Hilfe zur Datenschutz-Folgenabschätzung

Für Einrichtungen, die prüfen, ob für KinderAlbum eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist

Stand: 11. Oktober 2026

Ob eine Datenschutz-Folgenabschätzung (DSFA) nötig ist, entscheidet die Einrichtung als Verantwortliche, in der Regel mit ihrer bzw. ihrem Datenschutzbeauftragten. Dieses Dokument liefert die Fakten zu KinderAlbum, die Sie dafür brauchen. Es ersetzt die Prüfung nicht.

1. Wann eine DSFA nötig ist

Nach Art. 35 Abs. 1 DSGVO ist eine DSFA nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen hat. Die europäischen Datenschutzbehörden nennen dafür neun Kriterien (Leitlinien WP 248). Treffen zwei oder mehr zu, ist eine DSFA in der Regel angezeigt. Prüfen Sie außerdem die Liste Ihrer Landesdatenschutzbehörde nach Art. 35 Abs. 4 DSGVO.

2. Die Kriterien und wie KinderAlbum dazu steht

Kriterium (WP 248)	Bei KinderAlbum	Einschätzung für Ihre Prüfung
1. Bewertung oder Einstufung von Personen, Profilbildung	keine; es werden keine Profile erstellt und keine Personen bewertet	trifft nicht zu
2. Automatisierte Entscheidungen mit Rechtswirkung	keine	trifft nicht zu
3. Systematische Überwachung	nein; protokolliert werden Ansichten und Downloads zur Nachvollziehbarkeit, nicht das Verhalten von Kindern	trifft nicht zu
4. Besonders schutzwürdige Daten	Fotos von Kindern; Daten nach Art. 9 DSGVO werden nicht gezielt verarbeitet, können aber im Einzelfall auf Fotos erkennbar sein	prüfen
5. Umfangreiche Verarbeitung	abhängig von Ihrer Einrichtung: Zahl der Kinder, Fotos und Jahre	prüfen
6. Zusammenführen von Datensätzen	nein	trifft nicht zu
7. Daten schutzbedürftiger Betroffener	ja, Kinder	trifft zu
8. Innovative Technologie	Speicherung und Bereitstellung über eine Web-Anwendung; lokale Erkennung, wo Gesichter im Bild sind, nur zur Drehung der Fotos, ohne Identifizierung	in der Regel nicht, aber prüfen
9. Verarbeitung hindert an der Ausübung eines Rechts oder an einer Leistung	nein, wenn die Einwilligung freiwillig ist und ohne sie keine Nachteile entstehen	abhängig von Ihrer Ausgestaltung

3. Risiken und Maßnahmen

Risiko	Was KinderAlbum dagegen tut	Was die Einrichtung tun kann
Fotos gelangen an Unbefugte	nicht öffentlicher Speicher, Zugriff nur nach Rechteprüfung, signierte Links mit kurzer Laufzeit, Row Level Security, Protokollierung	Alben bewusst auswählen und Gruppen zuordnen
Eltern sehen Kinder ohne Einwilligung auf Gruppenfotos	Die Einwilligung für das eigene Kind steuert, ob ein Elternteil die Alben sieht. Sie verhindert nicht, dass auf Gruppenfotos andere Kinder ohne Einwilligung zu sehen sind; die Plattform erkennt nicht, wer abgebildet ist	Fotos von Kindern ohne Einwilligung nicht in Gruppenalben aufnehmen; nach einem Widerruf betroffene Fotos ausblenden oder löschen
Weitergabe durch Berechtigte	Downloads werden protokolliert	Eltern auf die Regeln hinweisen; Galerien mit Link und PIN nur gezielt nutzen
Standortdaten in Fotos	Vorschaubilder ohne Metadaten; Einzeldownloads sind jedoch Originaldateien mit EXIF- und gegebenenfalls GPS-Daten	Ortungsfunktion der Kamera vor der Aufnahme abschalten oder Metadaten vor dem Hochladen entfernen
Zu lange Speicherung	Löschung durch die Einrichtung jederzeit; Löschung binnen 30 Tagen nach Vertragsende	feste Löschfristen festlegen, siehe Speicher- und Löschkonzept
Zugriff durch Dienstleister aus Drittländern	Fotos und Plattformdaten nur bei Hetzner in Nürnberg; E-Mail-Versand über Amazon SES in Frankfurt; Support-Anfragen und technische Meldungen in Google Workspace. Bei Amazon und Google ist ein Zugriff aus den USA nicht ausgeschlossen. Keine Fotos per E-Mail	Eltern nach Art. 13 DSGVO informieren

Welche Maßnahmen es derzeit nicht gibt, steht offen im Dokument Technische und organisatorische Maßnahmen, Abschnitt 7.

4. Was Sie für Ihre Akte brauchen

das Ergebnis Ihrer Prüfung mit Begründung, auch wenn Sie zu dem Schluss kommen, dass keine DSFA nötig ist
den AVV, die TOM und die Liste der Unterauftragsverarbeiter
Ihren Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Muster)

Für eine ausführliche DSFA stellt KinderAlbum auf Anfrage weitere technische Angaben bereit (AVV § 4 lit. c).

Diese Hilfe stellt keine Rechtsberatung dar. Die Bewertung liegt beim Verantwortlichen.