In diesem Artikel
Dein Koch flambiert, jemand filmt es für Instagram, und im Hintergrund sitzt ein Tisch, der sich das nicht ausgesucht hat. Diese Aufnahme ist keine Marketingfrage — sie ist eine juristische, und die meisten Betriebe beantworten sie nie.
Jeder Betrieb filmt sich heute selbst: den Eröffnungsdienst, die neue Karte, die Stimmung an einem vollen Freitag. Genau das funktioniert auf Instagram und TikTok — aber ein Raum ist während des Filmens nie leer, und auf jeder Aufnahme sind Gäste zu sehen, die niemand gefragt hat, ob sie dabei sein wollten.
Zwei andere Artikel dieses Blogs behandeln bereits verwandte Themen: wie du Kundendaten (Name, E-Mail, Buchungshistorie) DSGVO-konform erfasst, und wie du Überwachungskameras an der Kasse regelkonform einsetzt. Beide handeln von Daten, die DU für DEINEN eigenen Betrieb erfasst. Dieser Artikel behandelt etwas anderes: das Bild eines Gastes, aufgenommen, um es mit der Außenwelt zu teilen.
Dieses Bild ist doppelt geschützt. Nach der DSGVO ist ein erkennbares Gesicht ein personenbezogenes Datum, Punkt — egal ob du fünf oder fünftausend Follower hast. Und unabhängig davon hat fast jedes EU-Land sein eigenes „Recht am eigenen Bild": in Frankreich das droit à l'image, in Deutschland das Recht am eigenen Bild mit eigenem Gesetzestext (dem Kunsturhebergesetz), und in Belgien und den Niederlanden eine durch Rechtsprechung entwickelte Variante desselben Grundsatzes.
Die gute Nachricht: Die Regeln sind vorhersehbar, sobald man sie in der richtigen Reihenfolge durchgeht. Dieser Artikel erklärt sie als Leiter — von „kein Problem" bis „nicht posten" — plus einen Test, der dir in zehn Sekunden sagt, wo ein bestimmtes Foto auf dieser Leiter steht.
Warum das mehr als eine theoretische Frage ist
In Spanien sanktionierte die AEPD, die nationale Datenschutzbehörde, ein Fitnessstudio mit 21.000 Euro, weil es Kurse filmte und ohne gültige Einwilligung auf sozialen Medien veröffentlichte — und eine zweite Fitnesskette mit bis zu 36.000 Euro (reduziert auf 15.000 Euro bei früher Zahlung) für dieselbe Praxis. Die Behörde stellte ausdrücklich fest, dass „film mit oder geh" keine freiwillig erteilte Einwilligung ist — genau der Mechanismus, den ein Restaurant reproduziert, wenn es einem Tisch sagt: „wir drehen heute Abend Content, verhaltet euch einfach normal".
Das ist der Kern des Problems: Ein Betrieb, der Content dreht, wiederholt genau denselben Fehler, nur mit Gästen statt mit Studiomitgliedern. Und der Schaden ist selten die Strafe selbst — es ist der Gast, der sich öffentlich beschwert, die Zeit, die eine Beschwerde kostet, und die Tatsache, dass eine ignorierte Löschanfrage in einer Beschwerde bei der Behörde eskaliert, während eine innerhalb eines Tages gelöste Anfrage nichts kostet.
Das ist also keine Frage von „was, wenn irgendwann eine Kontrolle kommt" — es ist eine Frage dessen, was ein gewöhnlicher Donnerstagabend schon liefert, sobald eine Kamera dabei ist. Sechs Regeln entscheiden, ob das problemlos abläuft.
Der ultimative Guide Restauranttechnologie: 6 Schritte von 7 Tools zu 1 System Von Kundendaten über Kameras bis zur Content-Policy: alles, was deine Systeme für dich erledigen sollen, in einem Guide. Guide öffnenDie sechs Regeln, in der Reihenfolge, in der das Gesetz sie anwendet
Jede Regel baut auf der vorherigen auf. Sobald eine Antwort „nein" lautet, musst du den Rest der Leiter nicht mehr erklimmen — du weißt schon genug.
