Office 365 in der Schule: Grobe Verletzungen datenschutzrechtlicher Vorschriften

Die Nutzung von Software an Schulen ist in Pandemiezeiten oft notwendig, aber bei Schülern, Eltern und Lehrern sowie den Bildungseinrichtungen selbst mit vielen Rechtsfragen verbunden. Dazu zählt der Datenschutz. Oliver Rosbach exerziert einen Teil der Probleme an einem konkreten Beispiel durch: Microsoft Office 365 im Schulbetrieb, sowohl auf dienstlichen als auch privaten Rechnern.

Oliver Rosbach, Mag. Art. Phil., Rechtsanwalt. Er studierte Geschichtswissenschaft und Soziologie an der Freien Universität Berlin sowie Rechtswissenschaft an der Humboldt-Universität zu Berlin. Er forscht neben seiner Tätigkeit als Rechtsanwalt in Nürnberg über die Entstehung und Bedingungen der Zivilgesellschaft.

Es geht um Grundrechte

Datenschutz heißt nicht Schutz der Daten, sondern Schutz der Personen hinter den Daten und damit auch Schutz der demokratischen Gesellschaft. Denn Datenschutz dient der Umsetzung der Grundrechte, vor allem aus Artikel 8 (Schutz personenbezogener Daten) und Artikel 7 (Recht auf Privatsphäre) der Europäischen Grundrechtscharta und der informationellen Selbstbestimmung nach dem deutschen Grundgesetz.

Die Grundrechte garantieren die Freiheiten des Bürgers und die Teilhabe an der demokratischen Gesellschaft. Der Datenschutz übernimmt dabei die Funktion, der Machtasymmetrie zu begegnen, die sich durch Nutzung von Daten zwischen Organisationen und einzelnen Personen ergibt.

Die Datenschutzgrundverordnung (DSGVO) ist Bestandteil einer umfassenden Konzeption der EU zur Digitalisierung von Gesellschaft und Wirtschaft. Dabei geht es einerseits um die Wahrung der Freiheiten und Grundrechte der Menschen sowie andererseits um die Wahrung der Demokratie und der Rechtsstaatlichkeit angesichts des digitalen Wandels.

Aus diesem Grund ist nach der DSGVO die Verarbeitung personenbezogener Daten untersagt, soweit es keinen speziellen Rechtfertigungsgrund hierfür gibt. Kinder genießen dabei besonderen Schutz, der bei Eingriffen in deren Rechte berücksichtigt werden muss.

Schulen und Behörden werden im Zuge des Digitalpakts Schule unter Aufwendung erheblicher Mittel mit dem Softwarepaket von Microsoft Office 365 ausgestattet. Während der Coronakrise wurden die Lehrer verstärkt angewiesen, ihren Tätigkeiten im Home Office unter Verwendung dieser Software nachzugehen und eine Kommunikation unter den mit Office 365 verbundenen Diensten (Teams, Kalender) aufrechtzuerhalten. Mangels Dienstrechner hatte die Verwendung der Software in der Regel auf privaten Rechnern zu erfolgen.

Die Nutzung von Office 365 ist wie die Nutzung von Windows 10 erheblichen datenschutzrechtlichen Bedenken ausgesetzt. Die Tätigkeitsberichte der Landesämter für Datenschutz des Saarlandes, Bremen, Hessen, Baden-Württemberg und Bayern sowie die niederländische Datenschutzbehörde sehen die Verwendung von Microsoft-Produkten Windows 10 oder Office 365 als nicht oder nur bedingt datenschutzkonform an.

Je nach Verwaltungsorganisation sind die Schulen oder Schulträger bei Nutzung von Software für die Datenverarbeitung verantwortlich. Der Verantwortliche hat nach der DSGVO verschiedene Pflichten, unter anderem durch geeignete Informationen offenzulegen, welche Daten, aus welchem Grund, zu welchem Zweck und mit welchem Rechtsgrund verarbeitet werden. Dies geschieht durch

• Vorlage eines Verzeichnisses der Verarbeitungstätigkeiten,
• Offenlegung der Auftragsdatenverarbeitung,
• Bezeichnung geeigneter technischer und organisatorischer Maßnahmen (TOM) – Vorlage einer Datenschutzfolgeabschätzung.

