DSGVO bei Kindergarten- und Schulfotos
Kinderfotos sind besonders schutzbedürftig — und trotzdem müssen Eltern sie bestellen können. Dieser Leitfaden sortiert die Rollen, die Einwilligung und die Löschung, so wie es in der Praxis läuft.
Die kurze Antwort
Kinderfotos dürfen online zur Bestellung stehen, wenn drei Dinge zusammenkommen: eine Einwilligung der Erziehungsberechtigten, ein Zugang, den nur die eigene Familie öffnen kann, und ein Löschzeitpunkt, den Sie zusagen und einhalten.
- Die Einwilligung holt in der Praxis die Kita oder die Schule ein — auf Papier, außerhalb jeder Software. Das nimmt Ihnen kein System ab, auch dieses nicht.
- Den Zugang regelt die Technik: In Portrait-Archiv ist jede Galerie passwortgeschützt, eine Familie sieht ausschließlich ihre eigenen Bilder, und Suchmaschinen kommen nicht hinein.
- Die Löschung steuern Sie selbst. Jede Galerie ist einzeln löschbar, sobald der Auftrag erledigt ist — deshalb können Sie der Einrichtung eine konkrete Frist zusagen.
- Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erzeugen Sie in Ihrem Konto unter „Profilverwaltung → ADV-Vertrag“ und legen ihn der Einrichtung vor.
Wer ist wofür verantwortlich?
Der häufigste Fehler ist, alles in einen Topf zu werfen. Tatsächlich stehen sich drei Beteiligte mit unterschiedlichen Rollen gegenüber — und nur eine davon ist eine Auftragsverarbeitung.
Kita oder Schule
Eigene Verantwortliche
Die Einrichtung entscheidet, ob ein Fototermin stattfindet, informiert die Familien und sammelt die Einverständniserklärungen ein. Für diesen Teil ist sie selbst verantwortlich — die Erklärungen verbleiben bei ihr.
Sie als Fotograf
Verantwortlicher für Ihre Verarbeitung
Sie entscheiden über Zwecke und Mittel Ihrer eigenen Verarbeitung: Sie fotografieren, laden hoch, legen Galerien an und verkaufen. Damit sind Sie Verantwortlicher im Sinne der DSGVO — und die Person, die gegenüber Eltern und Einrichtung Rede und Antwort steht.
Portrait-Service
Auftragsverarbeiter nach Art. 28
Wir speichern und verarbeiten die Bilder in Ihrem Auftrag und nach Ihren Weisungen. Für eigene Zwecke nutzen wir sie nicht. Die Einzelheiten regelt der AVV, den Sie in Ihrem Konto erzeugen.
Nur für die Abwicklung der Bestellung gegenüber dem Endkunden — Rechnung, Zahlung, Reklamation, steuerliche Nachweise — handelt Portrait-Service in eigener Verantwortung, weil das Gesetz es so verlangt. Nachzulesen in AGB § 11 und in der Datenschutzerklärung.
Die Einwilligung — der Teil, den keine Software abnimmt
Sagen wir es offen: Portrait-Archiv hat kein Einwilligungsmanagement. Es gibt keinen Haken, den Eltern im System setzen, und keine Liste, die Ihnen die Zustimmung nachweist. Die Einwilligung wird außerhalb eingeholt — in aller Regel von der Kita oder der Schule, auf Papier, vor dem Termin.
Das ist keine Lücke, sondern die Arbeitsteilung, die in der Praxis funktioniert: Die Einrichtung hat den Kontakt zu den Familien, Sie haben ihn nicht. Ihre Aufgabe ist es, sich die Vollständigkeit bestätigen zu lassen und dafür zu sorgen, dass in der Erklärung auch Ihre Verarbeitung gedeckt ist.
Denn eine Einwilligung, die nur das Fotografieren erlaubt, deckt die Online-Bereitstellung nicht mit ab. Genau daran scheitern die meisten Vorlagen, die in Einrichtungen kursieren.
