Zweite Stellungnahme zum Einsatz von Microsoft Office 365 in hessischen Schulen

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat sich nach den Gesprächen mit Microsoft dazu entschlossen, den Einsatz von Office 365 in hessischen Schulen unter bestimmten Voraussetzungen und dem Vorbehalt weiterer Prüfungen vorläufig zu dulden.

Fotolia_170654250_S.jpg

Young students writing notes in classroom

Zweite Stellungnahme zum Einsatz von Microsoft Office 365 in hessischen Schulen

1. Nach § 13 Abs. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) vom 03.03.2018 (GVBl. I S. 82) überwacht der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) bei den öffentlichen und nicht-öffentlichen Stellen sowie deren Auftragsverarbeitern die Anwendung von Vorschriften über den Datenschutz, insbesondere des HDSIG sowie der Verordnung (EU) Nr. 2016/679, (Datenschutz-Grundverordnung – DS-GVO). Öffentliche Stellen sind die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen des Landes, der Gemeinden und Landkreise oder sonstige deren Aufsicht unterstehende juristische Personen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform. Hierzu zählen auch die hessischen Schulen. Der Einsatz von Office 365 ist notwendig mit einer Verarbeitung personenbezogener Daten verbunden. Der HBDI hat folglich die datenschutzrechtliche Zulässigkeit des Einsatzes von Office 365 in hessischen Schulen zu überprüfen.

2. Im Rahmen dieser Überprüfung war und ist eine Vielzahl rechtlicher und technischer Fragen zu klären, wobei auch eine Abstimmung mit den anderen staatlichen Aufsichtsbehörden zu erfolgen hat. Den Stellungnahmen der zuständigen Fachgremien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder werde ich nicht vorgreifen, behalte mir aber eine eigenständige Überprüfung des Einsatzes von Office 365 in hessischen Schulen vor.

3. Diese Überprüfung erweist sich als außerordentlich komplex und aufwendig, sodass sie noch nicht, auch nicht zum bevorstehenden Schulbeginn in Hessen, endgültig abgeschlossen werden kann. Das bedeutet, dass die Zulässigkeit des Einsatzes von Office 365 zum gegenwärtigen Zeitpunkt noch nicht abschließend geklärt ist. In meiner Stellungnahme vom 09.07.2019 habe ich daraus die Konsequenz gezogen und erklärt, dass nach dem Stand der Überprüfungen der Einsatz von Office 365 in hessischen Schulen nicht geduldet werden könne. Seither fanden intensive Gespräche mit Microsoft über die Datenschutzkonformität der schulischen Anwendung von Office 365 statt, die zu einer datenschutzrechtlich veränderten Einschätzung führten und die einen erheblichen Anteil der Bedenken entkräfteten. Das versetzt mich unter Beachtung des Grundsatzes der Verhältnismäßigkeit in die Lage, meine Stellungnahme vom 09.07.2019 dahingehend zu modifizieren, dass
a) die Nutzung der Cloud-Anwendung Office 365 in der Version ab 1904 (Office365 ProPlus, Office365 Online und Office365 Apps) durch Schulen, die diese bereits erworben haben, wird bis auf weiteres geduldet wird;
b) entsprechendes für Schulen gilt, bei denen der Erwerb haushaltsrechtlich gesichert ist.
Die Duldung beruht auf Vertrauenserwägungen.
Schulen, die den Erwerb beabsichtigen, können sich ebenfalls auf die Duldung berufen, tragen aber das finanzielle Risiko, falls die weitere Überprüfung zur Unzulässigkeit des Einsatzes von Office 365 in hessischen Schulen führen sollte. Vertrauenserwägungen kommen hier nicht in Betracht.

4. Die Schulen müssen vorläufig die Übermittlung jedweder Art von Diagnosedaten unterbinden. Der HBDI wird zu gegebener Zeit weitere Vorgaben hinsichtlich der Parameter machen, die als Grundlage für die Nutzung der Cloud umzusetzen sind. Microsoft wird Schulen hierfür Handlungsanleitungen zur Verfügung stellen.

5. Ich werde im Verlauf der nächsten Monate weitere Prüfungen vornehmen und mich mit den Gremien der Datenschutzaufsichtsbehörden eng abstimmen, um zu einer datenschutzrechtlichen Einschätzung für den schulischen Bereich kommen zu können.

Kontakt für Pressevertreter
Pressesprecher: Frau Ulrike Müller
Presse- und Öffentlichkeitsarbeit:
Telefon: +49 611 1408 142
Fax: +40 611 1408 900

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163
65021 Wiesbaden