Baden-Württemberg: Microsoft 365 fällt an Schulen durch

In einem Pilotprojekt wurde der Einsatz von Microsoft 365 an Schulen geprüft. Der Datenschutzbeauftragte spricht von einem inakzeptablen Risiko.

Artikel veröffentlicht am 10. Mai 2021, 12:28 Uhr, Moritz Tremmel

Microsoft 365 kann an Schulen nicht rechtssicher betrieben werden. (Bild: Gerd Altmann/Pixabay)

Der Landesdatenschutzbeauftragte aus Baden-Württemberg, Stefan Brink, rät nach einer Untersuchung vom Einsatz von Microsoft 365 an Schulen ab. Brink hatte ein dreimonatiges Pilotprojekt des Kultusministeriums begleitet und untersucht, ob die für Schulen angepasste Variante von Microsofts Cloud-Dienst die Anforderungen an den Datenschutz erfüllt.

"Schülerinnen und Schüler, Eltern und Lehrerinnen und Lehrer wollen digitale und rechtssichere Lösungen für den Unterricht. Wir unterstützen das", erklärte Brink. Deshalb habe man im Rahmen des Pilotprojektes versucht, Klarheit über Datenflüsse, Rechtsgrundlagen und technische Maßnahmen des Anbieters zu erlangen, was jedoch im Ergebnis nicht zufriedenstellend gelungen sei.

Die Schulen hätten bei MS 365 keine vollständige Kontrolle über das Gesamtsystem und den US-amerikanischen Auftragsverarbeiter, heißt es in einer Pressemitteilung des Landesdatenschutzbeauftragten. So sei nicht ausreichend nachvollziehbar, welche personenbezogenen Daten zu welchen Zwecken verarbeitet würden. Zudem könne nicht nachgewiesen werden, dass die Verarbeitung auf das für diesen Zweck notwendige Minimum reduziert wurde.

Hinzu komme, dass Daten teilweise in Regionen außerhalb der EU übertragen würden - dafür sei jedoch keine Rechtsgrundlage erkennbar. Eine solche ist jedoch nach der Datenschtutzgrundverordnung (DSGVO), insbesondere nach dem Schrems-II-Urteil des Europäischen Gerichtshof (EuGH), zwingend erforderlich.

Staat trägt Verantwortung für die Daten der Schüler

Vor allem im Schulbereich habe die Datenschutzbehörde ein hohes Risiko für die Verletzung von Rechten und Freiheiten der Betroffenen festgestellt. Das gelte umso mehr, da die zumeist minderjährigen Schüler der Verwendung ihrer persönlichen Daten nicht ausweichen könnten, da sie der staatlichen Schulpflicht unterliegen, erklärt die Datenschutzbehörde. Entsprechend sei das Risiko der eingesetzten Software inakzeptabel hoch.

"Es erscheint zwar nicht gänzlich ausgeschlossen, mit anderen Varianten der im Pilotprojekt genutzten Produkte und unter wesentlich modifizierten Einsatzbedingungen damit im Schulbereich rechtskonform zu arbeiten. Es ist in den vergangenen Monaten auch nach intensiver Zusammenarbeit und mit hohem Personaleinsatz aber nicht gelungen, eine solche Lösung zu finden", sagte Brink. Angesichts dieses Ergebnisses sei es mehr als fraglich, dass Schulen die getesteten Produkte rechtssicher nutzen könnten.

Der Landesdatenschutzbeauftragte sieht daher die Zukunft in Lernplattformen, die aus verschiedenen Open-Source-Tools wie dem Videokonferenzdienst Big Blue Button oder dem Lernmanagementsystem Moodle zusammengesetzt sind. Ähnliches forderte kürzlich ein breites Bündnis aus der Zivilgesellschaft und erinnerte die Regierungsparteien Grüne und CDU an ihre Wahlversprechen und den Koalitionsvertrag.

Das Hochschulnetz des Landes (Belwü) bietet bereits eine Kombination aus Moodle, Big Blue Button, aber auch E-Mail-Server und Webhosting. Allerdings gab Belwü kürzlich bekannt, den Dienst aufgrund "veränderter rechtlicher Rahmenbedingungen" nicht mehr weiter betreiben zu können. Die Lernplattform soll zu einem anderen Anbieter umgezogen werden.