Datenschutzhinweise zur Schulfotografie und Bestellabwicklung
Flussreif Fotostudio und Kunstgalerie KLG
Verantwortliche Stelle:
Flussreif Fotostudio und Kunstgalerie KLG
Marktgasse 5
CH-5620 Bremgarten
E-Mail: info@flussreif.ch
1. Zweck und Geltungsbereich
Diese Datenschutzhinweise informieren Sie – als Erziehungsberechtigte, als Schulverantwortliche und als bestellende Kundinnen und Kunden – darüber, wie die Flussreif Fotostudio und Kunstgalerie KLG (nachfolgend «Flussreif») im Bereich der Schulfotografie und der damit verbundenen Bestellabwicklung Personendaten bearbeitet. Sie gelten für die Voranmeldung, den Fototermin, die Bereitstellung der passwortgeschützten Online-Galerie sowie die Bestellung, Zahlung und Auslieferung der Fotoerzeugnisse.
Diese Hinweise gelten neben und ergänzend zur allgemeinen Datenschutzerklärung von Flussreif, die unter
https://www.flussreif.ch/datenschutzerklrung abrufbar ist und die Bearbeitung im Rahmen des Website-Besuchs regelt. Für die Schulfotografie gehen die vorliegenden Hinweise vor.
2. Verantwortliche Stelle und Kontakt
Verantwortliche im Sinne von Art. 5 lit. j DSG für die in diesen Hinweisen beschriebenen Bearbeitungen ist Flussreif Fotostudio und Kunstgalerie KLG. Soweit im Einzelfall die Datenschutz-Grundverordnung (EU) 2016/679 («DSGVO») nach ihrem Art. 3 anwendbar ist, ist Flussreif zugleich Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.
Für alle Anliegen zum Datenschutz – einschliesslich Auskunft, Berichtigung, Herausgabe, Löschung oder Widerruf einer Einwilligung – erreichen Sie uns unter info@flussreif.ch. Wir beantworten datenschutzrechtliche Anfragen innerhalb von 30 Tagen. Wo dies aufgrund der Komplexität oder der Anzahl von Anfragen erforderlich ist, kann diese Frist gemäss Art. 25 Abs. 7 DSG i.V.m. Art. 18 DSV um bis zu weitere 60 Tage verlängert werden; wir informieren Sie in diesem Fall vorgängig.
Flussreif hat keine Datenschutzberatende Person nach Art. 10 DSG bestellt. Die Zulässigkeit dieses Verzichts wird intern dokumentiert und regelmässig überprüft.
3. Anwendbares Recht und Aufsichtsbehörde
Anwendbar ist das schweizerische Bundesgesetz über den Datenschutz vom 25. September 2020 («DSG», in Kraft seit 1. September 2023) sowie die Datenschutzverordnung vom 31. August 2022 («DSV»). Zuständige Aufsichtsbehörde in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), https://www.edoeb.admin.ch. Ihnen steht das Recht zu, sich an den EDÖB zu wenden (Art. 49 DSG); zusätzlich stehen zivilrechtliche Ansprüche nach Art. 32 DSG zur Verfügung.
Soweit Sie Ihren gewöhnlichen Aufenthalt im Europäischen Wirtschaftsraum haben und die DSGVO nach ihrem Art. 3 Anwendung findet, können Sie sich zusätzlich an die für Sie zuständige Aufsichtsbehörde im EWR wenden.
4. Rollenverteilung zwischen Flussreif und der Schule
Die Rollenverteilung folgt einem klaren, zweiphasigen Modell:
Phase 1 — Voranmeldung, Fototermin an der Schule, Klassenliste
Verantwortliche Stelle: Schule / Schulträger als Verantwortliche nach kantonalem Datenschutzrecht. Die Schule holt die Einwilligungen der Erziehungsberechtigten ein und stellt Flussreif die für die Zuordnung notwendigen Daten zur Verfügung.
Bearbeitete Daten: Klassenlisten, Vor- und Nachnamen, Klassen-/Gruppenzuordnung, Aufnahmedatum.
