Ratgeber Datenschutz
Wo die Fotos deiner Kunden liegen dürfen
Das Foto einer erkennbaren Person ist ein personenbezogenes Datum, womit die Bilder, die du lieferst, denselben Regeln unterliegen wie jeder andere Kundendatensatz. Das klingt schwerer, als es ist. Für die meisten Fotografen läuft es darauf hinaus zu wissen, wo die Dateien liegen, die richtigen Vereinbarungen mit dem Anbieter zu haben und einem Kunden antworten zu können, der nachfragt. So sieht das aus.
Drei Dinge, die die Regeln tatsächlich sagen
Ohne das Fachvokabular verlangt die DSGVO von Fotografen drei Dinge.
Die Fotos sind personenbezogene Daten
Wenn jemand auf einem Bild erkennbar ist, zählt es, und das trifft auf die meisten Porträt-, Hochzeits- und Eventaufnahmen zu. Dass das Foto dir gehört oder Kunst ist, ändert daran nichts.
Du trägst die Verantwortung
Du entscheidest, wozu die Fotos existieren und wohin sie gehen, und bist damit Verantwortlicher. Die Galerieplattform ist dein Auftragsverarbeiter und handelt auf deine Weisung, und du bleibst für ihre Entscheidungen in deinem Namen zuständig.
Die Abgebildeten dürfen fragen
Menschen haben das Recht zu erfahren, was du über sie speicherst, und in vielen Fällen darauf, dass es gelöscht wird. Unangenehm wird das nur, wenn du nicht sagen kannst, wo die Dateien liegen, oder nicht an sie herankommst.
Warum alle über amerikanische Server streiten
Drei Urteile erklären, warum der Speicherort eine offene Frage ist und keine Formalie.
-
2015
Safe Harbor fällt
Der Europäische Gerichtshof kippte die erste Regelung für die Übermittlung personenbezogener Daten aus der EU in die USA, weil das amerikanische Überwachungsrecht sie ungeschützt ließ.
-
2020
Privacy Shield fällt
Auch der Nachfolger wurde gekippt, in dem Urteil, das meist Schrems II genannt wird. Übermittlungen hörten nicht auf, brauchten aber zusätzliche Garantien und eine Prüfung im Einzelfall.
-
2023 bis heute
Der Data Privacy Framework
Der aktuelle Angemessenheitsbeschluss trat 2023 in Kraft und gilt weiterhin. Eine Klage dagegen wies das Gericht der EU im September 2025 ab, im Oktober ging sie in die Berufung zum Gerichtshof, ein Verhandlungstermin war im August 2026 nicht angekündigt.
Was vorliegen sollte
Nichts davon braucht für einen Einpersonenbetrieb einen Anwalt, aber alle vier Punkte sollten stehen, bevor ein Kunde fragt, nicht danach.
Eine klare Antwort zum Speicherort
Wisse, in welchem Land dein Galerieanbieter die Dateien speichert, und ob das auch für seine Backups und Supportwerkzeuge gilt. Wenn die Antwort drei E-Mails braucht, ist das schon die Antwort.
Ein Auftragsverarbeitungsvertrag
Ein AV-Vertrag mit jedem Dienst, der deine Fotos hält. Seriöse Anbieter veröffentlichen einen und lassen ihn in den Kontoeinstellungen annehmen, du musst also nichts selbst aufsetzen.
Ein Grund, sie überhaupt zu speichern
Meist der Vertrag mit der Person, die dich gebucht hat, manchmal eine Einwilligung, und bei Gästen auf einer Veranstaltung oft ein berechtigtes Interesse, über das du wirklich nachgedacht hast. Schreib es einmal pro Auftragsart auf.
Ein Weg, auf Anfrage zu löschen
Du solltest eine Galerie samt Dateien entfernen können und wissen, wie lange Backups danach noch eine Kopie halten. Ein Anbieter, der dir die Aufbewahrungsfrist nicht nennen kann, hilft dir bei einer Löschanfrage nicht weiter.
Vier Fragen, die sich an einen Anbieter lohnen
Frag, bevor du einen Auftrag hochlädst, nicht danach. Die Antworten sollten schnell und konkret kommen.
-
In welchem Land liegen die Dateien?
Nicht in der Cloud, nicht in unserer globalen Infrastruktur. Ein Land, und idealerweise ein benannter Rechenzentrumsbetreiber. Frag getrennt nach den Backups, denn die liegen oft woanders.
-
Wer kann sie sonst noch sehen?
Unterauftragsverarbeiter, Supportmitarbeiter und jede Nutzung hochgeladener Inhalte für Analysen oder maschinelles Lernen. Der letzte Punkt ist die Frage, die man inzwischen zweimal stellen sollte.
-
Was passiert, wenn ich gehe?
Wie du alles exportierst, in welchem Format, und wie lange nach der Kündigung die Dateien tatsächlich weg sind. Das ist zugleich deine Probe darauf, ob der Dienst eine Falle ist.
-
Was veröffentlicht ihr?
