DSGVO-Checkliste für Schulfotografen
Zum Abhaken, Projekt für Projekt.
Vor dem Fototag
- Auftragsverarbeitungsvertrag (AVV) mit der Schule oder dem Träger geschlossen (Art. 28 DSGVO)
- AVV mit Galerie-Plattform und Fotolabor liegt vor
- Einwilligungserklärungen mit getrennten Zwecken an die Schule verteilt
- Einwilligungen eingesammelt und dokumentiert
- Liste der Kinder ohne Einwilligung erhalten und an das Team gegeben
- Verzeichnis der Verarbeitungstätigkeiten um dieses Projekt ergänzt (Art. 30 DSGVO)
- Datenschutzerklärung auf der eigenen Website aktuell
Am Fototag
- Kinder ohne Einwilligung werden nicht fotografiert
- Kein Kindername neben dem Foto auf Aushängen oder in Nachrichten
- Speicherkarten und Laptop verschlüsselt oder gesichert
- Keine Fotos auf privaten Geräten von Helfern
- Keine Übertragung über unsichere Kanäle wie Messenger oder unverschlüsselte E-Mail
Nach dem Fototag
- Fotos nur über verschlüsselte Verbindung übertragen
- Online-Galerie nur mit persönlichem Zugangscode erreichbar
- Bestellfrist und Löschdatum an die Eltern kommuniziert
- Fotos nach Saisonende gelöscht (Löschfrist: [Anzahl Wochen] Wochen)
- Löschung dokumentiert, Backups eingeschlossen
Technische Maßnahmen
- SSL-Verschlüsselung für Galerie und Shop
- Zahlungsabwicklung über zertifizierte Anbieter, keine Kartendaten auf eigenen Systemen
- Regelmäßige Backups mit Zugriffsschutz
- Zugriffsrechte im Team auf das Nötige beschränkt
- Zwei-Faktor-Anmeldung für alle Konten mit Fotozugriff
Im Notfall: Datenpanne
- Meldung an die Datenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO)
- Betroffene informieren, wenn ein hohes Risiko besteht (Art. 34 DSGVO)
- Vorfall, Ursache und Maßnahmen dokumentieren
Hinweise für Österreich
Aufsicht: Datenschutzbehörde (DSB) in Wien. Datenpannen melden Sie über das Formular der DSB.
Schulen unterstehen der Bildungsdirektion des Bundeslands. Fragen Sie nach dem Datenschutzbeauftragten der Schule und nach vorhandenen Formularen.
Bildnisschutz: § 78 UrhG gilt neben der DSGVO und dem Datenschutzgesetz.
Muster ohne Rechtsberatung. Prüfen Sie die Liste mit Ihrer Datenschutzberatung.