Speicher- und Löschkonzept
nach Art. 5 Abs. 1 lit. e, Art. 17 und Art. 25 DSGVO
Stand: 11. Oktober 2026
1. Empfehlung für Einrichtungen: ein fester Jahresrhythmus
Fotos werden oft einmal im Jahr verteilt. Daraus ergibt sich ein einfacher Löschrhythmus. Er ist ein Vorschlag, die Fristen legen Sie selbst fest:
| Zeitpunkt | Was geschieht | Wer |
|---|---|---|
| während des Schul- oder Kitajahres | Alben werden hochgeladen und veröffentlicht | Einrichtung |
| bis drei Monate nach Ende des Jahres | Eltern sehen die Fotos und laden sie herunter | Einrichtung |
| danach | Alben des abgelaufenen Jahres werden gelöscht, ebenso Kinder, die die Einrichtung verlassen haben, und deren Elternzuordnungen | Einrichtung, oder KinderAlbum auf Anweisung |
| binnen 7 bzw. 35 Tagen danach | gelöschte Daten fallen aus der Kopie der Fotodateien bzw. aus den Datenbanksicherungen heraus | automatisch |
Die Plattform löscht Alben nicht von selbst nach Ablauf einer Frist. Ein Ablaufdatum sperrt eine Galerie nur. Auf Anweisung führt KinderAlbum die Jahreslöschung durch und bestätigt sie in Textform.
2. Speicherorte
| Daten | Speicherort | Land |
|---|---|---|
| Fotodateien und Vorschaubilder | Hetzner Object Storage, nicht öffentlich | Deutschland, Nürnberg |
| Kopie der Fotodateien | Hetzner Object Storage, getrennter Speicherbereich, nicht verschlüsselt | Deutschland, Nürnberg |
| Konten, Kinder, Eltern, Einwilligungen, Protokolle | PostgreSQL, selbst betrieben auf Hetzner Cloud | Deutschland, Nürnberg |
| Datenbanksicherungen | Hetzner Object Storage, AES-256-verschlüsselt, und auf dem Server | Deutschland, Nürnberg |
| Server- und Dienstprotokolle | auf dem Server | Deutschland, Nürnberg |
| E-Mail-Versand | Amazon SES | EU, Frankfurt |
3. Datenkategorien und Fristen
| Daten | Zweck | Speicherdauer |
|---|---|---|
| Fotos und Alben | Bereitstellung an Berechtigte | bis zur Löschung durch den Verantwortlichen, spätestens 30 Tage nach Vertragsende |
| Kinder (Vorname, Nachname, Geburtsdatum, Gruppe) | Zuordnung von Gruppe, Eltern und Einwilligung | bis zur Löschung durch die Einrichtung |
| Elternzuordnungen und Elternkonten | Anmeldung, Einladung | wie das zugehörige Kind; das Anmeldekonto entfernt KinderAlbum auf Anweisung |
| Konten von Fachkräften und Galerie-Inhabern | Anmeldung | bis zum Ausscheiden bzw. bis zur Löschung des Kontos |
| Einwilligungen mit Verlauf | Nachweis nach Art. 7 Abs. 1 DSGVO | solange das Kind angelegt ist (Abschnitt 4.3) |
| Erklärung zur Rechtsgrundlage bei Galerien, mit IP-Adresse | Nachweis | solange das Konto besteht |
| Audit-Protokoll (Person, Aktion, Zeitpunkt, IP-Adresse, Browserkennung) | Nachvollziehbarkeit, Sicherheit | IP-Adresse und Browserkennung 90 Tage; der Eintrag selbst bis zur Löschung des Kontos |
| Zugriffe auf Galerien (gekürzter Hashwert der IP-Adresse, Browserkennung, Zeitpunkt) | Statistik für den Inhaber, Missbrauchserkennung | 90 Tage |
| Webserver-Protokoll (IP-Adresse, Browserkennung, aufgerufene Adresse) | Betrieb, Fehlersuche, Angriffserkennung | rollierend, höchstens 90 Tage |
| Dienstprotokolle der Anmelde- und Datenbankdienste (IP-Adresse, bei Anmeldungen E-Mail-Adresse) | Betrieb, Fehlersuche | derzeit länger als 90 Tage, siehe Hinweis unten |
| Registrierungen und Kontaktanfragen, mit IP-Adresse | Bearbeitung, Missbrauchsschutz | bis zur Löschung auf Anfrage |
| Datenbanksicherungen | Wiederherstellung | 35 Tage im Object Storage, 7 Tage auf dem Server, rollierend |
| Kopie der Fotodateien | Schutz vor versehentlichem Löschen | gelöschte Dateien höchstens 7 Tage |
4. Löschung im Einzelnen
4.1 Fotos
- Einrichtungen: Wird ein Foto oder ein Album gelöscht, werden die Einträge, die Originaldatei und die Vorschaubilder sofort entfernt. Aus der Kopie der Fotodateien fällt die Datei nach höchstens 7 Tagen heraus.
- Galerien: Wird ein Foto, eine Galerie oder ein Konto gelöscht, werden Eintrag und Originaldatei sofort entfernt. Die Vorschaubilder werden derzeit noch nicht mit entfernt; sie sind ohne den Eintrag über die Plattform nicht mehr erreichbar.
- Bereits heruntergeladene Fotos liegen außerhalb der Plattform und können technisch nicht zurückgeholt werden.
4.2 Kinder und Eltern
Kinder und Elternzuordnungen löscht die Einrichtung selbst. Das Anmeldekonto eines Elternteils entfernt KinderAlbum vollständig, im Rahmen einer Jahreslöschung oder auf Einzelanweisung.
4.3 Einwilligungsnachweis
Wird ein Kind gelöscht, wird auch sein Einwilligungsverlauf gelöscht, und die Löschung wird nicht im Audit-Protokoll vermerkt. Müssen Sie den Nachweis länger aufbewahren, stellt KinderAlbum vor der Löschung einen Auszug als PDF- oder CSV-Datei bereit.
4.4 Protokolldaten
Jede Nacht laufen automatisch: Löschung der Zugriffe auf Galerien nach 90 Tagen; Entfernen von IP-Adresse und Browserkennung aus dem Audit-Protokoll nach 90 Tagen. Das Webserver-Protokoll wird rollierend überschrieben, spätestens nach 90 Tagen.
4.5 Konten
Inhaber einer Galerie können ihr Konto selbst löschen. Konten von Einrichtungen, Fachkräften und Eltern löscht KinderAlbum auf Anforderung innerhalb von 7 Tagen (AVV § 8).
4.6 Vertragsende
Bei Vertragsende gibt KinderAlbum nach Wahl des Verantwortlichen alle Daten zurück (Fotos als ZIP-Datei, weitere Daten als CSV-Datei) oder löscht sie (AVV § 11). Trifft der Verantwortliche keine Wahl, werden spätestens 30 Tage nach Vertragsende alle Daten gelöscht, einschließlich Fotodateien und Konten. Aus der Kopie der Fotodateien fallen die Dateien nach höchstens 7 weiteren Tagen heraus, aus den Datenbanksicherungen nach höchstens 35 weiteren Tagen. Die Löschung wird auf Anfrage in Textform bestätigt.
5. Zuständigkeit
Der Verantwortliche entscheidet über Fristen und löscht selbst oder erteilt die Anweisung. KinderAlbum setzt sie technisch um und bestätigt sie.
Dieses Konzept stellt keine Rechtsberatung dar. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt.