Ratgeber Datenschutz
DSGVO-konforme Online-Galerie für Fotografen: was du prüfen solltest, bevor du hochlädst
Jede Kundengalerie enthält personenbezogene Daten: Gesichter, Namen, E-Mail-Adressen, manchmal einen Kindergeburtstag. Damit ist der Galerie-Anbieter dein Auftragsverarbeiter, und die DSGVO hat eine kurze Liste dessen, was sie von diesem Verhältnis erwartet. Dieser Ratgeber zeigt, was das Gesetz verlangt, gibt dir eine Checkliste, an der du jeden Anbieter messen kannst, und wie du einem Kunden antwortest, der nachfragt.
Was die DSGVO von einer Galerie tatsächlich verlangt
Die Verordnung erwähnt weder Fotografen noch Galerien. Sie spricht von Verantwortlichen, Auftragsverarbeitern und personenbezogenen Daten, und das Foto einer erkennbaren Person ist ein personenbezogenes Datum. Drei Artikel erledigen den Großteil der Arbeit.
Eine Rechtsgrundlage, und die Leute informieren (Art. 6 und 13)
Du brauchst einen Grund, die Fotos zu verarbeiten, meist den Vertrag mit dem Kunden oder dein berechtigtes Interesse, und die Menschen auf den Bildern müssen wissen, was damit passiert. Bei einer Hochzeit heißt das: der Vertrag mit dem Paar und ein Satz für die Gäste, wohin die Fotos gehen. Diesen Teil musst du selbst regeln; kein Anbieter kann ihn dir abnehmen.
Ein Vertrag mit dem, der sie speichert (Art. 28)
Das Unternehmen, das deine Galerien hostet, verarbeitet personenbezogene Daten in deinem Auftrag, also verlangt die DSGVO einen schriftlichen Vertrag zwischen euch: eine Vereinbarung zur Auftragsverarbeitung, kurz AVV, auf Englisch Data Processing Agreement (DPA). Sie legt fest, was der Anbieter mit den Daten tun darf, wer seine Subunternehmer sind und was passiert, wenn du kündigst. Ohne sie ist schon das Hosting selbst der Verstoß.
Sicherheit und Aufbewahrung (Art. 32)
Angemessene technische Maßnahmen: Verschlüsselung bei der Übertragung, Zugriffskontrolle, Backups, ein Rechenzentrum mit anerkannter Zertifizierung. Und eine Grenze, wie lange etwas bleibt: Nach dem Grundsatz der Speicherbegrenzung bleiben Fotos online, solange es einen Zweck dafür gibt, und dann verschwinden sie. Eine Galerie, in der du festlegst, wer hineinkommt, und die du mit einem Klick komplett abschalten kannst, erledigt ihre Hälfte davon.
Die Checkliste
Sechs Punkte, an denen du einen Galerie-Anbieter messen solltest, bevor du ein einziges Kundenfoto hochlädst. Besteht ein Anbieter alle sechs, ist dein Teil der DSGVO vor allem Papierkram, den du ohnehin schon hast.
EU-Hosting und eine veröffentlichte Liste der Subunternehmer
Wo die Dateien physisch liegen, entscheidet, ob du eine Übermittlung ins Ausland erklären musst. Speicherung innerhalb der EU nimmt die Frage vom Tisch. Die Liste der Subunternehmer sagt dir, wer sonst noch mit den Daten in Berührung kommt: der E-Mail-Dienst, das Fehler-Monitoring, der Zahlungsanbieter. Wenn ein Anbieter nicht sagen will, wer das ist, hast du deine Antwort.
Ein unterschriebener AVV oder DPA
Kein Absatz in den AGB, der behauptet, dass es einen gibt, sondern ein Dokument mit deinem Namen und dem des Anbieters. Es sollte die Subunternehmer nennen, die Sicherheitsmaßnahmen, die Frist für die Meldung einer Datenpanne und was mit deinen Daten passiert, wenn du kündigst. Bewahre die unterschriebene Fassung bei deinen Kundenverträgen auf.
Zugriffsschutz, den du pro Galerie einstellst
Eine Hochzeitsgalerie und ein Business-Porträt-Shooting brauchen unterschiedliche Türen. Ein Passwort hält Fremde draußen, eine E-Mail-Schranke sagt dir, wer hereingekommen ist, eine Download-PIN trennt Anschauen von Mitnehmen. Prüfe, ob jede dieser Einstellungen pro Galerie gilt und nicht nur für das ganze Konto.
