Warum Familien und Schulen DSGVO-konforme Alternativen brauchen
Das Teilen von Kinderfotos ist ein sensibles Thema. Ob in der Familie oder in der Schule: Fotos von Kindern sind personenbezogene Daten, die besonderen Schutz verdienen. Viele beliebte Foto-Apps stammen aus den USA oder Asien und verarbeiten Daten außerhalb der EU. Übermittlungen in die USA stützen sich heute auf das EU-US Data Privacy Framework von 2023, das Datenschützer weiterhin für angreifbar halten.
Für Schulen und Kitas gelten strengere Anforderungen. Wer als Einrichtung einen Dienst für Kinderfotos nutzt, braucht einen Auftragsverarbeitungsvertrag (AVV), muss Einwilligungen dokumentieren und Widerrufe umsetzen können. Die meisten Consumer-Apps erfüllen diese Anforderungen nicht.
Aber auch für Familien lohnt sich ein Blick auf den Datenschutz: Wer möchte schon, dass Kinderfotos für KI-Training, Werbezwecke oder Profiling genutzt werden?
Foto-Sharing-Plattformen im DSGVO-Vergleich
| App / Plattform | Serverstandort | DSGVO | Einwilligung | Zugriffskontrolle | AVV |
|---|---|---|---|---|---|
| FamilyAlbum (mitene) | Japan / AWS Global | Unzureichend | |||
| Google Photos | USA / Global | Problematisch | |||
| iCloud Geteilte Alben | USA / Global | Eingeschränkt | |||
| WhatsApp-Gruppen | USA | Nicht konform | |||
| Dropbox / OneDrive | USA / EU (optional) | Bedingt geeignet | |||
| KinderAlbum | Deutschland (Hetzner, Nürnberg) | Konform einsetzbar |
Die Apps im Detail
FamilyAlbum (mitene)
UnzureichendHerkunft: Japan (Mixi, Inc.) · Speicherort: Außerhalb EU
Beliebte Familien-Foto-App aus Japan. Daten verlassen die EU, kein AVV verfügbar, keine granulare Zugriffskontrolle. Für den privaten Familiengebrauch nutzbar, für Schulen und Kitas nicht geeignet.
- Datenverarbeitung außerhalb der EU (Japan/USA)
- Kein Auftragsverarbeitungsvertrag (AVV) verfügbar
- Keine Einwilligungsverwaltung pro Kind
- Keine rollenbasierte Zugriffskontrolle
- Nicht für schulischen Einsatz konzipiert
Google Photos
ProblematischHerkunft: USA (Alphabet Inc.) · Speicherort: USA
Umfangreiche Foto-Plattform mit KI-Funktionen. Datenverarbeitung in den USA, Gesichtserkennung, umfangreiches Tracking. AVV zwar verfügbar, aber Drittlandproblematik bleibt.
- Datenverarbeitung auf US-Servern
- Umfangreiches Nutzer-Tracking und Profiling
- Gesichtserkennung und KI-Analyse der Fotos
- Schrems-II-Problematik bei Drittlandübermittlung
- Keine schulspezifischen Datenschutzfunktionen
iCloud Geteilte Alben
EingeschränktHerkunft: USA (Apple Inc.) · Speicherort: USA / EU (teilweise)
Apple bietet besseren Datenschutz als viele US-Konkurrenten, aber geteilte Alben haben eingeschränkte Kontrollmöglichkeiten. Keine Einwilligungsverwaltung, keine granulare Zugriffskontrolle.
- Eingeschränkte Kontrolle über geteilte Inhalte
- Kein Einwilligungsmanagement
- Kein AVV für Privatnutzer
- Keine Audit-Protokollierung
- Nicht für institutionellen Einsatz gedacht
WhatsApp-Gruppen
Nicht konformHerkunft: USA (Meta Platforms) · Speicherort: USA
Häufig für informelles Foto-Sharing genutzt, aber aus Datenschutzsicht hochproblematisch. Metadatenerfassung, keine Zugriffskontrolle, unkontrollierte Weiterleitung.