Phase 2 — Online-Galerie, Bestellung, Zahlung, Versand, Kundenbetreuung
Verantwortliche Stelle: Flussreif als Verantwortliche nach DSG. Rechtsgrundlage ist der direkt mit den Erziehungsberechtigten geschlossene Kaufvertrag.
Bearbeitete Daten: Kontaktdaten der Erziehungsberechtigten, Zugangscodes, Bestell-, Liefer- und Rechnungsdaten, technische Nutzungsdaten der Online-Plattform.
Die Fotografien selbst werden von Flussreif erstellt und anschliessend in der passwortgeschützten Online-Galerie zur Ansicht bereitgestellt. Flussreif behandelt die Aufnahmen mit besonderer Sorgfalt (vgl. Ziffer 15). Die Zulässigkeit der Aufnahme selbst wird durch die Schule vorgängig sichergestellt (Elterninformation, Widerspruchsmöglichkeit); die datenschutzrechtliche Grundlage der Aufnahme richtet sich nach dem für die Schule anwendbaren kantonalen Datenschutzrecht.
5. Auftragsbearbeitung
Flussreif bindet zur Erbringung der Leistungen sorgfältig ausgewählte Auftragsbearbeiter im Sinne von Art. 9 DSG und – soweit anwendbar – Art. 28 DSGVO ein. Insbesondere:
Fotografen Online Service GmbH, Hausvogteiplatz 12, 10117 Berlin, Deutschland (Plattform GotPhoto/fotograf.de) – Betrieb der Online-Galerie und der Bestellabwicklung.
Druck- und Versanddienstleister (Fotolabore):
Color Drack Schweiz, Untere Weidstrasse 26, CH-8820 Wädenswil, Schweiz – Herstellung und Versand der bestellten Erzeugnisse.
Mit allen Auftragsbearbeitern bestehen schriftliche Verträge, welche die Bearbeitung ausschliesslich nach Weisung, die Vertraulichkeit, die Datensicherheit, die Rechte der betroffenen Personen sowie die Bedingungen für den Einsatz weiterer Unterauftragsbearbeiter regeln. Die aktuelle Liste der eingesetzten Unterauftragsbearbeiter wird auf Anfrage in Textform zur Verfügung gestellt.
6. Zahlungsdienstleister
Zahlungen werden über spezialisierte Anbieter abgewickelt ([z. B. Stripe, Twint AG, Datatrans AG, PostFinance AG]). Diese Anbieter bearbeiten Ihre Zahlungsdaten in eigener datenschutzrechtlicher Verantwortung; sie sind nicht Auftragsbearbeiter von Flussreif, sondern verfolgen eigene Zwecke, insbesondere die Abwicklung der Zahlung, die Betrugsprävention und die Erfüllung aufsichtsrechtlicher Pflichten. Flussreif empfängt vom Zahlungsdienstleister ausschliesslich diejenigen Informationen, die zur Zuordnung der Bestellung notwendig sind (Referenznummer, Betrag, Zahlungsstatus). Es werden weder vollständige Kartennummern noch Prüfziffern durch Flussreif eingesehen oder gespeichert.
7. Kategorien bearbeiteter Personendaten
Stammdaten der Erziehungsberechtigten: Vor- und Nachname, Postadresse, E-Mail-Adresse, gegebenenfalls Telefonnummer (freiwillig).
Stammdaten des Kindes: Vorname, Klasse oder Gruppe, sowie – soweit für die Zuordnung unerlässlich – Nachname.
Vertrags- und Bestelldaten: bestellte Produkte, Bestelldatum, Rechnungs- und Lieferadresse, Bestellbetrag, Zahlungsstatus.
Fotografien und zugehörige Metadaten: die im Rahmen des Fototermins erstellten Aufnahmen samt technischer Metadaten (Aufnahmezeitpunkt, Kamera, Referenz-ID).
Zugangsdaten zur Online-Galerie: individuell vergebener Zugangscode oder Passwort.
