Datenschutz: Office 365 eingeschränkt doch an Schulen einsetzbar

Wie der Hessische Beauftragte für Datenschutz und Informationsfreiheit in einer zweiten Stellungnahme zum Einsatz von Office 365 in hessischen Schulen mitteilt, ist der Einsatz unter gewissen Voraussetzungen und unter Vorbehalt derzeit doch möglich. Auch wenn er sich nur auf Hessen bezieht, gelten seine Bedenken deutschlandweit.

Demnach habe man sich nach intensiven Gesprächen mit Microsoft dazu entschlossen, die Nutzung der Cloud-Anwendung Office 365 in der Version ab 1904 (Office365 ProPlus, Office365 Online und Office365 Apps) trotz des Wegfalls der Deutschland-Cloud zunächst vorläufig zu dulden, wenn die Einrichtungen ein entsprechendes Office-365-Paket bereits erworben haben. Auf diese Duldung können sich zunächst auch solche Einrichtungen berufen, bei denen der Erwerb einer Office-365-Lizenz schon haushaltsrechtlich gesichert sei. Die Duldung beruht auf Vertrauenserwägungen. Schulen, die den Erwerb erst noch beabsichtigen, können sich ebenfalls auf die Duldung berufen, tragen aber das finanzielle Risiko, falls die weitere Überprüfung durch den hessischen Datenschutzbeauftragten Michael Ronellenfitsch zur Unzulässigkeit des Einsatzes von Office 365 in hessischen Schulen führen sollte. Vertrauenserwägungen kommen hier nicht in Betracht.

Er wolle den Stellungnahmen der zuständigen Fachgremien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder zudem nicht vorgreifen, behalte sich aber eine eigenständige Überprüfung des Einsatzes von Office 365 in hessischen Schulen vor.

Microsoft konnte viele Bedenken entkräften

Da sich diese Überprüfung als sehr langwierig erweist und nicht bis zum Beginn des neuen Schuljahres abgeschlossen ist, ist auch über die Zulässigkeit beziehungsweise Unzulässigkeit noch nicht abschließend entschieden. Intensive Gespräche mit Microsoft über die Datenschutzkonformität der schulischen Anwendung von Office 365 unter Beachtung des Grundsatzes der Verhältnismäßigkeit hätten ihn nun dazu veranlasst, seine Erklärung von Anfang Juli 2019 zu mildern, da sie zu einer datenschutzrechtlich veränderten Einschätzung führten und ein erheblicher Anteil der Bedenken durch Microsoft entkräftet werden konnte.

Datenübermittlung muss abgestellt werden

Zudem ist an den Einsatz von Office 365 in Schulen die Verpflichtung geknüpft, dass Schulen vorläufig die Übermittlung jedweder Art von Diagnosedaten unterbinden. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit wird zu gegebener Zeit weitere Vorgaben hinsichtlich der Parameter machen, die als Grundlage für die Nutzung der Cloud umzusetzen sind. Microsoft wird Schulen hierfür Handlungsanleitungen zur Verfügung stellen.