M365 in der öffentlichen Verwaltung Hamburg – Datenschutz – Schule

Im Tätigkeitsbericht für das Jahr 2025 berichtet der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HBfDI) auch über die Einführung von Microsoft 365 für die Dienstrechner der öffentlichen Verwaltung der freien Hansestadt – ein Prozess, den die Aufsichtsbehörde seit Mitte 2023 begleitet. Der Bericht knüpft an die hoffnungsvolle Bewertung im Tätigkeitsbericht des Vorjahres an. Geplant ist die Nutzung von Microsoft 365 für die Verarbeitung von personenbezogenen Daten mit normalem Schutzbedarf. Entsprechend konzentriert sich die Prüfung des HBfDI auf die Einhaltung der Verarbeitungsgrundsätze gemäß Artikel 5 DS-GVO für nicht sensible Daten. Trotzdem befasste man sich auch mit der Verarbeitung von Daten mit hohem Schutzbedarf oder sensiblen Daten, wozu es bisher jedoch noch keine abschließende Bewertung gibt, da die Senatskanzlei diesbezügliche Schutzmaßnahmen noch nicht konkretisiert hat. Für die Aufsichtsbehörde liegt der Fokus auf einem umfassenden Risikomanagement und der Einhaltung der Weisungsbefugnis durch den Verantwortlichen (Art. 28 DS-GVO). Die Senatsverwaltung legte der Aufsichtsbehörde eine umfangreiche Dokumentation vor, die eine risikozentrierte Prüfung der geplanten Verarbeitungstätigkeiten und die Erfüllung der Rechenschaftspflichten ermöglichen soll. Da man plant, zukünftig auch Copilot Chat und MS Forms zu integrieren, sollten diese Dokumente bis Ende letzten Jahres überarbeitet werden.

Mit Bezug auf die Verantwortlichkeit für die Verarbeitung gibt es eine Besonderheit, die durch das Hamburgische Verwaltungsdigitalisierungsgesetz bedingt ist, welches spezielle Regelungen für gemeinsam genutzte Infrastrukturen enthält. Danach ist die Verantwortlichkeit auf zwei Instanzen verteilt: die Senatskanzlei als zentrale IT-Infrastruktur-Verantwortliche und die Fachbehörden als Verantwortliche für die Verarbeitung ihrer jeweiligen Inhaltsdaten. Die Hamburger Datenschutzaufsicht ist der Ansicht, dass dies mit der DSGVO vereinbar sein sollte, jedoch noch genauer geprüft werden muss.

Ähnlich wie 2024 in Niedersachsen wurde auch in Hamburg eine Zusatzvereinbarung mit Microsoft geschlossen, welche den normalen Vertrag zur Auftragsverarbeitung (Data Protection Addendum) ergänzt und dem Thema Weisungsbefugnis gem. Art. 28 DS-GVO Rechnung trägt. Aus den Regelungen der Zusatzvereinbarung werden sechs besonders wichtige Punkte im Tätigkeitsbericht wiedergegeben:

Einschränkungen bei einseitigen Vertragsänderungen durch Microsoft, um eine nachträgliche Verschlechterung der Datenschutzbedingungen zu verhindern.

Klare Zusicherungen zur Einhaltung der DSGVO, insbesondere hinsichtlich der Verarbeitung personenbezogener Daten und der Umsetzung technischer und organisatorischer Maßnahmen.

Ausschluss der Nutzung von Kundendaten für das Training von Künstlicher Intelligenz (KI), um eine unautorisierte Weiterverwendung der Daten zu verhindern.

Stärkung der Weisungsbefugnis der Freien und Hansestadt Hamburg (FHH) gegenüber Microsoft, um die Kontrolle über die Datenverarbeitung sicherzustellen.

Vorrang des EU-Rechts bei Drittstaatenübermittlungen, insbesondere im Hinblick auf den Zugriff durch Behörden außerhalb der EU.

Ausweitung des EU Data Boundary, sodass die Datenverarbeitung und -speicherung ausschließlich innerhalb der EU erfolgt, um den Schutz personenbezogener Daten zu gewährleisten.

Angesprochen wurden bei den Verhandlungen mit Microsoft auch bekannte Kritikpunkte der Aufsichtsbehörden, wie die Verarbeitung von Daten zu eigenen Zwecken durch Microsoft. Es geht u. a. um Telemetrie- und Diagnosedaten, welche Microsoft ausschließlich pseudonymisiert verarbeitet, um seine Dienste zu verbessern und Fehler zu beheben. Auch wenn die Erklärungen durch Microsoft für die Aufsichtsbehörde plausibel scheinen und das Risiko einer Re-Identifikation einzelner Nutzer als sehr gering eingeschätzt wird, sieht die Aufsichtsbehörde noch weiteren Klärungsbedarf bezüglich einzelner technischer Details.

