Wie lange darf man die Fotos einer Hochzeit, eines Firmenevents oder einer Konferenz aufbewahren? Die Frage kommt bei jeder Veranstaltung auf, und die Antwort lautet weder „für immer“ noch „so kurz wie möglich“. Die DSGVO gibt einen klaren Grundsatz vor (die Dauer muss dem Zweck angemessen sein), überlässt es aber jedem Verantwortlichen, sie festzulegen. Dieser Ratgeber gibt konkrete Anhaltspunkte je Veranstaltungsart, ohne unnötigen Juristenjargon.
Der DSGVO-Grundsatz der Speicherbegrenzung
Art. 5 Abs. 1 lit. e DSGVO legt den Grundsatz der „Speicherbegrenzung“ fest: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist, für den sie erhoben wurden. Ein Foto ist ein personenbezogenes Datum, sobald darauf eine identifizierbare Person zu sehen ist: ein erkennbares Gesicht, ein Kfz-Kennzeichen, ein lesbares Namensschild.
Konkret heißt das zweierlei. Erstens muss der Zweck vor der Erhebung ausdrücklich festgelegt werden: „persönliche Erinnerung des Brautpaars“, „interne Unternehmenskommunikation“, „Werbung für die nächste Ausgabe der Konferenz“. Zweitens muss eine zu diesem Zweck passende Dauer festgelegt und eingehalten werden. Fotos „für alle Fälle“ unbegrenzt aufzubewahren, ist ein Verstoß.
Die CNIL, die französische Datenschutzbehörde, unterscheidet drei Phasen im Lebenszyklus von Daten: die aktive Nutzung (die Daten dienen täglich dem Zweck), die Zwischenarchivierung (die Daten werden aufbewahrt, um eine gesetzliche oder vertragliche Pflicht zu erfüllen, sind aber nicht mehr frei zugänglich) und die endgültige Löschung. Bei Event-Fotos ist eine Zwischenarchivierung selten gerechtfertigt: Meist ist man entweder in der aktiven Nutzung oder bei der Löschung.
Eine gute Gewohnheit: Frag dich alle sechs Monate „Warum behalte ich diese Fotos noch sechs Monate länger?“, und lösche sie, sobald es keinen dokumentierten Grund mehr gibt.
Wie lange Fotos aufbewahren? Fristen je Anwendungsfall
Eine einheitliche gesetzliche Frist für Event-Fotos gibt es nicht. Aus der Praxis und den Empfehlungen der CNIL ergeben sich aber je nach Kontext vernünftige Spannen.
Die Fristen auf einen Blick, bevor es ins Detail geht:
| Fotos | Zweck | Richtwert |
|---|---|---|
| Hochzeitsgalerie, mit den Gästen geteilt | Alle holen sich ihre Fotos | 6 bis 18 Monate nach der Hochzeit |
| Privates Archiv des Brautpaars | Persönliche Erinnerung | Keine feste Grenze |
| Sicherung des Hochzeitsfotografen | Nachbestellungen, zusätzliche Alben | 1 bis 5 Jahre, je nach Vertrag |
| Firmenevent und Teambuilding | Interne Kommunikation | 1 bis 3 Jahre |
| Vortragende einer Konferenz, unterschriebene Rechteübertragung | Aufzeichnungen, Archivgalerien | 5 bis 10 Jahre, je nach Vertrag |
| Konferenzteilnehmende auf Übersichtsaufnahmen | Werbung für die nächsten Ausgaben | 2 bis 5 Jahre |
| Kundengalerien eines Fotografen | Vertragliche Leistung | 1 bis 5 Jahre nach der Lieferung |
Hochzeitsfotos (langfristig, mit passender Rechtsgrundlage)
Bei einer Hochzeit ist der Zweck ausgesprochen persönlich: die Erinnerung an einen einzigartigen Moment zu bewahren. Die belastbarste Rechtsgrundlage ist meist der Vertrag (zwischen Paar und Fotograf) oder das berechtigte Interesse des Paars, wenn es die Galerie selbst verwaltet.
