Alternativen zu Cloud-Dienst MS 365 an Schulen in Baden-Württemberg

Bereits im Herbst 2020 und Frühling 2021 fand ein Pilotprojekt des Kultusministeriums, den beteiligten Dienstleistern und hochrangigen Vertretern von Microsoft statt. Es wurde eine funktionell eingeschränkte und möglichst datenschutzkonforme Konfiguration getestet. 

Hierzu wurden datenschutzrechtliche Funktionen abgeschaltet bzw. soweit möglich eingeschränkt (z. B. Erfassung von Telemetrie- und Diagnosedaten). Implementiert wurden zusätzliche Sicherheitsfunktionen und ausschließlich Accounts für Lehrer. 

Als Ergebnis informierte der LfDi das Kultusministerium, aufgrund der hohen datenschutzrechtlichen Risiken, von der Nutzung der geprüften Version MS 365 an Schulen abzusehen. Trotz intensiver Bemühungen aller Beteiligten konnte keine datenschutzkonforme Lösung gefunden werden. 

Beispiele der Verstöße: 

- Die Verarbeitung personenbezogener Daten wurde deaktiviert, jedoch war eine vollständige Deaktivierung nicht möglich.

- Telemetrie- und Diagnosedaten konnten, im Rahmen des Pilotprojektes, nur reduziert und nicht vollständig deaktiviert werden

- Bei Messungen des LfDi konnten Übermittlungen an über 500 Servern von Microsoft erkannt werden. Ein kleiner Teil davon war nur dokumentiert.

- Zahlreiche Datentransfers in die USA konnten nicht unterbunden werden. 

Es wurden als Alternative, ebenfalls bereits getestete Systeme wie z. B. Moodle oder itslearing genannt oder für Webkonferenzsysteme BigBlueButton. 

Die Schulen in Baden-Württemberg sind jetzt dazu aufgerufen, bis zum Beginn des neuen Schuljahres, Alternativen zu MS 365 einzuführen oder bei Weiterverwendung von MS 365 zu begründen wie der Betrieb datenschutzkonform sichergestellt und gem. ihrer Rechenschaftspflicht nach Artikel 5 Abs. 2 DSGVO eindeutig nachgewiesen werden kann. Für diesen Zweck stellt der LfDi umfangreiche Hinweise zur Verfügung.

Pressemitteilung vom 25. April 2022

Ergebnisse des Pilotprojekts

Eure Andrea

von Datenschutz Prinz