1. Erkennbar reicht — ein Gesicht auf einem Foto ist ein personenbezogenes Datum
Die DSGVO definiert ein personenbezogenes Datum als jede Information, mit der eine Person direkt oder indirekt identifiziert werden kann (Art. 4(1)). Ein Gesicht ist das naheliegendste Beispiel überhaupt. Sobald jemand auf einem Foto erkennbar ist — nicht zentral, nicht scharf, einfach erkennbar — verarbeitest du ein personenbezogenes Datum, sobald du dieses Foto veröffentlichst. Das gilt für deinen eigenen Instagram-Account genauso wie für eine Kundendatenbank.
Das hat nichts damit zu tun, wie viele Follower du hast oder wie „klein" der Post ist. Die DSGVO unterscheidet nicht zwischen einem Geschäftskonto mit zwölf Followern und einem Influencer mit einer Million. Die Frage ist nie „ist das groß genug, um wichtig zu sein", sondern „ist diese Person erkennbar".
Was wirklich zählt: unerkennbar ist unerkennbar. Ein Rücken, ein verschwommener Hintergrund, ein Gesicht außerhalb des Bildes — das ist kein personenbezogenes Datum, und dieser ganze Artikel greift dann nicht mehr. Der einfachste Weg, ein Risiko zu beseitigen, ist immer noch, die Kamera ein paar Zentimeter zu drehen.
2. Beiwerk darf oft ohne Einwilligung — Hauptperson nie
Nicht jeder erkennbare Gast ist ein Problem. Deutschland hat das ausdrücklich im Gesetz stehen: Das Kunsturhebergesetz (KUG) verlangt grundsätzlich eine Einwilligung (§22), macht aber eine Ausnahme für Personen, die nur als Beiwerk neben einer Örtlichkeit oder einer Szene erscheinen (§23 Abs. 1 Nr. 2). Denk an einen Tisch, der zufällig im Hintergrund sitzt, während du das Interieur filmst — nicht an einen Gast, der die eigentliche Hauptperson der Aufnahme ist.
Diese Ausnahme ist enger, als sie klingt, und sie gilt nicht überall gleich. Selbst in Deutschland entfällt sie, sobald die Veröffentlichung ein berechtigtes Interesse der abgebildeten Person verletzt (§23 Abs. 2 KUG) — ein Gast in einer kompromittierenden Situation ist nie „Beiwerk", so kurz er auch im Bild ist. Und Länder wie Frankreich legen einen strengeren Maßstab an, wo selbst eine beiläufig erkennbare Anwesenheit schneller als Problem gilt.
Die praktische Faustregel, überall: Je zentraler und schärfer eine Person im Bild steht, desto stärker die Einwilligungspflicht. Ein Test, den fast jedes Land anwendet, ist einfach: Würde ein durchschnittlicher Betrachter sagen, das Foto handle von dieser Person oder vom Ort? Im Zweifel: fragen.
Jedes Foto steht irgendwo auf dieser Leiter. Je höher, desto mehr musst du vor der Veröffentlichung klären.
Die Leiter folgt den Regeln 1 bis 3 oben: Erkennbarkeit, die Beiwerk/Hauptperson-Grenze, und die Art der Einwilligung.
3. Einwilligung für das Tischfoto ist keine Einwilligung zum Posten
Angenommen, du fragst tatsächlich — „darf ich ein Foto von eurem Tisch machen?" — und die Gäste nicken. Das ist eine Einwilligung für das Foto selbst, nicht für das, was du damit machst. Die französische Datenschutzbehörde CNIL ist hier eindeutig: Die Einwilligung muss spezifisch für den beabsichtigten Zweck sein, und eine Zustimmung zu einem Foto, das du privat mit dem Tisch selbst teilst, gilt nicht automatisch als Zustimmung, dasselbe Foto öffentlich auf dem Instagram des Restaurants zu posten.
Das ist auch genau das, was die DSGVO mit „freiwillig, spezifisch und informiert erteilter Einwilligung" meint (Art. 4(11), Art. 7). „Spezifisch" ist das Wort, das die meisten Betriebe auslassen: Du musst sagen, WO das Foto landet — dein Instagram-Account, deine Website, ein Flyer —, damit die Einwilligung für diesen Zweck gültig ist.