Technische Nutzungsdaten: IP-Adresse (soweit technisch möglich in gekürzter Form), Browser-Kennung, Betriebssystem, Sitzungs-Identifikatoren, Zeitstempel; Cookies und lokale Speicher gemäss dem Cookie-Hinweis der Plattform.
Die Bearbeitung der Fotografien Minderjähriger erfolgt unter Beachtung der erhöhten Anforderungen an die Bearbeitung von Personendaten Minderjähriger nach Art. 6 Abs. 7 DSG. Eine Merkmalsextraktion mit biometrischer Zielsetzung im Sinne von Art. 5 lit. c Ziff. 2 DSG bzw. Art. 9 Abs. 1 DSGVO erfolgt nur, wenn dies für einen ausdrücklich vereinbarten Zweck (z. B. Klassenspiegel mit Namenszuordnung) erforderlich ist und eine ausdrückliche Einwilligung der Erziehungsberechtigten vorliegt.
8. Datenquellen
Flussreif bearbeitet Personendaten, die (i) direkt von Ihnen im Rahmen von Bestellungen und Anfragen erhoben werden, (ii) von der Schule im Rahmen der vertraglich vereinbarten Zusammenarbeit übermittelt werden (Klassenlisten, organisatorische Angaben), und (iii) technisch automatisch beim Besuch der Online-Galerie erhoben werden. Ein Zukauf von Personendaten aus externen Quellen findet nicht statt. Es findet kein Verkauf von Personendaten statt.
9. Zwecke der Bearbeitung
Erstellung, Sortierung und Bereitstellung der Aufnahmen in der passwortgeschützten Online-Galerie.
Abwicklung der Bestellung einschliesslich Versand, Rechnungsstellung und Reklamationsbearbeitung.
Zustellung der Zugangsdaten und Statusinformationen an die Erziehungsberechtigten.
Kundenbetreuung, Beantwortung von Anfragen, Rückabwicklung.
Erfüllung gesetzlicher Pflichten, insbesondere handels- und steuerrechtliche Aufbewahrung nach Art. 958f OR und Art. 70 MWSTG i.V.m. Art. 39 MWSTV.
Gewährleistung der Sicherheit und Missbrauchsprävention der eingesetzten Systeme.
Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen.
10. Rechtsgrundlagen
Die Bearbeitung stützt sich auf folgende Rechtsgrundlagen:
Anbahnung, Abschluss und Abwicklung des Kaufvertrags über Fotoerzeugnisse
DSG: Art. 30 Abs. 2 lit. a DSG — Bearbeitung im Zusammenhang mit Vertragsabschluss oder -abwicklung; Rechtfertigungsgrund Art. 31 Abs. 1 DSG.
DSGVO (soweit anwendbar): Art. 6 Abs. 1 lit. b DSGVO
Sicherer, missbrauchsgeprüfter Betrieb der Plattform und Beweissicherung
DSG: Überwiegendes berechtigtes Interesse gemäss Art. 31 Abs. 1 DSG in Verbindung mit der Interessenabwägung nach Art. 31 Abs. 2 DSG.
DSGVO (soweit anwendbar): Art. 6 Abs. 1 lit. f DSGVO
Aufbewahrung von Buchhaltungsunterlagen und weitere gesetzliche Pflichten
DSG: Gesetzliche Pflicht, insbesondere Art. 958f OR und Steuerrecht.
DSGVO (soweit anwendbar): Art. 6 Abs. 1 lit. c DSGVO
Bearbeitung von Fotografien Minderjähriger; besondere Kategorien (soweit einschlägig)
DSG: Einwilligung der Erziehungsberechtigten nach Art. 6 Abs. 6 und 7 DSG, eingeholt über die Schule bzw. direkt.
DSGVO (soweit anwendbar): Art. 6 Abs. 1 lit. a i.V.m. Art. 9 Abs. 2 lit. a DSGVO
Freiwillige Zusatzleistungen (z. B. Newsletter, Klassenspiegel mit Namen)
DSG: Einwilligung nach Art. 6 Abs. 6 DSG, jederzeit widerrufbar.
