Die meisten Artikel, die Proofing-Galerien vergleichen, bewerten sie nach Preis, Speicherplatz und Aussehen der Kundengalerie. Das ist wichtig. Aber wenn du in Europa fotografierst, gibt es eine Frage, die keiner dieser Vergleiche beantwortet: Wo liegen die Fotos deiner Kunden physisch, und wozu verpflichtet dich das?
Das hier ist keine Compliance-Vorlesung. Es ist die kurze Liste der Fragen, die ein europäischer Fotograf zu seiner Galerie-Plattform beantworten können sollte, und was sich ändert, wenn die Dateien in Europa bleiben.
Zuerst zum Begriff: Proofing
In den USA ist „Proofing“ der übliche Begriff für die Galerie, in der ein Kunde die Bilder vor der endgültigen Auslieferung ansieht, auswählt und freigibt. In Europa spricht man bei demselben Schritt meist einfach von der Auslieferung der Galerie. Deshalb übersehen europäische Fotografen, die auf Englisch suchen, oft die Hälfte des Marktes.
Gut zu wissen, denn um dieses Wort herum baut jede US-Plattform ihr Produkt auf. Wenn du Tools auf Englisch vergleichst, suche nach „proofing galleries“, nicht nach „delivery galleries“.
Die Fotos deiner Kunden sind personenbezogene Daten, und du bist der Verantwortliche
Ein Foto, auf dem eine Person erkennbar ist, enthält personenbezogene Daten. Das ist der Ausgangspunkt, und er gilt für ein Shooting mit Business-Porträts genauso wie für eine Hochzeit.
Daraus folgen zwei Rollen. Du entscheidest, wer fotografiert wird, warum und wie lange die Fotos online bleiben. Damit bist du der Verantwortliche. Die Plattform, die die Galerie hostet, handelt nach deinen Weisungen. Damit ist sie Auftragsverarbeiter.
Diese Beziehung ist nicht formlos. Art. 28 verlangt einen schriftlichen Vertrag zwischen dir und der Plattform, den Auftragsverarbeitungsvertrag (AVV). Er regelt, was der Auftragsverarbeiter tun darf, welche Sicherheitsmaßnahmen er trifft, wer seine eigenen Unterauftragsverarbeiter sind und was am Ende mit den Daten passiert.
Der Praxistest: Kannst du diesen Vertrag heute auf der Website der Plattform herunterladen, ohne den Vertrieb zu kontaktieren? Bei seriösen Plattformen geht das. Wo es nicht geht, trägst du die Pflicht, ohne die Unterlagen zu haben.
Hosting in den USA ist nicht illegal. Es ist Papierkram
Hier herrscht die größte Verwirrung, und zwar in beide Richtungen.
Personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums zu übermitteln, ist rechtmäßig, wenn ein rechtlicher Mechanismus das abdeckt. Seit Juli 2023 bietet das EU-US Data Privacy Framework genau das: Ein US-Unternehmen, das sich danach selbst zertifiziert hat, kann personenbezogene Daten aus der EU ohne weitere Formalitäten empfangen, so wie bei einer Übermittlung innerhalb der EU.
Eine US-Proofing-Plattform ist also nicht automatisch ein Problem. Entscheidend ist eine einzige Tatsachenfrage: Ist genau dieses Unternehmen zertifiziert?
Das Register ist öffentlich. Suche den eingetragenen Firmennamen auf dataprivacyframework.gov und prüfe, ob die Zertifizierung aktiv ist. Eine Marketingseite mit „DSGVO-konform“ ist keine Antwort, und eine Antwort des Supports, die Daten seien „sicher“, ist es auch nicht. Entweder steht die Zertifizierung als Status auf einer öffentlichen Liste, oder es gibt sie nicht.
Steht der Anbieter nicht auf dieser Liste, braucht die Übermittlung Standardvertragsklauseln und ein Transfer Impact Assessment (TIA), also eine Analyse, ob die Gesetze des Ziellandes diese Klauseln in der Praxis aushebeln. Diese Prüfung ist Aufgabe des Verantwortlichen. Mit anderen Worten: deine.
Sechs Punkte, die du vor der Unterschrift prüfen solltest
Prüfe sie bei jeder Plattform, europäisch oder nicht. Die meisten kosten fünf Minuten.
Der Auftragsverarbeitungsvertrag. Ohne Nachfrage herunterladbar und von der Gesellschaft unterzeichnet, an die du tatsächlich zahlst.
Die Speicherregion. Nicht der Firmensitz, sondern die Region, in der Bilddateien und Datenbankeinträge liegen. Manche Plattformen lassen dich wählen, die meisten nicht.
Der Übermittlungsmechanismus. Zertifizierung nach dem Data Privacy Framework oder Standardvertragsklauseln plus deine eigene Prüfung.
