"Es kommt immer wieder vor, dass Menschen sich gegenseitig filmen"

- Zur datenschutzrechtlichen Zulässigkeit der Street Photography -

Der Hamburgische Landesdatenschutzbeauftragte stellte in seinem Tätigkeitsbericht 2020 fest: "Es kommt immer wieder vor, dass Menschen sich gegenseitig filmen." Und er zieht daraus Konsequenzen und verhängt regelmäßig Bußgelder gegen Personen, die andere fotografieren oder filmen. Das Amtsgericht Hamburg bestätigte ihn darin. Auch die niedersächsische Datenschutzaufsicht verhängt entsprechende Bußgelder. In einem konkreten Fall unterstützte RA Sebastian Laoutoumai kürzlich diese Praxis mit einem Tweet ("richtig so") und in einem LinkedIn-Post. Er stieß damit eine Debatte über Personenfotografie an - und wir fragen uns: Gilt die DSGVO fürs private Fotografieren von Menschen?

Wohlgemerkt: Es geht hier nicht um die Veröffentlichung von Fotos. Diese ist rechtlich kompliziert genug. Es geht um die Frage, ob bereits das bloße Fotografieren/Filmen anderer Personen mit Smartphone oder Digitalkamera (inkl. Speicherung auf Speicherkarte/Festplatte) datenschutzrechtlich relevant ist.

Die Frage hat gewisse praktische Relevanz: Es dürfte einige Menschen in der EU geben, die in genau dieser Sekunde, in der Sie dies lesen, mit einem Smartphone oder einer Digitalkamera fotografiert oder gefilmt werden.

Im Internet geistert recht aktuell die Schätzung herum, dass weltweit täglich 3,5 Mrd. Fotos gemacht würden. Bei einer Weltbevölkerung von 8 Mrd. Menschen, entfielen auf die 500 Mio. Menschen in der EU somit täglich ca. 219 Mio. Fotos. Geht man sehr defensiv von einer Quote von 10 % der Fotos aus, auf denen Personen zu erkennen sind, wären dies täglich ca. 22 Mio. Fotos mit Personenbezug in der EU.

Der Autor zählt auf seinem Smartphone für die letzte Woche 170 Fotos/Videos, die er selbst gemacht oder zugesandt bekommen hat. 70 davon (ca. 41 %) haben Personenbezug.

Obwohl die Personenfotografie heute alltäglicher nicht sein könnte, ist die Rechtslage "unübersichtlich und nicht abschließend geklärt" (Lorenz Müller-Tamm, Street Photography und Persönlichkeitsrecht, Diss. 2023, 62).

Die von den Aufsichtsbehörden bekannt gemachten Fälle sind - wenig überraschend - solche mit Empörungspotential, bei denen sich die Behörden des Applauses sicher sein können:

All dies würde nicht gelten, wenn das Anfertigen von Personenfotos der sog. Haushaltsausnahme des Art. 2 Abs. 2 lit. c DSGVO unterläge. Nach dieser Norm findet die DSGVO keine Anwendung

"auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten."

• Räumliche Betrachtung

Teilweise scheinen räumliche Privatsphärevorstellungen zu bestehen. So meint das AG Hamburg, dass das Fotografieren fremder Personen in der Öffentlichkeit den „privaten Raum“ verlasse. Der Fotografierte befinde sich außerhalb der dem Fotografen eingeräumten (sic!) „Privatsphäre“. Der Fotografierte könne durch die Anfertigung des Bildes nicht in diese „hineingezogen“ werden. Zur Begründung einer solchen räumlichen Betrachtung lässt sich auch das EuGH-Urteil in der Rechtssache Ryneš (C-212/13) heranziehen. Danach fällt eine Videoüberwachung zum Schutz des häuslichen Eigentums schon dann in den Anwendungsbereich der DSGVO, wenn sie sich "auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten auf diese Weise verarbeitet" (Rn. 33).

• Äußere Umstände

Teilweise wird auf die äußeren Umstände des Fotografierens abgestellt. So wird die heimliche Anfertigung von Fotos fremder Menschen für problematisch gehalten. Die niedersächsische Landesdatenschutzbeauftragte verwendet (erfindet?) den Begriff der "nachstellungsähnlichen" Personenfotografie.

• Gezielte Aufnahme oder Beiwerk?