DSGVO (soweit anwendbar): Art. 6 Abs. 1 lit. a DSGVO
11. Empfängerinnen und Empfänger
Personendaten werden ausschliesslich im notwendigen Umfang an folgende Kategorien bekannt gegeben:
Auftragsbearbeiter im Sinne von Ziffer 5 (Plattform, Fotolabore).
Zahlungsdienstleister im Sinne von Ziffer 6, als eigenverantwortliche Verantwortliche im Rahmen der Zahlungsabwicklung.
Steuerberatung und externe Revision im Rahmen gesetzlicher Prüfpflichten, jeweils vertraulich.
Aufsichts- und Strafverfolgungsbehörden sowie Gerichte, soweit eine gesetzliche Pflicht zur Bekanntgabe besteht oder die Bekanntgabe zur Wahrung berechtigter Interessen erforderlich ist.
Eine Bekanntgabe an Werbenetzwerke, Datenbroker, Social-Media-Plattformen oder sonstige kommerzielle Dritte zu Marketingzwecken findet nicht statt.
12. Plattform GotPhoto / fotograf.de — technische Bereitstellung
Für die Bereitstellung der Online-Galerie und die Bestellabwicklung setzt Flussreif die Plattform der Fotografen Online Service GmbH, Hausvogteiplatz 12, 10117 Berlin, Deutschland ein (Markenbezeichnungen GotPhoto und fotograf.de). Der Betrieb erfolgt in Cloud-Infrastruktur bei Amazon Web Services in Frankfurt am Main (Deutschland, Europäische Union), unter Einsatz verschlüsselter Datenbankdienste (u. a. AWS Aurora, AWS DynamoDB) und eines verschlüsselten Data Warehouse (Snowflake, Standort Frankfurt).
Die eingesetzten Cloud-Anbieter sind ISO/IEC 27001-zertifiziert; die Fotografen Online Service GmbH orientiert sich am SOC-2-Framework und ist SOC-2-Type-II-konform. Der aktuelle Bericht steht Flussreif in [Berichtsjahr] vor, ausgestellt durch [Prüfgesellschaft].
13. Bekanntgabe ins Ausland
Die Bearbeitung erfolgt schwergewichtig in Deutschland bzw. innerhalb der Europäischen Union. Für die Schweiz besteht insoweit ein angemessenes Schutzniveau. Bekanntgaben an Empfänger in Drittstaaten erfolgen ausschliesslich für nachgelagerte Nebendienste der Plattform (insbesondere [z. B. E-Mail-Zustellung, Support-Ticketing, Analyse]) in folgende Staaten:
[Staat / Empfänger].
Als Garantien im Sinne von Art. 16 DSG i.V.m. Anhang 1 DSV bzw. Art. 44 ff. DSGVO kommen zum Einsatz:
Angemessenheitsbeschluss des Bundesrats für die Vereinigten Staaten von Amerika nach dem Swiss-U.S. Data Privacy Framework, in Kraft seit 15. September 2024, sowie – soweit anwendbar – der Beschluss (EU) 2023/1795 zum EU-U.S. Data Privacy Framework. Die Zertifizierung des jeweiligen Empfängers wird vor Einbindung geprüft.
Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), ergänzt durch die gemäss Empfehlung des EDÖB (Juni 2021) für die Schweiz erforderlichen Anpassungen.
Ergänzende technische und organisatorische Massnahmen (u. a. Verschlüsselung, pseudonymisierte Übermittlung, Zugriffskontrollen) zur Sicherstellung eines gleichwertigen Schutzniveaus.
Eine Ausfertigung der Standardvertragsklauseln bzw. die Nachweise der Angemessenheitsbeschlüsse werden auf Anfrage zur Verfügung gestellt.
14. Speicherdauer
Personendaten werden nur so lange bearbeitet, wie dies für die genannten Zwecke oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Im Einzelnen gilt:
Online-Galerie (Fotos zur Auswahl)
Regelspeicherdauer: Maximal 3 Monate ab Freischaltung
Rechtsgrundlage / Bemerkung: Danach unwiderrufliche Löschung durch die Plattform.
