LfDI Baden Württemberg leitet Untersagungsverfahren gegen Schule bezüglich Nutzung von Office 365 ein

Unter dem Titel „Datenschützer geht erstmals gegen Microsoft-Rebellenschule vor“ berichtet die Südwest Presse am 04. August 2022 über den Fall einer nicht näher bezeichneten Schule, die nicht auf die Nutzung von Microsoft 365 verzichten will, obwohl der Landesbeauftragten für Datenschutz und Informationsfreiheit Baden Württemberg, Stefan Brink, in der Vergangenheit sehr deutlich gemacht hat, dass Schulen, welche die Plattform weiterhin nutzen wollen, in der Lage sein müssen, den datenschutzkonformen Betrieb eindeutig nachzuweisen. Können sie dieses nicht, müssen sie die Nutzung einstellen. Die Schule, um die es in diesem Fall geht, hatte der Aufsichtsbehörde keine für eine datenschutzrechtliche Prüfung notwendigen Unterlagen zur Verfügung gestellt. Diese dürfte die Aufsichtsbehörde im Sinne von Art. 58 Abs. 1 lit. a DS-GVO. Der Aufsichtsbehörde bleibt dann nur die Möglichkeit, von ihren Abhilfebefugnissen im Sinne von Art. 56 DS-GVO Gebrauch zu machen. Gemäß Art. 56 Abs. 2 lit. f kann die Aufsichtsbehörde die Verarbeitung vorübergehend oder endgültig beschränken und auch verbieten¹„2. Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
f) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,„ Entsprechend wird die Aufsichtsbehörde nun ein Untersagungsverfahren eröffnen, wie der Sprecher der Aufsichtsbehörde im Beitrag zitiert wird. Dabei handelt es sich um einen formalen Rechtsakt, der aller Voraussicht nach mit einer Untersagung durch die Aufsichtsbehörde enden. Außerdem schaltet die Aufsichtsbehörde die Schulaufsicht ein und bittet diese um Stellungnahme. Die für die Aufsicht zuständige Schulbehörde wird sich dafür mit der betreffenden Schule in Verbindung setzen und dieser möglicherweise die Nutzung von Microsoft 365 direkt untersagen. Von der Stellungnahme wird dann abhängen, wie die Aufsichtsbehörde gegenüber der Schule weiter verfährt. „Je nach Rückmeldung werde der LfDI seine möglichen Abhilfebefugnisse nach der europäischen Datenschutz-Grundverordnung nutzen. Das kann beispielsweise ein Hinweis, aber auch ein Nutzungsverbot sein. Sollte sich die Schule auch in diesem Fall einer formellen Anordnung des LfDI widersetzen, könne die Angelegenheit von einem Gericht entschieden werden, sagte der Sprecher.“

Im Beitrag der SWP gibt es außerdem auch Informationen zu weiteren Verfahren im Zusammenhang mit der Nutzung von Microsoft 365 an Schulen. Der Landesbeauftragten für Datenschutz und Informationsfreiheit hatte in der Vergangenheit angekündigt, zunächst Beschwerden nachzugehen und Schulen zu prüfen, von denen bekannt ist, dass die Plattform dort genutzt wird. Dabei wurden insgesamt 40 Schulen geprüft. Von diesen hätten die meisten Einsicht gezeigt. 28 der geprüften Schulen hätten angekündigt, die Nutzung von Microsoft 365 im Laufe des nächsten Schuljahres einzustellen, die meisten sogar schon zum Ende des Jahres 2022. Zum Zeitpunkt der Anfrage bei der Aufsichtsbehörde durch die Presse liefen noch vier Beratungsverfahren und drei Schulen würden erneut kontaktiert, da sie bisher nicht reagiert hätten. Über die Prüfung der restlichen fünf Schulen gab die Aufsichtsbehörde keine Auskunft.

Bewertung

Wer die Entwicklung um die schulische Nutzung von Microsoft 365 in Baden Württemberg verfolgt hat, für den kommt das Vorgehen der Aufsichtsbehörde nicht überraschend. Der Ankündigung der Aufsichtsbehörde die ihr bekannten Schulen anzuschreiben, folgen nun Taten. Dass Schulen, die nicht in der Lage sind, eine datenschutzkonforme Nutzung von Microsoft 365 nachzuweisen, oder gar die Aufsichtsbehörde ignorieren, die Nutzung der Plattform untersagt wird, war zu erwarten. Warum die im Beitrag nicht näher bezeichnete Schule die Schreiben der Aufsichtsbehörde ignorierte, geht aus dem Beitrag selbst nicht hervor. Möglich, dass man dort auf die eingeschränkten rechtlichen Möglichkeiten der Aufsichtsbehörde der Schule gegenüber gesetzt hat und auf Zeit spielt. Bei Microsoft tut sich einiges und auch auf zwischenstaatlicher Ebene ist Bewegung. Die EU und die USA verhandeln über ein neues Abkommen, welches Transfers von personenbezogenen Daten aus der EU in die USA legalisiert, und Microsoft wird ab Ende diesen Jahres sämtliche Daten europäischer Nutzer ausschließlich in der EU verarbeiten. Dieses schließt auch die Telemetriedaten ein. Eventuell hofft die Schule, das Verfahren aussitzen zu können, bis die rechtlichen Voraussetzungen bei Microsoft 365 stimmen und die Aufsichtsbehörde keinen Grund mehr hat, eine Nutzung zu untersagen.

40 Schulen sind nur ein kleiner Teil der bis zu 1.200 Schulen die in Baden Württemberg Microsoft 365 nutzen sollen. Solange die datenschutzrechtliche Lage sich nicht eindeutig verändert hat, wird die Aufsichtsbehörde Baden Württemberg den eingeschlagenen Weg fortsetzen. Sie wird nach und nach weitere Schulen anschreiben und um Auskunft bitten, ob sie Microsoft 365 nutzen oder nicht und je nach Antwort entsprechende Verfahren einleiten, um die Schulen zur Beendigung der Nutzung zu bringen.