Schulen in Baden-Württemberg wird die Nutzung von Microsoft 365 verboten
Entscheidung nach Pilotprojekt
Im April 2022 veröffentlichte der Landesdatenschutzbeauftragte für Datenschutz und Informationsfreiheit in Baden-Württemberg (LfDI) eine Entscheidung, die Verwendung des Cloud-Diensts Microsoft 365 an Schulen zu verbieten. Alternativlösungen sollen nun gemeinsam an 40 Schulen in Baden-Württemberg in Zusammenarbeit zwischen Kultusministerium und dem LfDI erarbeitet werden.
Die Entscheidung der baden-württembergischen Behörde basiert auf einem vorangegangenen Pilotprojekt des Dienstes und einer tiefgehenden Prüfung hinsichtlich des Datenschutzes im April 2021. Insbesondere wurden dabei die Datenübertragung in Drittstaaten und die Möglichkeiten zur Verschlüsselung und wirksamen Verhinderung des Zugriffs seitens Microsofts oder Dritter in den Fokus genommen. Bei seiner Untersuchung stellte der LfDI hohe datenschutzrechtliche Risiken fest, weshalb bereits im Mai 2021 offiziell von der Nutzung abgeraten wurde.
Warum das Verbot zu Microsoft 365
Kritisiert wurde unter anderem, dass Schulen als Verantwortliche keine umfassende Kontrolle und Transparenz über die Datenverarbeitung haben. Nach Aussage des LfDI ist nicht vollumfänglich klar „welche personenbezogenen Daten wie und zu welchen Zwecken verarbeitet werden“. Dies birgt ein wesentliches Risiko für die Rechtmäßigkeit und Einhaltung datenschutzrechtlicher Grundprinzipien, wie zum Beispiel die Datenminimierung oder die Zweckbindung. Weiterhin kritisierte der LfDI die Datenübertragungen, teilweise ohne erkennbare Rechtsgrundlage, in Regionen außerhalb der EU, was vor dem Hintergrund des Schrems II Urteils des Europäischen Gerichtshofs von 2020 bemängelt wurde.
Im Vergleich zur Privatwirtschaft, in der sich die Verwendung von Microsoft 365 als Standard etabliert hat, dürfte vor allem der besondere Schutzbedarf im Schulbereich zum Verbot des Dienstes geführt haben. Schülerinnen und Schüler genießen als Minderjährige einen besonderen Schutz bei der Verarbeitung ihrer Daten. Weiterhin werden im Schulbereich regelmäßig sensible Informationen verarbeitet. Zusätzlich führt der LfDI in seiner Prüfung die staatliche Schulpflicht an, wodurch Schülerinnen und Schüler der Verarbeitung ihrer Daten nicht ausweichen können.
Konsequenzen des Verbots für Schulen
Damit sehen sich Schulen in Baden-Württemberg nun im Dilemma, vergleichbare Anwendungen zu finden, die zwar die gleichen technologischen Möglichkeiten bieten wie MS 365, doch gleichzeitig den datenschutzrechtlichen Anforderungen gerecht werden. In der Vergangenheit hat sich Microsoft regelmäßig kooperativ gezeigt, weshalb dies auch ein Anstoß sein könnte MS 365 für die Bedürfnisse von Schulen anzupassen. Spannend bleibt auch, welche Tragweite diese Entscheidung aus Baden-Württemberg für Schulen in anderen Bundesländern hat, da die rechtlichen Grundlagen die gleichen sind. Wir bleiben gespannt.