Was in der Erklärung stehen sollte
- Wer fotografiert — Name und Anschrift Ihres Betriebs
- Was mit den Bildern geschieht: Bereitstellung in einer passwortgeschützten Galerie zur Bestellung
- Dass die Bilder dafür an einen Auftragsverarbeiter (Portrait-Service) übermittelt werden
- Dass zur Produktion einer Bestellung ein Fotolabor eingeschaltet wird
- Bis wann die Galerie erreichbar ist
- Hinweis auf die jederzeitige Widerrufbarkeit
Was Sie nicht brauchen
- Kontaktdaten der Eltern
- Geburtsdaten der Kinder
- Versandadressen — die hinterlegen die Familien selbst beim Bestellen
Was Kita, Träger und Schulleitung von Ihnen wissen wollen
Träger prüfen inzwischen genauer, wem sie Kinderbilder anvertrauen. Diese sechs Fragen kommen praktisch immer — und sie sind alle beantwortbar, bevor jemand sie stellt.
„Wo liegen die Bilder?“
Auf eigenen Servern von Portrait-Service in einem Rechenzentrum in Deutschland. Eine Übermittlung der Bilder in ein Drittland findet nicht statt.
„Wer kann die Bilder sehen?“
Sie als Fotograf und die jeweilige Familie über ihren Zugangscode. Andere Familien haben keinen Zugriff — auch nicht über geratene oder manipulierte URLs.
„Sind die Galerien öffentlich auffindbar?“
Nein. Jede Galerie ist passwortgeschützt, es gibt keine öffentliche Vorschau, und die Inhalte werden von Suchmaschinen nicht indexiert.
„Gibt es einen AVV?“
Ja, nach Art. 28 DSGVO. Sie erzeugen ihn in Ihrem Konto unter „Profilverwaltung → ADV-Vertrag“ und reichen ihn weiter.
„Wer bekommt die Daten noch?“
Für die Produktion und den Versand einer konkreten Bestellung das von Ihnen gewählte Partnerlabor, für die Bezahlung der Zahlungsdienstleister. Sonst niemand.
„Wann wird gelöscht?“
Zum Zeitpunkt, den Sie zusagen. Sie löschen die Galerie selbst, sobald der Auftrag abgeschlossen ist — eine Frist, die Sie also auch halten können.
Was die Technik absichert — und was nicht
Datenschutz ist zum kleineren Teil Technik und zum größeren Organisation. Der technische Teil sieht bei Portrait-Archiv so aus:
Ein Zugang je Familie
Jedes Kind — oder jede Familie, wenn Geschwister zusammengeführt werden — erhält einen eigenen Galerie-Code mit Passwort. Wer ihn eingibt, sieht genau diese Bilder und keine anderen.
Kein öffentlicher Modus
Es gibt keinen Schalter „Galerie öffentlich stellen“, den Sie in der Eile versehentlich umlegen könnten. Der Schutz ist die Voreinstellung und nicht die Option.
Wasserzeichen in der Vorschau
Vorschaubilder lassen sich mit Wasserzeichen versehen und in reduzierter Auflösung ausliefern. Die Datei in voller Qualität gibt es erst nach der Bestellung.
Serverstandort Deutschland
Die Bilder liegen auf eigenen Servern in einem deutschen Rechenzentrum, betrieben im Managed-Service. Kein Drittlandtransfer, keine Cloud-Kette quer über den Atlantik.
Ausprobieren können Sie das ohne Anmeldung in den Demo-Galerien.
Wogegen Technik nicht hilft
Ein Zugangscode, der im Elternchat weitergereicht wird, ist technisch nicht zu verhindern — und rechtlich Sache der Familie, nicht Ihre. Ebenso wenig ersetzt die beste Zugriffskontrolle eine fehlende Einwilligung. Wer beides sauber trennt, argumentiert gegenüber einem Träger deutlich souveräner.
