Das Wichtigste in Kürze
- Office 365 ist an deutschen Schulen aufgrund datenschutzrechtlicher Bedenken derzeit unzulässig.
- Hauptprobleme sind der potenzielle Zugriff US-amerikanischer Behörden auf Daten und ungeklärte Telemetrie-Datenübermittlungen.
- Eine Einwilligung der Eltern reicht nicht aus, um die datenschutzrechtlichen Mängel zu beheben.
- Die Unzulässigkeit betrifft auch Cloud-Lösungen von Google und Apple.
- Schulen sollten auf lokale oder On-Premises-Lösungen zurückgreifen, bis Anbieter datenschutzkonforme Cloud-Lösungen bereitstellen.
Office 365 an Schulen: Warum die Cloud-Anwendung derzeit unzulässig ist
Seit Jahren wird in Deutschland intensiv darüber diskutiert, ob Schulen die Microsoft-Software Office 365 datenschutzkonform nutzen können. Im August 2017 äußerte sich der Hessische Beauftragte für Datenschutz und die Informationsfreiheit (HBDI) als einzige bundesdeutsche Aufsichtsbehörde zu diesem Thema. Nach umfassender Prüfung der Microsoft Deutschland-Cloud stellte der HBDI damals fest, dass Office 365 von Schulen datenschutzkonform angewendet werden kann.
Voraussetzung dafür war, dass die von Microsoft bereitgestellten Werkzeuge, wie zum Beispiel Rollen- und Berechtigungskonzepte oder Protokollierungen, durch die Schulen sachgerecht genutzt werden. Ein Jahr später, im August 2018, gab Microsoft bekannt, dass der Vertrieb der Deutschland-Cloud eingestellt und keine neuen Verträge mehr angeboten werden. Seitdem erreichen den HBDI zahlreiche Anfragen von Lehrkräften, Schulleitungen und Schulträgern bezüglich der Nutzung von Office 365 in der europäischen Cloud.
Zudem wurde Office 365 in den letzten Monaten von einzelnen Schulträgern massiv in die Schullandschaft eingebracht. Dies geschah, obwohl die datenschutzrechtlichen Fragestellungen ungeklärt blieben.
Warum die Cloud-Anwendung von Office 365 derzeit unzulässig ist
Grundsätzlich stellt die Nutzung von Cloud-Anwendungen durch Schulen kein generelles datenschutzrechtliches Problem dar. Viele hessische Schulen setzen bereits erfolgreich Cloud-Lösungen ein, etwa für Lernplattformen oder elektronische Klassenbücher. Schulen können digitale Anwendungen datenschutzkonform nutzen, solange die Sicherheit der Datenverarbeitung und die Teilhabe der Schülerinnen und Schüler gewährleistet sind.
- Speicherung personenbezogener Daten (insbesondere von Kindern) in einer europäischen Cloud durch öffentliche Einrichtungen.
- Potenzieller Zugriff US-amerikanischer Behörden auf diese Daten.
- Besondere Verantwortung öffentlicher Einrichtungen für Zulässigkeit und Nachvollziehbarkeit der Datenverarbeitung.
- Sicherstellung der digitalen Souveränität staatlicher Datenverarbeitung.
- Übermittlung einer Vielzahl von Telemetrie-Daten bei Nutzung von Windows 10 und Office 365 an Microsoft, deren Inhalte ungeklärt sind.
Öffentliche Einrichtungen in Deutschland tragen eine besondere Verantwortung für die Zulässigkeit und Nachvollziehbarkeit der Verarbeitung personenbezogener Daten. Auch die digitale Souveränität staatlicher Datenverarbeitung muss sichergestellt sein. Darüber hinaus wies das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Herbst 2018 auf ein weiteres Problem hin: Mit der Nutzung des Betriebssystems Windows 10 werden eine Vielzahl von Telemetrie-Daten an Microsoft übermittelt.
Deren Inhalte sind trotz wiederholter Anfragen bei Microsoft nicht abschließend geklärt. Solche Datenübermittlungen finden auch bei der Nutzung von Office 365 statt. Für weitere Informationen zum Thema Cloud-Dienste und Datenschutz können Sie unseren Artikel "Datenschutz bei der Nutzung von Cloud-Diensten" lesen.
Kann die Schule das Problem durch Einwilligung lösen?
Schulen sind bisher auf die Einwilligung der Betroffenen angewiesen, wenn digitale, personenbezogene Daten verarbeitet werden. Ob eine Einwilligung in bestimmten Situationen die digitale Datenverarbeitung rechtfertigt, sei dahingestellt. Im Zusammenhang mit der Cloud-Nutzung von Office 365 bietet die Einwilligung jedoch keine Lösung.
Die Sicherheit und Nachvollziehbarkeit der Datenverarbeitungsprozesse sind hierbei nicht gewährleistet, wodurch die Verarbeitung als unzulässig gilt. Der Versuch, eine Heilung durch eine Einverständniserklärung der Eltern zu erreichen, würde zudem die besonderen Schutzrechte von Kindern, beispielsweise nach Art. 8 der Datenschutz-Grundverordnung (DSGVO), nicht hinreichend berücksichtigen.
Die bloße Einwilligung der Eltern löst das Problem daher nicht. Eine allgemeine Orientierung zur DSGVO-Compliance kann hier hilfreich sein.
Perspektiven für die datenschutzkonforme Nutzung von Office 365
Der HBDI ist sich der Bedarfe bewusst, die insbesondere berufliche Schulen für die Nutzung von Office-Paketen geltend machen. Daher besteht auch ein großes Interesse daran, gemeinsam mit Microsoft zu einer datenschutzkonformen Lösung zu gelangen. Die Verantwortung dafür liegt jedoch nicht primär beim HBDI oder den anderen bundesdeutschen Aufsichtsbehörden, sondern hauptsächlich bei Microsoft selbst.
Sobald insbesondere die potenziellen Zugriffe Dritter auf die in der Cloud liegenden Daten sowie das Thema der Telemetrie-Daten nachvollziehbar und datenschutzkonform gelöst sind, kann Office 365 als Cloud-Lösung von Schulen genutzt werden. Bis zu diesem Zeitpunkt können Schulen aber weiterhin auf andere Instrumente wie zum Beispiel On-Premises Lizenzen auf lokalen Systemen zurückgreifen.
Andere Cloud-Lösungen von Google und Apple
Was für Microsoft Office 365 gilt, trifft auch auf die Cloud-Lösungen von Google und Apple zu. Die Transparenz und Nachvollziehbarkeit der Datenverarbeitung bei diesen Anbietern wurden bislang ebenfalls nicht ausreichend dargelegt. Daher ist auch hier für Schulen eine datenschutzkonforme Nutzung derzeit nicht realisierbar.
Fazit
Die datenschutzkonforme Nutzung von Cloud-Diensten wie Microsoft Office 365, Google oder Apple an Schulen bleibt eine Herausforderung. Die besonderen Anforderungen an öffentliche Einrichtungen und der Schutz personenbezogener Daten, insbesondere von Minderjährigen, erfordern klare Regelungen und Transparenz seitens der Anbieter. Solange diese Voraussetzungen nicht erfüllt sind, sollten Schulen auf alternative, lokal implementierte Lösungen zurückgreifen.