Im Tätigkeitsbericht für das Jahr 2025 berichtet der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HBfDI) auch über die Einführung von Microsoft 365 für die Dienstrechner der öffentlichen Verwaltung der freien Hansestadt – ein Prozess, den die Aufsichtsbehörde seit Mitte 2023 begleitet. Der Bericht knüpft an die hoffnungsvolle Bewertung im Tätigkeitsbericht des Vorjahres an. Geplant ist die Nutzung von Microsoft 365 für die Verarbeitung von personenbezogenen Daten mit normalem Schutzbedarf. Entsprechend konzentriert sich die Prüfung des HBfDI auf die Einhaltung der Verarbeitungsgrundsätze gemäß Artikel 5 DS-GVO für nicht sensible Daten. Trotzdem befasste man sich auch mit der Verarbeitung von Daten mit hohem Schutzbedarf oder sensiblen Daten, wozu es bisher jedoch noch keine abschließende Bewertung gibt, da die Senatskanzlei diesbezügliche Schutzmaßnahmen noch nicht konkretisiert hat. Für die Aufsichtsbehörde liegt der Fokus auf einem umfassenden Risikomanagement und der Einhaltung der Weisungsbefugnis durch den Verantwortlichen (Art. 28 DS-GVO). Die Senatsverwaltung legte der Aufsichtsbehörde eine umfangreiche Dokumentation vor, die eine risikozentrierte Prüfung der geplanten Verarbeitungstätigkeiten und die Erfüllung der Rechenschaftspflichten ermöglichen soll. Da man plant, zukünftig auch Copilot Chat und MS Forms zu integrieren, sollten diese Dokumente bis Ende letzten Jahres überarbeitet werden.
Eine Besonderheit ergibt sich aus dem Hamburgischen Verwaltungsdigitalisierungsgesetz: Die Verantwortlichkeit ist aufgeteilt zwischen der Senatskanzlei (für die IT-Infrastruktur) und den Fachbehörden (für die jeweiligen Inhaltsdaten). Nach Ansicht der Aufsichtsbehörde sollte diese Konstruktion mit der DS-GVO vereinbar sein, bedarf aber noch genauerer Prüfung.
Ähnlich wie 2024 in Niedersachsen wurde auch in Hamburg eine Zusatzvereinbarung mit Microsoft geschlossen, die den regulären Auftragsverarbeitungsvertrag (Data Protection Addendum) ergänzt und die Weisungsbefugnis gemäß Art. 28 DS-GVO stärkt. Im Tätigkeitsbericht werden sechs zentrale Punkte hervorgehoben:
- „Einschränkungen bei einseitigen Vertragsänderungen durch Microsoft zur Vermeidung nachträglicher Verschlechterungen des Datenschutzes.
- Klare Zusicherungen zur DSGVO-Einhaltung, insbesondere bei Datenverarbeitung sowie technischen und organisatorischen Maßnahmen.
- Ausschluss der Nutzung von Kundendaten für das Training Künstlicher Intelligenz (KI).
- Stärkung der Weisungsbefugnis der Freien und Hansestadt Hamburg (FHH) gegenüber Microsoft.
- Vorrang des EU-Rechts bei Drittstaatenübermittlungen und behördlichen Zugriffen außerhalb der EU.
- Ausweitung des EU Data Boundary für eine ausschließliche Datenverarbeitung und -speicherung innerhalb der EU.„
Gegenstand der Verhandlungen waren auch Dauerbrenner wie die Verarbeitung von Telemetrie- und Diagnosedaten zu eigenen Zwecken durch Microsoft. Obwohl die Microsoft-Erklärungen für den HBfDI plausibel wirken und das Re-Identifikationsrisiko als sehr gering eingeschätzt wird, sieht die Behörde bei einzelnen technischen Details noch Klärungsbedarf.
Die Drittstaatenübermittlung in die USA sieht die Aufsichtsbehörde aktuell unkritisch – gestützt auf das EU Data Boundary, das EU-US Data Privacy Framework und vertragliche Garantien. Zudem entwickelte die Senatsverwaltung auf Anraten der Aufsichtsbehörde eine Exit-Strategie. Allerdings fehlen derzeit beim Hamburger IT-Dienstleister Dataport sowohl regelmäßige Backups als auch Alternativsoftware für einen schnellen Wechsel.
Technisch gab es Fortschritte. So lassen sich die „verbundenen Erfahrungen“ („connected experiences“) nun feingranularer deaktivieren. Dienste, bei denen Microsoft eigener Verantwortlicher ist, werden, wo erforderlich, abgeschaltet. Eine Ausnahme bilden barrierefreie Funktionen wie Teams-Transkriptionen, die unter Rechtsgrundlagenvorbehalt weiter genutzt werden.
Unter Vorbehalt angekündigter Dokumentationsanpassungen bewertet die Hamburger Aufsichtsbehörde den Einsatz von Microsoft 365 für Daten mit normalem Schutzbedarf (Stand 30. September 2025) als datenschutzrechtlich vertretbar.
Dennoch bleiben offene Fragen – etwa für sensible Einsatzbereiche wie Polizei oder Soziales sowie bei Angriffsvektoren über Einzelzugänge. Die Senatskanzlei plant hierfür spezielle Sicherheitsprofile, deren konkrete Umsetzungskonzepte die Aufsichtsbehörde jedoch noch abwartet.
