Bildverwaltung für den Mittelstand, DSGVO und die Rolle des Betriebsrats

Das Wichtigste auf einen Blick

Bildverwaltung Systeme im Mittelstand: DSGVO-Anforderungen an DAM-Systeme

Ein DAM-System ist kein Dateiordner mit Vorschaufunktion. Es verarbeitet personenbezogene Daten, sobald Mitarbeiterporträts, Eventfotos oder Kundentermine im Bestand liegen. Damit fällt der Betrieb unter die DSGVO, und der Mittelstand trägt die Pflichten wie jeder andere Verantwortliche.

Die erste Anforderung ist die Zweckbindung. Jedes Bild braucht einen dokumentierten Verwendungszweck: Karriereseite, Pressemitteilung, Social Media, interne Schulung. Ohne diesen Zweck ist die Verarbeitung nicht rechtmäßig, und die Rechtsgrundlage lässt sich später nicht nachschieben.

Die zweite Anforderung ist die Löschfähigkeit. Wer Porträts zehn Jahre im Archiv hält, braucht einen Grund. Übliche Fristen liegen bei zwei bis fünf Jahren nach Ende des Verwendungszwecks, abhängig von Einwilligung und Vertrag. Das System muss diese Fristen kennen und durchsetzen.

Die dritte Anforderung ist die Auskunftsfähigkeit. Auf Anfrage muss ein Verantwortlicher sagen können, welche Bilder zu einer Person gespeichert sind, wo sie verwendet wurden und an wen sie gingen. Ein DAM ohne Suchfunktion über Metadaten und Verwendungsnachweise macht diese Pflicht zur Handarbeit.

Die vierte Anforderung betrifft Rechte Dritter. Externe Bilder von Agenturen, Fotografen oder Künstlern bringen eigene Lizenzbedingungen mit. Diese Bedingungen gehören strukturiert in das System, nicht in eine PDF-Ablage neben dem Ordner.

Ein Punkt wird im Mittelstand regelmäßig unterschätzt: die Auftragsverarbeitung. Betreibt ein Dienstleister das Bildarchiv, braucht es einen Vertrag nach Art. 28 DSGVO. Fehlt er, ist der Betrieb selbst in der Pflicht, unabhängig davon, wer technisch hostet.

Bei den Rechten der Betroffenen gilt § 18 BDSG - Einzelnorm, der die Auskunftspflicht konkretisiert und Ausnahmen benennt. Für die Praxis heißt das: Das System muss Auskunft, Berichtigung, Löschung und Einschränkung als Prozess unterstützen, nicht nur als Option im Handbuch.

Welche Daten gehören ins DAM: Prüffragen zu Metadaten und Nachweisen

Neben dem Bild selbst zählen Metadaten, Nutzungsnachweise, Einwilligungen, Vertragslaufzeiten und Veröffentlichungshistorie dazu. Wer nur Dateien speichert, verliert den Nachweis und damit die Verteidigungslinie im Streitfall.

Prüffragen für das Pflichtenheft: Welche Felder sind Pflicht, welche optional? Wer pflegt Urheber, Lizenz und Laufzeit? Wie werden Einwilligungen versioniert? Wie wird die Veröffentlichungshistorie automatisch protokolliert? Welche Daten werden beim Export mitgegeben?

Hosting in der EU: Prüffragen zu Standort und Drittlandtransfer

Für viele Mittelständler ist ein Hosting in Deutschland oder der EU die pragmatische Wahl. Das ersetzt keine Rechtsgrundlage, reduziert aber Aufwand bei Übermittlungen in Drittländer und macht die Dokumentation überschaubar. Die Landesdatenschutzbeauftragten in Nordrhein-Westfalen, Bayern oder Hamburg veröffentlichen dazu Orientierungshilfen, die sich auch für kleinere Häuser auswerten lassen.

Prüffragen: Wo stehen die Server? Wer sind Unterauftragnehmer? Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO? Wie wird bei einem Wechsel exportiert? Welche Fristen gelten für die Löschung nach Vertragsende?

