DSGVO im Online-Musikunterricht: Was du wissen sollst, wenn du Online-Musikunterricht gibst

Warum Datenschutz im Online-Unterricht näher ist, als es wirkt

Der Unterschied zum Präsenzunterricht liegt weniger in der Menge der Daten als in ihrer Verteilung.

Früher lagen Name und Telefonnummer in einer Kartei oder in einem Notizbuch. Heute liegen sie in einem Kalender, in einem Messenger, in einer Cloud, in einer Rechnungssoftware und in einem Übetool.

Jede dieser Stellen ist für sich harmlos. Zusammen entsteht aber ein Bild, das man kaum noch überblickt, und genau dort fangen die Probleme an.

Dazu kommen Dinge, die im Präsenzunterricht gar nicht anfallen: Videoaufnahmen, Sprachnachrichten, als PDF geteilte Noten und Chats zu Terminverschiebungen.

Ein Punkt wird dabei besonders oft unterschätzt. Viele deiner Schüler sind minderjährig, und damit gelten strengere Regeln als bei Erwachsenen.

Wer sein Üben dokumentiert, sollte sich außerdem bewusst sein, dass schon ein Übetagebuch führen personenbezogene Daten erzeugt.

Das klingt nach viel Aufwand. In der Praxis sind es aber wenige Entscheidungen, die den Unterschied machen.

Welche Daten du tatsächlich verarbeitest

„Personenbezogene Daten“ klingt technisch, meint aber zunächst nur Informationen, die sich auf eine bestimmte Person beziehen lassen.

In deinem Alltag sind das vor allem diese Kategorien:

• Stammdaten wie Name, Geburtsdatum und Adresse
• Kontaktdaten wie Telefonnummer, E-Mail-Adresse und Messenger-Namen
• Zahlungsdaten für Rechnungen und Abrechnung
• Unterrichtsdaten wie Termine, Inhalte und Ziele
• Übe- und Fortschrittsdaten
• Aufnahmen als Audio oder Video
• Kommunikationsdaten aus Chats und E-Mails

Ein Teil davon ist unauffällig. Ein anderer Teil verdient mehr Aufmerksamkeit.

Gesundheitsbezogene Hinweise gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Wenn du notierst, dass ein Schüler wegen einer Handverletzung pausiert oder eine Lernschwierigkeit hat, kann eine scheinbar harmlose Notiz dazugehören.

Das heißt nicht, dass du sie nicht speichern darfst. Du brauchst dafür aber einen klaren Grund und einen sicheren Ort.

Der erste Schritt ist immer eine einfache Liste

Schreibe einmal auf, welche Daten du wo speicherst. Diese Liste ist später die Grundlage für alles Weitere, und sie kostet dich vielleicht zwanzig Minuten.

Wenn du dich ohnehin mit dem Sichtbarmachen von Üben beschäftigst, lohnt zusätzlich der Blick auf Üben sichtbar machen.

Die Rechtsgrundlagen ohne Juristendeutsch

Die DSGVO verlangt für jede Verarbeitung einen Grund, die sogenannte Rechtsgrundlage. Klingt bürokratisch, ist aber im Kern einfach.

In der Praxis brauchst du fast immer nur drei davon.

Vertragserfüllung

Alles, was zur Durchführung des Unterrichts nötig ist, stützt sich auf Art. 6 Abs. 1 lit. b DSGVO. Dazu gehören Name, Kontaktdaten, Termine und Rechnungsdaten.

Für diese Daten brauchst du keine gesonderte Einwilligung, weil der Vertrag selbst die Grundlage ist.

Einwilligung

Alles, was freiwillig dazukommt, braucht eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Das gilt vor allem für Aufnahmen und für die Weitergabe an Dritte.

Wichtig ist dabei: Eine Einwilligung muss freiwillig sein, sie muss sich auf einen konkreten Zweck beziehen und sie kann jederzeit widerrufen werden.

Berechtigtes Interesse

Für manches gibt es weder Vertrag noch Einwilligung, aber ein nachvollziehbares Interesse. Ein typisches Beispiel ist die Beantwortung einer Anfrage vor dem ersten Termin.

