Hessische Datenschutzaufsicht sieht Möglichkeit zur datenschutzgerechten Nutzung von Microsoft 365

Im Tätigkeitsbericht für das Jahr 2025 geht es auch um die neue Bewertung des Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) zu Microsoft 365, die im November 2025 je nach Perspektive für Aufsehen, Erleichterung, aber auch kontroverse Diskussionen gesorgt hatte.

Der HBDI, der sich bereits im Vorjahr mit der Thematik befasst und darüber berichtet hatte, war nach ersten Sondierungen zu dem Schluss gekommen, dass ein datenschutzkonformer Einsatz von MS Teams, aber auch des übrigen Microsoft 365, möglich sein sollte. Bitten um Unterstützung waren von vielen Seiten an ihn herangetragen worden: vom Hessischen Kultusministerium (für alle hessischen Schulen), von einigen Schulträgern, zentralen IT-Dienstleistern und auch der Hessischen Landesverwaltung. Dabei war es auch um die von mehreren Aufsichtsbehörden ausgearbeitete Handreichung für eine Zusatzvereinbarung mit Microsoft gegangen, die Institutionen mit Microsoft für eine rechtssichere Nutzung abschließen sollten. Nachdem alle diese Institutionen mit dem Wunsch nach einer Zusatzvereinbarung an Microsoft herangetreten waren, kam vonseiten Microsofts der Vorschlag, diese Forderungen zu bündeln und den Landesbeauftragten mit Verhandlungen mit Microsoft zu betrauen. Gespräche fanden dann von Juli 2024 bis November 2025 statt, in denen der HBDI versuchte, die Frage zu klären, wie sich das DPA mit der DS-GVO in Einklang bringen lässt. Dabei stellte er fest, dass sich in den drei Jahren seit der Festlegung der DSK im November 2022, in der diese zu dem Schluss gekommen war, dass Microsoft 365 nicht datenschutzrechtskonform betrieben werden kann, entscheidende Bedingungen im Vertragswerk geändert haben. Diese beschreibt er wie folgt:

• Rechtliche Rahmenbedingungen geändert, insbesondere durch das EU-US Data Privacy Framework, das Datenübermittlungen in die USA unter bestimmten Voraussetzungen ermöglicht.
• Microsoft hat seine Datenverarbeitung an europäische Anforderungen angepasst, insbesondere durch die EU Data Boundary, sodass nahezu alle personenbezogenen Daten im Europäischen Wirtschaftsraum verarbeitet werden.
• Microsoft hat sein Datenschutzkonzept weiterentwickelt und dessen Umsetzung gegenüber dem HBDI ausführlich erläutert.
• Fortentwicklung des Data Processing Addendums (DPA) für öffentliche Stellen (DPA-öS) auf Initiative des HBDI.
• Bereitstellung zusätzlicher Dokumentationshilfen, insbesondere des Microsoft 365 Kits (M365-Kit) zur Unterstützung der datenschutzrechtlichen Dokumentation durch Verantwortliche.

Eine Zusammenfassung der Ergebnisse mit einer Handlungsempfehlung für Verantwortliche stellt der HBDI unter „Abschlussbericht des HBDI zum Einsatz von Microsoft 365“¹Der Bericht ist auf der verlinkten Seite als PDF herunterladbar. bereit. Bestandteil des Berichts sind Handlungsempfehlungen für die Verantwortlichen öffentlicher und nicht öffentlicher Stellen in Hessen. Deren Einhaltung ermöglicht Verantwortlichen einen datenschutzrechtskonformen Einsatz von Microsoft-365-Produkten, sofern sie auch ihren allgemeinen Pflichten gemäß der DS-GVO nachkommen. Zu den Handlungsempfehlungen gehört für öffentliche Stellen auch der Abschluss des mit Microsoft ausgehandelten DPA-öS. Das Ergebnis und die Begründung stellt der HBDI auch anderen Aufsichtsbehörden, die mit einer Bewertung des neuen DPA befasst sind, zur Verfügung.

Bewertung

Wer sich schon länger mit dem Thema Microsoft 365 und den von den Aufsichtsbehörden bemängelten datenschutzrechtlichen Problemen der Plattform befasst, wird das Handeln des HBDI positiv bewerten. Ähnlich wie in den Niederlanden ergreift endlich auch hier einmal jemand die Initiative und verhandelt direkt mit Microsoft. Dass so etwas auch in Deutschland möglich ist, hatte bereits das Beispiel Niedersachsen gezeigt. Dort war es allerdings ausschließlich um die öffentlichen Verwaltungen gegangen. In Hessen verhandelte der Landesbeauftragte für Datenschutz und Informationsfreiheit auch im Auftrag des Bildungsministeriums, also mit Blick auf eine Nutzung der Plattform im Bildungsbereich. Auch wenn weder der Tätigkeitsbericht noch der Abschlussbericht, auf den er sich bezieht, eine gesonderte datenschutzrechtliche Bewertung der besonderen Anforderungen des Bildungsbereichs, etwa hinsichtlich der Verarbeitung von Daten Minderjähriger oder schulrechtlicher Besonderheiten, enthält, ist der Abschlussbericht grundsätzlich auch auf Schulen und Hochschulen in Hessen anwendbar, da diese ebenfalls öffentliche Stellen sind.

Das ist insgesamt ein positives Signal für die Nutzung von Microsoft 365 im schulischen Bereich. Einziger Wermutstropfen für Schulen außerhalb Hessens ist, dass das von Microsoft auf Initiative des HBDI für öffentliche Stellen weiterentwickelte DPA-öS (Data Processing Addendum für öffentliche Stellen) im Abschlussbericht zwar mehrfach erwähnt wird, nach derzeitiger Recherche jedoch nicht öffentlich zugänglich ist und daher auch nicht von anderen größeren Akteuren, etwa Schulträgern großer Kommunen, als Grundlage für eine eigene Zusatzvereinbarung für ihre Schulen genutzt werden könnte. Den Abschlussbericht sollten Interessierte sich genauer anschauen, denn die Handlungsempfehlungen sind grundsätzlich hilfreich, um sich mit Microsoft 365 datenschutzfreundlicher aufzustellen.

Addon

Die Kritik am Abschlussbericht und der positiven Bewertung des HBDI entzündete sich unter anderem an dem Umstand, dass sich die Bewertung im Wesentlichen auf die vertraglichen Regelungen und die Beseitigung der von der Datenschutzkonferenz (DSK) festgestellten vertraglichen Mängel bezog. Eine eigenständige technische Untersuchung der Microsoft-365-Dienste oder der tatsächlich stattfindenden Datenverarbeitungen und Datenflüsse war hingegen nicht Gegenstand der Bewertung. Die von noyb vor der österreichischen Datenschutzbehörde unterstützten Verfahren zum Tracking von Schülerinnen und Schülern beim Zugriff auf Microsoft 365 Education über den Browser sowie der hierzu ergangene Beschluss der Datenschutzbehörde zeigen, dass die Frage der tatsächlichen Datenverarbeitung unabhängig von der vertraglichen Ausgestaltung weiterhin von erheblicher datenschutzrechtlicher Bedeutung ist.