- Umfangreiche Metadatenerfassung durch Meta
- Keine Kontrolle über Weiterleitung
- Kein Widerrufsmechanismus für gesendete Fotos
- Kein AVV, kein Einwilligungsmanagement
- Laut LfDI RLP zumindest bedenklich
Ausführlicher Artikel: WhatsApp für Schulfotos: Datenschutzprobleme und Alternativen
Dropbox / OneDrive
Bedingt geeignetHerkunft: USA (Dropbox Inc. / Microsoft) · Speicherort: USA / EU (je nach Tarif)
Cloud-Speicher mit Sharing-Funktionen. AVV verfügbar, EU-Rechenzentren möglich, aber keine spezialisierten Funktionen für Schulen oder Familien. Keine Einwilligungsverwaltung.
- Keine schulspezifischen Funktionen
- Kein Einwilligungsmanagement
- EU-Speicherort nur bei bestimmten Tarifen
- US-Konzern mit potenzieller Datenherausgabe
- Nicht auf Kinderfotos oder Bildungseinrichtungen spezialisiert
KinderAlbum
Konform einsetzbarHerkunft: Deutschland · Speicherort: Deutschland
DSGVO-native Foto-Plattform speziell für Schulen und Kitas. Deutsche Server, integriertes Einwilligungsmanagement, rollenbasierte Zugriffskontrolle, Audit-Protokollierung.
- DSGVO-konform, für Schulen, Kitas und Vereine
- Deutsche Server (Hetzner, Nürnberg)
- Integriertes Einwilligungsmanagement mit Widerruf
- Rollenbasierte Zugriffskontrolle (Lehrer, Eltern)
- Vollständige Audit-Protokollierung
- AVV in jedem Tarif
Warum deutsches Hosting wichtig ist
Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs (Juli 2020) ist das EU-US Privacy Shield ungültig. Die Übermittlung personenbezogener Daten in die USA ist seitdem nur noch unter strengen Voraussetzungen möglich. Und selbst das 2023 eingeführte EU-US Data Privacy Framework steht in der Kritik und könnte erneut gekippt werden.
Serverstandort Deutschland
Deutsche Server unterliegen dem BDSG und der DSGVO. Keine Drittlandübermittlung, kein Risiko durch sich ändernde Abkommen. Die Daten bleiben unter deutschem Recht.
Kein Zugriff durch US-Behörden
US-Gesetze wie der CLOUD Act und FISA 702 erlauben US-Behörden Zugriff auf Daten bei US-Unternehmen, auch auf EU-Servern. Deutsche Anbieter ohne US-Niederlassung sind davon nicht betroffen.
Rechtssicherheit
Mit einem deutschen Anbieter und deutschem Hosting ist die Rechtsgrundlage eindeutig. Kein Risiko durch sich ändernde internationale Abkommen oder neue EuGH-Urteile zur Drittlandübermittlung.
Transparenz für Eltern
Eltern können darauf vertrauen, dass die Fotos ihrer Kinder in Deutschland gespeichert werden. Das schafft Vertrauen und vereinfacht die Einholung von Einwilligungen.
Mehr zum Thema deutsches Hosting und Datenschutz erfahren Sie in unserem Leitfaden zu Datenschutz und Hosting in Deutschland.
KinderAlbum: Die DSGVO-native Alternative
Im Gegensatz zu den oben genannten Plattformen wurde KinderAlbum von Anfang an für den Datenschutz entwickelt. Jede Funktion ist auf DSGVO-Konformität ausgelegt.
Was KinderAlbum auszeichnet:
Deutsche Server (Hetzner)
Daten bleiben in Deutschland, keine Drittlandübermittlung, kein CLOUD Act
Einwilligungsmanagement
Digitale Einwilligungen pro Kind, zeitversioniert, jederzeit widerrufbar
Rollenbasierte Zugriffskontrolle
Eltern sehen nur die Alben der Klasse ihres Kindes
Audit-Protokollierung
Lückenlose Nachverfolgung aller Zugriffe für die DSGVO-Rechenschaftspflicht
Erfahren Sie mehr über DSGVO-konforme Schulfotos oder informieren Sie sich über die Zusammenarbeit mit Schulfotografen.
Häufig gestellte Fragen
Q:Ist die Family Album App sicher?
A:Für den privaten Gebrauch ja, mit Einschränkungen: Alben sind nur für eingeladene Personen sichtbar, die Übertragung ist verschlüsselt. Die Daten werden aber außerhalb der EU verarbeitet, und eingeladene Personen können Fotos speichern und weitergeben. Für Schulen und Kitas fehlen AVV und Einwilligung je Kind.
