AVG en het 'verwerken' van foto's

Deze vraag betreft het fotograferen van kinderen op een school. Niet voor de ouders, maar voor aankleding in de school.
Vanuit de AVG (privacy) wetgeving wordt het maken van een foto gezien als het verwerken van persoonsgegevens. Deze verwerking moet aan bepaalde eisen voldoen.
Vanuit een organisatie (waarvoor je fotografeert als amateur) wordt een verwerkingsovereenkomst opgesteld waar je als fotograaf aan dient te voldoen. Zo niet dan kunnen er bij verlies van data stevige boetes volgen.
Wie heeft ervaring met de mogelijkheid om je hiervoor te verzekeren of anderszins in te dekken, omdat de risico's groot kunnen zijn.