DSGVO für Online-Musikschulen: Was du wissen sollst, wenn du eine Online-Musikschule führst

Warum eine Musikschule andere Fragen hat als eine einzelne Lehrkraft

Bei einer Einzelperson liegen Unterricht und Organisation in einer Hand. Das macht Datenschutz einfacher, weil es nur einen Ort und eine Person gibt, die den Überblick hat.

In einer Musikschule verteilt sich dieselbe Arbeit auf mehrere Personen und mehrere Systeme.

Damit entstehen neue Fragen. Nicht, weil plötzlich andere Gesetze gelten, sondern weil Verantwortung geteilt wird.

Ein Beispiel: Eine Lehrkraft notiert eine Beobachtung zum Üben eines Schülers. Darf die nächste Lehrkraft das sehen, wenn der Schüler wechselt? Und darf die Verwaltung es sehen?

Solche Fragen sind nicht kompliziert, aber sie brauchen eine Antwort, bevor sie zum ersten Mal auftauchen.

Für Einzellehrkräfte ist die Lage übersichtlicher. Das steht ausführlich in DSGVO im Online-Musikunterricht.

Wer ist eigentlich verantwortlich?

Die wichtigste Frage zuerst. Verantwortlicher im Sinne der DSGVO ist in der Regel die Musikschule, also die Organisation, die den Unterricht anbietet und die Verträge schließt.

Das gilt auch dann, wenn der Unterricht von freiberuflichen Lehrkräften durchgeführt wird, solange die Schule die Rahmenbedingungen festlegt.

Angestellte Lehrkräfte verarbeiten Daten weisungsgebunden. Sie sind keine eigenen Verantwortlichen, sondern handeln für die Schule.

Bei freiberuflichen Lehrkräften muss man genauer hinschauen. Je nach Ausgestaltung können sie eigene Verantwortliche sein, gemeinsam Verantwortliche oder Auftragsverarbeiter.

Das heißt nicht, dass du das juristisch ausdiskutieren musst. Es heißt, dass du die Rolle einmal schriftlich festhalten solltest, damit im Zweifel klar ist, wer zuständig ist.

Eine einfache Rollenmatrix hilft

• Die Schule ist Verantwortlicher: Sie legt die Zwecke fest und beantwortet Betroffenenrechte.
• Angestellte Lehrkräfte verarbeiten Daten weisungsgebunden.
• Freiberufliche Lehrkräfte: Rolle klären und vertraglich regeln.
• Die Plattform ist Auftragsverarbeiter mit einem AVV nach Art. 28 DSGVO.

Wenn diese Rollen einmal klar sind, lösen sich viele Folgefragen von selbst.

Welche Daten in einer Musikschule zusammenlaufen

In einer Musikschule laufen mehr Daten zusammen als bei einer Einzelperson, und sie kommen aus mehr Richtungen.

Typischerweise sind das diese Bereiche:

• Schülerverwaltung mit Stammdaten, Verträgen und Zahlungen
• Unterricht mit Terminen, Inhalten, Zielen und Fortschritt
• Kommunikation aus Chats, E-Mails und Anfragen
• Aufnahmen als Audio und Video
• Personaldaten der Lehrkräfte
• Website und Anmeldung

Drei Gruppen verdienen dabei besondere Aufmerksamkeit: Daten von Minderjährigen, Daten der Lehrkräfte und gesundheitsbezogene Hinweise nach Art. 9 DSGVO.

Dazu kommt ein Punkt, der in der Praxis das eigentliche Risiko darstellt: Dieselben Daten liegen oft an mehreren Stellen gleichzeitig.

Im Verwaltungsprogramm, in einem geteilten Kalender und in einem Chat steht dann dreimal etwas leicht anderes. Nicht, weil jemand nachlässig ist, sondern weil die Systeme nicht miteinander sprechen.

Genau diese Verteilung ist es, die eine Musikschule zuerst in Ordnung bringen sollte.

Pflichten, die mit der Größe kommen

Manche Pflichten, die für eine Einzelperson kaum relevant sind, werden für eine Schule konkret.

Verzeichnis von Verarbeitungstätigkeiten

Nach Art. 30 DSGVO muss jeder Verantwortliche ein Verzeichnis führen. Die Ausnahme für kleine Einrichtungen greift praktisch selten, weil Daten regelmäßig verarbeitet werden und damit nicht nur gelegentlich anfallen.

