Nach Rheinland Pfalz wird nun auch die Aufsichtsbehörde Baden Württemberg bezüglich der Nutzung von Microsoft 365 und MS Teams an Schulen des Bundeslandes aktiv. Aus dem vorangegangen Äußerungen des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden Württemberg, Stefan Brink, war zu erwarten, dass den Ankündigungen in Bälde Taten folgen werden. Nun ist es soweit. Am 25.04.2022 veröffentlichte die Pressestelle der Aufsichtsbehörde den Beitrag Hinweise des LfDI zur Nutzung von Microsoft 365 durch Schulen. In diesem geht es zunächst um den Piloten, der vom Kultusministerium in Zusammenarbeit mit Dienstleistern und Microsoft durchgeführt worden war welchen die Aufsichtsbehörde begleitetet hatte. Im Ergebnis konnte nicht nachgewiesen werden, dass sich mit der speziellen für den Piloten eingeschränkten Version die Vorgaben der DS-GVO einhalten lassen. Welche Verstöße gegen die DS-GVO man im Piloten ermitteln konnte, wird beispielhaft dargestellt. Ausführlichere Informationen finden sich in der Dokumentation zum Piloten, welche über eine Anfrage im Rahmen des Informationsfreiheitsgesetzes Baden Württemberg veröffentlicht wurde und die im Beitrag verlinkt ist. Erwähnt werden im Beitrag auch die Grundproblematik der Verarbeitung von personenbezogenen Daten in Schule auf der Rechtsgrundlage einer Einwilligung und die besondere Schutzwürdigkeit der verarbeiteten Daten. Während der Pandemie hatte die Aufsichtsbehörde davon abgesehen, die Nutzung von Microsoft Produkten pauschal zu untersagen. Mittlerweile stellt das Kultusministerium den Schulen jedoch alternative Plattformen bereit. Dazu gehören Moodle, BigBlueButton und Itslearning. In letzterem ist anstelle von MS Office Online die Collabora Online Office Suite integriert. Damit besteht aus Sicht der Aufsichtsbehörde kein Grund mehr, weiterhin auf Microsoft Produkte zu setzen, und die Schulen sind gehalten, nach Alternativen zu suchen, welche die Rechte und Freiheiten der Schülerinnen und Schüler nicht beeinträchtigen. Die Aufsichtsbehörde wird dann sehr deutlich:
„Die dem LfDI bekannten Schulen, welche MS 365 oder MS Teams verwenden, werden deswegen in Kürze angeschrieben, damit allen Schülerinnen und Schülern möglichst rasch eine Alternative angeboten wird. Bis zu den Sommerferien 2022 muss dann auf eine Alternative umgestiegen und die Nutzung von MS 365 bzw. MS Teams durch die Schule unterbunden sein, sofern die datenschutzrechtlichen Mängel nicht eindeutig nachweisbar behoben wurden.“
Den Schulen, die Microsoft 365 oder MS Teams nutzen, und die der Aufsichtsbehörde bekannt sind, wird eine Frist bis zu den Sommerferien 2022 gesetzt, eine Alternative zu beschaffen und die Nutzung der Microsoft Produkte zu unterbinden. Die Aufsichtsbehörde wird diese Schulen dazu anschreiben. Welche Form das Schreiben hat, ist offen. Die Formulierung „sofern die datenschutzrechtlichen Mängel nicht eindeutig nachweisbar behoben wurden“ dürfte auf eine Behebung durch Microsoft abzielen. Dass Microsoft dazu bis zu den Sommerferien 2022 in der Lage ist, ist unwahrscheinlich. Schulen in Baden Württemberg werden sich deshalb von den Microsoft Produkten Microsoft 365 oder MS Teams verabschieden müssen. Nicht betroffen vom Aus ist die Nutzung der lokal installierten Versionen von Office 365/ Microsoft 365 mit deaktivierten Online Funktionen und deaktivierter Übermittlung von Telemetriedaten.
Bewertung
Für betroffene Schulen in Baden Württemberg kommt diese Nachricht nicht überraschend, ähnlich wie in Rheinland Pfalz. Die Mehrheit der Nutzer wird nicht zufrieden sein mit diesem Zwangsaus. Anders als in Rheinland Pfalz macht man in Baden Württemberg keinen Unterschied zwischen den allgemeinbildenden Schulen und den Berufskollegs, die dort noch eine Schonfrist haben. Ob andere Bundesländer sich an dem Handeln in den beiden Bundesländern orientieren werden, wird man sehen. Bei der LDI NRW hatte man in der Vergangenheit Aussagen zu den Microsoft Produkten in Anlehnung an Baden Württemberg getroffen. Mittlerweile gibt es dort jedoch eine neue Führung, die etwa anders handelt und momentan eher auf eine Lösung der Probleme durch Microsoft setzt. Von daher ist es eher nicht wahrscheinlich, dass Schulen in NRW kurzfristig Ähnliches droht. Es kommt hinzu, dass den Plattformen der Logineo NRW Familie aktuell noch ein entscheidender Baustein fehlt, das Online Office. Das geplant Only-Office lässt weiterhin auf sich warten. In Hessen wird sich da vermutlich eher etwas tun, zumal der Landesbeauftragten für Datenschutz und Informationsfreiheit dort eine Duldung ausgesprochen hatte. Aber auch in Hessen fehlt aufgrund von Verfahrensfehlern bei der Vergabe für eine schulische Plattform alles noch in der Luft. Der Hammer dürfte dort wohl frühestens zum Ende des ersten Halbjahres des Schuljahres 2022/23 fallen.
Nachtrag
Wie die Website Microsoft-365-fuer-lehrer.de im Beitrag Baden-Württemberg: Schulen ohne Microsoft 365? berichtet, hat das Kultusministerium mittlerweile eine eigene E-Mail zum Thema an die Schulen geschickt und darin die Aussage der Aufsichtsbehörde dahingehend relativiert, dass die Datenschutzbehörde sich nur mit den Schulen in Verbindung setzen werden, bei denen Beschwerden bezüglich der Microsoft Produkte vorliegen. Auch Microsoft hat geäußert und gibt an, dass man an den bemängelten Punkten nachgebessert habe und die Produkte von den Schulen DS-GVO konform eingesetzt werden könnten.