Aufbewahrung und Löschung in deiner Hand
Du entscheidest, wie lange eine Galerie online bleibt, nicht der Tarif des Anbieters. Löschen sollte auf deiner Seite sofort wirken und auf seiner Seite endlich sein: eine genannte Zahl von Tagen für die aktive Kopie und für die Backups. Ein Anbieter, der gelöschte Daten unbegrenzt behält, macht es dir unmöglich, einem Löschverlangen nachzukommen.
Meldung von Datenpannen mit Frist
Du hast 72 Stunden ab Kenntnis einer Datenpanne, um die Aufsichtsbehörde zu informieren. Dein Anbieter muss dich also deutlich innerhalb dieses Fensters informieren, und der AVV sollte sagen, wie schnell. Unverzüglich ist eine gängige Formulierung und eine schwache; eine Zahl in Stunden ist besser.
Hilfe bei Auskunfts- und Exportanfragen
Kunden können fragen, welche Daten du über sie hast, und eine Kopie verlangen. Bei einer Galerie sind das die Fotos, die Gästeliste, die Reaktionen und das Download-Protokoll. Ein Anbieter, der eine Galerie samt Aktivität in einem Schritt exportieren kann, macht aus einer gesetzlichen Pflicht einen Nachmittag Verwaltung.
Wo die gängigen Anbieter stehen
Vier Galerie-Plattformen, die Fotografen in Europa tatsächlich nutzen, auf den fünf Punkten der Checkliste, die ein Anbieter selbst beantworten kann. Stand September 2026; das Setup eines Anbieters kann sich ändern, also prüfe es gegen den aktuellen AVV, bevor du unterschreibst.
| Worauf es ankommt | Pixieset Vancouver, Kanada | Pic-Time Sitz in Israel | picdrop Berlin, Deutschland | Photoglacier Österreich, Server in Deutschland |
|---|---|---|---|---|
| Firmensitz | Kanada | Israel | Deutschland | Österreich (nord3 digital e.U.) |
| Wo die Fotos liegen | Möglicherweise außerhalb der EU | Azure, AWS und MongoDB in der EU, den USA und Australien | Deutschland | Hetzner Object Storage in Deutschland, Rechenzentren nach ISO/IEC 27001 |
| Auftragsverarbeitungsvertrag | DPA ist Teil der AGB | Auf den geprüften Seiten nicht aufgeführt; vor der Unterschrift nach dem DPA fragen | AVV verfügbar | DPA auf Englisch und AVV auf Deutsch, elektronisch unterschrieben |
| Übermittlung außerhalb der EU | Ja, abgesichert über Standardvertragsklauseln | Ja, mit Servern in den USA und Australien | Hosting in Deutschland, also keine für die Fotos | Keine: alle Subunternehmer in der EU gehostet, Zahlungen laufen über Stripe Irland |
| Liste der Subunternehmer veröffentlicht | Vor der Unterschrift im DPA prüfen | Vor der Unterschrift im DPA prüfen | Zusammen mit dem AVV anfragen | Ja, im AVV: Hetzner, Mailgun oder Mailjet, Sentry, PostHog, Let's Encrypt |
Wenn ein Kunde fragt, wo seine Fotos liegen
Das passiert öfter als früher, und meist von der Seite, von der du es am wenigsten erwartest: eine Anwältin auf einer Hochzeit, eine Schule, ein Unternehmen, dessen Datenschutzbeauftragter eine Liste hat. Die Antwort braucht vier Sätze, wenn das Setup stimmt.
-
Land und Unternehmen nennen
Deutschland, auf Servern von Hetzner, über ein österreichisches Unternehmen: Das ist eine Antwort. Die Cloud ist keine. Wenn du diesen Satz für deinen eigenen Anbieter nicht ausfüllen kannst, ist das der erste Punkt, den du in Ordnung bringst, und die Liste der Subunternehmer ist der Ort, wo du ihn findest.
-
Die Unterlagen schicken
Häng den unterschriebenen AVV oder DPA an. Wer die Frage gestellt hat, gibt sich meist mit einem Dokument mit zwei Unterschriften zufrieden, und ein Firmenkunde braucht es womöglich für die eigenen Akten. Es zeigt außerdem, dass du mit der Frage gerechnet hast.
-
Erklären, wer die Galerie öffnen kann
Sag, ob sie passwortgeschützt ist, ob Gäste über eine E-Mail-Schranke hineinkommen und ob Downloads eine PIN brauchen. Wenn das Paar den Link an die Familie weitergegeben hat, sag auch das; die Gästeliste in der Galerie zeigt dir, wer sie geöffnet hat.