Bewertung
Mit dem Vorhaben, die Microsoft-Office-Plattform in der öffentlichen Verwaltung einzusetzen, reiht sich Hamburg in eine zunehmende Zahl von Bundesländern ein, die diesen Weg beschreiten. Auch hier wurde der Weg über eine Zusatzvereinbarung gewählt. Sechs Punkte daraus wurden im Bericht wiedergegeben. Sie dürften über die Inhalte der 2023 von den Aufsichtsbehörden von sieben Bundesländern veröffentlichten Handreichung für eine Zusatzvereinbarung hinausgehen. Vor allem der Punkt bezüglich der Zusage, keine personenbezogenen Daten zum Training von KI einzusetzen, deutet darauf hin; denn als die Handreichung veröffentlicht wurde, war dies noch kein Thema.
Der Bericht zu Microsoft 365 in diesem Tätigkeitsbericht ist vor allem im Hinblick auf den Schutzbedarf der verarbeiteten Daten interessant. In Hamburg schaut man zunächst einmal auf den Einsatz für die Verarbeitung von personenbezogenen Daten mit normalem Schutzbedarf. Die Verarbeitung von Daten mit hohem Schutzbedarf bzw. sensibler Daten klammert man zunächst aus. Man sucht allerdings nach Möglichkeiten, diese später einzubinden, sobald ein entsprechendes Schutzkonzept vorliegt, das über spezielle Sicherheitsprofile umgesetzt werden soll.
Bei der Verarbeitung von personenbezogenen Daten in Microsoft 365 sind die unterschiedlichen Schutzbedarfe ein großes Problem. Das wird an diesem Ansatz besonders deutlich. Bei einem normalen Schutzbedarf sind die Anforderungen an den Schutz und die Sicherheit der Verarbeitung deutlich geringer, da die Risiken, die sich für Betroffene aus einer unbefugten Offenlegung ergeben, weniger gravierend sind. Bei einer Plattform, bei der sich rechtliche Verpflichtungen durch das US-amerikanische Recht für einen US-Anbieter ergeben, sind die Hürden zur Verarbeitung von personenbezogenen Daten mit erhöhtem oder hohem Schutzbedarf deutlich höher. Die Nutzung bestimmter Daten durch Microsoft – auch wenn es nur Telemetriedaten sein mögen – macht die Sache nicht einfacher. Entsprechend ist es verständlich, dass man Daten mit hohem Schutzbedarf zunächst aus dem Konzept ausnimmt, um überhaupt starten zu können. Da in einer großen Verwaltung in der Regel alle Mitarbeitenden mit ein und demselben System arbeiten, muss man anschließend Wege finden, wie auch diese Daten auf der Plattform verarbeitet werden können, ohne unnötige Risiken einzugehen.
Das gleiche Problem hat man natürlich auch in Schulen – und das nicht nur bei Microsoft 365. Momentan wird von den Aufsichtsbehörden eine Nutzung von Microsoft 365 für pädagogische Zwecke toleriert. Welchen Schutzbedarf die dabei verarbeiteten Daten haben, danach fragt eigentlich niemand so genau. Das war bei der Betrachtung der Nutzung von Managed Apple IDs und iCloud in Bremen anders: Dort ging es genau um diesen Schutzbedarf. Dieser war vom Bremer Senat bzw. dem externen Datenschutzbeauftragten nach Rücksprache mit Apple als normal eingestuft worden. Die Bremer Aufsichtsbehörde sah das anders. Während die Nutzung von Microsoft 365 zu Unterrichtszwecken durch die Aufsichtsbehörden toleriert wird, ist jedoch klar (und von den Aufsichtsbehörden auch so kommuniziert), dass eine Verarbeitung von personenbezogenen Daten aus der schulinternen Verwaltung in der Plattform nicht möglich ist.
Die Realität sieht mitunter allerdings anders aus: Viele Schulen nutzen Microsoft 365 auch in der schulinternen Verwaltung. Nicht jede Schule deaktiviert die Online-Funktionen des Office-Pakets, da hierdurch viele nützliche Funktionen verloren gehen. Es kommt hinzu, dass man sich an den wenigsten Schulen Gedanken über den unterschiedlichen Schutzbedarf verschiedener Kategorien von personenbezogenen Daten macht. Und wenn man sich darüber Gedanken macht – etwa um ein Schutzkonzept zu erstellen –, steht man vor dem Problem, dass es keine Vorlagen gibt, anhand derer man den verarbeiteten Daten Schutzklassen zuweisen könnte. Da alle Schulen im Prinzip die gleichen Arten von personenbezogenen Daten verarbeiten, sollte es eigentlich eine (zumindest grobe) Übersicht geben. Diese existiert jedoch nicht – vielleicht auch deshalb, weil sich der Schutzbedarf einzelner Daten in Abhängigkeit vom Verarbeitungszweck und der Kombination mit anderen Daten ändern kann.
Eine Hilfestellung hierzu finden Sie auf dieser Website: Der Beitrag Welchen Schutz brauchen personenbezogene Daten in der Schule? bietet eine Übersicht zur Bestimmung von Schutzklassen sowie einen Vorschlag für eine grundsätzliche Klassifizierung.
Das Beispiel Hamburg zeigt, dass auch für Schulen eine datenschutzfreundliche Nutzung von Microsoft 365 für Unterrichtszwecke möglich sein sollte, wenn eine entsprechende Zusatzvereinbarung mit Microsoft abgeschlossen wird und die Verarbeitung von personenbezogenen Daten auf solche mit normalem Schutzbedarf eingeschränkt wird. Von den Gesprächen zwischen Vertretern der KMK und Microsoft unter beratender Begleitung einer Gemeinsamen Arbeitsgruppe mehrerer Landesdatenschutzbehörden, die bereits Anfang 2022 aufgenommen wurden, hört man indes nichts.