Mitbestimmungsrechte des Betriebsrats bei Bildverwaltung nach § 26 BDSG

Der Betriebsrat ist bei Bildverwaltung selten freiwillig beteiligt, sondern kraft Gesetzes. Sobald Mitarbeiterfotos verarbeitet werden, greifen Mitbestimmungsrechte nach § 87 BetrVG, weil es um Verhaltens- und Leistungskontrolle gehen kann.

§ 26 BDSG - Einzelnorm regelt die Datenverarbeitung im Beschäftigungskontext. Er verlangt, dass die Verarbeitung für die Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist oder durch einen berechtigten Grund gedeckt wird. Bei Fotos ist die Erforderlichkeit oft strittig.

Ein Mitarbeiterporträt für das Intranet ist etwas anderes als ein Foto für eine externe Werbekampagne. Für die Kampagne braucht es in der Regel eine Einwilligung, und die muss freiwillig sein. Ein Koppelungsverbot verhindert, dass die Zustimmung an Karrierevorteile gebunden wird.

Der Betriebsrat prüft mit, ob das System mehr kann, als der Zweck verlangt. Gesichtserkennung, automatische Verschlagwortung mit Personenbezug oder Standortdaten in Bildmetadaten sind typische Streitpunkte. Wer diese Funktionen ohne Beteiligung einführt, riskiert ein Mitbestimmungsverfahren.

Die Beteiligung beginnt nicht erst beim Livegang. Schon die Auswahl des Systems, die Festlegung der Metadatenfelder und die Löschkonzepte sind mitbestimmt, wenn sie Beschäftigte betreffen. Eine Betriebsvereinbarung schafft hier den belastbaren Rahmen.

Das Gesetz nennt für § 87 BetrVG keine Frist wie § 99 BetrVG. Als interne Planung sollten Sie mindestens vier Wochen zwischen Information und Entscheidung einplanen. Die Betriebsvereinbarung sollte vor Vertragsschluss stehen. Kommt keine Einigung zustande, entscheidet die Einigungsstelle. Das kann den Projektstart um Monate verzögern.

Prüffragen für die Beteiligung: Wann erhält der Betriebsrat das Pflichtenheft? Wer vertritt den Arbeitgeber? Welche Funktionen sind mitbestimmt? Wie wird der Stand der Verhandlungen dokumentiert? Wann ist die Zustimmung eingeplant?

Was in eine Betriebsvereinbarung gehört

Musteraufbau einer Betriebsvereinbarung

1. Präambel und Geltungsbereich (Standorte, Tochtergesellschaften)
2. Zwecke der Bildverarbeitung (Intranet, Karriereseite, Presse, Social Media)
3. Rechtsgrundlagen (§ 26 BDSG, Einwilligung, berechtigtes Interesse)
4. Einwilligung und Widerruf (Formular, Fristen, Folgen)
5. Löschfristen und Aufbewahrung (Kategorien, Verantwortliche)
6. Rollen und Zugriffsrechte (Redaktion, HR, Vertrieb, Agenturen)
7. Ausgeschlossene Funktionen (Gesichtserkennung, Standortdaten)
8. Schulung und Kontrolle (Turnus, Teilnehmerkreis)
9. Mitbestimmung und Streitbeilegung (Einigungsstelle)
10. Inkrafttreten, Laufzeit, Review (jährlich)

Typische Fehler in der Praxis

Viele Unternehmen informieren den Betriebsrat erst nach dem Anbietervertrag. Dann lässt sich der Funktionsumfang kaum noch anpassen. Auch fehlende Schulung und unklare Löschfristen führen zu Streit.

Rechteverwaltung in DAM-Systemen: Nutzungsrechte, Lizenzen und Schranken

Rechteverwaltung ist der Kern eines DAM-Systems, nicht ein Zusatzmodul. Sie beantwortet drei Fragen: Wer darf das Bild nutzen, für welchen Zweck und bis wann.

Nutzungsrechte werden vertraglich eingeräumt. Ein Fotograf kann einfache oder ausschließliche Rechte übertragen, räumlich, zeitlich und inhaltlich begrenzt. Das System muss diese Grenzen abbilden, sonst nutzt das Marketing ein Bild nach Ablauf der Lizenz weiter.