Das Verzeichnis ist im Kern eine Tabelle: Zweck, Datenarten, betroffene Personen, Empfänger, Löschfristen und Schutzmaßnahmen. Es klingt nach Bürokratie, ist aber die Grundlage für fast alles andere.

Technische und organisatorische Maßnahmen

Art. 32 DSGVO verlangt angemessene Schutzmaßnahmen. In der Praxis heißt das: klare Zugriffsrechte, Verschlüsselung, regelmäßige Backups und sichere Passwörter.

Datenschutzbeauftragter

Ein Datenschutzbeauftragter wird nach § 38 BDSG nötig, wenn mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst sind. Bei vielen Musikschulen ist das schneller erreicht, als man denkt, wenn man Lehrkräfte und Verwaltung zusammenzählt.

Löschkonzept

Ein Löschkonzept legt fest, wann welche Daten gelöscht werden. Rechnungsdaten bleiben nach gesetzlichen Fristen, Unterrichtsdaten nicht.

Diese vier Punkte klingen nach viel Arbeit. Sie sind aber einmal aufgesetzt und danach gepflegt, und danach wird es jedes Jahr einfacher.

Lehrkräfte einbinden

Die beste Dokumentation nützt wenig, wenn im Alltag anders gehandelt wird.

Deshalb gehört zu einer sauber aufgestellten Musikschule auch, dass Lehrkräfte wissen, was sie dürfen und was nicht.

• Verpflichtung zur Vertraulichkeit
• Kurze Einweisung in den Umgang mit Daten
• Klare Zugriffsrechte pro Rolle
• Regeln für die Nutzung eigener Geräte

Das klingt nach Aufwand, ist aber meistens ein einziges kurzes Gespräch plus eine Unterschrift.

Lehrerwechsel

Besonders wichtig ist der Fall, dass eine Lehrkraft geht oder ein Schüler die Lehrkraft wechselt.

Was passiert mit Notizen, Aufnahmen und Zielen? Wer darf sie sehen, und was davon sollte beim Schüler bleiben?

In einem System mit klaren Rollen ist das eine Frage von Minuten. Ohne ein solches System ist es oft eine Frage von Nachfragen, Erinnerungen und Vermutungen.

Der Erfahrungsbericht 3 Monate MUSIRIS mit 20 Schülern zeigt, wie sehr solche Übergänge den Alltag erleichtern.

Auftragsverarbeitung richtig aufsetzen

Eine Musikschule arbeitet fast immer mit externen Anbietern: Verwaltungssoftware, Videotools, Cloud, Buchhaltung.

Für jeden dieser Anbieter braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Fehlt er, bleibt die Verantwortung trotzdem bei der Schule.

Auch freiberufliche Lehrkräfte können Auftragsverarbeiter sein

Wenn eine freiberufliche Lehrkraft Daten im Auftrag der Schule verarbeitet, sollte das vertraglich geregelt sein, inklusive Vertraulichkeit, Weisungsbindung und Löschung.

Das ist kein Misstrauen, sondern eine klare Arbeitsteilung, die beide Seiten schützt.

Worauf du bei Anbietern achten solltest

• Wo liegen die Daten? Ein Speicherort in der EU macht vieles einfacher.
• Gibt es einen AVV, und lässt er sich unkompliziert abschließen?
• Gibt es eine klare Löschfunktion?
• Lassen sich die Daten exportieren?

MUSIRIS erfüllt diese Punkte, hostet in den Niederlanden und bietet Export sowie Löschung. Die Details stehen in der Datenschutzerklärung von MUSIRIS.

Einen Überblick über die Funktionen findest du unter Funktionen im Vergleich.

Aufnahmen, Minderjährige und Einwilligungen zentral organisieren

In einer Schule mit vielen Schülern ist die Einwilligung für Aufnahmen eine der größten organisatorischen Aufgaben.

Wenn jede Lehrkraft das anders macht, entsteht schnell ein Flickenteppich aus mündlichen Zusagen und einzelnen Chatnachrichten.

Zentral statt nebenbei

• Ein einheitliches Formular für alle Lehrkräfte
• Ein klarer Zweck, zum Beispiel Feedback und Fortschrittskontrolle
• Ein definierter Speicherort
• Eine feste Löschfrist
• Die Unterschrift der Sorgeberechtigten bei minderjährigen Schülern

Bei Bild- und Videoaufnahmen kommt das Kunsturhebergesetz hinzu, konkret die §§ 22 und 23. Für die Praxis ist vor allem wichtig, dass die Einwilligung dokumentiert ist und sich zurückziehen lässt.