Das heikle Thema Drittstaatenübermittlung, vor allem in die USA, schätzt die Aufsichtsbehörde zum Zeitpunkt des Berichtes nicht als problematisch ein, da es das EU Data Boundary, das EU-US Data Privacy Framework sowie zusätzliche vertragliche Schutzmaßnahmen im Vertrag zur Auftragsverarbeitung gibt. Auf Veranlassung der Aufsichtsbehörde hat die Senatsverwaltung zudem eine Exit-Strategie entwickelt für den Fall, dass man kurzfristig nicht mehr auf das Angebot von Microsoft zurückgreifen kann oder die Nutzung einstellen muss. Aktuell gibt es jedoch weder regelmäßige Backups beim Hamburger IT-Dienstleister Dataport noch eine Software, die man alternativ nutzen könnte.

In technischer Hinsicht gab es eine Verbesserung bezüglich der „verbundenen Erfahrungen“ („connected experiences“), die in den Konfigurationseinstellungen differenzierter deaktiviert werden können. Dienste in Microsoft 365, bei denen Microsoft Verantwortlicher ist, werden – wo datenschutzrechtlich erforderlich – deaktiviert. Das gilt nicht uneingeschränkt, denn Funktionen, die der Barrierefreiheit dienen (wie etwa Transkriptionen in Teams), werden unter Beachtung der Rechtsgrundlagen weiterhin genutzt.

Mit Stand vom 30. September 2025 schätzt die Hamburger Aufsichtsbehörde – unter Vorbehalt der angekündigten Dokumentationsüberarbeitungen durch die Senatskanzlei und weiterer Rückmeldungen – den durch die Zusatzvereinbarung abgesicherten Einsatz von Microsoft 365 für die Verarbeitung von Daten mit normalem Schutzbedarf als datenschutzrechtlich vertretbar ein.

Es bleiben aber trotzdem noch eine Menge offener Themenfelder, da diese vom Senat zunächst ausgeklammert worden waren. Dabei geht es zum Beispiel um Arbeitsplätze bei der Polizei oder im sozialen Bereich, bei denen Daten mit hohem Schutzbedarf verarbeitet werden, sowie um mögliche Angriffsvektoren auf verarbeitete Daten über Zugänge einzelner Beschäftigter. Die Senatskanzlei möchte die Verarbeitung von personenbezogenen Daten mit hohem Schutzbedarf durch spezielle Sicherheitsprofile angehen. Die Aufsichtsbehörde begrüßt diese Ideen, wartet jedoch noch auf konkrete Konzepte zu deren Umsetzung.

Bewertung

Mit dem Vorhaben, die Microsoft-Office-Plattform in der öffentlichen Verwaltung einzusetzen, reiht sich Hamburg in eine zunehmende Zahl von Bundesländern ein, die diesen Weg beschreiten. Auch hier wurde der Weg über eine Zusatzvereinbarung gewählt. Sechs Punkte daraus wurden im Bericht wiedergegeben. Sie dürften über die Inhalte der 2023 von den Aufsichtsbehörden von sieben Bundesländern veröffentlichten Handreichung für eine Zusatzvereinbarung hinausgehen. Vor allem der Punkt bezüglich der Zusage, keine personenbezogenen Daten zum Training von KI einzusetzen, deutet darauf hin; denn als die Handreichung veröffentlicht wurde, war dies noch kein Thema.

Der Bericht zu Microsoft 365 in diesem Tätigkeitsbericht ist vor allem im Hinblick auf den Schutzbedarf der verarbeiteten Daten interessant. In Hamburg schaut man zunächst einmal auf den Einsatz für die Verarbeitung von personenbezogenen Daten mit normalem Schutzbedarf. Die Verarbeitung von Daten mit hohem Schutzbedarf bzw. sensibler Daten klammert man vorerst aus. Man sucht allerdings nach Möglichkeiten, diese später einzubinden, sobald ein entsprechendes Schutzkonzept vorliegt, das über spezielle Sicherheitsprofile umgesetzt werden soll.

Bei der Verarbeitung von personenbezogenen Daten in Microsoft 365 sind die unterschiedlichen Schutzbedarfe ein großes Problem. Das wird an diesem Ansatz besonders deutlich. Bei einem normalen Schutzbedarf sind die Anforderungen an den Schutz und die Sicherheit der Verarbeitung deutlich geringer, da die Risiken, die sich für Betroffene aus einer unbefugten Offenlegung ergeben, weniger gravierend sind. Bei einer Plattform, bei der sich rechtliche Verpflichtungen durch das US-amerikanische Recht für einen US-Anbieter ergeben, sind die Hürden zur Verarbeitung von personenbezogenen Daten mit erhöhtem oder hohem Schutzbedarf deutlich höher. Die Nutzung bestimmter Daten durch Microsoft – auch wenn es nur Telemetriedaten sein mögen – macht die Sache nicht einfacher. Entsprechend ist es verständlich, dass man Daten mit hohem Schutzbedarf zunächst aus dem Konzept ausnimmt, um überhaupt starten zu können. Da in einer großen Verwaltung in der Regel alle Mitarbeitenden mit ein und demselben System arbeiten, muss man anschließend Wege finden, wie auch diese Daten auf der Plattform verarbeitet werden können, ohne unnötige Risiken einzugehen.

