Datenleck bei Portraitbox: Was betroffene Eltern und Fotografen jetzt wissen müssen
Ein mutmaßlicher Hackerangriff auf die Foto-Plattform Portraitbox hat Medienberichten zufolge möglicherweise zehntausende Schul-, Kita- und Kinderfotos sowie persönliche Daten in die Hände unbekannter Dritter gebracht. Über den Vorfall berichtete unter anderem Spiegel Online am 18.06.2026. Nach den bisherigen Berichten sollen Unbekannte Zugriff auf Bilddateien und Kundendaten erlangt haben. Das tatsächliche Ausmaß des Vorfalls ist derzeit Gegenstand laufender Ermittlungen.
Für betroffene Familien und für die Fotografinnen und Fotografen, die die Plattform genutzt haben, stellen sich nun drängende rechtliche Fragen. Besonders sensibel ist der Vorfall deshalb, weil möglicherweise Kinderfotos betroffen sind. Anders als Passwörter oder andere Zugangsdaten lassen sich einmal veröffentlichte Bildaufnahmen nicht einfach austauschen oder zurücksetzen.
Wir ordnen den Vorfall aus anwaltlicher Sicht ein und zeigen, welche Rechte und Pflichten nach dem Datenschutzrecht bestehen, getrennt nach den beiden Betroffenengruppen, deren Interessen hier nicht immer gleichlaufen.
1. Worum geht es beim Portraitbox Datenleck?
Die Portraitbox GmbH betreibt eine Plattform, über die Fotografinnen und Fotografen Schul-, Kindergarten- und Portraitaufnahmen in passwortgeschützten Online-Galerien zum Verkauf anbieten.
Nach übereinstimmenden Medienberichten wurde im Mai 2026 ein IT-Sicherheitsvorfall bekannt, bei dem sich Unbekannte unberechtigt Zugriff auf Daten der Plattform verschafft haben sollen. Den Berichten zufolge könnten Bilddateien und Kundendaten abgeflossen sein. Teilweise ist von einer Lösegeldforderung die Rede.
Wie genau die Angreifer vorgegangen sind und in welchem Umfang Daten tatsächlich betroffen sind, ist nach aktuellem Kenntnisstand noch nicht abschließend geklärt. Die Staatsanwaltschaft Köln hat Ermittlungen aufgenommen. Darüber hinaus prüft die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen den Vorfall aus datenschutzrechtlicher Sicht.
Besonders brisant ist die Situation deshalb, weil es sich bei den möglicherweise betroffenen Bildern überwiegend um Kinderfotos handelt. Einmal abgeflossene Bilder lassen sich faktisch nicht „zurückholen“. Genau darin liegt eines der größten Risiken für die Betroffenen.
2. Warum Kinderfotos besonders sensible Daten sind
Fotos sind personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO).
Sie werden nicht allein deshalb zu biometrischen Daten im Sinne von Art. 9 DSGVO, weil sie ein Gesicht zeigen. Gleichwohl ermöglichen moderne Technologien zunehmend die Analyse und Verarbeitung von Gesichtsmerkmalen. Daraus können erhebliche Risiken für die betroffenen Personen entstehen.
Hinzu kommt der besondere Schutz von Kindern. Die DSGVO betont an mehreren Stellen, dass Kinder als besonders schutzbedürftig gelten und ihre personenbezogenen Daten ein erhöhtes Schutzniveau genießen.
Gerade bei hochauflösenden Kinderfotos können mögliche Datenschutzverletzungen deshalb weitreichende Folgen haben. Diese besondere Schutzbedürftigkeit spielt sowohl bei der Bewertung möglicher Schadensersatzansprüche als auch bei der Beurteilung der Pflichten der Verantwortlichen eine wichtige Rolle.
3. Welche Daten könnten vom Portraitbox Datenleck betroffen sein?
Nach den bislang veröffentlichten Informationen könnten unter anderem folgende Daten betroffen sein:
- Schul- und Kindergartenfotos
- Portraitaufnahmen von Kindern
- Namen der Kinder
- Namen der Eltern
- E-Mail-Adressen
- Bestellinformationen
- Liefer- und Kontaktdaten
- Zugangsdaten zu Online-Galerien
Derzeit ist noch nicht abschließend geklärt, welche Daten tatsächlich abgeflossen sind und wie viele Personen betroffen sind.
Bereits die Möglichkeit eines unbefugten Zugriffs auf Kinderfotos und personenbezogene Daten wirft jedoch erhebliche datenschutzrechtliche Fragen auf.
Ob als Elternteil oder Fotograf – Datenschutzverletzungen mit Kinderfotos werfen zahlreiche rechtliche Fragen auf.
Wir prüfen Ihre Ansprüche auf Auskunft, Löschung oder Schadensersatz und unterstützen Sie bei der Durchsetzung Ihrer Rechte.
Kontaktieren Sie uns für eine erste rechtliche Einschätzung unter (0221) 800 676 80.