Lizenzlaufzeiten gehören als Pflichtfeld in die Metadaten. Läuft eine Lizenz aus, sollte das System die weitere Verwendung sperren oder mindestens warnen. In der Praxis scheitert das oft daran, dass Laufzeiten nur im Vertragsordner liegen.

Räumliche Beschränkungen sind im Mittelstand relevant, wenn Motive nur für Deutschland lizenziert sind. Wer sie in einer europaweiten Kampagne einsetzt, verletzt den Vertrag. Ein DAM mit Rechteprofilen kann solche Grenzen prüfen, bevor das Bild in den Kampagnenordner wandert.

Gesetzliche Schranken ergänzen die Vertragsrechte. Sie erlauben bestimmte Nutzungen ohne Zustimmung des Rechteinhabers, etwa für Unterricht, Wissenschaft oder Archive. Diese Schranken sind eng und an Bedingungen geknüpft.

Ein weiterer Punkt ist die Künstlersozialkasse. Wer als Unternehmen regelmäßig Werke freier Fotografen nutzt, kann abgabepflichtig sein. Die Bildverwaltung liefert die Nachweise, welche Werke wann genutzt wurden, und erleichtert die Meldung. Ansprüche aus gesetzlichen Schranken nehmen Verwertungsgesellschaften wie die Bild-Kunst wahr.

Metadaten, die Pflicht sind

Urheber, Rechteinhaber, Lizenzart, Nutzungsumfang, Laufzeit, Quelle und Verwendungszweck. Fehlt eines dieser Felder, ist die Rechteprüfung unvollständig.

Rollen und Berechtigungen

Nicht jeder Mitarbeiter darf jedes Bild herunterladen. Rollen trennen Redaktion, Vertrieb, Personal und externe Agenturen. Wer Rechte sauber verwaltet, vergibt Downloadrechte nur für freigegebene Assets.

Automatisierte Bildverarbeitung und § 60c UrhG

Automatische Verschlagwortung, Objekterkennung und Bildoptimierung sind heute Standardfunktionen. Rechtlich relevant wird das, wenn dafür fremde Werke als Trainingsmaterial oder Referenz dienen.

§ 60c UrhG - Einzelnorm erlaubt die Vervielfältigung von Werken für nicht kommerzielle wissenschaftliche Forschung. Das klingt nach einem Freibrief für Experimente, ist aber eng begrenzt. Kommerzielle Produktentwicklung fällt nicht darunter.

Praxisbeispiel: Ein Forschungsteam einer Hochschule darf für ein nicht kommerzielles Projekt fremde Bilder vervielfältigen. Nutzt dasselbe Team die Bilder später für ein kostenpflichtiges Produkt, endet die Schranke. Die Grenze verläuft zwischen nicht kommerzieller Forschung und kommerzieller Verwertung.

Für Mittelständler heißt das: Wer ein KI-Modell mit lizenzierten Agenturbildern trainiert, braucht dafür eine Grundlage. Die reine Lizenz zur Nutzung eines Bildes deckt das Training nicht automatisch ab. Nutzungsbedingungen von Agenturen schließen es häufig ausdrücklich aus.

Anders liegt der Fall bei automatischer Verschlagwortung mit eigenen Beständen. Wenn das System nur die Metadaten des eigenen Archivs auswertet, ist die Rechtslage überschaubarer. Trotzdem bleibt die Frage, ob die Verarbeitung personenbezogener Bilder zulässig ist.

Die Deutsche Industrie- und Handelskammer hat das Thema KI-Praxis für Unternehmen aufbereitet. Die Handreichung KI im Klartext: Vom Paragrafen zur Praxis zeigt, wie Betriebe von der Regel zur Umsetzung kommen. Das ist hilfreich, weil es die Brücke zwischen Rechtsrahmen und betrieblicher Praxis schlägt.

Was Unternehmen trennen sollten

Interne Automatisierung im eigenen Bestand ist etwas anderes als das Training eigener Modelle mit fremden Werken. Die erste Variante ist meist unkritisch, die zweite braucht eine klare Rechtsgrundlage.