Die Liste der Unterauftragsverarbeiter. Eine Galerie-Plattform arbeitet nie allein: Objektspeicher, Content Delivery Network (CDN), Transaktions-E-Mails, Analytics. Frag nach der Liste und danach, wie du über Änderungen informiert wirst. Stillschweigende Ergänzungen sind der häufigste Mangel.
Aufbewahrung und Löschung. Was mit den Dateien passiert, wenn eine Galerie abläuft oder du dein Konto schließt. Eine Plattform, die keine Löschfristen nennen kann, kann dir nicht helfen, die Löschanfrage eines Kunden zu beantworten.
Gesichtsabgleich, falls du ihn nutzt. Fotos sind nicht von vornherein biometrische Daten. Erwägungsgrund 51 sagt das ausdrücklich. Biometrisch werden sie erst, wenn sie mit technischen Mitteln verarbeitet werden, die eine eindeutige Identifizierung ermöglichen, und genau das macht der Gesichtsabgleich. Damit greifen Art. 9 und die Pflicht zur ausdrücklichen Einwilligung. Den Rahmen beschreibt ausführlich unser Artikel Gesichtserkennung und DSGVO für Fotografen.
Was die europäische Option wirklich ändert
Nichts Magisches: Ein Kapitel der Verordnung fällt aus deiner Akte weg.
Bei Speicherung in der Europäischen Union gilt Kapitel V über internationale Übermittlungen für diesen Teil deiner Tools nicht mehr. Du musst keine Zertifizierung prüfen, keine Standardvertragsklauseln beifügen und kein Transfer Impact Assessment schreiben und aktuell halten. Alle anderen Pflichten bleiben genau so, wie sie waren.
Konkret wird das im B2B-Geschäft. Firmenkunden schicken vor einem Shooting immer öfter einen Lieferantenfragebogen, und eine Zeile darin fragt, wo die Unterauftragsverarbeiter die Daten speichern. Die Antwort „In der Europäischen Union, hier ist der Vertrag“ erledigt das mit einer E-Mail. Die Antwort „In den USA, unter einem Framework, ich suche das Zertifikat raus“ eröffnet ein Gespräch mit einer Rechtsabteilung, die keinen Grund zur Eile hat.
Die zweite Änderung betrifft die Gerichtsbarkeit. Ein europäischer Auftragsverarbeiter schließt Verträge nach europäischem Recht und untersteht einer europäischen Aufsichtsbehörde. Wenn etwas schiefgeht, liegt zwischen dir und einem Rechtsbehelf eine Ebene weniger.
Pixieset, ShootProof und die europäische Frage
Fairerweise muss man sagen: Das sind gute Produkte von seriösen Teams, und Fotografen nutzen sie, weil sie funktionieren. Dieser Artikel behauptet nichts anderes, und unser eigener Vergleich der Pixieset-Alternativen empfiehlt mehrere davon je nach Profil.
Worauf sie nicht ausgelegt sind, ist die europäische Frage. Speicherung, Support und Verträge sind für einen US-Markt organisiert, in dem es diesen Papierkram nicht gibt. Das ist kein Mangel, sondern ein anderer Markt.
Frag also nicht, ob sie konform sind, denn das ist keine Ja-oder-Nein-Eigenschaft eines Produkts. Stell die drei Tatsachenfragen von oben: Was steht im Vertrag, wo werden die Daten gespeichert, und steht das Unternehmen im öffentlichen Register? Dann entscheide, mit den Antworten vor Augen.
Wo Evokly passt und wo nicht
Evokly, eine White-Label-Eventgalerie mit Selfie-Suche, hostet die Daten in der Europäischen Union, veröffentlicht einen Auftragsverarbeitungsvertrag und stützt den Gesichtsabgleich auf eine gespeicherte ausdrückliche Einwilligung, mit Löschung bei Ablauf des Events. Ab dem Event-Pro-Tarif (Einmalzahlung) laufen die Galerien ohne Abo unter deiner eigenen Marke.
Evokly ist für Events mit vielen verschiedenen Personen gemacht: Hochzeiten, Galas, Konferenzen, Firmenevents. Die Gäste scannen einen QR-Code, und jede Person findet per Selfie die Fotos, auf denen sie zu sehen ist. Damit entfallen in der Woche danach die Nachrichten nach dem Muster „Kannst du mir die raussuchen, auf denen ich drauf bin?“.
Wo Evokly nicht passt: Es ist keine Plattform für Print-Verkauf und verwaltet weder Verträge noch Rechnungen. Wenn dein Geschäftsmodell auf Papierabzügen beruht oder du Auslieferung und Studioverwaltung in einem Dashboard willst, können die oben genannten Tools das, Evokly nicht.
