Im 38. Tätigkeitsbericht des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden Württemberg für das Jahr 2022 widmet man dem Thema Microsoft 365 an Schulen ein eigenes Kapitel und insgesamt etwas mehr als zwei Seiten. Man beschreibt dabei noch einmal, wie man im Rahmen eines Pilotversuches unter Beteiligung des Kultusministeriums und von Microsoft die Cloud-Plattform in einer speziellen Konfiguration getestet hatte und „einen datenschutzkonformen Betrieb nicht feststellen, insbesondere […] für zahlreiche Datenflüsse und Übermittlungen personenbezogener Daten keine Rechtsgrundlage finden“ konnte. Auch wenn man so nicht in der Lage war, eine „datenschutzrechtlich tragfähige Lösung“ zu finden, will man bei der Aufsichtsbehörde nicht ausschließen, „dass die Schulen doch noch einen anderen Weg gefunden haben könnten, einen datenschutz-konformen Betrieb sicherzustellen.“ Entsprechend handelte man als man den verschiedenen Beschwerden von Betroffenen im Zusammenhang mit der schulischen Nutzung von Microsoft 365 nachging. Den angeschriebenen Schulen wurde die Möglichkeit gegeben, „gemäß ihrer Rechenschaftspflicht nach Artikel 5 Absatz 2 DS-GVO die Datenschutzkonformität ihrer Konfiguration nachzuweisen.“ Die Anforderungen lagen jedoch über dem, was Schulen leisten können, denn im Prinzip wurde von der Aufsichtsbehörde erwartet, dass die Schulen Messungen und Prüfungen durchführen, welche denen der Aufsichtsbehörde im Piloten entsprechen. Schulen wie auch Schulträger schlugen der Aufsichtsbehörde schlugen der Aufsichtsbehörde technische Lösungen vor, um die datenschutzrechtlichen Probleme bei der Nutzung von Microsoft 365 in den Griff zu bekommen. Für die Aufsichtsbehörde zeigte sich dabei jedoch, „dass die genannten Lösungen im schulischen Umfeld nicht umsetzbar sind beziehungsweise die vorhandenen datenschutzrechtlichen Probleme nicht lösen können.“ Auch ein Verweis der Schulen auf das Urteil des OLG Karlsruhe vom September 2022 zur Ausschreibung einer öffentlichen Stelle1Siehe hierzu auch OLG Karlsruhe Entscheidung sorgt für verfehlte Euphorie konnte die Aufsichtsbehörde nicht zufriedenstellen, denn nach ihrer Einschätzung mussten die Schulen auch in der Lage sein, das Leistungsversprechen von Microsoft nachzuweisen, wenn es wie im Fall von Microsoft konkrete Anhaltspunkte für Zweifel an seiner Erfüllung gibt. Im Schluss ergab sich so für die Aufsichtsbehörde, dass keine der wegen vorliegenden Beschwerden angeschrieben Schulen in der Lage war, die im Piloten ermittelten Befunde zu widerlegen. Die meisten Schulen haben ihre Umstellung entsprechend zum Zeitpunkt der Veröffentlichung des Tätigkeitsberichtes abgeschlossen.
Die Aufsichtsbehörde erhöht mit dem Tätigkeitsbericht nun jedoch den Druck auf Schulen, sich von Microsoft 365 zu trennen, deutlich. Dies tut sie auf zweierlei Art und Weise. Einmal kündigt sie an, dass bei weiteren Beschwerden die Zeit, welche man Schulen zur Umstellung einräumt, deutlich kürzer bemessen werden wird. Außerdem weist man auf mögliche Schadensersatzforderungen von Betroffenen gem. Art. 82 DS-GVO hin. Ob solche auf Schulen zukommen werden, ist noch genauso unklar wie auch die Frage, wie die Gerichte diese bewerten werden. Die Aufsichtsbehörde empfiehlt dem Kultusministerium, Schulen auf die Problematik hinzuweisen, um sie vor Schaden zu bewahren, da jetzt gute Alternativen im Rahmen der Digitalen Bildungsplattform zur Verfügung stünden.
Um die eigene Position bezüglich der Nutzung von Microsoft 365 zu unterstreichen, verweist man auf die Feststellung der Datenschutzkonferenz (DSK) von November 2022, wo man ebenfalls mit der Rechenschaftspflicht argumentierte, welcher Verantwortliche nicht nachkommen können, und auf eine Positionierung der Bundesregierung im Dezember 2022 im Reaktion auf die Anfrage eines Bundestagsabgeordneten.
Bewertung
Während die Schulen, zu welchen der Aufsichtsbehörde Baden Württemberg Beschwerden von Betroffenen vorlagen, nahezu alle gezwungenermaßen von Microsoft 365 auf andere Plattformen gewechselt sind, dürfte sich bei anderen Schulen wenig bewegt haben. Deshalb erhöht die Aufsichtsbehörde nun den Druck deutlich, einmal indem sie ankündigt, bei Beschwerden weniger Zeit zur Umstellung einzuräumen und dann mit dem Verweis auf mögliche Schadensersatzforderungen von Betroffenen. Vor allem letzteres dürfte bei Schulen ankommen, denn wenn man an Schulen vor einer Sache Angst hat, dann sind es Schadensersatzforderungen. Zwar ist bisher nicht einmal klar, wie ein Gericht in einem solchen Fall entscheiden würde, doch dürfte dieser Hinweis seine Wirkung tun. Mit der Warnung vor möglichen Schadensersatzforderungen im Tätigkeitsbericht hat man gleichzeitig auch Betroffenen einen Tipp gegeben, wie sie sich gegen Schulen zur Wehr setzen können, wenn diese ihre Beschwerden nicht nachkommen.
Die Möglichkeit von Betroffenen, Schadensersatzforderungen gegen Schulen zu stellen, da sie sich durch die Nutzung von Microsoft 365 in ihren Rechten und Freiheiten beeinträchtigt sehen, besteht selbstredend auch in anderen Bundesländern, wo die Plattform in Schulen eingesetzt wird. Offen ist dabei jedoch, wie die Gerichte entscheiden werden, sollte es tatsächlich zu einer Schadensersatzforderung durch Betroffene kommen. Gerichte dürften hier eine Abwägung vornehmen. Dabei käme auch eine Bewertung der vom jeweiligen Bundesland zur Verfügung gestellten Alternativen hinzu und inwieweit diese die tatsächlichen Bedarfe der Schulen abdecken können, wenn es darum geht, den Bildungs- und Erziehungsauftrag zu erfüllen. Für Schulen ist in diesem Zusammenhang noch zu ergänzen, dass im Fall von Schadensersatzforderungen von Betroffenen gem. Art. 82 DS-GVO und diesbezüglichen Gerichtsentscheidungen zunächst einmal nicht die Schule selbst Beklagter wäre, sondern die jeweilige Bezirksregierung oder sogar das Schulministerium selbst. Ob und inwieweit gegen eine Schulleitung selbst Forderungen gestellt werden können, wenn ein Gericht im Sinne der Betroffenen urteilt, hängt dann davon ab, ob man von fahrlässigem Handeln der Schulleitung ausgeht oder von grob fahrlässigem oder sogar vorsätzlichem Handeln. Nur wenn es um die beiden letzteren Fälle geht, könnte das Land sich den entstandenen Schaden u.U. ersetzen lassen.