Eine Löschfrist zusagen — und sie halten können
„Wie lange sind die Bilder online?“ ist die Frage, an der Aufträge hängen. Sie ist nur dann glaubwürdig zu beantworten, wenn Sie die Löschung auch tatsächlich in der Hand haben.
Sie bestimmen den Zeitpunkt
Es gibt keine aufgezwungene Systemfrist. Jede Galerie lässt sich einzeln löschen, sobald der Auftrag abgeschlossen ist — danach ist sie für niemanden mehr erreichbar, auch nicht über einen alten Link.
Nachbestellungen einkalkulieren
Ein üblicher Kompromiss: Die Galerie bleibt bis zum Ende des Kita- oder Schuljahres erreichbar, danach wird gelöscht. Das nennen Sie der Einrichtung vorab — dann gibt es später keine Diskussion.
Bestelldaten sind etwas anderes
Wenn die Bilder weg sind, bleiben die kaufmännischen Unterlagen: Rechnungen und Bestellvorgänge unterliegen handels- und steuerrechtlichen Aufbewahrungspflichten. Das betrifft keine Bilddateien.
Schulfotografie: was anders ist
Die datenschutzrechtliche Mechanik ist dieselbe. Drei Punkte unterscheiden den Schulauftrag trotzdem vom Kita-Auftrag:
Schulrecht kommt dazu
Neben der DSGVO gilt das Schulgesetz des jeweiligen Bundeslands, dazu oft eine Handreichung der Landesdatenschutzbehörde. Was in Bayern üblich ist, muss in Niedersachsen nicht gelten — fragen Sie die Schulleitung nach der dort geltenden Regelung, statt eine Kita-Vorlage zu recyceln.
Ältere Schüler reden mit
Je älter die Kinder, desto eher werden sie neben den Erziehungsberechtigten selbst in die Einwilligung einbezogen. Viele Schulen lassen ab der Sekundarstufe beide unterschreiben — das ist der sichere Weg.
Klassenlisten bleiben in der Schule
Für die Zuordnung großer Bildmengen brauchen Sie keine Namensliste: Die QR-Code-Sortierung arbeitet mit anonymen Codes auf Galeriekarten. Sie sehen Bilder und Codes — keine Schülerdaten.
Die praktische Umsetzung des Schulauftrags steht auf der Seite Schulfotografie, der Kita-Ablauf auf Kindergartenfotografie.
Checkliste für den nächsten Auftrag
Acht Punkte, die vor dem Fototermin geklärt sein sollten. Wer sie abhaken kann, hat den organisatorischen Teil erledigt.
- Die Einrichtung hat die Familien schriftlich über den Termin informiert.
- Die Einverständniserklärung deckt ausdrücklich auch die Bereitstellung in einer geschützten Online-Galerie ab.
- Die Einrichtung bestätigt Ihnen, dass die Einwilligungen vollständig vorliegen.
- Kinder ohne Einwilligung sind Ihnen benannt — und werden nicht fotografiert.
- Der AVV mit Portrait-Service ist erzeugt und liegt der Einrichtung vor.
- Sie haben eine konkrete Löschfrist zugesagt und im Kalender stehen.
- Sie holen keine Elterndaten ein, die Sie nicht brauchen.
- Sie können auf Nachfrage sagen, wo die Bilder liegen und wer sie sieht.
Hinweis: Diese Seite gibt die Praxis wieder, wie sie uns in der Zusammenarbeit mit Kindergarten- und Schulfotografen begegnet. Sie ist eine Orientierung und keine Rechtsberatung. Im Zweifel — insbesondere bei Vorgaben eines Trägers oder eines Landesdatenschutzbeauftragten — klären Sie die Einzelheiten mit einem Fachanwalt oder Ihrem Datenschutzbeauftragten.
Häufige Fragen zum Datenschutz bei Kinderfotos
Dürfen Kindergartenfotos überhaupt online gestellt werden?
