Sieht so aus, als wäre Microsoft 365 an Schulen in Baden-Württemberg nicht mehr möglich. Ab September 2022 – also nach den Sommerferien – ist dies der Fall, sagt Dr. Stefan Brink Landesbeauftragter für den Datenschutz und die Informationsfreiheit in Baden-Württemberg.

“Ab dem kommenden Schuljahr ist die Nutzung von Microsoft 365 an Schulen zu beenden oder deren datenschutzkonformer Betrieb ist von den verantwortlichen Schulen eindeutig nachzuweisen.”

Herr Dr. Brink kündigte an, demnächst direkt Schulen anzusprechen, die seines Wissens nach Microsoft Teams beziehungsweise Microsoft 365 im Unterricht benutzen.

Ungefähr 40 Schulen werden nun also angewiesen, sich einen Plan für eine zeitige Umstellung auf alternative Programme zu überlegen. Herr Brink teilte mit, dass die individuellen Ansprüche und Situationen der jeweiligen Schulen natürlich berücksichtigt wird. Der Datenschutzbeauftragte wies darauf hin, dass die Schulen bei dieser Umstellung nicht alleine gelassen werden, sondern durch das Kultusministerium betreut und unterstützt werden, um so passende Alternativen zu finden.

Doch warum wird nun in Schulen so rigoros gegen das System Microsoft 365 vorgegangen? Wir hatten bereits hier in diesem Beitrag: Verbot von Nutzung Microsoft Office 365 davon berichtet: Der Grund dafür ist, dass bei einer Untersuchung entdeckt wurde, dass das Programm nicht datenschutzkonform ist. Das vom Datenschutzbeauftragten begleitete Pilotprojekt des Ministeriums untersuchte ob die Variante von Microsoft 365, die an Schulen verwendet wird, den Anforderungen des Datenschutzes erfüllt. Leider war das nicht der Fall. Selbst nach Abschalten/Deaktivierung der “datenschutzrechtlich besonders bedenklichen Funktionen” (z.B. Diagnosedaten) fiel der Cloud-Dienst dennoch durch die Prüfung. “Es gelang beim Pilotprojekt trotz intensiver Prüfung und Zusammenarbeit mit den Beteiligten nicht, eine datenschutzkonforme Lösung zu finden.”, so die Datenschutzbehörde.

Bei Microsoft 365 werden zum Beispiel Daten in außerhalb der EU liegende Regionen übertragen. Nach dem Schrems-ll-Urteil des Europäischen Gerichtshofs (EuGH) und auch nach der Datenschutzverordnung (DSGVO) ist es zwingend erforderlich, dass  für diese Übertragung eine Rechtsgrundlage vorliegt – was hier nicht der Fall ist.

Schulen, die Microsoft 365 weiter verwenden wollen, da es ihren rechtlichen Anforderungen reicht, sind nun verpflichtet ihre Entscheidung zu begründen und sind aufgerufen sicherzustellen, dass die Nutzung des Systems datenschutzkonform ist. Der Datenschutzverordnung (DSGVO) muss dazu ein Nachweis erbracht werden.

Der Datenschutzbeauftragte Stefan Brink schlug als Alternativen für die Schulen Lernplattformen wie Itslearning oder Moodle vor. Diese Plattformen werden bereits von vielen anderen Schulen und Universitäten verwendet und werden den Schulen kostenlos vom Kultusministerium angeboten. Um Konferenzen per Video weiterhin möglich zu machen, könnte man den “Big Blue Button” integrieren.