einschränkung sollte bereits in deiner ursprünglichen Information stehen, dennoch musst du innerhalb deines Einflussbereichs angemessene Maßnahmen ergreifen.

Richte eine zentrale Kontaktstelle ein, etwa ein Datenschutz-Postfach oder ein HR-Portal. Mitarbeitende sollten nicht einzelne Social-Media-Manager:innen anschreiben müssen, um jemanden zu finden, der handeln kann.

Behandle das Ausscheiden als Kontrollpunkt für Erlaubnisse

Geh nicht davon aus, dass das Ausscheiden aus dem Unternehmen automatisch jede Bildrechtsfrage beantwortet. Der ursprüngliche Wortlaut, der Zweck, die Dauer und ein etwaiger späterer Widerruf spielen weiterhin eine Rolle.

Deine interne Regel sollte strenger sein: Wenn eine Mitarbeiterin oder ein Mitarbeiter das Unternehmen verlässt, stoppe die weitere Nutzung ihres oder seines Bildes in aktiven Employer-Branding-Kampagnen, sofern du nicht über eine erneuerte, klar dokumentierte Erlaubnis verfügst. Überprüfe dauerhaft aktive Karriereseiten, geplante Beiträge, bezahlte Kampagnen, Recruiting-Broschüren und Agentur-Mediatheken.

Du musst nicht automatisch jedes historische Gruppenfoto löschen. Du musst aber wissen, wo prominente Mitarbeiterbilder verwendet werden, und schnell reagieren, wenn die fortgesetzte Veröffentlichung nicht mehr zur Erlaubnis oder zum Zweck passt.

HR und Marketing brauchen eine gemeinsame Dokumentation

HR sammelt häufig die Einwilligungen, während Marketing die Assets auswählt und Agenturen die Beiträge planen. Diese Aufteilung führt zu Fehlern, wenn ein Widerruf bei HR ankommt, aber nie das Social-Media-Team erreicht.

Nutze eine zentrale Datenquelle, die Folgendes erfasst:

• Identität und Kontaktstelle der Mitarbeiterin oder des Mitarbeiters;
• das freigegebene Asset oder die freigegebene Asset-Auswahl;
• Zwecke und Kanäle;
• Freigabedatum und Version des Hinweises;
• Ablauf- oder Überprüfungsdatum;
• Erlaubnis zur namentlichen Nennung und zum Tagging;
• Widerrufsstatus und ergriffene Maßnahmen.

Beschränke den Zugriff auf Personen, die ihn wirklich benötigen. Ein Einwilligungsregister enthält selbst personenbezogene Daten und sollte deshalb nicht zu einem unternehmensweiten Verzeichnis werden.

Gängige Praktiken, die du beenden solltest

Mehrere vertraute Gewohnheiten erzeugen unnötiges Risiko:

• Eine unbegrenzte Fotoerlaubnis in jeden Arbeitsvertrag aufnehmen.
• Führungskräfte bitten, mündliche Zustimmung vor dem Team einzuholen.
• Erst veröffentlichen und später um Verzeihung bitten.
• Eine LinkedIn-Freigabe als Erlaubnis für bezahlte Instagram-Anzeigen behandeln.
• Annehmen, dass ein von Mitarbeitenden selbst hochgeladenes Bild frei von Urheberrechtsbeschränkungen ist.
• Ehemalige Mitarbeitende unbegrenzt in wiederverwendbaren Content-Mediatheken belassen.
• Einwilligungen dokumentieren, ohne sie mit konkreten Assets und Kanälen zu verknüpfen.
• Mitarbeitende dazu bringen, zu erklären, warum sie nicht teilnehmen möchten.

Binde bei der Gestaltung des Prozesses außerdem deine Datenschutz-, Rechts- und Arbeitnehmervertretungs-Stakeholder ein. In Deutschland kann eine Betriebsvereinbarung faire Verfahren und Schutzmaßnahmen festlegen, sollte aber nicht als Ersatz für die individuelle Erlaubnis einer Mitarbeiterin oder eines Mitarbeiters gelten, in werblichen Inhalten zu erscheinen.

Fazit

Verlange eine konkrete Zustimmung, bevor du identifizierbare Mitarbeiterfotos in sozialen Medien veröffentlichst. Dokumentiere Bild, Zweck, Kanal, Dauer und den Widerrufsweg, und blockiere die Wiederverwendung, sobald diese Erlaubnisse nicht mehr übereinstimmen.