Stefan Brink, der Landesbeauftragte für Datenschutz und Informations­sicher­heit (LfDI) in Baden-Württemberg, hat dazu aufgefordert, die Nutzung von Microsoft 365 an Schulen zu beenden oder deren datenschutzkonformen Betrieb von den verantwortlichen Stellen eindeutig nachzuweisen. Der Datenschützer erwartet dabei von den Schulen, dass sie den Lernenden bis zu den Sommerferien 2022 eine Alternative zu den Cloud-Diensten von Microsoft anbieten können.

Insgesamt werde der Landesbeauftragte auf rund 40 Schulen zugehen und sie über die rechtliche Bewertung zur Nutzung der Online-Dienste aufklären, ist einer Mitteilung zu entnehmen. Gleichzeitig soll dabei auch ein verbindlicher Zeitplan für den Umstieg auf mögliche Alternativen ausgearbeitet werden. Zusammen mit dem Kultusministerium will man so nicht nur die Schulen bei der Suche nach Alternativen unterstützen, sondern ihnen auch bei der Evaluation der Bedürfnisse zu Seite stehen.

Die beiden Behörden arbeiteten schon zuvor an einem möglichen Ersatz der Standard-M365-Produkte an den Schulen des Bundeslandes. Unter anderem wurde in einem Pilotbetrieb zwischen Herbst 2020 und Frühling 2021 eine funktionell eingeschränkte und möglichst datenschutzkonforme Konfiguration von MS 365 getestet. Datenschutzrechtlich besonders bedenkliche Funktionen waren dabei abgeschaltet, beziehungsweise wurden soweit möglich deaktiviert.

Im April 2021 informierte der LfDI das Kultusministerium dann über die datenschutzrechtliche Bewertung des Pilotprojekts und empfahl, aufgrund der hohen Risiken von einer Nutzung an den Schulen abzusehen und stattdessen alternative Lösungen zu fördern. Trotz intensiver Prüfung und Zusammen­arbeit von allen Beteiligten sei es nicht gelungen, eine datenschutzkonforme Lösung zu finden, schreibt der Landesbeauftragte.

Anders als der Datenschützer von Baden-Württemberg sieht man an den Schweizer Schulen keine Gefahr durch die Verwendung der Software des amerikanischen Herstellers. Hierzulande existiert einerseits ein Rahmen­vertrag zwischen Educa.ch und Microsoft, in dem festgelegt wird, dass im Falle eines Rechtsstreits Bern als Gerichtsstand aufgerufen wird und dass schweizerisches Recht auf das Vertragsverhältnis anwendbar ist. Andererseits hat sich Microsoft dazu verpflichtet, die Daten von bestimmten Diensten in europäischen Ländern zu speichern, namentlich in Irland und Holland.

Zusätzlich zum Rahmenvertrag von Educa.ch müssen die Schulen in der Schweiz aber auch eine Beitrittserklärung unterzeichnen. Die Unterschrift des Volumenlizenzvertrages mit Microsoft unterliegt dabei einem autorisierten Partner. Einem Leitfaden zur Verwendung der Software im Kanton Basel-Stadt ist zudem zu entnehmen, dass die datenschutzrechtlichen Rahmen­be­ding­ungen nur zum Tragen kommen, sofern eine Beitrittserklärung unter Inanspruchnahme des Rahmenvertrages vereinbart wird.

Zwar gibt es auch in der Schweiz in mehreren Kantonen Richtlinien zum Umgang mit Microsoft 365 an Schulen. In einer Checkliste des Kantons St. Gallen etwa werden Lehrpersonen darauf aufmerksam gemacht, welche Daten und Informationen sie über die Software des amerikanischen Anbieters bearbeiten oder speichern dürfen und welche nicht. Im Kanton Zürich ist die Verwendung der Produkte über den Leitfaden zur Bearbeitung von Daten des kantonalen Datenschützers geregelt.

Im Gegensatz zu den Schweizer Datenschützern scheint Stefan Brink den Produkten von Microsoft und den Gesetzgebungen in den USA deutlich kritischer gegenüberzustehen. Während in der Zürcher Verwaltung für gewisse Arbeiten neu auch M365 eingesetzt werden darf, fordert der LfDI für die Schulen aus Baden-Württemberg den Einsatz von datenschutzkonformen Tools. Unter anderem nennt er dabei die alternativen Softwaretools Moodle oder Itslearning.