„Bitte löschen Sie sofort mein Foto von der Website." Diese E-Mail bekommt dein Kunde – ein kleiner Handwerksbetrieb – von einem Mitarbeiter, der gerade gekündigt hat. Und dein Kunde leitet sie an dich weiter, weil du die Seite betreust. Jetzt stellen sich mehrere Fragen auf einmal: Muss das Foto wirklich weg? Sofort? Gilt das auch für das Teamfoto, auf dem der Mann nur einer von zwölf ist? Und wer haftet, wenn ihr euch falsch entscheidet?
Personenfotos sind auf fast jeder Website, die du baust: das Team auf der Über-uns-Seite, der Chef im Beitragsbild, zufriedene Kunden im Referenzbereich, Schnappschüsse vom Firmenfest. Genau diese Bilder berühren das Recht am eigenen Bild – ein Thema, das durch KI-Werkzeuge zum Einsetzen und Verändern von Gesichtern 2026 neue Brisanz bekommen hat. Dieser Beitrag zeigt dir, worauf es bei Personenfotos ankommt und wo die Fallen liegen. Es ist eine journalistische Einordnung, keine Rechtsberatung – bei konkreten Streitfällen gehört ein Fachanwalt hinzu.
Recht am eigenen Bild: wann du Personenfotos zeigen darfst
Die Grundregel steht im Kunsturhebergesetz (KUG), das trotz seines Alters aus dem Jahr 1907 immer noch gilt. Nach § 22 KUG dürfen Bildnisse einer Person nur mit deren Einwilligung verbreitet oder öffentlich zur Schau gestellt werden. „Verbreiten" schließt das Veröffentlichen auf einer Website ausdrücklich ein. Ohne Einwilligung ist die Veröffentlichung also im Grundsatz unzulässig.
§ 23 KUG kennt einige Ausnahmen, von denen für den Agentur-Alltag vor allem zwei zählen. Personen dürfen ohne Einwilligung gezeigt werden, wenn sie nur „Beiwerk" neben einer Landschaft oder Örtlichkeit sind – der Passant, der zufällig durchs Bild der Ladenfront läuft. Und Bilder von Versammlungen, Aufzügen oder ähnlichen Vorgängen sind zulässig, wenn es um das Geschehen als Ganzes geht, nicht um einzelne Gesichter. Wichtig: Diese Ausnahmen sind eng. Sobald eine Person erkennbar im Mittelpunkt steht oder gezielt für Werbung eingesetzt wird, brauchst du eine Einwilligung. Erkennbarkeit ist dabei nicht auf das Gesicht beschränkt – auch eine markante Tätowierung, eine typische Haltung oder der Kontext können jemanden identifizierbar machen.
Ein zweiter Dauerbrenner sind Fotos vom Firmenfest, von Messen oder Kunden-Events. Hier verlassen sich viele auf die Versammlungs-Ausnahme – zu Unrecht, sobald du einzelne Gäste in den Vordergrund rückst oder gezielt herausschneidest. Und Referenz- oder Kundenfotos, die einen zufriedenen Auftraggeber mit Namen und Gesicht zeigen, sind fast immer werblich und damit einwilligungspflichtig. Gerade solche Bilder liefert dir der Kunde oft lose per Messenger, ohne dass jemand je gefragt hätte, ob die abgebildete Person mit der Veröffentlichung einverstanden ist.
KUG oder DSGVO? Der Streit, der die Praxis prägt
Seit die Datenschutz-Grundverordnung gilt, ist unter Juristen umstritten, welches Regime für Fotos maßgeblich ist. Ein Personenfoto ist ein personenbezogenes Datum, also greift im Grundsatz auch die DSGVO mit ihrem Erfordernis einer Rechtsgrundlage nach Art. 6. Gleichzeitig erlaubt die Öffnungsklausel in Art. 85 DSGVO nationale Sonderregeln für journalistische, künstlerische und literarische Zwecke – und darüber lebt das KUG in diesem Bereich fort.
Die herrschende Auffassung läuft grob darauf hinaus, dass das KUG weiter anwendbar bleibt, wo es um journalistisch-künstlerische Veröffentlichungen geht, während für rein kommerzielle oder unternehmensbezogene Fotos die DSGVO den Ton angibt. Für die Praxis ist der wichtigste Punkt aber, dass sich beide Wege am selben Kern treffen: Ohne eine wirksame Einwilligung – oder eine der engen gesetzlichen Ausnahmen – ist die Veröffentlichung eines erkennbaren Personenfotos riskant. Wer sauber dokumentiert, wer wann in welche Nutzung eingewilligt hat, ist unabhängig vom dogmatischen Streit auf der sicheren Seite. Es ist dasselbe Prinzip wie beim Löschkonzept nach der DSGVO: Nachweisbarkeit schlägt guten Willen.
Mitarbeiterfotos: das Ausscheiden ist der kritische Moment
Der häufigste Streitfall betrifft ausgeschiedene Mitarbeiter. Hier hat die Rechtsprechung – unter anderem das Landesarbeitsgericht Köln – eine differenzierte Linie gezogen. Eine einmal wirksam erteilte, am besten schriftliche Einwilligung erlischt nicht automatisch mit dem Ende des Arbeitsverhältnisses. Entscheidend ist die Art des Fotos.
Bei Bildern mit rein illustrativem Charakter, etwa einem großen Belegschaftsfoto, auf dem die Person nur eine von vielen ist, überwiegt oft das Interesse des Unternehmens an der Kontinuität – ein sofortiger Löschanspruch besteht dann nicht ohne Weiteres. Anders sieht es bei Fotos aus, die eine Person individuell herausstellen oder werbenden Charakter haben: das Porträt mit Namensnennung im Team, das Zitat mit Konterfei auf der Startseite. Solche Bilder muss der Arbeitgeber auf Verlangen in aller Regel zeitnah entfernen, weil hier das Persönlichkeitsrecht des Einzelnen überwiegt. Praktisch heißt das für dich: Wenn eine Löschaufforderung kommt, ist die erste Frage nicht „müssen wir?", sondern „was für ein Foto ist das?".