In der Praxis lassen sich diese Fristen gut vertreten:
- Mit den Gästen geteilte Galerie: 6 bis 18 Monate nach der Hochzeit, bis alle ihre Fotos heruntergeladen haben. Danach ist der Zweck des Teilens erfüllt.
- Privates Archiv des Brautpaars: ohne ausdrückliche Grenze, solange die beiden es möchten. Es sind ihre eigenen Daten und ihr eigener Zweck.
- Sicherung beim Profifotografen: meist 1 bis 5 Jahre je nach Vertrag, für Nachbestellungen von Abzügen oder Ergänzungen zum Album.
Heikel wird es bei den Gästen, die auf den Fotos zu sehen sind. Verlangen sie, dass ein Bild von ihnen entfernt wird (Recht auf Löschung, siehe unten), muss die für die Galerie verantwortliche Person dem in angemessener Frist nachkommen, auch wenn das Paar nicht einverstanden ist. Das individuelle Recht geht hier der gemeinsamen Erinnerung vor.
Fotos von Firmenevents und Teambuilding (kurz- bis mittelfristig, 1 bis 3 Jahre)
Im internen beruflichen Kontext ist der Zweck meist die interne Kommunikation oder das Employer Branding: Newsletter, Intranet, Willkommensmappe für neue Mitarbeitende, Präsentationen für Kunden. Nach Ansicht der CNIL passt eine Dauer von 1 bis 3 Jahren zu dieser Art der Nutzung.
Die Fotos aus den Programmpunkten eines Firmenevents, also Fotorallye, Fotoaufgaben oder ein Best-of für den internen Newsletter (siehe unsere Teambuilding-Ideen mit Fotos), fallen unter diesen Zweck: Teile ihn den Teilnehmenden schon beim Briefing mit.
Nach 3 Jahren verlieren die Fotos ihren praktischen Nutzen: Die Gesichter sind nicht mehr dieselben, die Büros auch nicht, die Botschaft kommt nicht mehr an. Wer sie weiter aufbewahrt, geht ein Risiko ohne Gegenwert ein. Für ein jährliches Firmenevent gilt eine einfache Regel: Die Fotos werden bis zur Ausgabe N+2 aufbewahrt, dann werden die der Ausgabe N gelöscht.
Die Fotos eines Firmenevents an einem Ort zu sammeln, mit erfasstem Datum und einer Möglichkeit zur Sammellöschung, macht die Anwendung dieser Regel sehr viel einfacher. Wer per WhatsApp oder USB-Stick teilt, kann die DSGVO kaum noch einhalten: Alle Teilnehmenden haben eine eigene Kopie, außerhalb jeder Kontrolle. Der Artikel Firmenevent-Fotos zentral sammeln zeigt, wie sich das ohne IT-Abteilung einfach organisieren lässt.
Ein Sonderfall: Mitarbeitende, die das Unternehmen verlassen, behalten ihr Recht auf Löschung für die Fotos, auf denen sie zu sehen sind. Ein Löschverfahren muss auch nach ihrem Ausscheiden erreichbar bleiben.
Fotos von öffentlichen Konferenzen (je nach Rechteübertragung unterschiedlich)
Bei einer öffentlichen Konferenz wird es komplizierter. Mehrere Gruppen treffen aufeinander: Vortragende (oft mit unterschriebener Einverständniserklärung), erkennbare Teilnehmende (meist auf Grundlage des berechtigten Interesses des Veranstalters oder einer Einwilligung) sowie VIPs und sensible Gäste (von Fall zu Fall).
Für Vortragende mit ausdrücklicher Rechteübertragung kann die Frist lang sein: 5 bis 10 Jahre sind für Videoaufzeichnungen und Archivgalerien üblich. Maßgeblich ist der Vertrag.
Für Teilnehmende auf Übersichtsaufnahmen liegt die übliche Spanne bei 2 bis 5 Jahren, lange genug, um für die nächsten Ausgaben zu werben. Danach wird das berechtigte Interesse dünn, und die Löschung ist geboten.