Neben der heimlichen Aufnahme soll auch die gezielte Anfertigung von Fotos fremder Menschen datenschutzrechtlich problematisch sein (AG Hamburg). Nach LfDI Hamburg soll es unproblematisch sein, wenn Personen auf einem Foto als bloßes Beiwerk abgebildet sind - ein Begriff der aus § 23 Abs. 1 Nr. 2 KUG bekannt ist. Auch die LfD Niedersachsen verwendet den Begriff des Beiwerks: "Bei Aufnahmen, die den menschlichen Körper in den Mittelpunkt stellen", fehle es an einer Rechtsgrundlage. In der Kommentarliteratur stellt Matthias Bäcker auf das Kriterium der "gezielten" Aufnahme ab.

• Motivation

Teilweise scheint es auf die Motivation für das Foto anzukommen. Ist sie sexueller Natur, spricht dies offenbar für die Unzulässigkeit (LfDI Hamburg). Allgemein gesprochen, könnte man vielleicht verwerfliche Motive wie die Mordmerkmale "aus niedrigen Beweggründen" oder "zur Befriedigung des Geschlechtstriebs" zur Fallgruppenbildung heranziehen.

• Schutzbedürftigkeit des Fotografierten

Augenscheinlich wird auch auf etwaige besondere Schutzbedürftigkeit der Fotografierten abgestellt (Kinder, leicht bekleidete Frauen). So kündigt der HmbBfDI an, in "Fällen, in denen vulnerable Gruppen in besonderen Situationen gefilmt werden", Ordnungswidrigkeitenverfahren einzuleiten.

Die vorgenannten Kriterien erwecken den Eindruck, als seien bereits abstrakt-generelle Kriterien für die (Nicht-) Anwendung der Haushaltsausnahme herausgearbeitet worden und als habe bereits eine systematische Fallgruppenbildung stattgefunden. Dies ist jedoch nicht der Fall. Der Autor hat die Kriterien in mühsamer Suche nach verwertbarem Auslegungsmaterial und tagelangen Twitterdiskussionen zusammengekratzt (und damit die juristische Arbeit der Streiter für die Anwendung der DSGVO gemacht).

Es ist in rechtsstaatlicher Hinsicht schon ziemlich erschreckend, mit welcher Selbstverständlichkeit und Oberflächlichkeit viele Datenschutzadvokaten das moralisch angreifbare Verhalten einzelner Fotografen und die mutmaßliche Verletzung des Persönlichkeitsrechts der Fotografierten zu der Annahme verleiten, dass ein Bußgeld durch die Datenschutzaufsichtsbehörde schon ok sei.

Die vom Autor aus verschiedenen Dokumenten abgeleiteten Kriterien lassen sich dem Wortlaut, der Systematik und dem Telos der Haushaltsausnahme kaum entnehmen. Die Datenschutzadvokaten unterziehen sich kaum der Mühe, nach dem Rechtsgrund der sog. Haushaltsausnahme zu fragen. Entgegen dem Wortlaut des Art. 2 Abs. 2 lit. c DSGVO meint das AG Hamburg, es komme nicht darauf an, "mit welchem Ziel bzw. zu welchem Zweck die Anfertigung der streitbefangenen Bilder erfolgt ist bzw. ob diese außerhalb einer rein privaten Sachbehandlung beabsichtigt war". Das ist schon eine erstaunliche Nicht-Subsumtion unter das Tatbestandsmerkmal der "ausschließlich persönlichen Tätigkeit". Es ist vor allem eine Missachtung des datenschutzrechtlichen Grundsatzes der Zweckbindung. Dreh- und Angelpunkt aller datenschutzrechtlichen Rechtmäßigkeitsmaßstäbe ist der vom Verantwortlichen selbst gesetzte Zweck.

Es fällt schwer, die Bußgeldpraxis einiger Aufsichtsbehörden nicht als willkürlich zu bezeichnen. Eine Handvoll von täglich vielen Millionen Fotografen wurden bislang mit einem Bußgeld belegt.

Der Begriff „Haushaltsausnahme“ ist irreführend. Er weckt räumliche Assoziationen (Kai von Lewinski: „Heimchen am Herd“). Bei richtiger Auslegung des Art. 2 Abs. 2 lit. c DSGVO sind jedoch nicht nur auf die eigene Wohnung begrenzte Tätigkeiten vom Anwendungsbereich der DSGVO ausgeschlossen. Die Ausnahme ist weiter zu verstehen. Passend wäre die Bezeichnung "Privatzweckfreiheit".

• Wortlaut

Schon der Wortlaut der Regelung schließt räumliche Privatsphärevorstellungen eigentlich aus. "Ausschließlich persönliche Tätigkeiten" finden auch im öffentlichen Raum statt. Das Nasebohren verliert nicht dadurch seinen privaten Zweck, dass es in der U-Bahn stattfindet.