Untersuchungsgegenstand und ‑gang

Anlass und Gegenstand der Untersuchung war die Vorgabe an Lehrer einer bayerischen Mittelschule im Mai 2020, die Software MS Office 365 zu nutzen. Es sollte hierfür eine Cloud-basierte Nutzung eingerichtet werden, die dann im August/September 2020 realisiert wurde.

Zunächst war die Nutzung der Software auf dem Dienstrechner oder dem privaten Rechner zur Verwendung im Home Office vorgesehen. Es ergaben sich daraus vier mögliche Nutzungsarten: jeweils auf Dienstrechner und Privatrechner eine Cloud-basiert genutzte oder rechnerseitig installierte Version. Bei allen Unterschieden bleibt gleich, dass die Anwender*in ein Angebot der Schule nutzt. Die Schule schließt ein Vertragswerk mit Microsoft zur Nutzung eines Softwarepakets, welches sie den Lehrern zur Verfügung stellt. Später soll das Softwarepaket auch den Schülern zur Verfügung gestellt werden, weshalb für diese dann das Gleiche gelten wird. In einigen Städten steht dies bereits zur Verfügung.

Der vorliegende Fall gestaltet sich noch komplexer, weil zwischen Schule und der Microsoft Deutschland GmbH ein Intermediär eingeschaltet ist. Über die Aufgaben und Funktion dieser Firma liegen keine Informationen vor. Es fehlt der Auftragsverarbeitungsvertrag. Ausgehend von dieser Situation wäre im Regelfall der Verantwortliche für eine Datenverarbeitung bei der Anwendung von MS Office 365 die Schule beziehungsweise entsprechend der Verwaltungsorganisation der jeweilige Schulträger.

Microsoft stellt unterschiedliche Lizenzen zur Verfügung, die sowohl in Funktionsumfang als auch zu Steuerungsmöglichkeiten der administrativen Eingriffe verschiedene Möglichkeiten der Datenverarbeitung bieten. Die hier vereinbarte Lizenz ist nicht bekannt. Untersucht wurde die Nutzung der Software MS Office 365 auf Computern mit dem Betriebssystem Windows 10.

Untersuchungsziel war die Feststellung, ob ausreichende Informationen nach den Erfordernissen der DSGVO zur Verfügung gestellt werden, um die Rechtmäßigkeit der Grundrechtseingriffe zu beurteilen.

Installation von Office 365 auf privatem Dienstrechner

Zunächst wurde die Installation der Software MS Office 365 auf einem Computer mit Betriebssystem Windows 10 begleitet. Dort wurde bereits vor der Installation und als deren Voraussetzung die Zustimmung zu umfangreicher Datenverarbeitung durch Microsoft verlangt: Der Anwender wurde darauf hingewiesen, dass die Datenschutzeinstellungen und der Umfang des Softwareangebots durch den Anbieter, in diesem Fall die Schule, administriert werden. Darüber hinaus könnten durch den Anbieter weitere „Dienste“, also Softwareangebote von Microsoft, freigeschaltet werden. Diese durchgängig als „verbundene Dienste“ bezeichneten Softwareangebote wurden nicht näher bezeichnet. Es dürfte sich um Teams, Outlook, Kalender, Kontakte etc. handeln. Wenn diese Dienste in Anspruch genommen werden, hätte der Anwender den Datenschutzbestimmungen von Microsoft vor der Installation zuzustimmen.

In dieser Version kommt erschwerend hinzu, dass die Nutzung des Softwarepakets nicht von der Nutzung von Windows 10 getrennt werden kann. Da Windows 10 selbst umfangreiche Telemetriedaten ermittelt, entsteht je nach Lizenz von Office 365, Einstellung der Administratoren und eigenen Datenschutzeinstellungen ein komplexes Geflecht von Verantwortlichkeiten, die sich zwischen dem Anbieter (Schule) und Microsoft verteilen.