Bei sensiblen Gästen (Minderjährige, politische Persönlichkeiten, Personen, die ausdrücklich nicht fotografiert werden wollten) musst du die Bilder schnell finden und entfernen können. Das ist einer der Fälle, in denen Gesichtserkennung, eingesetzt zur Umsetzung des Rechts auf Löschung, die Einhaltung der DSGVO paradoxerweise erleichtern kann, weil sich damit in Sekunden alle Fotos derselben Person finden lassen.
Kundengalerien von Profifotografen (1 bis 5 Jahre nach der Lieferung)
Für Profifotografen ist die Kundengalerie eine vertragliche Leistung. Die Aufbewahrungsdauer legt meist der Vertrag selbst fest; üblich sind 1 bis 5 Jahre nach der endgültigen Lieferung, für Nachbestellungen, zusätzliche Alben oder einzelne Nutzungsrechte.
Nach Ablauf dieser Zeit muss der Fotograf entweder ausdrücklich eine erneute Einwilligung einholen oder die Originale löschen. Die RAW-Dateien aller früheren Kunden „auf ewig“ aufzubewahren, lässt sich nicht mehr vertreten, seit die DSGVO 2018 gilt.
Der Artikel Gesichtserkennung und DSGVO für Fotografen erklärt die besonderen Pflichten von Profifotografen, vor allem, wenn sie Galerien mit einem Tool zur Sortierung nach Gesichtern ausliefern.
Ein guter Kundenvertrag nennt ausdrücklich: die Aufbewahrungsdauer, das Löschverfahren am Ende dieser Dauer und die Möglichkeit für den Kunden, vor der Löschung eine Archivkopie anzufordern.
Bleibt die Wahl des Tools für die Auslieferung, und dabei zählt, wo es die Dateien speichert: Unser Vergleich der Pixieset-Alternativen für die Galerie-Auslieferung zeigt, wo die wichtigsten Plattformen hosten und welchen DSGVO-Rahmen sie bieten.
Das Recht auf Löschung in der Praxis
Art. 17 DSGVO gibt jeder Person, die auf einem Foto erkennbar ist, das Recht, dessen Löschung zu verlangen, in den meisten Fällen ohne Begründung. Es ist die Pflicht der Verordnung mit den meisten praktischen Folgen und die, die im Alltag die meisten Schwierigkeiten macht.
Die Anfrage kann viele Formen haben: eine E-Mail, ein Brief, eine Nachricht in sozialen Netzwerken, sogar eine mündliche Bitte während der Veranstaltung. Der Verantwortliche hat einen Monat Zeit für die Antwort (Art. 12 Abs. 3 DSGVO), bei komplexen Anfragen um zwei Monate verlängerbar.
Drei praktische Fragen stellen sich sofort.
Wer nimmt die Anfragen entgegen? Eine eigene E-Mail-Adresse (zum Beispiel datenschutz@beispiel.de) muss in der Galerie, auf der Einladung oder auf der Event-Seite stehen. Ohne erkennbare Anlaufstelle gehen Anfragen verloren, und die Monatsfrist ist schnell überschritten.
Wer löscht technisch? Der Veranstalter, der Fotograf, der Anbieter der Galerie? Die Rolle muss vor der Veranstaltung vergeben werden, nicht erst an dem Tag, an dem eine Anfrage eintrifft. Erlaubt das Tool das Löschen einzelner Fotos oder aller Fotos einer Person (per Gesichtserkennung), geht die Bearbeitung viel schneller.
Wie prüfst du, ob die Löschung vollständig ist? Fotos können heruntergeladen, über andere Kanäle geteilt oder in Druckerzeugnisse übernommen worden sein. Der Verantwortliche muss keine Kopien außerhalb seines Einflussbereichs aufspüren, muss aber nachweisen können, dass er alle Kopien in seinem Einflussbereich gelöscht hat. Ein Löschprotokoll (Datum, anfragende Person, betroffene Fotos) ist gute Praxis.
Für Organisationen mit vielen Veranstaltungen spart ein dokumentierter Datenschutzprozess, der das Recht auf Löschung einschließt, viel Zeit. Die Seite zur DSGVO-Konformität von Evokly beschreibt die eingebauten Funktionen, die einen Teil dieser Pflichten automatisieren.
