Wie der Hessische Beauftragte für den Datenschutz und Informationsfreiheit vor kurzem verlauten ließ, ist Office 365 datenschutzrechtlich unzulässig.

Hintergrund ist, dass Office 365 die Daten der Nutzer in sogenannten Cloud speichert. Die Daten der Schüler liegen damit auf Servern von Microsoft.

Die datenschutzrechtliche Unzulässigkeit fast der hessische Beauftragte für den Datenschutz und Informationfreiheit wie folgt zusammen:

„Dabei ist der entscheidende Aspekt, ob die Schule als öffentliche Einrichtung personenbezogene Daten (von Kindern) in einer (europäischen) Cloud speichern kann, die z.B. einem möglichen Zugriff US-amerikanischer Behörden ausgesetzt ist. Öffentliche Einrichtungen in Deutschland haben eine besondere Verantwortung hinsichtlich der Zulässigkeit und Nachvollziehbarkeit der Verarbeitung personenbezogener Daten. Auch muss die digitale Souveränität staatlicher Datenverarbeitung gewährleistet sein. Hinzu kommt ein weiteres Problem, auf das im Herbst 2018 das Bundesamt für Sicherheit in der Informationstechnologie die Öffentlichkeit hingewiesen hat. Mit der Verwendung des Betriebssystems Windows 10 werden eine Fülle von Telemetrie-Daten an Microsoft übermittelt, deren Inhalte trotz wiederholter Anfragen bei Microsoft nicht abschließend geklärt sind. Derartige Daten werden auch bei der Nutzung von Office 365 übermittelt.“.

Bislang müssen die Schulen daher datenschutzrechtliche Einwilligungen einholen. Dies dürfte jedoch nicht ausreichen, da die Sicherheit und Nachvollziehbarkeit der Datenverarbeitung nicht gewährleistet ist. Hinzu kommt, dass eine entsprechende Einwilligung den besonderen Schutzrechten nach Art. 8 DSGVO nicht gerecht werden dürfte.

Hier stellt sich die Frage, warum die öffentliche Hand keine Open Source Lösungen, wie etwa OpenOffice und ähnliche im Rahmen der Schule nutzt. Die Handhabung der Software stimmen schließlich weitestgehend miteinander überein.