Der EuGH hat zwar entschieden, dass die Videoüberwachung des eigenen Hausflurs ihre Qualität als "ausschließlich persönliche Tätigkeit" verliert, wenn die Kamera einen Teil des öffentlichen Straßenraums miterfasst. Eine Begründung liefert er aber nicht.

Die Digitalisierung hat längst zu vielfältigen Grenzverschiebungen und Verschränkungen zwischen Öffentlichem und Privatem geführt. Neue virtuelle Privaträume sind entstanden. Neue Formen der Skalierung zwischen Anonymität und Identität haben sich etabliert. Eine neue Fehlerkultur entwickelt sich (allgemein zugängliche Saufbilder der Jugendzeit). Vielfältige Formen der Medien-, Themen-, Familien-, Orts-, Betriebsöffentlichkeit sind zu unterscheiden. Das Im-Öffentlichen-privat-Sein (Emailschreiben im Café) und das Im-Privaten-öffentlich-Sein (Freundesgruppen bei Facebook) sind Normalität.

Es ist nicht überraschend, dass die auf Ideen des letzten Jahrtausends beruhende DSGVO und manche ihrer Interpreten diese gesellschaftlichen Verschiebungen nicht ausreichend berücksichtigen. So meint Alexander Roßnagel, zu den persönlichen Tätigkeiten gehöre nur "die Pflege von echten Freundschaften", gehörten nicht aber Freundeslisten in sozialen Netzwerken, die über "Hunderte von Freunden umfassen können und nach außen dargestellt werden".

• Systematik

Die DSGVO ist da sogar schon weiter. Sie knüpft gar nicht an überwunden geglaubte Fehlvorstellungen einer räumlich abgrenzbaren Privatsphäre an. Aus Erwägungsgrund 18 Satz 1 DSGVO ergibt sich ziemlich eindeutig, dass das Tatbestandsmerkmal "ausschließlich persönliche Tätigkeit" vor allem von "beruflicher oder wirtschaftlicher Tätigkeit" abzugrenzen ist. Persönlich ist somit, was nicht-kommerziell ist.

Darüber hinaus lässt sich die "ausschließlich persönliche Tätigkeit" nicht vom Zweckbindungsgrundsatz trennen, der das Datenschutzrecht beherrscht:

Wer über den Zweck der Datenverarbeitung bestimmt, ist Verantwortlicher. Die Zweckbindung zwingt den Verantwortlichen sich auf eindeutige Zwecke festzulegen und sich im Rahmen dieses Zwecks zu halten. Der Zweck hat maßgeblichen Einfluss auf die (Un-) Zulässigkeit der Datenverarbeitung. Die DSGVO enthält spezifische Regelungen unter anderem für journalistische Zwecke, künstlerische Zwecke, literarische Zwecke, wissenschaftliche Forschungszwecke, statistische Zwecke, Archivzwecke, interne Verwaltungszwecke, Vereinszwecke, Zwecke der Direktwerbung, Betrugsverhinderung, Netz- und Informationssicherheit, Rechtsverfolgung und viele Zwecke mehr.

Da fügen sich die persönlichen und familiären Zwecke der Tätigkeiten des Art. 2 Abs. 2 lit. c DSGVO hervorragend in die Systematik der DSGVO ein - insofern, als bestimmte Verarbeitungszwecke im Sinne einer Privatzweckfreiheit eben von ihrer Geltung ausgenommen sind.

• Sinn und Zweck

Viel wichtiger aber noch als die Auslegung nach Wortlaut und Systematik ist in diesem Fall die teleologische Auslegung. Die Privatzweckfreiheit besteht, weil das umfassende und bürokratische Regelungsmodell der DSGVO für den persönlichen Lebensbereich ungeeignet wäre (Kai von Lewinski), weil die Vorgaben der DSGVO dort kaum einzuhalten wären (Matthias Bäcker) und weil die Einhaltung der DSGVO dort kaum überprüfbar wäre.

Letztlich ist die Privatzweckfreiheit grundrechtlich geboten. Während die meisten Regelungen der DSGVO dem ersten Anschein nach zuvörderst die Rechte und Freiheiten (und insbesondere das Recht auf Privatleben) des Betroffenen schützen, schützt die Haushaltsausnahme die „natürliche Verarbeiterfreiheit des Menschen“ (Kai von Lewinski). Das bedeutet nicht, dass der Autonomieanspruch des Verarbeiters als grundsätzlich schutzwürdiger als der des Betroffenen angesehen würde. Vielmehr sollen die persönliche Selbstentfaltung und Freiheitsausübung durch die Anwendung des Datenschutzrechts nicht „gestört“ werden (Jürgen Kühling/Johannes Raab)

Natürlich können die Rechte des „Betroffenen“ auch durch rein persönliche Tätigkeiten des Datenverarbeiters beeinträchtigt werden. In persönlichen oder familiären Beziehungen entstehen die emotionalsten und dramatischsten Konflikte (Kai von Lewinski). Das Datenschutzrecht ist nur nicht das geeignete Instrumentarium, um dieses Beziehungsgeflecht zu regulieren. Der Normgeber überlässt diesen Bereich mehr als andere Bereiche der Selbstregulierung der Privaten. Die Rechtsprechung anerkennt sogar „ehrschutzfreien“ oder „beleidigungsfreien“ Raum.