Wann eine US-Plattform trotzdem die richtige Wahl ist
Drei Fälle, ganz ehrlich.
Deine Kunden sind Amerikaner. Die Übermittlungsfrage läuft dann in die andere Richtung, und die lokale Plattform ist die, auf die ihre Erwartungen zugeschnitten sind.
Deine Marge kommt aus dem Print-Verkauf. Die Labor-Anbindungen, die das möglich machen, sind bei US-Plattformen ausgereift und fehlen bei den meisten europäischen.
Du bist schon eingerichtet, und es läuft. Ein Umzug kostet viele Stunden, und eine Plattform, die du kennst, schlägt eine, die auf dem Papier etwas besser ist. Wechsle, wenn es einen Grund gibt, nicht wegen eines Artikels.
Kurz gesagt
Der Hosting-Standort allein ist noch keine Compliance, und europäisches Hosting ist kein Zertifikat. Was es bringt: Ein Kapitel deiner Pflichten fällt weg, das zu internationalen Übermittlungen, und wenn ein Firmenkunde fragt, wo die Fotos liegen, antwortest du mit einer einzigen E-Mail.
Bevor du irgendetwas unterschreibst, lass dir Vertrag, Speicherregion und Übermittlungsmechanismus schriftlich geben. Wenn eine Plattform nicht alle drei an einem Nachmittag liefern kann, kennst du die Antwort auf den Rest.
Wie lange du die Dateien nach der Auslieferung aufbewahren solltest, liest du in Aufbewahrung von Event-Fotos nach der DSGVO.
Teste kostenlos eine White-Label-Galerie, bei einem echten Shooting, bevor du irgendetwas entscheidest.
Häufige Fragen
Ist es nach der DSGVO illegal, Kundenfotos in den USA zu hosten?
Nein. Übermittlungen außerhalb des Europäischen Wirtschaftsraums sind rechtmäßig, wenn ein rechtlicher Mechanismus sie abdeckt. Seit Juli 2023 bietet das EU-US Data Privacy Framework einen solchen: Ein US-Unternehmen, das sich danach selbst zertifiziert hat, kann personenbezogene Daten aus der EU ohne Standardvertragsklauseln empfangen. Ist dein Anbieter nicht zertifiziert, braucht die Übermittlung Standardvertragsklauseln und ein Transfer Impact Assessment, und diese Arbeit liegt bei dir als Verantwortlichem, nicht beim Anbieter.
Wie prüfe ich, ob eine Proofing-Plattform nach dem Data Privacy Framework zertifiziert ist?
Die Liste ist öffentlich und auf dataprivacyframework.gov durchsuchbar. Suche nach dem eingetragenen Firmennamen statt nach dem Produktnamen und prüfe, ob die Zertifizierung aktiv ist und die richtigen Datenkategorien abdeckt. Ein Anbieter, der sich auf einer Marketingseite „DSGVO-konform“ nennt, ist nicht dasselbe wie eine aktive Zertifizierung in diesem Register.
Bin ich der Verantwortliche für meine Kundengalerien?
Im Normalfall ja. Du entscheidest, wer fotografiert wird, warum und wie lange die Fotos online bleiben. Damit bist du der Verantwortliche. Die Proofing-Plattform handelt nach deinen Weisungen und ist damit Auftragsverarbeiter. Diese Beziehung erfordert einen schriftlichen Auftragsverarbeitungsvertrag nach Art. 28, und genau dieses Dokument solltest du herunterladen können, ohne den Vertrieb zu kontaktieren.
Sind Fotos biometrische Daten im Sinne der DSGVO?
Nicht von vornherein. Erwägungsgrund 51 stellt klar, dass Fotos nicht grundsätzlich zu den besonderen Kategorien personenbezogener Daten gehören. Zu biometrischen Daten werden sie erst, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die eine eindeutige Identifizierung einer Person ermöglichen, und genau das macht Gesichtserkennung. Eine einfache Galerie mit Gesichtern enthält gewöhnliche personenbezogene Daten; kommt der Gesichtsabgleich dazu, greift Art. 9, der eine ausdrückliche Einwilligung verlangt.
Reicht Hosting in Europa allein, um DSGVO-konform zu sein?
Nein, und jeder Anbieter, der etwas anderes behauptet, will dir etwas verkaufen. Europäisches Hosting streicht ein Kapitel der Verordnung aus deiner Akte, das zu internationalen Übermittlungen. Du brauchst trotzdem eine Rechtsgrundlage für die Fotos, einen Auftragsverarbeitungsvertrag, eine Speicherdauer, die du wirklich einhältst, und einen Weg, Löschanfragen zu beantworten. Der Hosting-Standort ist eine Zeile der Checkliste, nicht die Checkliste.