DSGVO bei Baustellenfotos – Was viele falsch machen

Baustellenfotos gehören zum Handwerk wie Wasserwaage und Zollstock. Jeder macht sie, jeden Tag, dutzende Stück. Aber kaum jemand denkt darüber nach, was die DSGVO dazu sagt. Dabei ist gerade bei DSGVO Baustellenfotos die Rechtslage eindeutig – und die meisten Betriebe verstoßen dagegen, ohne es zu wissen.

1 Foto, 11 unkontrollierte Kopien

Rechne mit: Du machst ein Foto auf der Baustelle und schickst es in die WhatsApp-Baustellengruppe mit 8 Mitgliedern. Das Foto liegt jetzt auf 8 Handys. Drei deiner Mitarbeiter haben automatische Cloud-Backups bei Google Fotos oder iCloud aktiviert. Das sind 3 weitere Kopien in der Cloud. Plus das Original auf deinem Gerät.

Ergebnis: 1 Foto = 8 Handys + 3 Cloud-Backups = mindestens 11 unkontrollierte Kopien.

Und wenn auf diesem Foto ein Kennzeichen zu sehen ist, ein Nachbar im Hintergrund oder die Eingangstür eines Kunden mit lesbarer Hausnummer? Dann hast du personenbezogene Daten auf 11 Geräten verteilt – ohne Einwilligung, ohne Verarbeitungsverzeichnis, ohne Löschkonzept.

Die DSGVO interessiert sich nicht dafür, ob du das Foto aus Versehen geteilt hast. Sie interessiert sich dafür, dass du es getan hast.

Die häufigsten Fehler bei DSGVO und Baustellenfotos

In den meisten Handwerksbetrieben laufen bei DSGVO Baustellenfotos gleich mehrere Dinge gleichzeitig schief. Hier die typischen Fehler:

Keine Einwilligung eingeholt

Wenn auf deinen Baustellenfotos Personen erkennbar sind – Mitarbeiter, Nachbarn, Passanten – brauchst du grundsätzlich eine Rechtsgrundlage für die Verarbeitung. Bei Mitarbeitern kann das der Arbeitsvertrag regeln. Bei Dritten wird es schwieriger. Viele Betriebe fotografieren einfach drauflos, ohne sich darüber Gedanken zu machen.

Kein Auftragsverarbeitungsvertrag (AVV)

Sobald Fotos über einen externen Dienst verarbeitet werden – sei es WhatsApp, Google Drive, Dropbox oder ein anderer Cloud-Speicher – brauchst du einen Auftragsverarbeitungsvertrag mit dem Anbieter. Hast du einen AVV mit WhatsApp abgeschlossen? Vermutlich nicht. Die meisten Handwerksbetriebe wissen nicht einmal, dass sie einen bräuchten.

Fotos auf privaten Handys

Deine Mitarbeiter nutzen ihre eigenen Smartphones für Baustellenfotos. Damit liegen geschäftliche Daten – teilweise mit Personenbezug – auf Geräten, die du als Arbeitgeber nicht kontrollierst. Du weißt nicht, welche Apps Zugriff auf die Galerie haben, ob ein Backup in eine private Cloud läuft oder ob das Handy überhaupt mit einer PIN geschützt ist.

• Kein Mobile Device Management (MDM) im Einsatz
• Private Apps haben Zugriff auf geschäftliche Fotos
• Bei Verlust des Handys: keine Fernlöschung möglich
• Fotos bleiben auch nach Projektabschluss auf dem Gerät

Kein Löschkonzept

Die DSGVO verlangt, dass personenbezogene Daten gelöscht werden, wenn der Zweck der Verarbeitung entfällt. Baustellenfotos mit Personenbezug müssen also irgendwann gelöscht werden – oder du brauchst eine dokumentierte Aufbewahrungspflicht als Rechtsgrundlage. Wie löschst du ein Foto, das auf 11 Geräten liegt? Gar nicht. Genau das ist das Problem.

