Der Datenschutz bei Schulfotografen wirft immer wieder Fragen auf, insbesondere in Bezug auf die Verantwortlichkeit für die Verarbeitung personenbezogener Daten. Ein aktueller Fall beleuchtet die rechtlichen Hintergründe und zeigt, warum Schulfotografen häufig als eigenständige Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) anzusehen sind.

Der Fall: Auftragsverarbeitung oder eigenständige Verantwortung?

Schulfotograf Klassenfotos anfertigte, die anschließend über einen Online-Shop verkauft wurden. Ein zwischen der Schule und dem Fotografen geschlossener Vertrag bezeichnete die Zusammenarbeit fälschlicherweise als Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO. Doch die tatsächlichen Umstände sprechen dagegen:

• Der Fotograf entschied eigenständig über die Zwecke und Mittel der Datenverarbeitung.
• Die Schule hatte keine Weisungsbefugnis über die Verarbeitung der Daten durch den Fotografen.
• Ein wesentlicher Zweck war der Verkauf der Fotos, über den der Fotograf allein bestimmte.

Gemäß Art. 4 Nr. 7 DSGVO ist der Verantwortliche die Stelle, die über die Zwecke und Mittel der Datenverarbeitung entscheidet. Im vorliegenden Fall erfüllte der Fotograf diese Definition und war somit kein Auftragsverarbeiter im Sinne der DSGVO.

Die Rolle der Schule

Obwohl die Schule in einigen Fällen die Einwilligungen der Eltern einholt und Schülerdaten an die Fotografen übermittelt, entbindet dies die Fotografen nicht von ihren Pflichten als Verantwortliche. Es liegt in der Verantwortung der Fotografen, die datenschutzrechtlichen Vorgaben einzuhalten und die Eltern umfassend über die Verarbeitung der Daten zu informieren.

Datenschutzrechtliche Konsequenzen

Das ULD stellte fest, dass der Vertrag zwischen der Schule und dem Fotografen die tatsächliche Verantwortlichkeit nicht widerspiegelte. Daher wurden dem Fotografen die Datenschutzpflichten erläutert und ein Hinweis nach Art. 58 Abs. 1 Buchst. d DSGVO ausgesprochen. Zudem wurden die Schulen durch das Bildungsministerium sensibilisiert, um künftige Missverständnisse zu vermeiden.

Lehren aus dem Fall

Dieser Fall zeigt, wie wichtig es ist, die Verantwortlichkeiten klar zu definieren und datenschutzkonforme Prozesse zu etablieren. Schulfotografen sollten sich ihrer Rolle als Verantwortliche bewusst sein und alle gesetzlichen Vorgaben einhalten, darunter:

• Einholen von Einwilligungen nach Art. 6 Abs. 1 DSGVO.
• Bereitstellung von Informationen gemäß Art. 13 und 14 DSGVO.
• Sicherstellung, dass die Verarbeitung personenbezogener Daten rechtmäßig erfolgt.