Schulen müssen bis zum Sommer Microsoft 365 ersetzen

Nach den Sommerferien soll nach dem Willen des Datenschutzbeauftragten kein Microsoft 365 mehr an Schulen eingesetzt werden.

"Ab dem kommenden Schuljahr ist die Nutzung von MS 365 an Schulen zu beenden oder deren datenschutzkonformer Betrieb ist von den verantwortlichen Schulen eindeutig nachzuweisen", teilten Datenschutzbeauftragte mit. Sie wollen in Kürze auf bekannte Schulen zugehen, die den Cloud-Dienst Microsoft 365 beziehungsweise die Videokonferenzsoftware Teams einsetzten.

Die eingebundenen Schulen sollen ihm einen verbindlichen Zeitplan für den Umstieg auf Alternativen vorlegen. Die jeweilige Situation der Schule werde dabei individuell betrachtet, betonte die Datenschutzbehörde. Bei der Suche nach Alternativen wollen sie die Schulen nicht nur beraten, sondern gemeinsam mit dem Kultusministerium darauf hinwirken, dass den schulischen Bedürfnissen entsprechende Alternativen genutzt werden könnten.

Hintergrund des Vorgehens gegen Microsoft 365 ist ein Pilotprojekt des Kultusministeriums, das der Datenschutzbeauftragte begleitet hatte. Untersucht wurde, ob die für Schulen angepasste Variante von Microsofts Cloud-Dienst die Anforderungen an den Datenschutz erfüllt.

Microsoft 365 fällt trotz Datenschutzeinstellungen durch

Obwohl bei der Untersuchung "datenschutzrechtlich besonders bedenkliche Funktionen" von Microsoft 365 abgeschaltet oder so weit wie möglich deaktiviert wurden (beispielsweise die Erfassung von Diagnose- und Telemetriedaten), fiel das System in der Untersuchung durch. "Es gelang beim Pilotprojekt trotz intensiver Prüfung und Zusammenarbeit mit den Beteiligten nicht, eine datenschutzkonforme Lösung zu finden", erklärt die Datenschutzbehörde.

Die Schulen hätten bei MS 365 keine vollständige Kontrolle über das Gesamtsystem und den US-amerikanischen Auftragsverarbeiter, so das Fazit der damaligen Untersuchung. Es sei nicht ausreichend nachvollziehbar, welche personenbezogenen Daten zu welchen Zwecken verarbeitet würden. Zudem könne nicht nachgewiesen werden, dass die Verarbeitung auf das für diesen Zweck notwendige Minimum reduziert wurde.

Hinzu komme, dass Daten teilweise in Regionen außerhalb der EU übertragen würden - dafür sei jedoch keine Rechtsgrundlage erkennbar. Eine solche ist jedoch nach der Datenschutzgrundverordnung (DSGVO), insbesondere nach dem Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH), zwingend erforderlich.

Als mögliche Alternative zu Microsoft 365 an Schulen verweist der Landesdatenschutzbeauftragte auf die Lernplattformen Moodle oder Itslearning, welche den Schulen vom Kultusministerium kostenlos angeboten werden. Über die Integration von Big Blue Button könnten zudem Videokonferenzen durchgeführt werden.

Sollten Schulen der Meinung sein, dass ihr Einsatz von Microsoft 365 den rechtlichen Anforderungen genügt, müssten sie nun begründen, wie sie den datenschutzkonformen Betrieb sicherstellen und dies der Datenschutzgrundverordnung (DSGVO) entsprechend nachweisen, erklärten die Datenschutzbeauftragten.

Weitere Datenschutz News