Was die DSGVO tatsächlich verlangt

Die Anforderungen bei DSGVO Baustellenfotos lassen sich auf einige zentrale Punkte herunterbrechen:

• Rechtsgrundlage: Für jedes Foto mit Personenbezug brauchst du eine Rechtsgrundlage – Einwilligung, berechtigtes Interesse oder vertragliche Notwendigkeit.
• Zweckbindung: Fotos dürfen nur für den dokumentierten Zweck verwendet werden. Baudokumentation ja, Marketing-Post auf Instagram ohne Einwilligung nein.
• Datenminimierung: Fotografiere nur, was du wirklich brauchst. Muss der Nachbar auf dem Bild sein? Wahrscheinlich nicht.
• Speicherbegrenzung: Personenbezogene Fotos dürfen nicht ewig gespeichert werden. Du brauchst ein Löschkonzept mit definierten Fristen.
• Technisch-organisatorische Maßnahmen: Zugriffskontrolle, Verschlüsselung, Backup-Konzept – alles, was die Sicherheit der Daten gewährleistet.
• Verarbeitungsverzeichnis: Du musst dokumentieren, welche personenbezogenen Daten du verarbeitest, warum und wie lange.

Klingt nach viel Bürokratie? Ist es auch – wenn du es manuell machst. Muss es aber nicht sein.

Wie du auf der sicheren Seite bist

Die gute Nachricht: Du musst kein Datenschutzexperte werden. Du musst nur drei Dinge sicherstellen:

1. Zentrale Speicherung statt verteilter Chaos

Alle Baustellenfotos gehören an einen zentralen, kontrollierten Ort – nicht auf 15 private Handys. Ein System, das du als Betriebsinhaber kontrollierst, auf das du Zugriffsrechte vergeben und entziehen kannst.

2. Zugriffskontrolle und Berechtigungen

Nicht jeder muss jedes Foto sehen. Der Azubi braucht keinen Zugriff auf die Dokumentation von vor zwei Jahren. Der Subunternehmer braucht nur seine eigenen Projekte. Rollenbasierte Zugriffsrechte sind kein Luxus – sie sind DSGVO-Pflicht.

3. Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter

Wenn du einen Cloud-Dienst für deine Fotos nutzt, brauchst du einen AVV. Das ist ein Vertrag zwischen dir und dem Anbieter, der regelt, wie mit den Daten umgegangen wird. Seriöse Anbieter stellen diesen Vertrag automatisch bereit.

Der BauOrdner-Ansatz: DSGVO-konform ab Tag 1

BauOrdner wurde von Anfang an so entwickelt, dass DSGVO Baustellenfotos kein Problem, sondern ein gelöstes Thema sind. Konkret bedeutet das:

• Zentrale Speicherung auf deutschen Servern – keine Fotos auf privaten Geräten, keine unkontrollierten Cloud-Backups.
• Rollenbasierte Zugriffskontrolle – jeder sieht nur, was er sehen soll. Zugriff lässt sich jederzeit entziehen.
• AVV inklusive – der Auftragsverarbeitungsvertrag ist Bestandteil jedes BauOrdner-Vertrags. Kein Papierkram, kein Extra-Aufwand.
• Automatische Metadaten-Verwaltung – GPS, Zeitstempel und Projektzuordnung werden beim Upload erfasst und dokumentiert.
• Löschkonzept integriert – definierte Aufbewahrungsfristen, automatische Erinnerungen, nachvollziehbare Löschvorgänge.
• Audit-Log – jeder Zugriff wird protokolliert. Du kannst jederzeit nachweisen, wer wann auf welche Daten zugegriffen hat.

DSGVO-Konformität darf nicht davon abhängen, ob dein Mitarbeiter daran denkt, ein Foto manuell hochzuladen. Sie muss ins System eingebaut sein.

Fazit: Unwissenheit schützt nicht vor Bußgeld

Die meisten Handwerksbetriebe verstoßen bei DSGVO Baustellenfotos nicht aus böser Absicht, sondern aus Unwissenheit. WhatsApp ist bequem, die Handygalerie ist da – also nutzt man, was man hat. Aber die DSGVO macht keinen Unterschied zwischen Absicht und Fahrlässigkeit.

Die Aufsichtsbehörden werden aufmerksamer, die Beschwerden von Betroffenen nehmen zu, und die Bußgelder treffen auch kleine Betriebe. Wer heute seine Baustellenfotos unkontrolliert über private Handys und Messenger verteilt, riskiert mehr als nur ein unordentliches Archiv – er riskiert ein Verfahren.

Die Lösung ist nicht kompliziert. Sie muss nur einmal richtig aufgesetzt werden. Und danach funktioniert sie – ohne dass du jeden Tag an Datenschutz denken musst.