Das Erfordernis der Zustimmung zu den Datenschutzerklärungen von Microsoft führte auf die Datenschutzoptionen von Microsoft. Dort findet sich beispielhaft der Link „Online Steuerelemente für Werbung“. Folgt man diesem, so ist dort die Erhebung von Daten zum Zweck der Erstellung personalisierter Werbung voreingestellt.

Bereits die Möglichkeit einer Verarbeitung personenbezogener Daten durch Microsoft zum Zweck einer Personalisierung von Werbung stellt nach hiesiger Ansicht im Verhältnis Lehrer und Schule eine grobe Verletzung datenschutzrechtlicher Vorschriften dar.

Die Voreinstellung der Erhebung personenbezogener Daten zum Zweck einer Personalisierung von Werbung stellt einen weiteren Verstoß datenschutzrechtlicher Vorschriften dar. Zudem hat sich herausgestellt, dass die Deaktivierung der Option nicht gesichert wurde.

Die im nächsten Schritt untersuchte Datenschutzerklärung von MS Office 365 umfasst als PDF-Version 459 Seiten und erhält die Darstellung von schätzungsweise acht- bis zehntausend Diagnosedaten, die bei der Nutzung des Softwarepakets erhoben werden können. Stehen alle diese Nutzungsdaten zur Verfügung, lässt sich ein vollständiges Verhaltensprofil im Zusammenhang der Nutzung erstellen. Es fehlt eine Erklärung, wie und ob diese Datenerhebung durch den Anbieter eingeschränkt wird.

An dieser Stelle wurde die Installation des Produkts beendet. Es herrschte vollkommene Unklarheit darüber, für welche Softwarebestandteile die Schule und für welche Bestandteile Microsoft selbst als Verantwortlicher im Sinne der DSGVO fungiert. Darüber hinaus waren keine Datenschutzerklärungen des Anbieters (Schule) einsichtig. Die Datenschutzoptionen von Microsoft verletzen Grundsätze des Datenschutzrechts.

Da es sich bei den hier von dem Anwender bearbeiteten Daten neben dem Lehrmaterial maßgeblich um Schülerdaten handelt, lässt sich ein verantwortlicher und datenschutzkonformer Umgang mit den Daten auf diese Weise nicht garantieren.

Installation von Office 365, Schulversion

Etwa acht Wochen nach der Unterrichtung der Schule über die festgestellte Problematik erfolgte eine Kontrolluntersuchung auf einem anderen privaten Rechner einer anderen Lehrkraft. Diese hatte ebenfalls das Softwarepaket installiert. Es zeigte sich keinerlei Veränderung der festgestellten Problematik: unklare Verantwortlichkeiten, fehlende Informationen und Voreinstellung von Datenverarbeitung zum Zweck personalisierter Werbung.

Installation von Office 365, Studentenversion

Die Kontrolluntersuchung einer Installation von Microsoft Office 365 auf einem weiteren Rechner eines Lehramtskandidaten zeigte keine Abweichungen von dem vorgenannten Bild. Allerdings stellte sich heraus, dass es sich nicht um die von der Schule angebotene Version, sondern um ein ähnliches Angebot einer Universität handelte.

Auch hier fehlte es an einer entsprechenden aktiven Aufklärung über die Verantwortlichen und die Datenverarbeitung. Es bestand Unklarheit über die Verantwortlichen der Datenverarbeitung in unterschiedlichen Softwarebestandteilen. Es erwies sich, dass auch hier Einstellungen zur Datenverarbeitung zum Zweck personalisierter Werbung voreingestellt waren.

Online-Zugang zur Cloud-Anwendung

Weitere acht Wochen nach den Kontrolluntersuchungen erfolgte eine Nachschau des Online-Zugangs von Office 365 über die Cloud. Zunächst stellte es sich als schwierig heraus, zu den Datenschutzerklärungen zu gelangen.

Auf der Website, die offenbar von der federführenden Stadt als Vertragspartnerin von Microsoft für die Bereitstellung der notwendigen Informationen eingerichtet war, bestätigte sich das vorliegende Bild. Die Seite hält folgende Erklärung vor:

1. Aufklärung und Zustimmung, Deaktivierung von Dynamics 365 Sales Insights,
2. Datenschutzerklärung der Stadt,
3. Nutzungsbedingungen der Stadt,
4. Datenschutzerklärung von Microsoft.