Gleichwohl liegt hier keine Schutzlücke vor. Der Betroffene ist durch die Nichtgeltung der DSGVO nicht schutzlos gestellt. Es gelten lediglich die zahlreichen Präventivpflichten der DSGVO nicht. Die zivilrechtlichen und strafrechtlichen Schutzvorschriften gelten. Die geringere Regelungsintensität ist Ausdruck des Verhältnismäßigkeitsprinzips.

• Keine EU-Kompetenz

Dies alles vorausgeschickt, fehlt der EU aber auch die Regelungskompetenz für einen derart weitreichenden Eingriff in die persönliche Lebensgestaltung. Persönliche Tätigkeiten haben keinen Binnenmarktbezug. Der Datenverarbeiter macht nicht von einer seiner Grundfreiheiten Gebrauch. Die Datenverarbeitung im Rahmen persönlicher Tätigkeiten weist keinen grenzüberschreitenden Bezug auf. Nach dem Prinzip der begrenzten Einzelermächtigung darf die EU nur handeln, wenn sie primärrechtlich dazu ermächtigt wurde. Auch bei abstrakter Betrachtung haben rein persönliche Tätigkeiten aber keinen Bezug zum Unionsrecht. Die Privatzweckfreiheit des Art. 2 Abs. 2 lit. c DSGVO ist daher auch primärrechtlich geboten. Die EU dürfte ausschließlich persönliche Tätigkeiten gar nicht regeln. Die Datenschutzaufsichtsbehörden dürfen daher auch nicht unter Berufung auf die DSGVO Bußgelder wegen ausschließlich persönlicher Tätigkeiten natürlicher Personen verhängen.

Die Privatzweckfreiheit ist grundrechtlich geboten. Sie schützt die Verarbeiterfreiheit natürlicher Personen. Sie ist daher gerade keine „Bagatellklausel“ (so aber in Verkennung der grundrechtlichen Bedeutung der Verarbeitung personenbezogener Daten für den Datenverarbeiter Thomas Zerdick). Persönliche Tätigkeiten sind keine Bagatellen. Sie dienen der Verwirklichung von Grundrechten, allen voran dem Recht auf freie Entfaltung der Persönlichkeit, dem Recht auf Privatleben und dem durch das allgemeine Persönlichkeitsrecht gewährten besonderen Schutz von Vertrauensverhältnissen. Die Privatzweckfreiheit dient somit dem Kernbereich persönlicher Lebensgestaltung.

Die Haushaltsausnahme ist daher auch nicht grundsätzlich eng oder streng auszulegen. Dies wird zwar von vielen Autoren vertreten und mit dem Ausnahmecharakter der Regelung, dem unkalkulierbaren Risiko für den „Betroffenen“ und der Gewährleistung eines effektiven Datenschutzes begründet. Die Privatzweckfreiheit bestätigt aber nur, dass der Normgeber für verschiedene Lebensbereiche unterschiedliche Risikoabwägungen vorsehen kann. Das bedeutet nicht, dass die für den einen Lebensbereich (berufliche und wirtschaftliche Sphäre) vorgesehene Risikoabwägung automatisch einen breiteren Anwendungsbereich zugestanden bekommen soll als die für den anderen Lebensbereich (persönliche Sphäre) vorgesehene Risikoabwägung.

Erst recht kann die Wertung des Normgebers nicht „rückgängig gemacht werden“, wenn ein Datenverarbeiter im Rahmen rein persönlicher Tätigkeiten eine schwere Persönlichkeitsrechtsverletzung vornimmt (wie in den geschilderten Fällen). In einem solchen Fall hat der „Betroffene“ zu seinem Schutz hinreichende zivil- und strafrechtliche Möglichkeiten, wobei zu beachten ist, dass der engste Familienkreis mindestens teilweise als „ehrschutzfreier Raum“ anzusehen ist. Die Anwendbarkeit der DSGVO kann aber nicht davon abhängen, ob ein Fotograf im Rahmen ausschließlich persönlicher Tätigkeiten eine Rechtsverletzung begeht.