Fotoarchiv nach Bestellabschluss (Rohbilder und bearbeitete Bilder)
Regelspeicherdauer: Maximal 6 Monate nach letztem Bestellabschluss
Rechtsgrundlage / Bemerkung: Nur soweit Reklamations- oder Nachbestellungsansprüche bestehen können.
Zugangsdaten zur Online-Galerie
Regelspeicherdauer: Bis zur Löschung der Galerie
Rechtsgrundlage / Bemerkung: Vorzeitige Löschung auf Wunsch der Erziehungsberechtigten.
Bestell- und Rechnungsunterlagen
Regelspeicherdauer: 10 Jahre
Rechtsgrundlage / Bemerkung: Art. 958f OR, Art. 70 MWSTG, Art. 39 MWSTV.
Allgemeine Korrespondenz
Regelspeicherdauer: Bis zum Ablauf der Verjährungsfristen
Rechtsgrundlage / Bemerkung: Längstens 10 Jahre gemäss Art. 127 OR.
Technische Log-Daten
Regelspeicherdauer: In der Regel 90 Tage
Rechtsgrundlage / Bemerkung: Missbrauchsprävention; anschliessend automatisierte Löschung oder Anonymisierung.
Backups werden nach einem definierten Rotationsverfahren automatisch überschrieben. Eine Aufbewahrung über die genannten Fristen hinaus erfolgt nur, soweit dies zur Wahrnehmung berechtigter Interessen (insbesondere zur Verteidigung gegen Rechtsansprüche) erforderlich ist und die Voraussetzungen von Art. 31 DSG erfüllt sind.
15. Besondere Hinweise zur Schulfotografie
Die Einwilligung der Erziehungsberechtigten zur Aufnahme wird durch die Schule im Rahmen ihres kantonalen Datenschutzrechts eingeholt. Flussreif bearbeitet die Aufnahmen ausschliesslich im Rahmen des dokumentierten Einwilligungsumfangs.
Eine Weiterverwendung der Fotografien über den Schulfotografie-Zweck hinaus (insbesondere Werbung, Marketing, Referenzen, Bildarchiv) findet nicht statt.
Klassenspiegel mit Namenszuordnung: Standardmässig werden Klassenspiegel ohne Namen erstellt. Eine Namenszuordnung erfolgt nur auf ausdrücklichen Wunsch der Schule und nur, wenn die Schule bestätigt, dass eine entsprechende Einwilligung der Erziehungsberechtigten für die konkret betroffenen Kinder vorliegt.
Widerspruch nach dem Fototermin: Sie können jederzeit verlangen, dass die Aufnahmen Ihres Kindes vorzeitig gelöscht und nicht in die Galerie eingespielt werden. Ein solcher Widerspruch ist an info@flussreif.ch zu richten und wird umgehend umgesetzt.
16. Automatisierte Einzelentscheidungen; Profiling
Flussreif setzt keine automatisierte Einzelentscheidung mit rechtlicher oder ähnlicher erheblicher Wirkung nach Art. 21 DSG bzw. Art. 22 DSGVO ein; insbesondere findet weder eine automatisierte Bonitäts- oder Bestellprüfung noch ein Profiling im Sinne von Art. 5 lit. f DSG statt. Eine algorithmische Sortierung der Aufnahmen (z. B. Vorschlagsreihenfolge) dient ausschliesslich der ergonomischen Darstellung und entfaltet keine Rechtswirkung.
Sollten in Zukunft Verfahren zur biometrischen Merkmalsextraktion (z. B. automatische Zuordnung von Gesichtern zu Namen) eingesetzt werden, würde dies vorab durch eine Datenschutz-Folgenabschätzung nach Art. 22 DSG geprüft und ausdrücklich einwilligungsbasiert ausgestaltet.