Hier musst du kurz abwägen, ob dein Interesse die Rechte des Schülers überwiegt. Das klingt schwerer, als es ist, wenn der Zweck offensichtlich ist.

Bei Minderjährigen kommt eine Besonderheit hinzu. Einwilligungen erteilen in der Regel die Sorgeberechtigten, und je jünger das Kind, desto wichtiger ist das.

Aufnahmen und Video: der heikelste Punkt

Aufnahmen sind im Musikunterricht besonders nützlich, weil man Fortschritt hören kann. Rechtlich sind sie aber der Punkt, an dem am meisten schiefgeht.

Eine Aufnahme ist nur mit Einwilligung zulässig. Bei Bild- und Videoaufnahmen kommt zusätzlich das Kunsturhebergesetz hinzu, konkret die §§ 22 und 23.

Was eine gute Einwilligung ausmacht

Eine brauchbare Einwilligung beantwortet fünf Fragen:

• Wofür wird die Aufnahme gemacht?
• Wo wird sie gespeichert?
• Wie lange bleibt sie gespeichert?
• Wie kann die Einwilligung widerrufen werden?
• Wer unterschreibt bei minderjährigen Schülern?

Ein einzelner Satz in einer Chatnachricht reicht dafür nicht aus. Das ist kein Formalismus, sondern der Unterschied zwischen einer Aufnahme, die du später begründen kannst, und einer, die du nicht kannst.

Wo die Aufnahmen liegen, ist genauso wichtig wie die Einwilligung

Eine Aufnahme in einem Messenger oder in einem Cloud-Ordner auf US-Servern ist etwas anderes als eine Aufnahme in einem System mit klarer Zweckbindung.

Genau genommen ist die Einwilligung nur die halbe Antwort. Die andere Hälfte ist die Frage, wo die Datei tatsächlich liegt und wer darauf zugreifen kann.

Praktisch hilft ein einfacher Satz, den du für dich festlegst: Aufnahmen werden nur für Feedback genutzt, nach vier Wochen gelöscht und nicht weitergegeben.

Beispiel für eine kurze Notiz: „Aufnahme vom 3. Mai, Takt 17–32. Zweck: Feedback. Löschung nach vier Wochen.“

Tools und Anbieter: worauf du bei WhatsApp, Zoom und Cloud achten solltest

Die meisten Tools sind nicht verboten, aber sie sind unterschiedlich gut geeignet. Drei Fragen helfen bei jeder Entscheidung.

• Wo werden die Daten gespeichert?
• Gibt es einen Auftragsverarbeitungsvertrag?
• Werden Daten in die USA übermittelt?

Auftragsverarbeitung

Sobald ein Anbieter Daten für dich verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei seriösen Anbietern gehört der zum Standard und lässt sich meist online abschließen.

Fehlt ein solcher Vertrag, ist das kein Grund zur Panik, aber ein Punkt für deine To-do-Liste.

Übermittlung in die USA

Viele bekannte Dienste sitzen in den USA. Für Übermittlungen gibt es mit dem EU-US Data Privacy Framework und den Standardvertragsklauseln wieder einen Rahmen.

Verlässlicher wird die Sache, wenn die Daten in der EU liegen. MUSIRIS hostet zum Beispiel in den Niederlanden.

Das heißt nicht, dass du jeden US-Dienst sofort ersetzen musst. Es heißt, dass du wissen solltest, wo deine Daten liegen.

Die Details zu MUSIRIS findest du in der Datenschutzerklärung von MUSIRIS.

Wie lange darf ich Daten behalten?

Die DSGVO verlangt, dass Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist. In der Praxis gibt es zwei Kategorien.

• Rechnungs- und Buchhaltungsdaten unterliegen gesetzlichen Aufbewahrungsfristen, in Deutschland in der Regel bis zu zehn Jahre.
• Unterrichts- und Übedaten bleiben nur so lange, wie das Unterrichtsverhältnis besteht, und werden danach gelöscht.

Aufnahmen gehören fast immer in die zweite Kategorie. Sie sind selten aus rechtlichen Gründen aufzubewahren.

Ein einfaches Löschkonzept reicht: Für jede Datenart eine Frist, und einmal im Jahr ein Blick darauf, was gelöscht werden kann.