Das gleiche Problem hat man natürlich auch in Schulen – und das nicht nur bei Microsoft 365. Momentan wird von verschiedenen Aufsichtsbehörden, darunter auch der in NRW, eine Nutzung von Microsoft 365 für pädagogische Zwecke toleriert. Welchen Schutzbedarf die dabei verarbeiteten Daten haben, danach fragt eigentlich niemand so genau. Das war bei der Betrachtung der Nutzung von Managed Apple IDs und iCloud in Bremen anders: Dort ging es genau um diesen Schutzbedarf. Dieser war vom Bremer Senat bzw. dem externen Datenschutzbeauftragten nach Rücksprache mit Apple als normal eingestuft worden. Die Bremer Aufsichtsbehörde sah das anders. Während die Nutzung von Microsoft 365 zu Unterrichtszwecken durch die Aufsichtsbehörden toleriert wird, ist jedoch klar (und von den Aufsichtsbehörden auch so kommuniziert), dass eine Verarbeitung von personenbezogenen Daten aus der schulinternen Verwaltung in der Plattform nicht möglich ist.

Die Realität sieht mitunter allerdings anders aus: Viele Schulen nutzen Microsoft 365 auch in der schulinternen Verwaltung. Nicht jede Schule deaktiviert die Online-Funktionen des Office-Pakets, da hierdurch viele nützliche Funktionen verloren gehen. Es kommt hinzu, dass man sich an den wenigsten Schulen Gedanken über den unterschiedlichen Schutzbedarf verschiedener Kategorien von personenbezogenen Daten macht. Und wenn man sich darüber Gedanken macht – etwa um ein Schutzkonzept zu erstellen –, steht man vor dem Problem, dass es keine Vorlagen gibt, anhand derer man die verarbeiteten Daten Schutzklassen zuweisen könnte. Da alle Schulen im Prinzip die gleichen Arten von personenbezogenen Daten verarbeiten, sollte es eigentlich eine (zumindest grobe) Übersicht geben. Diese existiert jedoch nicht – vielleicht auch deshalb, weil sich der Schutzbedarf einzelner Daten in Abhängigkeit vom Verarbeitungszweck und der Kombination mit anderen Daten ändern kann.

Eine Hilfestellung hierzu finden Sie auf dieser Website: Der Beitrag Welchen Schutz brauchen personenbezogene Daten in der Schule? bietet eine Übersicht zur Bestimmung von Schutzklassen sowie einen Vorschlag für eine grundsätzliche Klassifizierung.

###

Eine Besonderheit ergibt sich aus dem Hamburgischen Verwaltungsdigitalisierungsgesetz: Die Verantwortlichkeit ist aufgeteilt zwischen der Senatskanzlei (für die IT-Infrastruktur) und den Fachbehörden (für die jeweiligen Inhaltsdaten). Nach Ansicht der Aufsichtsbehörde sollte diese Konstruktion mit der DS-GVO vereinbar sein, bedarf aber noch genauerer Prüfung.

Ähnlich wie 2024 in Niedersachsen wurde auch in Hamburg eine Zusatzvereinbarung mit Microsoft geschlossen, die den regulären Auftragsverarbeitungsvertrag (Data Protection Addendum) ergänzt und die Weisungsbefugnis gemäß Art. 28 DS-GVO stärkt. Im Tätigkeitsbericht werden sechs zentrale Punkte hervorgehoben:

„Einschränkungen bei einseitigen Vertragsänderungen durch Microsoft zur Vermeidung nachträglicher Verschlechterungen des Datenschutzes.

Klare Zusicherungen zur DSGVO-Einhaltung, insbesondere bei Datenverarbeitung sowie technischen und organisatorischen Maßnahmen.

Ausschluss der Nutzung von Kundendaten für das Training Künstlicher Intelligenz (KI).

Stärkung der Weisungsbefugnis der Freien und Hansestadt Hamburg (FHH) gegenüber Microsoft.

Vorrang des EU-Rechts bei Drittstaatenübermittlungen und behördlichen Zugriffen außerhalb der EU.