Dynamics 365 beschreibt die Datenverarbeitung von „Kommunikations- und Zusammenarbeitsmustern innerhalb der Office 365-Organisation und deren Nutzern“. Da es sich dabei um ein eigenes, hochsensibles und komplexes Thema des Beschäftigten-Datenschutzes handelt, muss dies hier ausgeklammert werden.

Die ausdrücklich aufgelistete Datenschutzerklärung der Stadt führte ins Leere. Die Nutzungsbedingungen führten zu einer Seite, die die Mitteilung vorhielt, dass die Nutzungsbedingungen nicht akzeptiert worden seien. Eine Option zur Zustimmung zu den Nutzungsbedingungen wurde jedoch nicht angeboten. Unabhängig davon, dass nun mit der Stadt eine weitere Organisation auf den Plan tritt, die als Verantwortliche infrage käme, fehlt es hier nach wie vor an den aufgrund der DSGVO vorgeschriebenen aktiven Informationspflichten.

Vorbehaltlich einer Kenntnis dieser Nutzungsbedingungen ist im Allgemeinen die Zustimmung zu Nutzungsbedingungen in datenschutzrechtlicher Hinsicht nicht geeignet, die Verarbeitung personenbezogener Daten zu rechtfertigen.

Der Link Datenschutzerklärung von Microsoft führt auf die bereits erwähnten Datenschutzoptionen und ‑erklärungen. Es handelt sich um die Version vom September 2020. Nach kursorischer Prüfung konnten größere Abweichungen nicht festgestellt werden. Die demnach beschriebenen Unklarheiten und Datenschutzverstöße bleiben bestehen.

Ergänzend wird hinsichtlich des zwischenzeitlich ergangenen Urteils des Europäischen Gerichtshofs in der Sache C‑311/18 (Schrems II) festgestellt, dass die Microsoft Corporation das Privacy-Shield-Rahmenabkommen nach wie vor einhält, dieses jedoch aufgrund der Rechtsprechung des EuGH nicht als legale Basis für die Übertragung persönlicher Daten betrachtet. Es ist demnach gegen das Urteil des EuGH weiter von einer Datenübertragung in das außereuropäische Ausland auszugehen.

Vorläufige Feststellungen

Im Rahmen des Angebots lassen sich klare Verantwortliche im Sinne der DSGVO nicht feststellen. Eine Aufklärung erfolgt nicht. Es liegt eine provozierte Verantwortungsdiffusion vor.

Die Verantwortlichen stellen keine nach Artikel 12 ff. DSGVO notwendige Informationen über Art und Umfang der Erhebung personenbezogener Daten zur Verfügung.

Das nach Artikel 30 DSGVO erforderliche Verarbeitungsverzeichnis liegt nicht vor. Auch die nach Artikel 35 DSGVO erforderliche Datenschutz-Folgenabschätzung liegt nicht vor.

Unklare Verantwortlichkeit und mangelnde Kontrolle

Aufgrund unbekannter Softwarelizenzen, unklarer Zuweisungen von Softwarebestandteilen, ausufernder Nutzungsbedingungen und teils fehlender, teils überbordender unverständlicher Datenschutzerklärungen bestehen Zweifel darüber, wer für jeweilige Programmteile und Nutzungsarten verantwortlich im Sinne der DSGVO ist, welche Daten konkret erhoben und wo diese gespeichert werden. Sowohl der Anbieter als Kunde von Microsoft (Schule), als auch Microsoft selbst fungieren in unterschiedlichem Maß als Verantwortliche.

Es besteht damit eine Verantwortungsdiffusion, die für Anwender*innen (und offenbar auch für die anbietende Schule) nicht nachvollziehbar ist und die Kontrolle der Datenübertragung erheblich erschwert oder unmöglich erscheinen lässt. Die Verantwortungsdiffusion ist auf das rechtliche Konstrukt unterschiedlicher Lizenzen und der Trennung der verschiedenen Dienste durch Microsoft zurückzuführen.

