DSGVO-Checkliste für Fotografen

Vor dem Fototag

• Auftragsverarbeitungsvertrag (AVV) mit der Schule oder dem Träger geschlossen (Art. 28 DSGVO)
• AVV mit Galerie-Plattform und Fotolabor liegt vor
• Einwilligungserklärungen mit getrennten Zwecken an die Schule verteilt
• Einwilligungen eingesammelt und dokumentiert
• Liste der Kinder ohne Einwilligung erhalten und an das Team gegeben
• Verzeichnis der Verarbeitungstätigkeiten um dieses Projekt ergänzt (Art. 30 DSGVO)
• Datenschutzerklärung auf der eigenen Website aktuell

Am Fototag

• Kinder ohne Einwilligung werden nicht fotografiert
• Kein Kindername neben dem Foto auf Aushängen oder in Nachrichten
• Speicherkarten und Laptop verschlüsselt oder gesichert
• Keine Fotos auf privaten Geräten von Helfern
• Keine Übertragung über unsichere Kanäle wie Messenger oder unverschlüsselte E-Mail

Nach dem Fototag

• Fotos nur über verschlüsselte Verbindung übertragen
• Online-Galerie nur mit persönlichem Zugangscode erreichbar
• Bestellfrist und Löschdatum an die Eltern kommuniziert
• Fotos nach Saisonende gelöscht (Löschfrist: [Anzahl Wochen] Wochen)
• Löschung dokumentiert, Backups eingeschlossen

Technische Maßnahmen

• SSL-Verschlüsselung für Galerie und Shop
• Zahlungsabwicklung über zertifizierte Anbieter, keine Kartendaten auf eigenen Systemen
• Regelmäßige Backups mit Zugriffsschutz
• Zugriffsrechte im Team auf das Nötige beschränkt
• Zwei-Faktor-Anmeldung für alle Konten mit Fotozugriff

Im Notfall: Datenpanne

• Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO)
• Betroffene informieren, wenn ein hohes Risiko besteht (Art. 34 DSGVO)
• Vorfall, Ursache und Maßnahmen dokumentieren