4. Für betroffene Eltern: Ihre Rechte nach der DSGVO
Wenn Bilder oder Daten Ihres Kindes betroffen sein könnten, stehen Ihnen verschiedene Rechte nach der DSGVO zu.
Auskunftsanspruch nach Art. 15 DSGVO
Der wichtigste erste Schritt ist häufig die Auskunft.
Sie haben das Recht zu erfahren,
- welche Daten verarbeitet wurden,
- welche Bilder betroffen sind,
- welche weiteren Informationen gespeichert wurden,
- ob Daten an Dritte weitergegeben wurden.
Diese Informationen bilden die Grundlage für alle weiteren rechtlichen Schritte.
Löschungsanspruch nach Art. 17 DSGVO
Betroffene können grundsätzlich verlangen, dass noch vorhandene personenbezogene Daten gelöscht werden.
Zwar lässt sich ein bereits erfolgter Datenabfluss gegenüber unbekannten Tätern regelmäßig nicht rückgängig machen. Gegenüber den Verantwortlichen kann jedoch weiterhin ein Löschungsanspruch bestehen.
Schadensersatz nach Art. 82 DSGVO
Unter bestimmten Voraussetzungen kann auch ein Anspruch auf Schadensersatz bestehen.
Der Europäische Gerichtshof hat mehrfach klargestellt, dass nicht nur materielle Schäden ersatzfähig sein können. Auch der Verlust der Kontrolle über personenbezogene Daten oder die begründete Sorge vor einem Missbrauch kann einen immateriellen Schaden darstellen.
Gerade bei Kinderfotos können die besondere Schutzbedürftigkeit Minderjähriger und die langfristigen Risiken bei der Bemessung eines Schadensersatzanspruchs eine wichtige Rolle spielen. Ob und in welcher Höhe ein Anspruch besteht, hängt jedoch immer von den Umständen des jeweiligen Einzelfalls ab.
5. Gegen wen richten sich mögliche Ansprüche?
Diese Frage ist rechtlich von zentraler Bedeutung.
In vielen Fällen besteht zunächst ein Vertragsverhältnis zwischen den Eltern und dem jeweiligen Fotostudio. Gleichzeitig spielt die Plattform Portraitbox als technischer Dienstleister eine wesentliche Rolle.
Ob das Fotostudio, die Plattform oder mehrere Beteiligte datenschutzrechtlich verantwortlich sind, hängt von den konkreten Vertragsverhältnissen und tatsächlichen Abläufen ab.
6. Für Fotografen: Pflichten, Haftung und eigene Ansprüche
Fotografinnen und Fotografen befinden sich in einer besonderen Situation.
Einerseits können sie gegenüber den Eltern datenschutzrechtlich verantwortlich sein. Andererseits kommen sie möglicherweise selbst als Geschädigte des Vorfalls in Betracht.
Melde- und Informationspflichten
Je nach Sachlage können Fotografen verpflichtet sein,
- Datenschutzverstöße an die zuständige Aufsichtsbehörde zu melden,
- betroffene Eltern zu informieren,
- interne Dokumentationspflichten zu erfüllen.
Die hierfür geltenden Fristen sind kurz und sollten ernst genommen werden.
Haftungsfragen
Ob Fotografen gegenüber Eltern haften, hängt von den Umständen des Einzelfalls ab.
Von Bedeutung können insbesondere folgende Fragen sein:
- Bestand ein wirksamer Auftragsverarbeitungsvertrag?
- Wurde die Plattform sorgfältig ausgewählt?
- Durfte auf die technischen und organisatorischen Sicherheitsmaßnahmen vertraut werden?
Wer seine Auswahl- und Kontrollpflichten dokumentiert erfüllt hat, verfügt regelmäßig über bessere Verteidigungsmöglichkeiten.
Eigene Ansprüche gegen die Plattform
Sollte sich herausstellen, dass Sicherheitsmängel im Verantwortungsbereich der Plattform lagen, können Fotografen selbst Ansprüche haben.
In Betracht kommen insbesondere:
- Schadensersatzansprüche,
- Freistellungsansprüche,
- Regressforderungen,
- Ersatz eigener Aufwendungen.
Darüber hinaus sollte geprüft werden, ob eine Berufshaftpflichtversicherung oder Cyberversicherung eintrittspflichtig ist.
7. Was Betroffene jetzt tun sollten
Für Eltern
Wenn Sie betroffen sein könnten, sollten Sie:
- sämtliche Unterlagen zur Fotoaktion sichern,
- Zugangsdaten und Korrespondenz aufbewahren,
- auf mögliche Phishing-Versuche achten,
- Auskunftsansprüche prüfen lassen,
- mögliche Schadensersatzansprüche rechtlich bewerten lassen.
Für Fotografen
Fotografen sollten insbesondere:
- ihre Meldepflichten prüfen,
- Verträge mit Portraitbox sichern,
- Auftragsverarbeitungsverträge dokumentieren,
- Versicherungen informieren,
- mögliche eigene Ansprüche prüfen lassen.