Ein AV-Vertrag, eine Liste der Unterauftragsverarbeiter und eine Aufbewahrungsrichtlinie sollten lesbar sein, ohne den Vertrieb zu fragen. Ein Anbieter, der das vertraulich behandelt, sagt dir damit etwas.
Die Kurzfassung, für einen Anbieter
Zeigen ist einfacher als beschreiben, hier also Photoglaciers Antworten auf die Fragen oben. Das Unternehmen ist österreichisch. Die Fotos liegen auf Object Storage in Deutschland, und dort laufen auch die Server, es überquert also nichts den Atlantik. Galerien und ihre Dateien lassen sich jederzeit aus dem Konto löschen, und EU-Hosting gilt in jedem Plan, auch im kostenlosen.
- Österreichisches Unternehmen, alle Fotos in Deutschland gespeichert
- Fotos und Kundendaten verlassen die EU nie, in jedem Plan
- Galerie samt Dateien jederzeit aus dem Konto löschbar
Häufige Fragen
Müssen Kundenfotos in der EU gespeichert werden?
Streng genommen nein. Die DSGVO erlaubt Übermittlungen außerhalb der EU, wenn ein Angemessenheitsbeschluss oder eine andere Garantie greift, und der EU-US Data Privacy Framework gilt derzeit. Speichern innerhalb der EU nimmt die Frage einfach weg: Es gibt keine Übermittlung zu rechtfertigen und nichts neu zu bewerten, falls sich die Rechtslage wieder verschiebt.
Sind Hochzeitsfotos personenbezogene Daten nach der DSGVO?
Ja, überall dort, wo Personen erkennbar sind, und das sind die meisten. Das gilt für das Paar, die Familien und die Gäste. Es hindert dich nicht daran, eine Hochzeit zu fotografieren. Es heißt, dass die Dateien, die du danach behältst, denselben Regeln unterliegen wie andere personenbezogene Daten in deinem Besitz.
Was ist ein Auftragsverarbeitungsvertrag und brauche ich einen?
Es ist der Vertrag zwischen dir als Verantwortlichem und einem Dienst, der Daten in deinem Auftrag speichert. Wenn eine Galerieplattform, ein Cloudspeicher oder ein Backupdienst deine Kundenfotos hält, brauchst du einen mit ihm. Die meisten Anbieter veröffentlichen einen Standardvertrag, den du in den Kontoeinstellungen annehmen kannst.
Darf ich einen US-Cloud-Dienst für Kundenfotos nutzen?
Rechtlich ja, unter dem aktuellen Rahmen und mit den passenden Unterlagen. Praktisch schaffst du damit eine Abhängigkeit von einem Angemessenheitsbeschluss, der schon zweimal gekippt wurde und erneut angefochten ist. Das ist eine Risikoabwägung und kein Verbot, und sie liegt bei dir.
Was sage ich einem Kunden, der nach dem Speicherort fragt?
Nenne Land und Anbieter. Etwas wie gespeichert in Deutschland, auf Infrastruktur von Hetzner, mit Auftragsverarbeitungsvertrag beendet das Gespräch. Alles Vagere erzeugt eher mehr Fragen als weniger.
Wie lange sollte ich Kundengalerien online lassen?
So lange, wie der Auftrag es braucht, und nicht länger, als du begründen kannst. Kläre bei der Übergabe, wie lange du sie stehen lässt, und entferne dann Galerien, für die du keinen Grund mehr hast. Alles für immer zu behalten ist die Variante, die am schlechtesten altert.
DSGVO-konforme Fotospeicherung in der EU
Die Suche nach DSGVO-konformer Fotospeicherung und EU-gehosteten Kundengalerien kommt ganz überwiegend von Fotografinnen und Fotografen, denen ein Kunde gerade eine direkte Frage gestellt hat und die eine direkte Antwort zurückgeben wollen. Die brauchbare Antwort nennt ein Land und einen Anbieter. Der Speicherort entscheidet, welches Recht die Bilder der Menschen erreicht, die du fotografierst, und er ist das eine Detail, das eine vage Antwort schlimmer macht statt besser.
Photoglacier wird von einem österreichischen Unternehmen auf Infrastruktur in Deutschland betrieben, Fotos und Kundendaten verlassen die EU also nie, in jedem Plan, auch im kostenlosen. Galerien werden per Link geteilt und brauchen auf der Gegenseite kein Konto, Downloads laufen in voller Auflösung mit Steuerung pro Galerie, und Video steht neben den Fotos. Diese Seite beschreibt, wie die Regeln allgemein funktionieren, und ist keine Rechtsberatung.
Weitere Ratgeber
Dieser Ratgeber beschreibt, wie Datenschutzregeln allgemein für Fotografinnen und Fotografen gelten, und ist keine Rechtsberatung. Regeln ändern sich und Sachverhalte unterscheiden sich, ziehe für eine wichtige Entscheidung also eine qualifizierte Beratung in deiner Rechtsordnung hinzu. Die genannten rechtlichen Entwicklungen wurden im August 2026 geprüft.
Eine Antwort, die du einem Kunden geben kannst
Österreichisches Unternehmen, deutsche Server, DSGVO-konform in jedem Plan, auch im kostenlosen.
