Die meisten Unternehmen verstoßen bei jedem Post gegen die DSGVO — und ahnen es nicht

Fragen Sie einen beliebigen Unternehmer, ob er die DSGVO im Griff hat, und er zeigt auf das Cookie-Banner und den Auftragsverarbeitungsvertrag mit seinem Buchhaltungssystem. Das ist auch in Ordnung. Das Problem ist nur, dass dort fast nie das Risiko liegt. Es liegt in dem Foto eines lächelnden Kunden, das Sie gerade auf LinkedIn gepostet haben, in dem Mitarbeiterporträt, das noch zwei Jahre nach der Kündigung der Person auf der Website hängt, und in dem KI-Tool, das Ihre Eventfotos aussortiert, indem es sie auf einen Server hochlädt, dessen Standort Sie nie überprüft haben.

Ein Foto einer erkennbaren Person ist personenbezogene Daten

Das ist der einfache Punkt, den die meisten übersehen: Ein Foto, auf dem eine Person erkennbar ist, sind personenbezogene Daten — genau wie eine Sozialversicherungsnummer oder eine E-Mail-Adresse. Wenn Sie das Foto eines Kunden posten, einen Mitarbeiter markieren oder ein Gruppenfoto von einer Veranstaltung teilen, verarbeiten Sie personenbezogene Daten — und dann brauchen Sie dafür eine Rechtsgrundlage. In den allermeisten Fällen bedeutet das eine echte Einwilligung, nicht ein schnelles „Das ist schon okay, oder?“ über den Tresen an der Rezeption.

Das klingt pedantisch, bis man sich daran erinnert, dass die Person, die sich beschwert hat, selten der Kunde auf dem Foto ist. Es ist der Gast im Hintergrund, der ehemalige Mitarbeiter, der online nicht mehr gefunden werden will, oder der Konkurrent, der eine billige Möglichkeit gefunden hat, Sie zu ärgern. Und die Aufsichtsbehörde fragt nicht, ob Sie es gut gemeint haben.

Wo es typischerweise schiefgeht

• →Eventfotos, auf denen erkennbare Gäste im Hintergrund nie zugestimmt haben, geteilt zu werden.
• →Kundenstimmen mit Namen und Foto, bei denen die Einwilligung mündlich war und nie schriftlich festgehalten wurde.
• →Mitarbeiterporträts, die lange nach dem Ausscheiden der Person auf der Website und in den sozialen Medien bleiben.
• →Screenshots von DMs, Bewertungen oder E-Mails mit Namen, die als „Social Proof“ geteilt werden.
• →KI-Tools, die Ihre Kundenfotos auf Drittanbieter-Server hochladen — manchmal komplett außerhalb der EU.

Das DSGVO-Bußgeld kommt selten vom Cookie-Banner der Website. Es kommt von dem Foto, das Sie für völlig harmlos hielten.

KI macht es schlimmer — und weit unsichtbarer

Hier wird es unangenehm für die derzeit beliebtesten Arbeitsabläufe. Wenn Sie 3.000 Eventfotos zur Auswahl durch ein KI-Tool laufen lassen oder einen Dienst Bildunterschriften aus dem Inhalt der Fotos generieren lassen, geben Sie in der Praxis personenbezogene Daten an einen Auftragsverarbeiter weiter — oft einen amerikanischen. Das erfordert sowohl eine Rechtsgrundlage als auch Kontrolle darüber, wo die Daten landen. Die wenigsten prüfen das. Die Bequemlichkeit eines Tools, das „einfach funktioniert“, bringt die allermeisten dazu, auf Akzeptieren zu klicken, ohne zu lesen, wohin die Fotos reisen.

Das ist kein Argument gegen KI — wir nutzen sie selbst jeden Tag. Es ist ein Argument dafür, zu wissen, welche Tools Kundendaten verarbeiten und wo sie es tun. Der Unterschied zwischen einem Tool, das lokal läuft, und einem, das alles auf einen unbekannten Server hochlädt, ist der ganze Unterschied zwischen verantwortungsvoll und unverantwortlich.

Es geht nicht um Angst — es geht um Routine

Der Punkt ist nicht, dass Sie aufhören sollten zu posten, oder dass Content jetzt einen mithörenden Anwalt erfordert. Der Punkt ist, dass verantwortungsvoller Content eine eingebaute Routine hat: eine kurze, schriftliche Einwilligung bei Veranstaltungen, eine klare Vereinbarung über Mitarbeiterfotos und was passiert, wenn jemand geht, und ein schneller Check, wohin Ihre Tools Daten senden. Das ist eine günstige Versicherung gegen einen teuren und peinlichen Fall.

• →Holen Sie die Einwilligung schriftlich ein — auch wenn es nur ein Häkchen in einem Formular bei der Anmeldung zur Veranstaltung ist.
• →Haben Sie einen festen Prozess, um Fotos von Personen zu entfernen, die gegangen sind oder ihr Ja zurückziehen.
• →Kennen Sie Ihre Tools: Was verarbeitet Kundendaten, und geschieht es innerhalb der EU?
• →Schreiben Sie es an einer Stelle nieder, damit es nicht davon abhängt, dass sich eine Person an die Vereinbarung erinnert.

Auch deshalb haben wir begonnen, unsere Kunden zu Compliance und Datenverarbeitung als festem Bestandteil der Content-Arbeit zu beraten — nicht als juristisches Paket nebenbei, sondern weil es 2026 schlicht dazugehört, Content ordentlich zu machen. Die Unternehmen, die die Routine jetzt aufbauen, sind nicht die, die abbremsen. Es sind die, die frei posten können, weil sie nicht nervös sein müssen, was sich im Hintergrund des Fotos verbirgt.