Sind Schulfotograf*innen Verantwortliche oder Auftragsverarbeiter?

Sofern externe Schulfotograf*innen beauftragt werden, um Klassenfotos der Schüler*innen anzufertigen, stellt sich die Frage, wer datenschutzrechtlich verantwortlich ist. Die datenschutzrechtlichen Pflichten ergeben sich daraus, ob die externen Fotograf*innen eigenverantwortlich über die Zwecke und Mittel der Datenverarbeitung entscheiden oder weisungsgebunden gegenüber der Schule tätig werden. Die Frage nach der Verantwortlichkeit ist entscheidend, weil den Verantwortlichen bestimmte Verpflichtungen der Datenschutzgrundverordnung (DSGVO) treffen. Der Verantwortliche trägt die Sorge dafür, dass eine wirksame Einwilligungserklärung vorliegt. Die Einwilligungserklärung gem. Art. 6 Abs. 1 S. 1 lit. a DSGVO ist hier die Rechtsgrundlage für die Datenverarbeitung. Außerdem muss der Verantwortliche die betroffenen Personen über die Verarbeitung ihrer personenbezogenen Daten gem. Art. 13 DSGVO informieren. Ferner hat der Verantwortliche Vorkehrungen für den Fall des Widerrufs einer Einwilligung zu treffen. Über unterschiedliche Auffassungen zweier Datenschutzaufsichtsbehörden zu diesem Thema haben wir bereits berichtet. Dieser Beitrag gibt einen Überblick darüber, welche Meinungen aktuell durch die Aufsichtsbehörden vertreten werden.

Pro eigene Verantwortlichkeit

Im kürzlich veröffentlichten Tätigkeitsbericht des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) des Berichtsjahres 2023 schildert das ULD einen Fall, in dem eine Schule einen Vertrag zur Auftragsverarbeitung (AVV) gem. Art. 28 DSGVO mit einem externen Schulfotografen abgeschlossen hat. Dieser sollte Klassenfotos anfertigen, welche die Erziehungsberechtigten anschließend über seinen Online-Shop kaufen konnten.

Das ULD vertritt die Auffassung, dass es sich um eine eigene Verantwortlichkeit des Fotografen und eben keine Auftragsverarbeitung handelt. Begründet wird dies damit, dass der Fotograf die personenbezogenen Daten nicht im Auftrag der Schule verarbeitet, d. h. die Fotos nicht im Auftrag der Schule angefertigt hat. Der Schwerpunkt liegt laut ULD im eigenständigen Erstellen und Verarbeiten der Fotos. Schulfotografen entscheiden insoweit über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten gem. Art. 4 Nr. 7 DSGVO, wo die Verantwortlichkeit definiert ist. Dies gilt auch beim Verkauf über den Online-Shop. Die Schule habe keinerlei Weisungsbefugnis.

Auch wenn die Schule die Einwilligung der Erziehungsberechtigten hinsichtlich der Fotoerstellung und -veröffentlichung der Kinder einholen kann, bleibt der Fotograf nach Auffassung des ULD verantwortlich. Die Aufsichtsbehörde hat den Fotografen daher auf seine Verantwortlichkeit und die Einhaltung der datenschutzrechtlichen Vorschriften hingewiesen.

Pro Auftragsverarbeitung

Am 15.07.2023 hat der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) das Arbeitspapier „Foto- und Videoaufnahmen in der Schule, insbesondere im Schulunterricht“ veröffentlicht. Darin vertritt der BayLfD die Auffassung, dass mit externen Schulfotograf*innen ein AVV erforderlich ist. Eine konkrete Begründung wird nicht angegeben. Als Folge des Erfordernisses eines AVVs wird jedoch folgerichtig ausgeführt, dass die Schule verantwortlich bleibt und nur mit solchen Fotograf*innen zusammenarbeiten darf, die geeignete technische und organisatorische Maßnahmen treffen. Ferner erwähnt der BayLfD, dass Fotograf*innen als weisungsgebundene Auftragsverarbeiter die Daten nicht für andere Zwecke verwenden dürfen. Des Weiteren darf der Fotograf eine Klassenliste mit personenbezogenen Daten der Schüler*innen nur für diejenigen Schüler*innen erhalten, für die eine Einwilligungserklärung abgegeben wurde.

Was gilt denn nun?

Verantwortlichen Schulen in Schleswig-Holstein bzw. Bayern sei insoweit grds. geraten, sich ihrer jeweiligen Behördenmeinung anzuschließen. Es kommt jedoch auf den Einzelfall an.

Für Schulen anderer Bundesländer sind je nach konkreter Ausgestaltung beide Lösungen möglich. In den Tätigkeitsberichten der letzten Jahre gibt es von anderen Datenschutzaufsichtsbehörden ebenfalls Ausführungen zu datenschutzrechtlichen Pflichten bei Fotos, jedoch nicht explizit zur Schulfotografie. Im Tätigkeitsbericht des Jahres 2022 der Berliner Beauftragten für Datenschutz und Informationsfreiheit wird auf Seite 37 die Verantwortlichkeit von externen Fotograf*innen bejaht: „Für externe Fotograf:innen, die aus eigenem finanziellen Interesse etwa Zieleinlauffotos von Sportveranstaltungen fertigen und verkaufen, sind nicht ausschließlich die Veranstalter:innen bzw. der Verein verantwortlich“. Mit dem Argument des finanziellen Interesses, die grds. alle Fotograf*innen haben, und des Verkaufens der Fotos ließe sich eine eigene Verantwortlichkeit für die Schulfotograf*innen bejahen.

Auf Seite 32 im Tätigkeitsbericht des Jahres 2018 des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg werden beide Lösungen als möglich erachtet: „Da die Informationspflichten vom (datenschutzrechtlich) Verantwortlichen zu erfüllen sind, treffen sie entweder den Fotografen oder, soweit dieser als Auftragsverarbeiter gemäß Artikel 28 DS-GVO tätig wird, den Auftraggeber.“ Beide Lösungen scheinen mithin möglich zu sein, wichtig ist jedoch eine nachvollziehbare Argumentation für den Einzelfall.

Fazit

Ob externe Schulfotograf*innen Verantwortliche oder Auftragsverarbeiter sind, hängt von der vertraglichen Konstellation und der Ausgestaltung des Prozesses im jeweiligen Einzelfall ab.

Für eine Beauftragung durch die Erziehungsberechtigten kann das Vorliegen eines Online-Shops sprechen, bei dem die Erziehungsberechtigten auf der Webseite der Fotograf*innen die Fotos direkt auswählen oder bearbeiten lassen können und anschließend die Rechnung begleichen. In dieser Konstellation spielt die Schule eine untergeordnete Rollte und stellt beispielsweise lediglich die Räumlichkeiten für die Fotoaufnahmen zur Verfügung.

Sofern die Schule externe Fotograf*innen mit der Anfertigung von Schülerfotos beauftragt, sind die gesetzlichen Vorgaben des Art. 28 DSGVO über die Auftragsverarbeitung einzuhalten. Demzufolge ist die Schule als Verantwortlicher für die Einhaltung der datenschutzrechtlichen Vorschriften zuständig. Bei dieser Konstellation wenden sich die betroffenen Schüler*innen oder Erziehungsberechtigten mit ihren Anfragen an die Schule.