WhatsApp, Excel & Co.: Schülerdaten im Musikunterricht DSGVO-konform verwalten

Die Verwaltung der meisten Musiklehrer:innen ist historisch gewachsen: Schülerliste in Excel, Terminabsprachen per WhatsApp, die Aufnahme vom Vorspiel als Mail-Anhang, Notizen im Papierkalender. Funktioniert – bis eine Mutter fragt, wo eigentlich die Daten ihres Kindes liegen. Oder bis das Handy weg ist.

Dieser Artikel sortiert ohne Panikmache, wo echte Risiken stecken, was die DSGVO von dir als selbstständige Lehrkraft tatsächlich verlangt und wie eine alltagstaugliche Lösung aussieht.

Keine Rechtsberatung – bei konkreten Fragen (z. B. nach einer Datenpanne) hilft die Datenschutzbehörde deines Landes oder eine spezialisierte Kanzlei.

Warum dich die DSGVO überhaupt betrifft

Sobald du selbstständig unterrichtest, verarbeitest du personenbezogene Daten beruflich: Namen, Adressen, Geburtsdaten, Zahlungsdaten – und überwiegend Daten von Kindern, die die DSGVO ausdrücklich als besonders schützenswert behandelt. Die „Haushaltsausnahme" für rein private Datenverarbeitung greift für dich nicht.

Das heißt nicht, dass du einen Datenschutzbeauftragten brauchst. Es heißt: Du solltest wissen, welche Daten wo liegen, eine Rechtsgrundlage dafür haben (meist der Unterrichtsvertrag), Auskunft geben und löschen können – und Dienste nutzen, mit denen das möglich ist.

Die vier üblichen Baustellen

1. WhatsApp mit Eltern und Schüler:innen

Der Klassiker – und die heikelste Baustelle. WhatsApp lädt standardmäßig das gesamte Adressbuch auf US-Server hoch, auch die Nummern von Menschen, die dem nie zugestimmt haben. Deutsche Datenschutz-Aufsichtsbehörden raten von der dienstlichen Nutzung im Schul- und Unterrichtskontext seit Jahren ausdrücklich ab. Dazu kommt das Praktische: Unterrichtskommunikation, Absagen und Krankmeldungen verschwimmen im privaten Chat-Verlauf – für die Nachholstunden-Dokumentation ist das der schlechteste Ort.

2. Excel-Listen und lokale Ordner

Excel ist nicht per se verboten. Problematisch wird es durch die Nebenwirkungen: unverschlüsselte Kopien auf Laptop, USB-Stick und im Mail-Postfach, keine Zugriffskontrolle, kein Überblick, welche Version aktuell ist. Eine Auskunfts- oder Löschanfrage („Bitte löschen Sie alle Daten meiner Tochter") wird zur Schnitzeljagd.

3. Aufnahmen und Fotos per Mail-Anhang

Audio- und Videoaufnahmen von Kindern sind personenbezogene Daten. Als Mail-Anhang liegen sie danach unkontrollierbar in mehreren Postfächern. Besser: ein geschützter Bereich mit Zugriff nur für die betreffende Familie – und eine dokumentierte Einwilligung dafür, dass Aufnahmen überhaupt gemacht werden.

4. US-Cloud ohne Vertrag

Google Drive, Dropbox & Co. sind im Privatkonto-Modus nicht für Kundendaten gedacht. Wenn Cloud, dann mit Auftragsverarbeitungsvertrag (AVV) – den bekommst du nur bei Business-Tarifen oder bei Anbietern, die ihn standardmäßig mitliefern.

Was eine saubere Lösung leisten muss

• Ein Ort statt fünf: Stammdaten, Termine, Notizen, Aufnahmen und Kommunikation in einem System – dann sind Auskunft, Export und Löschung ein Knopfdruck statt einer Schnitzeljagd.
• EU-Datenstandort + AVV: Server in der EU und ein Auftragsverarbeitungsvertrag, den du ablegen kannst.
• Einwilligungs-Verwaltung: Aufnahmen und Fotos nur bei dokumentiertem Einverständnis – pro Schüler:in nachvollziehbar.
• Geschützter Elternzugang statt Messenger: Hausübungen, Termine und Nachrichten in einem Bereich, den nur die Familie sieht.

Genau nach diesem Muster ist taktjam gebaut: EU-Hosting (Frankfurt), AVV inklusive, Einwilligungs-Flag pro Schüler:in, geschützter Übungsbereich statt WhatsApp-Grauzone, Datenexport und Kontolöschung eingebaut. Welche Kriterien du an jedes andere Tool anlegen solltest, listet der Software-Vergleich.

Deine 30-Minuten-Checkliste

1. Liste auf, wo aktuell Schülerdaten liegen (ehrlich – auch der Messenger zählt).
2. Entscheide pro Ort: behalten (mit AVV/Verschlüsselung) oder ablösen.
3. Hole fehlende Einwilligungen für Aufnahmen/Fotos schriftlich nach.
4. Ergänze eine kurze Datenschutzinformation für neue Verträge.
5. Lösche Altbestände, die du nicht mehr brauchst – Löschen ist die einfachste DSGVO-Maßnahme.

Der Aufwand ist überschaubar, das Ergebnis doppelt wertvoll: weniger Risiko – und ein Auftritt, der bei Eltern Vertrauen schafft. „Ihre Daten liegen DSGVO-konform auf EU-Servern" ist heute ein echtes Verkaufsargument für deinen Unterricht.