Dokumentation der Verarbeitung

Wer automatisiert verarbeitet, sollte festhalten, welche Werkzeuge welche Daten nutzen. Diese Dokumentation ist Teil des Verzeichnisses von Verarbeitungstätigkeiten und hilft bei Anfragen von Betroffenen.

Archiv- und Bestandsnutzung nach § 60g UrhG

Archive, Bibliotheken und Museen dürfen unter bestimmten Voraussetzungen Bestände digitalisieren und zugänglich machen. § 60g UrhG - Einzelnorm regelt diese Nutzung und setzt Grenzen.

Für Unternehmen ist die Norm vor allem dann relevant, wenn sie ein eigenes Archiv betreiben und historische Bestände digital erschließen. Ein Firmenarchiv mit alten Werksfotos fällt nicht automatisch unter die Archivschranke, sondern nur, wenn die Voraussetzungen erfüllt sind.

Die Schranke erlaubt die Vervielfältigung für die Bestandserhaltung und die Zugänglichmachung für Forschung und private Nutzung. Kommerzielle Verwertung ist ausgeschlossen. Wer historische Bilder für Werbung nutzen will, braucht weiterhin die Rechte.

Praxisbeispiel: Ein Firmenarchiv darf alte Werksfotos für die Bestandserhaltung digitalisieren. Verwendet das Marketing eines dieser Fotos in einer Imagekampagne, greift die Schranke nicht. Die Grenze liegt zwischen Archivierung und kommerzieller Nutzung.

Praktisch bedeutet das: Die Digitalisierung des Firmenarchivs ist oft zulässig, die Veröffentlichung in einer Imagekampagne nicht. Das DAM-System sollte diese Unterscheidung abbilden, etwa über getrennte Freigabestufen.

Ein zweiter Punkt ist die Vergütung. Gesetzliche Schranken sind keine kostenlose Nutzung. Für bestimmte Nutzungen sieht das Urheberrechtsgesetz Vergütungsansprüche vor, die über Verwertungsgesellschaften geltend gemacht werden.

Firmenarchiv richtig aufsetzen

Trennen Sie Bestandserhalt, interne Nutzung und externe Veröffentlichung. Jede Stufe braucht eigene Regeln und eigene Freigaben.

Wann die Schranke nicht greift

Sobald ein Bild für Marketing, Vertrieb oder Produktwerbung verwendet wird, endet der geschützte Bereich. Dann gelten die normalen Lizenzregeln.

Anbieterauswahl und Kosten: Worauf Mittelständler achten sollten

Der Markt für DAM-Systeme ist breit und umfasst Anbieter wie Bynder, Canto, FotoWare, Frontify, Pimcore, ResourceSpace und Widen. Viele nennen EU-Hosting als Option, einige arbeiten mit Partnern für den Betrieb in Deutschland. Ein Produktvergleich sollte die Rechteverwaltung, den Export und die Mitbestimmungsfähigkeit gegenüberstellen.

Bei der Anbieterauswahl zählt zuerst das Hosting. Wer Daten in der EU hält, spart Übermittlungsdokumentation und Streit mit dem Betriebsrat. Ein Auftragsverarbeitungsvertrag gehört zum Pflichtenheft, nicht in die Nachverhandlung.

Die zweite Frage ist die Rechteverwaltung. Kann das System Laufzeiten, Nutzungsumfang und Rollen abbilden? Oder braucht es dafür ein Zusatzmodul, das die Kosten treibt? Diese Frage entscheidet oft über die Gesamtrechnung.

Die dritte Frage ist die Exportfähigkeit. Wer beim Anbieterwechsel seine Metadaten und Verwendungsnachweise nicht mitnehmen kann, sitzt fest. Ein offenes Exportformat ist ein Verhandlungspunkt, kein Nice-to-have.

Die vierte Frage betrifft die Integration. Ein DAM, das nicht mit dem CMS, der Social-Media-Planung und der Buchhaltung spricht, erzeugt manuelle Arbeit. Diese Arbeit ist der versteckte Kostenblock.