-
Ein Datum nennen, und einen Weg, früher Schluss zu machen
Sag, wie lange die Galerie online bleibt und was dann passiert. Biete an, sie auf Wunsch früher abzuschalten, und erkläre, was Löschen beim Anbieter bedeutet: wie lange, bis die aktive Kopie weg ist, und wie lange, bis die Backups überschrieben sind.
Wozu sich der Photoglacier-AVV tatsächlich verpflichtet
Photoglacier ist eine Kundengalerie-Plattform der nord3 digital e.U. in Österreich, und jedes Foto liegt auf Hetzner Object Storage in Deutschland. Der AVV ist auf jedem Tarif derselbe, auch auf dem kostenlosen. Es gibt keine Wasserzeichen, keinen Print-Shop und kein CRM, und der kostenlose Tarif zeigt Photoglacier-Branding. Was er tut: die Daten in der EU halten und die Zahlen schriftlich festhalten.
- Meldung einer Datenpanne an dich innerhalb von 48 Stunden
- Bei Kündigung werden deine Daten innerhalb von 30 Tagen gelöscht oder zurückgegeben, Backups innerhalb von 90 Tagen überschrieben
- Einträge in Gästelisten werden nach 14 Tagen anonymisiert, IP-Logs höchstens 14 Tage aufbewahrt
- Fotos werden gespeichert, angezeigt und übertragen, sonst nichts: nie analysiert, nie für Training verwendet
- Subunternehmer im AVV benannt, alle in der EU gehostet: Hetzner, Mailgun oder Mailjet, Sentry, PostHog, Let's Encrypt
Häufige Fragen
Unterliegt eine Online-Galerie für Kundenfotos der DSGVO?
Ja, wenn du in der EU bist oder die Menschen auf den Fotos es sind. Das Foto einer identifizierbaren Person ist ein personenbezogenes Datum, genauso wie die Namen und E-Mail-Adressen, die an einer Galerie hängen. Damit bist du der Verantwortliche und der Galerie-Anbieter dein Auftragsverarbeiter, und deshalb zählen Standort und Vertrag des Anbieters.
Brauche ich als Fotograf einen AVV mit meinem Galerie-Anbieter?
Ja. Artikel 28 der DSGVO verlangt einen schriftlichen Vertrag zwischen dem Verantwortlichen und jedem, der in seinem Auftrag personenbezogene Daten verarbeitet, und ein Unternehmen, das Kundenfotos für dich hostet, tut genau das. Manche Anbieter packen die Vereinbarung in ihre AGB; ein separat unterschriebenes Dokument lässt sich einem Kunden oder einer Behörde leichter vorlegen. Bewahre es bei deinen Kundenverträgen auf.
Verlangt die DSGVO, dass Fotos in der EU gespeichert werden?
Nein. Sie verlangt, dass jede Übermittlung außerhalb der EU auf einem anerkannten Mechanismus beruht, etwa einem Angemessenheitsbeschluss oder Standardvertragsklauseln, und dass du erklären kannst, welcher greift. Die Speicherung in der EU nimmt die Frage komplett vom Tisch, weshalb viele Fotografen EU-Hosting als den einfachsten Weg betrachten und nicht als gesetzliche Pflicht.
Ist Pixieset DSGVO-konform?
Pixieset ist ein kanadisches Unternehmen, die Daten können außerhalb der EU gespeichert werden, und das DPA ist Teil der AGB, wobei Standardvertragsklauseln die Übermittlungen aus der EU abdecken. Das ist unter der DSGVO ein gangbares Setup, bedeutet aber, dass du dich als Verantwortlicher auf einen Übermittlungsmechanismus stützt und das auf Nachfrage sagen können solltest. Ob das für deine Kunden in Ordnung ist, entscheidest du, nicht der Anbieter.
Ist picdrop DSGVO-konform?
picdrop ist ein Berliner Unternehmen, hostet in Deutschland, bietet einen AVV an und erklärt, keine KI auf Nutzerdaten laufen zu lassen. Bei den Punkten, die ein Anbieter selbst beantworten kann, ist das eine starke Position: keine Übermittlung ins Ausland für die Fotos und ein unterschriebener Vertrag zur Auftragsverarbeitung. Wie bei jedem Anbieter hängt die Konformität trotzdem davon ab, wie du ihn nutzt, von den Zugriffseinstellungen bis zur Dauer, die Galerien online bleiben.