Q:Welche Kritik gibt es an der Family Album App?
A:Die Kritik betrifft vor allem den Datenschutz: Verarbeitung außerhalb der EU, kein Auftragsverarbeitungsvertrag für Einrichtungen und keine Kontrolle darüber, ob eingeladene Personen Fotos weitergeben. Für den Einsatz in Schule und Kita ist die App deshalb nicht gedacht.
Q:Ist FamilyAlbum (mitene) DSGVO-konform?
A:Für Schulen und Kitas nein, für Familien eingeschränkt. FamilyAlbum (mitene) ist ein Produkt des japanischen Unternehmens Mixi, Inc. Japan hat zwar einen Angemessenheitsbeschluss der EU-Kommission, doch es fehlen wesentliche Punkte für Einrichtungen: kein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, keine Einwilligungsverwaltung je Kind und keine transparente Auskunft über die genaue Datenverarbeitung. Für den privaten Familiengebrauch ist die App nutzbar.
Q:Warum reicht Google Photos nicht für Schulfotos?
A:Weil Einwilligung je Kind, Zugriffskontrolle nach Klassen und Protokollierung fehlen und Daten in die USA übermittelt werden. Google bietet zwar einen AVV an, und die Übermittlung stützt sich auf das EU-US Data Privacy Framework, dessen Bestand offen ist. Für Schulen und Kitas ist Google Photos deshalb keine passende Lösung für Kinderfotos.
Q:Was bedeutet das Schrems-II-Urteil für Foto-Apps?
A:Das Urteil des EuGH von 2020 hat das EU-US Privacy Shield für ungültig erklärt. Seit 2023 stützen sich Übermittlungen auf das EU-US Data Privacy Framework, das das Gericht der EU 2025 bestätigt hat; ein Rechtsmittel ist anhängig. Foto-Apps mit US-Servern (Google Photos, iCloud, Dropbox, OneDrive) sind damit nutzbar, aber mit einem Restrisiko, das Einrichtungen in ihrer Dokumentation abwägen müssen.
Q:Was ist ein AVV und warum brauche ich einen?
A:Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO regelt, dass der App-Anbieter Ihre Daten nur nach Ihren Weisungen verarbeitet. Schulen, Kitas und Vereine brauchen ihn für jede Foto-App, die personenbezogene Daten für sie verarbeitet; ohne AVV verstoßen sie gegen die DSGVO. Für rein private Nutzung brauchen Sie keinen.
Q:Kann ich als Privatperson jede Foto-App nutzen?
A:Für rein private und familiäre Zwecke greift die sogenannte Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO). Das bedeutet: Wenn Sie Familienfotos nur im engsten Familienkreis teilen, gelten die DSGVO-Anforderungen nicht in vollem Umfang. Sobald jedoch Fotos anderer Kinder (z. B. von Klassenkameraden) geteilt werden oder die Nutzung im schulischen Kontext stattfindet, greifen die vollen DSGVO-Pflichten.
Q:Worauf sollte ich bei der Wahl einer Foto-Sharing-App achten?
A:Achten Sie auf: 1) Serverstandort in der EU, idealerweise Deutschland. 2) Verfügbarkeit eines AVV. 3) Einwilligungsmanagement mit Widerrufsmöglichkeit. 4) Rollenbasierte Zugriffskontrolle. 5) Transparente Datenschutzerklärung. 6) Keine Weitergabe an Dritte oder Nutzung für Werbezwecke. Für Schulen und Kitas sollte die App speziell auf Bildungseinrichtungen zugeschnitten sein.
Q:Was ist die beste Alternative zu FamilyAlbum?
A:Für Familien eine App mit Servern in der EU, für Kitas, Schulen und Vereine eine Lösung mit AVV. KinderAlbum bietet beides: eine Galerie mit Link und PIN oder Elternkonten mit Einwilligung je Kind, gehostet in Deutschland. Für Schulen und Kitas ist der Einstieg kostenlos, ein einzelnes Fest kostet mit dem Event-Pass 29 EUR.
Jetzt auf die DSGVO-konforme Alternative umsteigen
Server in Deutschland, eine Galerie mit Link und PIN oder Elternkonten mit Einwilligung je Kind. Für Schulen und Kitas kostenlos, ein einzelnes Fest 29 EUR einmalig.