Ja — solange sie nicht öffentlich stehen. Entscheidend ist nicht das „online“, sondern der Zugriff: Eine passwortgeschützte Galerie, die nur die eigene Familie öffnen kann, ist etwas völlig anderes als eine frei erreichbare Bildergalerie. In Portrait-Archiv ist jede Galerie standardmäßig geschützt; es gibt keinen öffentlichen Modus, den Sie versehentlich aktivieren könnten, und die Galerien werden von Suchmaschinen nicht erfasst.
Wer holt die Einwilligung der Eltern ein — die Kita oder ich?
In der Praxis die Kita beziehungsweise die Schule, weil sie den Kontakt zu den Familien hat. Rechtlich brauchen aber Sie eine tragfähige Grundlage für Ihre eigene Verarbeitung. Deshalb gehört in die Einverständniserklärung ausdrücklich hinein, dass fotografiert wird, wer die Bilder verarbeitet und dass sie über eine geschützte Online-Galerie zur Bestellung bereitgestellt werden. Lassen Sie sich von der Einrichtung bestätigen, dass die Einwilligungen vollständig vorliegen.
Brauche ich einen Auftragsverarbeitungsvertrag?
Mit Portrait-Service ja, und Sie erzeugen ihn selbst: in Ihrem Konto unter „Profilverwaltung → ADV-Vertrag“. Damit ist Art. 28 DSGVO für die Plattform abgedeckt. Ob zusätzlich zwischen Ihnen und der Kita ein AVV nötig ist, hängt davon ab, wie der Auftrag geschnitten ist — meist handeln Fotograf und Einrichtung als jeweils eigene Verantwortliche, dann ist kein AVV, wohl aber eine saubere Absprache erforderlich.
Was mache ich mit einem Kind, für das keine Einwilligung vorliegt?
Nicht fotografieren ist der sichere Weg. Ist trotzdem ein Bild entstanden — etwa im Hintergrund einer Gruppenaufnahme —, laden Sie es gar nicht erst hoch. Portrait-Archiv legt pro Kind beziehungsweise pro Familie eine eigene Galerie an; ein Kind ohne Einwilligung bekommt schlicht keine. Eine Freigabe „für alle außer einem“ gibt es nicht und braucht es nicht.
Wo liegen die Bilder, und wer kommt an sie heran?
Auf eigenen Servern von Portrait-Service in einem Rechenzentrum in Deutschland. Eine Übermittlung in ein Drittland findet für die Bilder nicht statt. Zugriff haben Sie als Fotograf, die jeweilige Familie über ihren Zugangscode und — für die Produktion einer konkreten Bestellung — das von Ihnen gewählte Partnerlabor. Für die Zahlungsabwicklung wird PayPal eingesetzt; dabei werden Zahlungs-, keine Bilddaten verarbeitet.
Wie lange dürfen die Galerien online bleiben?
So lange, wie Sie es der Einrichtung zugesagt haben — den Zeitpunkt bestimmen Sie. Jede Galerie lässt sich einzeln löschen, sobald der Auftrag abgeschlossen ist; danach ist sie für niemanden mehr erreichbar. Eine automatische Frist gibt es bewusst nicht, weil sie Ihnen die Zusage aus der Hand nehmen würde. Nur die Bestelldaten bleiben, solange handels- und steuerrechtliche Aufbewahrungsfristen das verlangen.
Gilt für Schulfotos dasselbe wie für Kita-Fotos?
Im Kern ja: geschützte Galerien, saubere Einwilligung, klare Löschzusage. Der Unterschied liegt im Drumherum — Schulen unterliegen zusätzlich dem Schulrecht des jeweiligen Bundeslands, und je älter die Schülerinnen und Schüler sind, desto eher werden sie neben den Eltern selbst in die Einwilligung einbezogen. Fragen Sie die Schulleitung nach der dort geltenden Regelung, statt eine Kita-Vorlage zu übernehmen.
Geschützte Galerien, ohne Grundgebühr
Passwortschutz je Familie, AVV aus dem Konto, Löschung in Ihrer Hand — und erst Kosten, wenn etwas verkauft wird.
Kostenlos Archiv eröffnen