In der Praxis bedeutet das einen Satz mehr, als die meisten Betriebe heute sagen: nicht „darf ich ein Foto machen", sondern „darf ich ein Foto für unser Instagram machen?" Das kostet nichts, und es ist der Unterschied zwischen einer gültigen Einwilligung und einem Foto auf wackligem Grund.
4. Personal auf dem Foto ist ein anderes Dossier als Gäste
Ein Mitarbeiter, der für Content vor der Kamera steht, fällt unter eine andere Rechtsgrundlage als ein Gast: das Arbeitsverhältnis. Das macht Einwilligung nicht überflüssig — auch ein Mitarbeiter muss frei ablehnen können, ohne Folgen für den Job, und „frei" ist genau die Stelle, an der es oft schiefgeht: Ein Mitarbeiter, der sich vom Chef unter Druck gesetzt fühlt, gibt keine freie Einwilligung im Sinne der DSGVO.
Praktisch ist: Ein Mitarbeiter kann das einmalig über eine interne Policy oder eine Arbeitsvertragsklausel regeln, statt bei jeder Schicht neu zu fragen. Für einen Gast gibt es diesen Weg nicht — er ist nur für einen Abend da, also muss die Einwilligung jedes Mal neu eingeholt werden.
Kurz gesagt: Löse das Personalthema getrennt — eine klare, schriftliche Policy, die jeder Mitarbeiter beim Einstieg unterschreibt, mit einer echten Ablehnungsmöglichkeit — und behandle jeden Gast als neuen Fall. Zwei Dossiers, zwei Prozesse.
5. Was dein Land dazu beiträgt — von „einfach fragen" bis zum schriftlichen Nachweis
Die DSGVO gilt EU-weit gleich, aber das Recht am eigenen Bild, das obendrauf kommt, unterscheidet sich pro Land, und das entscheidet, wie schwer du an der Beweislast tragen musst. Deutschland hat die Beiwerk-Ausnahme von oben, mit einem konkreten Gesetzestext. Frankreich arbeitet mit dem droit à l'image, wo die CNIL ausdrücklich empfiehlt, vor der Veröffentlichung eine schriftliche Einwilligung einzuholen — ein mündliches „Ja" ist vor einem französischen Gericht schwächerer Beweis als anderswo.
Belgien und die Niederlande bauen auf demselben Grundprinzip auf — dem Recht am eigenen Bild, teils im Urheberrecht verankert — aber ohne Deutschlands ausdrückliche Beiwerk-Ausnahme: Die Abwägung erfolgt dort eher fallweise, über Rechtsprechung statt eines festen Gesetzestexts.
Bist du in mehreren Ländern tätig, oder postest du Content, der in mehreren Ländern angesehen werden kann (was auf Instagram per Definition zutrifft)? Geh dann vom strengsten Regime aus, das auf dich zutreffen könnte, nicht vom mildesten. Das ist meistens Frankreich: frag spezifisch, frag wo möglich schriftlich, und du bist überall auf der sicheren Seite.
6. Eine Ablehnung darf nie ein verlorener Post sein — baue den Prozess
Das eigentliche Problem ist selten die erste Frage — es ist das, was passiert, wenn jemand ablehnt oder nachträglich um Löschung eines Fotos bittet. Die DSGVO gibt einem Gast dafür ein konkretes, durchsetzbares Recht (Art. 17, Recht auf Löschung) und eine konkrete Reaktionsfrist: grundsätzlich innerhalb eines Monats nach der Anfrage (Art. 12(3)), verlängerbar um zwei weitere Monate bei komplexen oder zahlreichen Anfragen — sofern du den Gast innerhalb dieses ersten Monats informierst.
Baue das als festen Prozess ein, nicht als Ausnahme: Wer im Team darf einen Post bearbeiten oder löschen, wie schnell (die schnellste Antwort kostet buchstäblich nichts — Zuschneiden oder Unkenntlichmachen dauert eine Minute), und wo du das dokumentierst, damit du nachweisen kannst, dass du innerhalb der Frist reagiert hast.
Eine Ablehnung „kostet" dich dann höchstens eine Aufnahme von zehn. Eine ignorierte Anfrage kostet dich die Beschwerde, die Reaktionszeit und, wie die spanischen Fälle oben zeigen, im schlimmsten Fall eine Strafe, die in keinem Verhältnis dazu steht, was es gekostet hätte, einfach zu fragen.