Einwilligung: worauf es ankommt – und wann sie widerruflich ist
Eine Einwilligung ist nur so viel wert wie ihre Dokumentation. Für Beschäftigtenfotos verlangt die Rechtsprechung des Bundesarbeitsgerichts im Kern eine freiwillige, informierte und möglichst schriftliche Zustimmung – schon weil im Arbeitsverhältnis die Freiwilligkeit sonst angezweifelt werden kann. Die Einwilligung sollte konkret benennen, welche Fotos für welchen Zweck und auf welchen Kanälen genutzt werden. Ein pauschales „darf für alles verwendet werden" ist im Zweifel angreifbar.
Spannend ist die Frage des Widerrufs. Nach Art. 7 Abs. 3 DSGVO ist eine datenschutzrechtliche Einwilligung jederzeit widerrufbar. Für die klassische KUG-Einwilligung gilt das nicht uneingeschränkt: Das Oberlandesgericht Koblenz hat entschieden, dass ein Widerruf einer einmal erteilten Einwilligung nur bei einem plausiblen, gewichtigen Grund möglich ist – wer heute zustimmt und morgen ohne Anlass widerruft, kann sich nicht ohne Weiteres darauf berufen. Diese Unschärfe zwischen den Regimen ist genau der Grund, warum du im Zweifel nicht selbst über die Rechtslage entscheiden, sondern den Kunden an einen Fachanwalt verweisen solltest. Deine Aufgabe ist die saubere technische Umsetzung – und die Dokumentation, welche Einwilligung für welches Bild vorliegt.
KI verschärft die Lage: synthetische Gesichter und Deepfakes
Neu ist 2026 die KI-Dimension. Werkzeuge, die Gesichter in Videos einsetzen, Porträts „verschönern" oder ganze Personen synthetisch erzeugen, sind in der Breite angekommen. Das Recht am eigenen Bild schützt auch hier: Wer das erkennbare Gesicht einer realen Person ohne Einwilligung in ein KI-Video oder eine Fotomontage einbaut, verletzt ihr Persönlichkeitsrecht – unabhängig davon, dass das Bild „künstlich" ist. Für Agenturen heißt das, dass KI-generierte oder -bearbeitete Bilder mit echten Personen dieselben Einwilligungsfragen aufwerfen wie ein Foto.
Zwei angrenzende Themen solltest du dabei sauber trennen. Die Frage, wem ein KI-generiertes Bild urheberrechtlich gehört, ist eine andere als die des Persönlichkeitsrechts – dazu haben wir den Beitrag zu KI-Bildern und Urheberrecht geschrieben. Und wenn ein KI-erzeugtes Bild oder Video als solches erkennbar sein muss, greift die KI-Kennzeichnungspflicht aus dem AI Act. Für Personenfotos gilt aber zuerst und unabhängig davon: erkennbare Person, echte oder synthetische Darstellung – ohne Einwilligung wird es heikel.
Was das für deine Agentur heißt
Aus all dem lässt sich ein schlanker Prozess ableiten, den du in jedes Projekt einbauen kannst. Erstens: Kläre vor der Veröffentlichung, für jedes Personenfoto, ob eine dokumentierte Einwilligung vorliegt oder eine Ausnahme greift. Zweitens: Lass dir vom Kunden schriftlich bestätigen, dass er die Rechte an den gelieferten Bildern besitzt und die abgebildeten Personen zugestimmt haben – das verlagert die Verantwortung dorthin, wo sie hingehört, und schützt dich. Drittens: Halte fest, welches Bild auf welcher Grundlage online ist, damit du bei einer Löschaufforderung in Minuten statt Stunden reagieren kannst.
Genau dieser dritte Punkt lässt sich als Service verkaufen. Ein kleines Bild-Register – welches Foto, welche Einwilligung, welcher Zweck – ist für einen Handwerksbetrieb kaum zu leisten, für dich als betreuende Agentur aber eine Fingerübung. Damit wird aus einem rechtlichen Risiko ein Baustein deiner Betreuung, der im Ernstfall den Unterschied macht zwischen einer souveränen Reaktion und einem hektischen Wochenende auf der Suche nach der Frage, wer diesem Teamfoto eigentlich je zugestimmt hat.
- Nach § 22 KUG dürfen erkennbare Personen nur mit Einwilligung veröffentlicht werden; die Ausnahmen des § 23 (Beiwerk, Versammlungen) sind eng auszulegen.
- Ob KUG oder DSGVO gilt, ist umstritten – beide Wege treffen sich aber im selben Kern: ohne dokumentierte Einwilligung ist ein erkennbares Personenfoto riskant.
- Eine einmal erteilte Einwilligung erlischt nicht automatisch mit dem Ausscheiden eines Mitarbeiters; individualisierende oder werbende Fotos sind auf Verlangen aber meist zeitnah zu entfernen (u. a. LAG Köln).
- Ein Widerruf der KUG-Einwilligung ist laut OLG Koblenz nur mit plausiblem Grund möglich – Einwilligungen sollten daher konkret, schriftlich und zweckgebunden erteilt werden.
- KI-Werkzeuge ändern nichts am Grundsatz: Auch synthetische oder KI-bearbeitete Bilder erkennbarer realer Personen brauchen deren Einwilligung – Agenturen sollten Einwilligungen je Bild dokumentieren.