17. Ihre Rechte
Als betroffene Person stehen Ihnen nach DSG folgende Rechte zu, die Sie an info@flussreif.ch richten können:
Auskunft nach Art. 25 DSG;
Berichtigung unrichtiger Personendaten nach Art. 32 Abs. 1 DSG;
Herausgabe und Übertragung Ihrer Personendaten nach Art. 28 DSG;
Untersagung einer bestimmten Bearbeitung, Sperrung oder Bekanntgabe an Dritte nach Art. 30 Abs. 2 DSG;
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 6 Abs. 6 DSG);
Beschwerde beim EDÖB (Art. 49 DSG) sowie Geltendmachung zivilrechtlicher Ansprüche.
Soweit die DSGVO im Einzelfall anwendbar ist, stehen Ihnen zusätzlich die Rechte nach Art. 15 bis 22 DSGVO zu (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch) sowie das Beschwerderecht bei der zuständigen EU-Aufsichtsbehörde.
Wir behalten uns vor, in begründeten Fällen einen Identitätsnachweis zu verlangen. Verlangt wird nur, was zur zweifelsfreien Zuordnung der Anfrage tatsächlich erforderlich ist; die Übermittlung einer Ausweiskopie ist nicht zwingend. Die Bearbeitung berechtigter Anfragen ist kostenlos, es sei denn, es liegt ein offensichtlich unbegründetes oder exzessives Verlangen im Sinne von Art. 19 DSV vor.
18. Pflicht zur Bereitstellung von Daten
Die Angabe von Vor- und Nachname, Postadresse, E-Mail-Adresse, den bestellten Produkten und der Zahlungsinformationen ist zur Abwicklung des Kaufvertrags erforderlich. Ohne diese Angaben kann keine Bestellung entgegengenommen oder ausgeliefert werden. Die Angabe der Telefonnummer und die Zustimmung zum Erhalt eines Newsletters sind freiwillig; ihre Nichtangabe hat keine Nachteile für die Vertragserfüllung.
19. Datensicherheit
Flussreif und die eingesetzten Auftragsbearbeiter treffen technische und organisatorische Massnahmen im Sinne von Art. 8 DSG i.V.m. Art. 1 ff. DSV und, soweit anwendbar, Art. 32 DSGVO, die dem aktuellen Stand der Technik entsprechen und ein dem Risiko angemessenes Schutzniveau gewährleisten. Dazu zählen insbesondere:
Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung.
Rollen- und zweckbasierte Zugriffskontrollen; Vertraulichkeitsverpflichtungen.
Getrennte Bearbeitung von Produktiv- und Testsystemen; Protokollierung sicherheitsrelevanter Ereignisse.
Definierte Prozesse für Erkennung, Bewertung und Bearbeitung von Datenschutz- und Sicherheitsvorfällen.
Regelmässige Überprüfung und Anpassung der Massnahmen.
Datenschutzverletzungen mit voraussichtlich hohem Risiko werden dem EDÖB nach Art. 24 DSG so rasch als möglich gemeldet; sofern gesetzlich erforderlich, werden zusätzlich die betroffenen Personen informiert.
Trotz aller Schutzmassnahmen kann für die Bearbeitung von Personendaten über offene Netze keine absolute Sicherheit gewährleistet werden. Es verbleibt ein systemimmanentes Restrisiko.
20. Änderungen dieser Hinweise
Diese Datenschutzhinweise können angepasst werden, insbesondere wenn sich die Rechtslage ändert oder wenn die Bearbeitung von Personendaten wesentlich geändert wird. Massgeblich ist stets die auf dem Bestellportal und unter [URL] abrufbare aktuelle Fassung. Die aktuelle Version, das Versionsdatum und eine Übersicht der wesentlichen Änderungen werden im Fusszeilenbereich der jeweiligen Fassung ausgewiesen.
21. Kontakt und Stand
Flussreif Fotostudio und Kunstgalerie KLG
Marktgasse 5
CH-5620 Bremgarten
E-Mail: info@flussreif.ch
Stand: 01.08.2026