Dieselbe Gästeanfrage, zwei sehr unterschiedliche Wege.
Die Monatsfrist stammt aus Art. 12(3) DSGVO — siehe Regel 6.
Test: Ist dieses Foto unbedenklich zu posten?
Die sechs Regeln oben übersetzen sich in eine Entscheidung pro Foto: posten, anpassen, oder erst fragen. Der Test unten übernimmt diese Übersetzung für dich — vier Fragen, sofortige Antwort.
Schon eine Löschanfrage erhalten? Der Zähler darunter berechnet, wie viel Zeit auf der gesetzlichen Frist nach Art. 12(3) DSGVO noch bleibt.
Vier Fragen, eine Antwort
Beantworte die vier Fragen für das Foto, das du posten willst.
—
—
Basierend auf Art. 12(3) DSGVO: grundsätzlich ein Monat (hier als 30 Tage gerechnet), verlängerbar um zwei weitere Monate bei komplexen oder zahlreichen Anfragen — sofern du den Gast innerhalb des ersten Monats informierst.
Kein Test ersetzt einen Anwalt bei einem wirklichen Grenzfall — er gibt dir die Richtung, nicht das letzte Wort. Bei Zweifeln zu einer konkreten, sensiblen Situation (ein Minderjähriger, ein medizinischer Moment, ein Familienstreit, der zufällig im Bild war): immer fragen, egal was der Test sagt.
Was der Test wirklich leistet: die neun von zehn gewöhnlichen Abenden — ein voller Raum, gute Stimmung, ein zufriedener Tisch — in wenigen Sekunden beantworten, damit das Team nicht jedes Mal raten muss.
Was du diese Woche, diesen Monat und dieses Quartal tust
Sechs Regeln auf einmal einführen, gelingt niemandem. Diese Reihenfolge funktioniert, weil jeder Schritt den nächsten leichter macht.
Diese Woche — den Prozess zu Papier bringen
- Schreib einen Satz auf, den das Team vor jeder Content-Aufnahme sagt: „wir drehen gleich ein paar Bilder für Instagram, ist das okay?"
- Bestimme eine Person, die eine Löschanfrage bearbeiten darf, und vereinbare eine Reaktionsfrist — nicht „wenn ich Zeit habe".
- Setz den Test aus diesem Artikel als Lesezeichen auf das Handy, mit dem das Team Content dreht.
Diesen Monat — das Personalthema regeln
- Lass jeden Mitarbeiter eine kurze Policy unterschreiben: mit oder ohne Kamera, und wie er das kenntlich macht.
- Prüf deine letzten zehn Instagram-Posts: Ist ein erkennbarer Gast dabei, ohne dass du dich erinnerst, ob du gefragt hast?
- Richte einen festen Ordner oder Chat ein, in den das Team eine „lösch das"-Anfrage sofort eintragen kann — nicht über eine einzelne DM, die verloren geht.
Dieses Quartal — den Nachweis aufbauen
- Frag ab jetzt bei jedem Shoot mit klarer Hauptperson schriftlich nach Einwilligung (eine kurze bestätigende Nachricht genügt).
- Überprüf deinen Content-Kalender: plane feste „Content-Momente", statt Gäste zufällig zu filmen — das erleichtert das vorherige Fragen.
- Lege diese sechs Regeln neben deine Kundendaten- und Kamera-Policy, damit eine zusammenhängende Datenschutzpolitik entsteht statt drei einzelner.
Ein Foto, sechs Fragen, kein Raten mehr
Content für Instagram zu drehen gehört heute dazu, und das muss kein Risiko sein. Das Risiko liegt nicht im Filmen — es liegt im Raten.
Erkennbar oder nicht. Hauptperson oder Beiwerk. Einwilligung, und wofür genau. Geschlossen oder öffentlich. Vier Fragen, in dieser Reihenfolge, und die meisten Abende sind in zehn Sekunden beantwortet.
Und wenn es doch mal schiefläuft: reagier schnell auf eine Löschanfrage. Das ist der Unterschied zwischen einem Foto, das du einfach anpasst, und einer Beschwerde, die Wochen kostet.