Je früher die rechtliche Situation geklärt wird, desto besser lassen sich Risiken minimieren und Fristen wahren.
8. Wie OBLADEN & GAESSLER Sie unterstützen kann
Datenschutzverletzungen wie das mutmaßliche Portraitbox Datenleck werfen zahlreiche rechtliche Fragen auf.
Für Eltern geht es häufig um Auskunftsansprüche, Löschungsansprüche und mögliche Schadensersatzforderungen. Fotografen müssen dagegen ihre datenschutzrechtlichen Pflichten prüfen und mögliche Haftungsrisiken bewerten.
OBLADEN & GAESSLER Rechtsanwälte unterstützt bundesweit unter anderem bei:
- der Prüfung von DSGVO-Auskunftsansprüchen,
- der Durchsetzung von Schadensersatzansprüchen,
- der rechtlichen Kommunikation mit Verantwortlichen,
- der Vertretung gegenüber Datenschutzbehörden,
- der Prüfung von Meldepflichten,
- der Abwehr unberechtigter Forderungen,
- der Durchsetzung von Regressansprüchen.
Durch unsere Spezialisierung im Datenschutzrecht, IT-Recht und gewerblichen Rechtsschutz erhalten Sie eine praxisnahe und wirtschaftlich orientierte Beratung.
Lassen Sie Ihren Fall prüfen
Ob Sie als Elternteil mögliche Schadensersatzansprüche geltend machen können oder als Fotograf datenschutzrechtliche Pflichten erfüllen müssen, hängt von den Umständen des Einzelfalls ab.
Wir prüfen Ihre individuelle Situation, bewerten Ihre rechtlichen Möglichkeiten und unterstützen Sie bei der Durchsetzung oder Abwehr von Ansprüchen.
Kontaktieren Sie uns für eine erste rechtliche Einschätzung.
9. Fazit: Datenleck bei Portraitbox
Das mutmaßliche Portraitbox Datenleck zeigt, welche erheblichen Folgen Datenschutzverletzungen haben können – insbesondere dann, wenn Kinder betroffen sind.
Die wichtigsten Punkte im Überblick:
- Kinderfotos sind personenbezogene Daten und genießen besonderen Schutz.
- Betroffene Eltern können Auskunfts-, Löschungs- und mögliche Schadensersatzansprüche prüfen lassen.
- Fotografen sollten ihre Melde- und Informationspflichten sorgfältig bewerten.
- Die konkrete Verantwortlichkeit hängt von den jeweiligen Vertragsverhältnissen und Abläufen ab.
- Ansprüche können sich gegen mehrere Beteiligte richten.
- Eine frühzeitige rechtliche Prüfung hilft, Fristen einzuhalten und Risiken zu minimieren.
- Sowohl Eltern als auch Fotografen sollten ihre individuelle Situation rechtlich bewerten lassen.
10. Häufig gestellte Fragen (FAQ)
Was ist beim Portraitbox Datenleck passiert?
Nach bisherigen Medienberichten sollen Unbekannte Zugriff auf Systeme der Plattform Portraitbox erlangt und dabei möglicherweise Kinderfotos sowie personenbezogene Daten entwendet haben. Die Ermittlungen dauern derzeit an.
Sind Kinderfotos personenbezogene Daten?
Ja. Fotos, auf denen Personen identifizierbar sind, gelten grundsätzlich als personenbezogene Daten im Sinne der DSGVO.
Habe ich Anspruch auf Schadensersatz nach der DSGVO?
Unter bestimmten Voraussetzungen kann ein Schadensersatzanspruch nach Art. 82 DSGVO bestehen. Ob dies der Fall ist, muss anhand der konkreten Umstände geprüft werden.
Muss Portraitbox mich informieren, wenn meine Daten betroffen sind?
Sofern ein hohes Risiko für die Rechte und Freiheiten der Betroffenen besteht, können Informationspflichten nach der DSGVO bestehen. Ob diese Voraussetzungen erfüllt sind, hängt vom Einzelfall ab.
Gegen wen richten sich mögliche Ansprüche?
Je nach Sachverhalt kommen Ansprüche gegen das Fotostudio, den Plattformbetreiber oder mehrere Beteiligte in Betracht.
Können auch Fotografen Schadensersatz verlangen?
Ja. Sollte sich herausstellen, dass Sicherheitsmängel im Verantwortungsbereich eines Dienstleisters lagen, können unter Umständen eigene Schadensersatz- oder Freistellungsansprüche bestehen.
Wann sollte ich einen Anwalt einschalten?
Sobald Unsicherheit über Ansprüche, Haftungsfragen oder datenschutzrechtliche Pflichten besteht. Eine frühzeitige rechtliche Beratung schafft Klarheit und hilft, Fehler zu vermeiden.
Bildquellennachweis: KI | Claude.Ai
