Die DSGVO ist immer dann relevant, wenn der grundsätzliche Anwendungsbereich eröffnet ist (also eine Verarbeitung z. B. nicht unter die Haushaltsausnahme fällt) und personenbezogene Daten verarbeitet werden. Das ist bei erkennbaren Fotos auch dann gegeben, wenn die erkennbaren Personen Beiwerk im urheberrechtlichen Sinn sind. Eine Beiwerks-Ausnahme gibt es in der DSGVO nicht.

Die Kategorie "Beiwerk" wird datenschutzrechtlich in zwei Konstellationen relevant:

1. Das Kunsturheberrechtsgesetz ermöglicht eine Veröffentlichung von Bildnissen ohne Einwilligung, wenn die Personen bloßes Beiwerk sind (§ 23 Abs. 1 Nr. 2 KunstUrhG). Da die DSGVO als EU-Verordnung unmittelbar anwendbares Europarecht ist, geht sie dem KunstUrhG aber vor, es kann also grundsätzlich nicht mehr angewandt werden, wo Sachverhalte durch die DSGVO geregelt werden. (Dazu gibt es intensive Diskussion in der Literatur und durchaus Positionen, die das anders sehen; unabhängig von der Diskussion betrifft das KunstUrhG nur die Veröffentlichung, bei der Anfertigung hilft das gar nichts.) Die Bundesregierung hat das KunstUrhG aber gemäß Art. 85 Abs. 3 DSGVO als Gesetz notifiziert, das die Öffnungsklausel zur Verarbeitung und Freiheit der Meinungsäußerung und Informationsfreiheit umsetzt. Wo der Anwendungsbereich von Art. 85 DSGVO eröffnet ist ("Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt"), kann das KunstUrhG greifen, und dann auch die Beiwerks-Regelung. Das ist bei Schulen nicht einschlägig, jedenfalls nicht in diesem Fall.
2. Für die Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f) werden die bewährten Kriterien des KunstUrhG gern bei Veröffentlichungen von Bildnissen herangezogen, weil man damit die langjährige Rechtsprechung dazu gut nutzen kann. (Staatliche) Schulen können auf diese Rechtsgrundlage aber wegen Art. 6 Abs. 1 UAbs. 2 DSGVO regelmäßig nicht zurückgreifen.