DSGVO bei Schulfotos: Was Fotografen beachten müssen

Das Thema Datenschutz und DSGVO sorgt bei vielen Schul- und Kindergartenfotografen für Verunsicherung. Schulen und Kitas fordern zu Recht wasserdichte Konzepte, wenn es um Fotos von Kindern geht. Wie stellen Sie sicher, dass Ihr Workflow zu 100% DSGVO-konform ist?

Die rechtlichen Grundlagen in der Schulfotografie

Seit dem Inkrafttreten der DSGVO im Jahr 2018 gilt: Fotos von Personen dürfen nur mit einer wirksamen Einwilligung oder auf einer anderen gesetzlichen Grundlage verarbeitet werden. Da es sich bei Schülern um Minderjährige handelt, müssen bei Schulfotos und Kitabildern in der Regel die Erziehungsberechtigten zustimmen.

Die Einverständniserklärung der Eltern

Bevor Sie die Kamera überhaupt in die Hand nehmen, sollte eine schriftliche oder digitale Einwilligung der Eltern vorliegen. Viele Kitas und Schulen holen diese bereits zu Beginn des Schuljahres ein. Wichtig ist jedoch, dass die Einwilligung den konkreten Zweck (z.B. „Erstellung von Porträts und Klassenfotos zum Kauf in einer geschützten Online-Galerie“) abdeckt.

Der Auftragsverarbeitungsvertrag (AVV)

Als Fotograf verarbeiten Sie im Auftrag der Schule oder Kita personenbezogene Daten (z.B. Namen, Klassen und Fotos). Onlineshop-Software-Systeme wiederum verarbeiten diese in Ihrem Auftrag.

Daher müssen Sie:

• Einen AVV mit der Schule oder Kita abschließen, um den gesetzlichen Anforderungen zu genügen.
• Einen AVV mit Ihrer Online-Galerie-Plattform abschließen. Bei Pixalo können Sie diesen Vertrag ganz unkompliziert digital direkt im Dashboard generieren und abschließen.

Wie Sie Foto-Galerien vor unbefugtem Zugriff schützen

Ein absolutes No-Go ist es, Fotos von Kindern in öffentlichen Galerien bereitzustellen, in denen jeder stöbern kann. Jedes Kind benötigt einen individuellen, passwortgeschützten Zugang:

• Einzel-PIN-Codes: Eltern erhalten eine Kennwortkarte (PIN). Beim Login sehen sie ausschließlich die Fotos des eigenen Kindes.
• Klassen- & Gruppenbilder: Diese sollten in separaten Ordnern liegen, die nur für eingeloggte Eltern derselben Klasse einsehbar sind.

Löschfristen und Datenminimierung

Die DSGVO schreibt vor, dass Daten gelöscht werden müssen, wenn der Zweck der Verarbeitung entfällt. Legen Sie feste Löschfristen fest (z.B. 6 Monate nach dem Fototag). Das System sollte Schülerlisten, E-Mail-Adressen und hochgeladene Fotos nach Ablauf dieser Frist automatisch und rückstandsfrei von den Servern löschen.

Fazit: Mit dem richtigen Tool auf der sicheren Seite

Datenschutz muss kein Hindernis sein. Indem Sie auf eine DSGVO-konforme Software setzen, die ausschließlich in deutschen Rechenzentren (z.B. Frankfurt am Main) gehostet wird, minimieren Sie Ihr Haftungsrisiko und überzeugen Schulleitungen mit einem klaren Sicherheitskonzept.