Wenn man ehrlich ist, ist das der Teil, der am häufigsten vergessen wird. Er ist aber auch der, der am meisten Ordnung bringt.

Betroffenenrechte und was passiert, wenn etwas schiefgeht

Schüler und Eltern haben Rechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

In der Praxis ist die Auskunft das häufigste. Wer gefragt wird, sollte in der Lage sein, die gespeicherten Daten zusammenzustellen.

Ein System, in dem alles an einer Stelle liegt, macht das deutlich einfacher als fünf verschiedene Ordner und Chats.

Wenn Daten abhandenkommen

Geht etwas verloren, etwa ein Handy mit Aufnahmen, muss eine Datenpanne unter Umständen innerhalb von 72 Stunden gemeldet werden, geregelt in Art. 33 DSGVO.

Das klingt dramatischer, als es im Alltag ist. Wichtig ist vor allem, dass du den Fall dokumentierst und einschätzen kannst, ob ein Risiko für die Betroffenen besteht.

Panik ist kein Plan. Ruhe und ein kurzer Ablauf sind einer.

Ein Fahrplan in fünf Schritten

Du brauchst keine perfekte Dokumentation. Fünf Schritte reichen für den Anfang.

• Liste auf, welche Daten du wo speicherst.
• Formuliere eine kurze Datenschutzerklärung für deine Website oder dein Angebot.
• Schließe mit deinen Tools Auftragsverarbeitungsverträge ab.
• Hole für Aufnahmen eine ordentliche Einwilligung ein, bei Minderjährigen über die Sorgeberechtigten.
• Lege Löschfristen fest und schaue einmal im Jahr darüber.

Wenn diese fünf Punkte stehen, bist du weiter als die meisten.

Genau genommen ist Datenschutz im Kern nichts anderes als Ordnung. Und Ordnung ist etwas, das man einmal herstellt und dann pflegt.

Wie MUSIRIS dabei hilft

Viele der Punkte lassen sich einfacher umsetzen, wenn die Daten nicht über fünf Systeme verteilt sind.

MUSIRIS bündelt Unterricht, Üben und Kommunikation an einem Ort und hostet die Daten in der EU, genauer gesagt in den Niederlanden.

Auf Wunsch kannst du deine Daten exportieren, und es gibt eine Löschfunktion.

Für Musikschulen mit mehreren Lehrkräften gibt es getrennte Rollen, damit nicht jeder Zugriff auf alles hat.

Die Details findest du in der Datenschutzerklärung von MUSIRIS und einen Überblick über Preise und Tarife.

Wenn du eine Musikschule führst, lohnt zusätzlich der Artikel Datenschutz für Online-Musikschulen, weil dort die Rollen und Pflichten ausführlicher beschrieben sind.

Häufige Fragen

Brauche ich als einzelne Lehrkraft einen Datenschutzbeauftragten?

In der Regel nicht. Ein Datenschutzbeauftragter wird erst nötig, wenn mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst sind, geregelt in § 38 BDSG. Bei einer Einzelperson ist das praktisch nie der Fall.

Darf ich Unterrichtsstunden aufnehmen?

Ja, mit Einwilligung der Betroffenen und bei Minderjährigen der Sorgeberechtigten. Wichtig sind Zweck, Speicherort und Löschung.

Muss ich eine Datenschutzerklärung haben?

Wenn du eine Website betreibst oder online unterrichtest und dabei personenbezogene Daten verarbeitest, solltest du darüber informieren. Das ist die Informationspflicht nach Art. 13 DSGVO.

Was ist mit WhatsApp?

WhatsApp ist für kurze Absprachen verbreitet. Datenschutzfreundlicher ist ein Dienst, der die Daten in der EU verarbeitet und einen Auftragsverarbeitungsvertrag anbietet.

Wie lange darf ich Schülerdaten behalten?

Unterrichts- und Übedaten so lange, wie das Unterrichtsverhältnis besteht. Rechnungsdaten unterliegen gesetzlichen Aufbewahrungsfristen und bleiben entsprechend länger.

Rechtlicher Hinweis

Dieser Artikel gibt eine praktische Orientierung und stellt keine Rechtsberatung dar. Bei besonderen Fällen lohnt sich der Blick in die DSGVO oder der Rat einer fachkundigen Stelle.