Vier Dinge betreffen dich wirklich: die Daten deiner Kund:innen, die Bilder selbst, die Dienste, bei denen beides liegt, und die Frage, wann alles wieder gelöscht wird. Der Rest der üblichen Aufregung betrifft Fälle, die in einem Fotostudio kaum vorkommen.
Personenbezogen ist jede Angabe, die sich einem bestimmten Menschen zuordnen lässt, und verarbeitet werden Daten schon, wenn du sie speicherst oder weiterleitest. Die Pflichten im Alltag bleiben trotzdem überschaubar.
1. Kundendaten
Name, Adresse, Telefonnummer, Mailverlauf: alles personenbezogene Daten. Du darfst sie verarbeiten, weil du einen Vertrag erfüllst. Dafür brauchst du keine Einwilligung. Was du brauchst, ist eine Datenschutzerklärung, die sagt, was du womit machst, und die Fähigkeit, auf Auskunft und Löschung zu reagieren.
Sie sollte beschreiben, was du tatsächlich tust. Eine zusammenkopierte Fassung, die einen Newsletter erwähnt und den Galerie-Dienst verschweigt, hilft niemandem.
2. Bilder sind auch Daten
Ein Porträt ist ein personenbezogenes Datum. Das ist der Punkt, den viele übersehen: Die Frage „darf ich das zeigen” berührt das Recht am eigenen Bild und zugleich den Datenschutz. Für die Vertragserfüllung, also Aufnahme und Lieferung, brauchst du keine Einwilligung. Für die Veröffentlichung im eigenen Portfolio schon; wie du sie einholst, steht unter Darf ich Bilder meiner Kund:innen zeigen?
Das gilt auch für die Rohdaten. Von einer Hochzeit bleiben Hunderte Aufnahmen, die außer dir nie jemand gesehen hat, darunter Gäste, die nie gefragt wurden. Für diese Dateien gilt alles, was hier steht, auch die Löschfrist.
3. Wer hält deine Daten
Cloudspeicher, Mailanbieter, Buchungssoftware, Galerie-Hosting: Überall dort verarbeitet jemand Daten in deinem Auftrag. Dafür braucht es einen Auftragsverarbeitungsvertrag, kurz AVV. Er regelt, dass der Dienst die Daten nur nach deinen Vorgaben verarbeitet und nicht für eigene Zwecke.
Seriöse Anbieter stellen ihn bereit, oft als digitales Formular. Sammle sie an einer Stelle, dann musst du im Ernstfall nicht suchen. Welche dir fehlen, zeigt ein Gang durch einen Auftrag vom ersten Kontakt bis zur Rechnung.
Praktische Folge für die Anbieterwahl: Ein Dienst, dessen Server in Deutschland oder der EU stehen, erspart dir den größten Teil der Diskussion über Drittlandtransfers, also über Daten, die die EU verlassen.
4. Löschen ist auch eine Pflicht
Daten dürfen nicht ewig liegen. In der Praxis heißt das für ein Fotostudio: Galerien laufen nach einer festgelegten Frist ab, Bilder werden danach entfernt, und ein Auftrag, der abgeschlossen und abgerechnet ist, wird irgendwann gelöscht. Steuerliche Aufbewahrungsfristen gehen vor, betreffen aber Rechnungen, nicht Bilddateien.
Die Spannung kennt jede Fotografin. Drei Jahre nach der Hochzeit fragt die Braut, ob du die Bilder noch hast, ihre Festplatte sei kaputt. Der Ausweg ist eine Frist, die du vorher nennst, verbunden mit der Bitte, die Bilder selbst zu sichern. Dann weiß die Kundin, woran sie ist, und du löschst ohne schlechtes Gewissen.
Was das im Alltag bedeutet
Weniger Ablagen helfen mehr als zusätzliche Formulare. Je weniger Orte deine Daten haben, desto leichter beantwortest du jede dieser vier Fragen. Wer Bilder in einer Cloud, Kontakte im Telefon, Nachrichten in vier Apps und Rechnungen im Mailpostfach hat, kann eine Auskunftsanfrage nicht zuverlässig beantworten, selbst wenn er möchte.
Stell dir die Auskunftsanfrage eines Paares vor, das vor zwei Jahren geheiratet hat: Mailverlauf, Chat auf dem alten Handy, Rohdaten auf der Platte im Schrank. Jede Ablage, die du vorher zusammengelegt hast, bleibt dir dann erspart.