Ausweitung des EU Data Boundary für eine ausschließliche Datenverarbeitung und -speicherung innerhalb der EU.„

Gegenstand der Verhandlungen waren auch Dauerbrenner wie die Verarbeitung von Telemetrie- und Diagnosedaten zu eigenen Zwecken durch Microsoft. Obwohl die Microsoft-Erklärungen für den HBfDI plausibel wirken und das Re-Identifikationsrisiko als sehr gering eingeschätzt wird, sieht die Behörde bei einzelnen technischen Details noch Klärungsbedarf.

Die Drittstaatenübermittlung in die USA sieht die Aufsichtsbehörde aktuell unkritisch – gestützt auf das EU Data Boundary, das EU-US Data Privacy Framework und vertragliche Garantien. Zudem entwickelte die Senatsverwaltung auf Anraten der Aufsichtsbehörde eine Exit-Strategie. Allerdings fehlen derzeit beim Hamburger IT-Dienstleister Dataport sowohl regelmäßige Backups als auch Alternativsoftware für einen schnellen Wechsel.

Technisch gab es Fortschritte. So lassen sich die „verbundenen Erfahrungen“ („connected experiences“) nun feingranularer deaktivieren. Dienste, bei denen Microsoft eigener Verantwortlicher ist, werden, wo erforderlich, abgeschaltet. Eine Ausnahme bilden barrierefreie Funktionen wie Teams-Transkriptionen, die unter Rechtsgrundlagenvorbehalt weiter genutzt werden.

Unter Vorbehalt angekündigter Dokumentationsanpassungen bewertet die Hamburger Aufsichtsbehörde den Einsatz von Microsoft 365 für Daten mit normalem Schutzbedarf (Stand 30. September 2025) als datenschutzrechtlich vertretbar.

Dennoch bleiben offene Fragen – etwa für sensible Einsatzbereiche wie Polizei oder Soziales sowie bei Angriffsvektoren über Einzelzugänge. Die Senatskanzlei plant hierfür spezielle Sicherheitsprofile, deren konkrete Umsetzungskonzepte die Aufsichtsbehörde jedoch noch abwartet.

Bewertung

Der Bericht zu Microsoft 365 in diesem Tätigkeitsbericht ist vor allem im Hinblick auf den Schutzbedarf der verarbeiteten Daten interessant. In Hamburg schaut man zunächst einmal auf den Einsatz für die Verarbeitung von personenbezogenen Daten mit normalem Schutzbedarf. Die Verarbeitung von Daten mit hohem Schutzbedarf bzw. sensibler Daten klammert man zunächst aus. Man sucht allerdings nach Möglichkeiten, diese später einzubinden, sobald ein entsprechendes Schutzkonzept vorliegt, das über spezielle Sicherheitsprofile umgesetzt werden soll.

Das gleiche Problem hat man natürlich auch in Schulen – und das nicht nur bei Microsoft 365. Momentan wird von den Aufsichtsbehörden eine Nutzung von Microsoft 365 für pädagogische Zwecke toleriert. Welchen Schutzbedarf die dabei verarbeiteten Daten haben, danach fragt eigentlich niemand so genau. Das war bei der Betrachtung der Nutzung von Managed Apple IDs und iCloud in Bremen anders: Dort ging es genau um diesen Schutzbedarf. Dieser war vom Bremer Senat bzw. dem externen Datenschutzbeauftragten nach Rücksprache mit Apple als normal eingestuft worden. Die Bremer Aufsichtsbehörde sah das anders. Während die Nutzung von Microsoft 365 zu Unterrichtszwecken durch die Aufsichtsbehörden toleriert wird, ist jedoch klar (und von den Aufsichtsbehörden auch so kommuniziert), dass eine Verarbeitung von personenbezogenen Daten aus der schulinternen Verwaltung in der Plattform nicht möglich ist.

Die Realität sieht mitunter allerdings anders aus: Viele Schulen nutzen Microsoft 365 auch in der schulinternen Verwaltung. Nicht jede Schule deaktiviert die Online-Funktionen des Office-Pakets, da hierdurch viele nützliche Funktionen verloren gehen. Es kommt hinzu, dass man sich an den wenigsten Schulen Gedanken über den unterschiedlichen Schutzbedarf verschiedener Kategorien von personenbezogenen Daten macht. Und wenn man sich darüber Gedanken macht – etwa um ein Schutzkonzept zu erstellen –, steht man vor dem Problem, dass es keine Vorlagen gibt, anhand derer man den verarbeiteten Daten Schutzklassen zuweisen könnte. Da alle Schulen im Prinzip die gleichen Arten von personenbezogenen Daten verarbeiten, sollte es eigentlich eine (zumindest grobe) Übersicht geben. Diese existiert jedoch nicht – vielleicht auch deshalb, weil sich der Schutzbedarf einzelner Daten in Abhängigkeit vom Verarbeitungszweck und der Kombination mit anderen Daten ändern kann.

Bewertung

Bewertung

Schreibe einen Kommentar Antwort abbrechen