Welche Dokumentation nötig ist
Die DSGVO regelt nicht nur Fristen, sondern verlangt auch, die eigene Praxis zu dokumentieren. Mindestens drei Dokumente solltest du erstellen und aktuell halten.
Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Pflicht für fast alle Organisationen: Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten gilt nur für gelegentliche Verarbeitungen ohne Risiko und ohne sensible Daten. Es listet alle Verarbeitungen personenbezogener Daten mit Zweck, Rechtsgrundlage, Kategorien betroffener Personen und Speicherdauer auf. Für eine Veranstaltung genügt eine Zeile: „Fotos Firmenevent 2026, Zweck: interne Kommunikation, Dauer: 24 Monate, Grundlage: berechtigtes Interesse, verantwortlich: Personalabteilung“.
Die Hinweise bei der Einwilligung oder Erhebung. Wenn die Teilnehmenden einen QR-Code scannen, um die geteilte Galerie zu öffnen, muss ein kurzer Hinweis sie darüber informieren, wer die Fotos sammelt, wozu, wie lange sie aufbewahrt werden und wie sie ihre Rechte ausüben. Zwei Zeilen unten auf der Galerieseite genügen in den meisten Fällen.
Die ausdrückliche Frist im Kundenvertrag (für Fotografen und Agenturen). Der Vertrag muss die Aufbewahrungsdauer der Quelldateien, die Bereitstellungsdauer der Auslieferungsgalerie und das Löschverfahren bei Fristende nennen. Das schützt auch den Dienstleister: Ohne ausdrückliche Klausel trägt er die Beweislast für die Einhaltung der DSGVO. Eine Agentur, die die Galerie an ihre Kunden weiterverkauft, nimmt diese Klausel in die Fotoposition ihres Angebots auf: siehe wie du einen White-Label-Fotoservice abrechnest.
Diese Dokumente müssen nicht lang sein, wohl aber aktuell und stimmig mit dem, was tatsächlich passiert. Eine Richtlinie, die „12 Monate Aufbewahrung“ verspricht, während die Fotos 3 Jahre später noch online sind, ist gefährlicher als gar keine.
DSGVO-Bußgelder und Sanktionen bei Verstößen
DSGVO-Bußgelder machen regelmäßig Schlagzeilen, die Praxis ist aber differenzierter. Die CNIL setzt vor einem Bußgeld meist auf förmliche Aufforderungen und Beratung, besonders bei Organisationen, die in gutem Glauben handeln.
Die theoretische Obergrenze ist hoch: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO). In der Praxis fallen die Sanktionen, die die CNIL im Bereich Event-Fotos und Aufbewahrung tatsächlich verhängt, bescheidener aus. Dafür sind sie öffentlich, und der Imageschaden schmerzt oft mehr als das Bußgeld.
In einer öffentlichen Entscheidung von 2023 hat die CNIL ein Unternehmen aus der Personalvermittlung sanktioniert, weil es Fotos von Bewerbenden mehr als 5 Jahre lang ohne aktualisierte Rechtsgrundlage und ohne funktionierendes Löschverfahren aufbewahrt hatte. Der Betrag (mehrere Zehntausend Euro) war angemessen, die Berichterstattung darüber hat dem Unternehmen als Arbeitgeber aber nachhaltig geschadet.
2024 traf eine ähnliche Entscheidung eine Event-Plattform, die Löschanfragen nicht fristgerecht beantwortete. Der Verstoß betraf das Verfahren ebenso wie die Aufbewahrung: keine eigene Kontaktadresse, kein Protokoll der Anfragen, kein Nachweis der Umsetzung. Die Botschaft der CNIL bleibt dieselbe: Nicht die Fristen an sich sind das Problem, sondern ein fehlender dokumentierter Prozess dahinter.
Für die große Mehrheit der Veranstalter ist das tatsächliche Risiko kein hohes Bußgeld, sondern die Beschwerde einer unzufriedenen teilnehmenden Person, die von der Aufsichtsbehörde öffentlich bearbeitet wird (in Frankreich der CNIL, in Deutschland der zuständigen Datenschutzaufsichtsbehörde). Das allein rechtfertigt den Aufwand für eine klare Richtlinie.