Ein zentraler Ort für Aufnahmen macht später sowohl die Löschung als auch eine Auskunft deutlich einfacher. Genau genommen spart das der Schule mehr Zeit, als es kostet.

Betroffenenrechte und Datenpannen mit einem klaren Prozess

Auskunftsanfragen kommen selten, aber wenn, dann meistens mit einer Frist.

Deshalb braucht eine Schule einen einfachen Ablauf: Wer nimmt die Anfrage an, wer sammelt die Daten, und wer antwortet?

Bei einer Einzelperson läuft das im Kopf. In einer Schule geht es schief, wenn im entscheidenden Moment niemand zuständig ist.

Datenpannen

Bei einem Vorfall, etwa einem verlorenen Laptop mit Schülerdaten, muss eine Meldung unter Umständen innerhalb von 72 Stunden erfolgen, geregelt in Art. 33 DSGVO.

Ein kurzer Ablauf hilft: Vorfall dokumentieren, Risiko einschätzen, Entscheidung festhalten und Betroffene informieren, wenn es nötig ist.

Diese Routine einmal aufzuschreiben ist der beste Schutz gegen Hektik im Ernstfall.

Ein Fahrplan für die Musikschule

Du musst nicht alles auf einmal umstellen. Diese Reihenfolge hat sich bewährt.

• Rollen klären und schriftlich festhalten.
• Datenbestand aufnehmen: Was liegt wo?
• Verzeichnis von Verarbeitungstätigkeiten anlegen.
• AVV mit allen Anbietern und freiberuflichen Lehrkräften schließen.
• Einwilligungen für Aufnahmen zentral organisieren.
• Löschkonzept erstellen und jährlich prüfen.
• Ablauf für Betroffenenrechte und Datenpannen festlegen.

Wenn diese sieben Punkte stehen, ist die Musikschule solide aufgestellt.

Genau genommen ist das weniger ein Projekt als eine Gewohnheit. Und Gewohnheiten halten sich leichter, wenn die Werkzeuge dazu passen.

Wie MUSIRIS Musikschulen unterstützt

MUSIRIS ist so aufgebaut, dass viele der organisatorischen Punkte nicht bei dir hängen bleiben.

Daten liegen an einem Ort und werden in der EU gehostet, genauer gesagt in den Niederlanden.

Es gibt getrennte Rollen für Lehrkräfte und Verwaltung, damit Zugriffe klar geregelt sind und nicht jeder alles sieht.

Datenexport und Löschfunktion sind vorhanden, was Auskunft und Löschung erheblich erleichtert.

Wenn du das für deine Schule prüfen willst, kannst du Kontakt aufnehmen oder die Preise und Tarife ansehen.

Für Einzellehrkräfte ist der Artikel DSGVO im Online-Musikunterricht der passende Einstieg.

Häufige Fragen

Ab wann brauchen wir einen Datenschutzbeauftragten?

Sobald mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst sind, geregelt in § 38 BDSG. Zähle Verwaltung und Lehrkräfte zusammen, dann ist das oft schneller erreicht, als man denkt.

Wer ist verantwortlich, wenn Lehrkräfte freiberuflich sind?

In der Regel bleibt die Schule Verantwortlicher, wenn sie die Rahmenbedingungen festlegt. Die genaue Rolle sollte schriftlich geregelt sein.

Brauchen wir ein Verzeichnis von Verarbeitungstätigkeiten?

Ja. Die Ausnahme für kleine Einrichtungen greift praktisch selten, weil Daten regelmäßig und nicht nur gelegentlich verarbeitet werden.

Brauchen wir mit jedem Anbieter einen AVV?

Ja, sobald ein Anbieter personenbezogene Daten für euch verarbeitet. Bei seriösen Anbietern gehört das zum Standard.

Was passiert bei einem Lehrerwechsel?

Notizen, Ziele und Aufnahmen bleiben beim Schüler. Mit klaren Rollen kann die neue Lehrkraft gezielt darauf zugreifen.

Wie organisieren wir Einwilligungen für Aufnahmen zentral?

Mit einem einheitlichen Formular, einem definierten Speicherort und einer festen Löschfrist, bei Minderjährigen mit Unterschrift der Sorgeberechtigten.

Rechtlicher Hinweis

Dieser Artikel gibt eine praktische Orientierung und stellt keine Rechtsberatung dar. Bei besonderen Fällen lohnt sich der Blick in die DSGVO oder der Rat einer fachkundigen Stelle.