Wie lange darf ich Kundenfotos online lassen?
Die DSGVO nennt keine Zahl von Tagen; sie sagt, dass personenbezogene Daten nicht länger aufbewahrt werden sollen, als der Zweck es erfordert. Bei einer Übergabegalerie ist der Zweck, dass der Kunde seine Fotos abholt, also schreib eine Frist in deinen Vertrag, sag sie dem Kunden und halte dich daran. Zwölf Monate sind bei Hochzeiten üblich. Photoglacier-Galerien laufen auf keinem Tarif ab, das Datum setzt also du und nicht der Tarif.
Was mache ich, wenn ein Kunde die Löschung seiner Fotos verlangt?
Nimm die Galerie offline, lösche sie beim Anbieter und bestätige dem Kunden schriftlich mit Datum. Prüfe, was der AVV des Anbieters zu Backups sagt, denn eine Kopie im Backup-Zyklus ist immer noch eine Kopie; der Photoglacier-AVV nennt dafür auf Kontoebene Zahlen, Daten innerhalb von 30 Tagen gelöscht oder zurückgegeben, Backups innerhalb von 90 Tagen überschrieben. Dein eigenes Archiv ist eine andere Frage, weil du vertragliche oder urheberrechtliche Gründe haben kannst, die Dateien zu behalten, und die klärst du besser mit einer qualifizierten Beratung.
Bietet Photoglacier einen AVV oder ein DPA an?
Ja, auf Anfrage. Es gibt eine deutsche Vereinbarung zur Auftragsverarbeitung (AVV) und ein englisches Data Processing Agreement (DPA), dieselbe Vereinbarung in zwei Sprachen. Frag sie über das Kontaktformular unter dem Thema „Anfrage AVV“ an und sag, welche Sprache du brauchst. Du trägst zuerst deine Daten ein und unterschreibst, dann schickst du sie zurück; wir gegenzeichnen und senden dir die fertige Fassung. Die Vereinbarung gilt auf jedem Tarif, auch auf dem kostenlosen.
Online Galerie und DSGVO: für den Fotografen eine Frage von wo und mit wem
Wer nach einer DSGVO-konformen Online-Galerie für Fotografen sucht, hat die Frage meist gerade von einem Kunden gestellt bekommen und gemerkt, dass er sie nicht beantworten kann. Die Antwort ist selten kompliziert. Es geht darum, wo die Dateien liegen, ob es zwischen Fotograf und Anbieter einen Vertrag zur Auftragsverarbeitung gibt, wer sonst noch mit den Daten in Berührung kommt und ob der Fotograf eine Galerie abschalten kann, wenn der Zweck erfüllt ist. Ein Anbieter in der EU mit unterschriebenem AVV und veröffentlichter Liste der Subunternehmer beantwortet das meiste davon, bevor der Kunde ausgeredet hat.
Photoglacier ist für genau diese Antwort gebaut. Das Unternehmen sitzt in Österreich, die Fotos liegen auf Hetzner Object Storage in Deutschland, und der AVV, den ein Fotograf unterschreibt, ist auf jedem Tarif dasselbe Dokument, mit Meldefrist, Löschfristen und Subunternehmern schriftlich festgehalten. Eine DSGVO-konforme Galerie braucht trotzdem den eigenen Teil des Fotografen: eine Rechtsgrundlage, einen Satz im Vertrag darüber, wohin die Fotos gehen, und ein Datum, an dem sie wieder verschwinden. Die Aufgabe der Plattform ist, dass dieser Teil der einzige bleibt, der noch übrig ist.
Weitere Ratgeber
Dieser Ratgeber beschreibt, wie die DSGVO allgemein für Fotografinnen und Fotografen und ihre Galerie-Anbieter gilt, und ist keine Rechtsberatung. Regeln ändern sich und Sachverhalte unterscheiden sich, ziehe für eine wichtige Entscheidung also eine qualifizierte Beratung in deiner Rechtsordnung hinzu. Pixieset, Pic-Time und picdrop sind Marken ihrer jeweiligen Inhaber; Photoglacier steht mit keinem von ihnen in Verbindung. Die Angaben zu den Anbietern wurden im September 2026 geprüft und können sich ändern.
Eine Antwort, die du schriftlich geben kannst
Österreichisches Unternehmen, deutsche Server und ein AVV, der auf jedem Tarif gilt, auch auf dem kostenlosen.