Häufige Fragen
Wie lange darf man Fotos einer beruflichen Veranstaltung aufbewahren?
Üblich sind 1 bis 3 Jahre für ein Firmenevent oder eine interne Veranstaltung und 2 bis 5 Jahre für eine öffentliche Konferenz. Danach entfällt der Kommunikationszweck, und die Aufbewahrung lässt sich kaum noch rechtfertigen. Rechtlich maßgeblich ist keine feste Frist, sondern die Verhältnismäßigkeit zum dokumentierten Zweck.
Braucht man die schriftliche Einwilligung jeder fotografierten Person?
Nicht unbedingt. Die Einwilligung ist eine mögliche Rechtsgrundlage, aber bei Stimmungsfotos auf einer beruflichen Veranstaltung kann auch das berechtigte Interesse des Veranstalters genügen. Pflicht sind dagegen ein sichtbarer Hinweis (ein Schild am Eingang, ein Vermerk auf der Einladung) und ein Verfahren, mit dem Betroffene ihr Widerspruchs- oder Löschrecht ausüben können.
Was tun, wenn jemand die Löschung seines Fotos verlangt?
Du hast einen Monat Zeit, um die Anfrage zu bearbeiten (Art. 12 DSGVO), in komplexen Fällen verlängerbar auf drei Monate. Ermittle die betroffenen Fotos, lösche sie aus allen Medien unter deiner Kontrolle und bestätige der anfragenden Person die Umsetzung schriftlich. Halte die Löschung in einem Protokoll fest, damit du sie bei einer Prüfung nachweisen kannst.
Sind das Recht am eigenen Bild und die DSGVO dasselbe?
Nein, es sind zwei getrennte Regelwerke, die parallel gelten. Das Recht am eigenen Bild gehört zum Zivilrecht (in Frankreich Artikel 9 des französischen Code civil) und schützt die Nutzung des Bildes einer erkennbaren Person. Die DSGVO ist eine europäische Verordnung über personenbezogene Daten. Ein Foto kann das Recht am eigenen Bild wahren (unterschriebene Einwilligung) und trotzdem gegen die DSGVO verstoßen (nicht dokumentierte Speicherdauer), und umgekehrt.
Muss man das Sammeln von Fotos bei der Datenschutzaufsichtsbehörde melden?
Nein, eine vorherige Meldung gibt es nicht mehr, seit die DSGVO 2018 gilt. Du musst aber intern ein Verzeichnis von Verarbeitungstätigkeiten führen und es bei einer Prüfung auf Anfrage vorlegen. Für Verarbeitungen mit hohem Risiko (etwa Gesichtserkennung in großem Umfang) kann eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein.
Fallen Fotos von einer privaten Feier unter die DSGVO?
Bei rein persönlicher oder familiärer Nutzung (Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO) nicht. Eltern, die einen Geburtstag fotografieren und die Fotos für sich behalten, unterliegen nicht der DSGVO. Wer sie in einer geschlossenen Galerie mit Familie und Freunden teilt, bleibt in der Regel innerhalb dieser Ausnahme. Die DSGVO gilt, sobald die Fotos diesen Kreis verlassen (offene Veröffentlichung im Netz oder in sozialen Netzwerken) oder wenn ein Unternehmen oder Verein die Veranstaltung organisiert; der Anbieter, der die Galerie hostet, unterliegt ihr immer.
DSGVO-Konformität bei Event-Fotos ist weder Hexerei noch unmöglich. Dahinter stehen drei konkrete Schritte: eine zum Zweck passende Dauer festlegen, diese Dauer in einem einfachen Verzeichnis dokumentieren und das Recht auf Löschung über eine erkennbare Anlaufstelle organisieren. Die meisten modernen Event-Tools haben diese Pflichten inzwischen standardmäßig eingebaut.
Auf der Seite mit den Preisen siehst du, welche Evokly-Tarife die geteilte Galerie, das Löschen einzelner Fotos und den Ablauf für das Recht auf Löschung enthalten.