Die fünfte Frage ist die Systemfähigkeit für Mitbestimmung. Kann das System Löschfristen automatisch umsetzen, Zugriffe protokollieren und Funktionen abschalten, die mitbestimmt sind? Die Beteiligung des Betriebsrats ist im vorherigen Abschnitt beschrieben. Wer die Systemfähigkeit erst nach dem Kauf klärt, zahlt doppelt.

Kostenmodelle und Anbieterkategorien

Die Preise hängen von Nutzerzahl, Speichervolumen, Modulen und Vertragslaufzeit ab. SaaS-Anbieter rechnen meist monatlich pro Nutzer ab, On-Premises-Anbieter verlangen einen Einmalkauf plus Wartung. Open-Source-Lösungen verursachen keine Lizenzkosten, aber Kosten für Hosting, Einrichtung und Support. Konkrete Listenpreise nennen die Anbieter häufig nur auf Anfrage.

Für eine grobe Planung im Mittelstand liegen SaaS-Lösungen häufig im niedrigen bis mittleren zweistelligen Eurobereich pro Nutzer und Monat. On-Premises-Projekte starten inklusive Einführung häufig im mittleren fünfstelligen Bereich. Diese Werte sind typische Marktgrößen, keine Listenpreise.

Ein Kostenblock wird oft vergessen: die Migration. Alte Ordnerstrukturen, fehlende Metadaten und doppelte Dateien müssen bereinigt werden. Diese Arbeit ist Personalzeit und damit der größte Posten im ersten Jahr.

Vertragspunkte, die Sie prüfen sollten

Wann sich ein Wechsel lohnt

Wenn das bestehende System keine Rechteverwaltung bietet, Löschfristen nicht kennt und der Betriebsrat Bedenken hat, ist ein Wechsel oft günstiger als Nachbesserung. Die Migration kostet einmal, der Stillstand kostet dauerhaft.

Checkliste für die Einführung eines DSGVO-konformen Bildverwaltungssystems

Jede Position braucht eine verantwortliche Rolle und ein Review-Intervall.

Die Checkliste ist kein einmaliges Projekt. Sie gehört in den Betrieb, mit klaren Verantwortlichkeiten und einem jährlichen Review. Wer sie abarbeitet und dann liegen lässt, verliert den Nachweis.

Häufige Fragen

Braucht ein Mittelständler überhaupt ein DAM-System?

Sobald Bilder in mehreren Kanälen genutzt werden und Lizenzen ablaufen, ja. Ohne System fehlen Nachweise, und die Rechteprüfung wird manuell.

Ist der Betriebsrat bei jeder Bildverwaltung beteiligt?

Nicht bei jeder. Sobald Mitarbeiterfotos oder Verhaltensdaten betroffen sind, greifen Mitbestimmungsrechte nach § 26 BDSG und § 87 BetrVG.

Darf ich Mitarbeiterfotos ohne Einwilligung nutzen?

Für interne Zwecke kann die Erforderlichkeit reichen. Für externe Werbung ist die Einwilligung der Regelfall, und sie muss freiwillig sein.

Was kostet ein DSGVO-konformes DAM-System?

Die Kosten richten sich nach Nutzerzahl, Speicher, Modulen und Betriebsmodell. SaaS-Lösungen werden meist pro Nutzer und Monat abgerechnet, On-Premises-Projekte über Einmalkauf plus Wartung. Für eine grobe Planung liegen SaaS-Lösungen häufig im niedrigen bis mittleren zweistelligen Eurobereich pro Nutzer und Monat. On-Premises-Projekte starten inklusive Einführung häufig im mittleren fünfstelligen Bereich. Diese Werte sind typische Marktgrößen, keine Listenpreise.

Deckt eine Bildlizenz das KI-Training ab?

Nicht automatisch. § 60c UrhG erlaubt Training nur für nicht kommerzielle wissenschaftliche Forschung. Kommerzielles Training braucht eine eigene Grundlage.

Was passiert bei einem Anbieterwechsel?

Metadaten, Lizenzen und Verwendungsnachweise müssen exportierbar sein. Klären Sie das vor Vertragsschluss, sonst verlieren Sie die Rechteübersicht.