Auftragsverarbeitung & Cloud: was Musikschulen prüfen müssen

Was Auftragsverarbeitung bedeutet

Auftragsverarbeitung liegt vor, wenn ein Dienst personenbezogene Daten nicht für eigene Zwecke, sondern in deinem Auftrag verarbeitet. Die Musikschule bleibt verantwortlich, der Cloud-Anbieter verarbeitet weisungsgebunden.

Diese Trennung ist wichtig: Du bleibst für den Umgang mit den Daten verantwortlich, auch wenn ein anderer sie technisch verarbeitet.

Der AV-Vertrag

Ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) regelt, was der Anbieter mit den Daten tun darf und was nicht. Er ist Pflicht, wenn ein Auftragsverarbeiter im Spiel ist – und sollte vor der Nutzung vorliegen, nicht erst auf Nachfrage.

Seriöse Anbieter stellen den AV-Vertrag öffentlich bereit oder verlinken ihn in ihrer Datenschutzerklärung. Fehlt er, ist das ein Warnzeichen.

Welche Fragen vor der Nutzung zählen

• Wo werden die Daten gespeichert (EU oder Drittland)?
• Gibt es einen AV-Vertrag und ist er einsehbar?
• Welche Unterauftragsverarbeiter sind beteiligt?
• Wie sind Zugriffe und Löschung geregelt?

Diese vier Fragen klären den Großteil des Risikos – und lassen sich meist aus Datenschutzerklärung und AV-Vertrag beantworten.

Drittland und Unterauftragsverarbeiter

Besonders relevant ist, ob Daten außerhalb der EU verarbeitet werden. Das ist nicht verboten, aber an zusätzliche Garantien geknüpft. Auch Unterauftragsverarbeiter – etwa ein Hosting-Anbieter – sollten benannt sein.

Ein Anbieter, der diese Punkte transparent darlegt, macht dir die Prüfung leicht. Ein Anbieter, der ausweicht, eher nicht.

Prüfung entlang des tatsächlichen Datenflusses

Beginne nicht allein mit der Frage, in welchem Land ein Anbieter seinen Sitz hat. Prüfe, welche Daten du in den Dienst eingibst, wofür sie gebraucht werden und welche Systeme daran beteiligt sind. Bei einer Musikschule können dazu Kontakt- und Termindaten, Unterrichtsnotizen oder Aufnahmen gehören. Für jede Kategorie sollte klar sein, ob sie für den konkreten Zweck notwendig ist.

Gehe anschließend den Weg der Daten nach: Wer kann darauf zugreifen, welche Unterauftragsverarbeiter sind eingebunden, und was passiert bei Support, Export oder Löschung? Die Datenschutzerklärung und der AV-Vertrag sollten dazu zusammenpassen. Bei Unklarheiten ist eine konkrete schriftliche Nachfrage an den Anbieter hilfreicher als eine allgemeine Zusicherung wie „alles ist sicher“.

Technische und organisatorische Maßnahmen einordnen

Ein Vertrag ersetzt nicht den Blick auf die Schutzmaßnahmen. Frage, wie Zugänge abgesichert, Daten übertragen und Backups geschützt werden. Für den Schulalltag ist auch wichtig, ob einzelne Konten statt gemeinsam genutzter Passwörter verwendet werden und ob ausgeschiedene Teammitglieder zeitnah ihren Zugriff verlieren.

Die Maßnahmen müssen zum Risiko und zu den verarbeiteten Daten passen. Eine kurze Liste mit Verantwortlichkeiten hilft bei der Prüfung: Wer richtet Konten ein, wer darf exportieren, wer meldet einen Vorfall und wer kontrolliert Berechtigungen? Wo es um verbindliche Anforderungen oder sensible Daten geht, sollten Datenschutzbeauftragte oder qualifizierte Rechtsberatung einbezogen werden.

Vertragsende und Anbieterwechsel mitdenken

Prüfe vor dem Start auch das Ende: Kannst du die benötigten Daten in einem brauchbaren Format exportieren? Wie lange bleiben Kopien in Sicherungen, und wie wird die Löschung nach Vertragsende bestätigt? Ein einfacher Wechselplan verhindert, dass Unterrichtsdaten aus Zeitdruck in privaten Ordnern oder ungeschützten Tabellen landen.

Halte fest, wer einen Export anfordert und wie er anschließend sicher übertragen wird. Teste, ob ein Export die Informationen enthält, die deine Schule tatsächlich braucht, ohne unnötige Daten mitzunehmen. Der Umgang mit Backups und gesetzlichen Aufbewahrungspflichten kann besondere Regeln haben; kläre diese Punkte vorab und versprich keine sofortige vollständige Entfernung, wenn der Anbieter das nicht gewährleisten kann.

Die Prüfung dokumentieren und aktuell halten

Eine kurze Prüfdokumentation ist im Alltag oft ausreichend: genutzter Dienst, Datenkategorien, Zweck, Vertrag, wichtige Unterauftragnehmer und offene Fragen. So muss die Schule die Entscheidung nicht bei jedem Personalwechsel neu aus dem Gedächtnis rekonstruieren.

Wiederhole die Prüfung, wenn sich der Dienst, die Vertragsbedingungen oder die Art der Nutzung wesentlich ändern. Ein jährlicher kurzer Abgleich kann helfen, veraltete Annahmen zu erkennen. Die Dokumentation ist kein Gütesiegel und ersetzt keine rechtliche Bewertung, macht aber nachvollziehbar, auf welcher Grundlage ihr den Dienst nutzt.

Wie MUSIRIS das handhabt

MUSIRIS ist als datenschutzfreundliches Werkzeug für Musikunterricht konzipiert. Die Datenschutzerklärung beschreibt transparent, welche Daten verarbeitet werden; für Musikschulen klären wir die vertraglichen Fragen gern im direkten Gespräch.

Fragen dazu? Nimm Kontakt auf – wir helfen dir, die Prüfung für deine Schule vorzubereiten.