Vermischung von dienstlichen und privaten Geräten, Daten, Nutzungen

Lehrer (und zukünftig Eltern von Schülern) werden aufgefordert, das Office-Paket auf eigenen Rechnern zu installieren oder Cloud-basiert zu nutzen. Durch die Nutzung von Office 365 und Windows 10 kommt es zu nicht einsehbaren und schwer oder nicht zu kontrollierenden Datenabflüssen. Diese umfassen im Fall der Nutzung eines privaten Rechners damit sowohl dienstliche als auch private Daten.

Verarbeitung von Daten der Betroffenen und Anwendern

Bei den personenbezogenen Daten handelt es sich nicht nur um die Daten der Schüler oder deren Eltern, sondern auch um Daten der Anwender*innen (Mitarbeiter*innen, Lehrer*innen).

Lehrer verarbeiten bei der Nutzung des Softwarepakets personenbezogene Daten der Schüler. Diese gelten im Sinne der DSGVO als besonders schützenswerte Daten.

Übertragung von Telemetriedaten und Tracking

Office 365 überträgt wie Windows 10 nach der Datenschutzerklärung von Microsoft voreingestellt Telemetriedaten und personenbezogenen Daten an Microsoft. Es soll für den Verantwortlichen die Möglichkeit bestehen, die Datenübertragung datenschutzkonform zu gestalten. Im vorliegenden Fall liegen keine Informationen hierzu vor.

Daneben erfolgt durch Microsoft eine Verarbeitung und Übertragung von personenbezogenen Daten zum Zweck der Personalisierung von Werbung und zum Zweck der Gestaltung der Software nach User Experience Design. Eine Dokumentation der technischen und organisatorischen Maßnahmen liegt nicht vor.

Privacy by Default und Kopplungsverbot

Nach Artikel 25 Abs. 2 DSGVO besteht das Gebot des Privacy by Default. Dieses wird unterlaufen, denn die Datenübertragung ist voreingestellt und muss jeweils deaktiviert werden.

Mit der Nutzung von Office 365 (und Windows 10) werden Daten an Microsoft übertragen, die zur Ausübung der Dienstverpflichtung (oder für Schüler im Rahmen der Schulpflicht) nicht erforderlich sind. Für eine weiter greifende Datenverarbeitung fordert Microsoft teils aktive, teils passive, also voreingestellte Zustimmung ein.

Nach der DSGVO kann eine Datenverarbeitung im Rahmen eines Vertrags oder aufgrund einer informierten und freiwilligen Zustimmung erfolgen. Die Erfüllung des Vertrags oder eines Dienstverhältnisses darf nicht an die Bedingung geknüpft werden, dass zusätzlich eine Zustimmung über eine darüber hinausgehende Datenverarbeitung erfolgt. Eine solche Kopplung ist daher untersagt. Da Lehrer*innen die Software im Rahmen eines Dienstverhältnisses und hier auf Weisung eines Dienstherren nutzen und Schüler*innen (beziehungsweise deren Eltern) die Software im Rahmen der Schulpflicht, ist eine Freiwilligkeit einer über die im Rahmen dieser Zwecke notwendigen Datenverarbeitung nicht vorstellbar.

Soweit von Anwender*innen im Rahmen der Dienstpflicht oder Schulpflicht, gleich ob es sich um Lehrer*innen oder Schüler*innen handelt, eine Zustimmung zur Datenverarbeitung gefordert wird, dürfte dies die Grundsätze der DSGVO verletzen.

Zusammenfassung

Im Ergebnis lassen sich neben den oben benannten Versäumnissen bei der Beachtung der DSGVO in der Konstruktion des Angebotes zentrale Problemfelder durch Verschleierung der Verantwortlichkeiten und der daraus folgenden Verantwortungsdiffusion feststellen.

Aufgrund der Verletzungen des Datenschutzrechts ist eine Nutzung von Office 365 unter den festgestellten Umständen weder für Lehrer*innen noch für Schüler*innen und Eltern anzuraten.