In vielen Schulen arbeiten Schüler*innen mit dem Softwarepaket Microsoft 365 Education. Doch das spielt scheinbar rechtswidrig Tracking-Cookies aus. Damit steht die Nutzung von Microsoft 365 Education – womöglich sogar aller Microsoft-365-Produkte – in der EU generell in Frage.
Die österreichische Datenschutzbehörde entschied im Fall einer Schülerin, die Microsoft 365 Education über einen Browser nutzte. Dabei installierte Microsoft ohne Wissen und Zustimmung der Schülerin fünf Tracking-Cookies auf deren Gerät. Wie ein Netzwerk-Mitschnitt belegt, wurden nachfolgend persönliche Informationen der Schülerin an Microsoft gesendet. Und das obwohl die Schülerin zuvor in den Datenschutzeinstellungen wo immer möglich die Datenübermittlung abgelehnt hatte.
Die Datenschutzbehörde hat Microsoft nun aufgefordert, das Tracking der Beschwerdeführerin innerhalb von vier Wochen einzustellen. Sollte Microsoft nicht einlenken, sind Geldstrafen möglich. Die Verbraucherschutzorganisation noyb, die die zugrundeliegende Beschwerde bei der Datenschutzbehörde eingereicht hatte, geht allerdings davon aus, dass Microsoft vor das österreichische Bundesverwaltungsgericht zieht.
Max Schrems von noyb sagt: „Unternehmen und Behörden in der EU sollten konforme Software verwenden. Microsoft hat es erneut versäumt, die gesetzlichen Vorschriften einzuhalten.“
Die Verantwortung von Microsoft
Die Cookies wurden 2023 gefunden. 2024 hat die Schülerin gemeinsam mit der NGO noyb Beschwerden darüber bei der Schule, der Schulbehörde und bei Microsoft eingereicht. Microsoft erklärte laut noyb daraufhin, dass die Schulen, die Microsoft 365 Education einsetzen, selbst für den Datenschutz zuständig seien.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
In der zugrundeliegenden Beschwerde schreibt noyb, dass es problematisch sei, wie die Verantwortung für die Datenverarbeitung in den Microsoft-Verträgen geregelt sei: „Für die betroffenen Personen führt dies zu Situationen, in denen der vermeintliche ‚Auftragsverarbeiter‘ (hier: Microsoft) nicht auf die Ausübung der Rechte aus der DSGVO reagiert, während der vermeintliche ‚Verantwortliche‘ (hier: die Schule) nicht in der Lage ist, solchen Anfragen nachzukommen.“
2025 hatte die Datenschutzbehörde sich schon einmal mit dem Fall beschäftigt und festgestellt, dass Schule, Schulbehörde und Microsoft die Schülerin über die Datenerhebung hätten informieren und umfassend auf eine Anfrage der Schülerin nach den erhobenen Daten antworten müssen.
Microsoft-Cookies auch bei Erwachsenen problematisch
Der aktuelle Beschluss beschäftigt sich nun konkret mit den Tracking-Cookies, die Microsoft auf dem Gerät der Schülerin installierte. Solche Cookies schneiden das Nutzungsverhalten mit, identifizieren Nutzende eindeutig und werden oft zum Ausspielen von Werbung genutzt.
Laut noyb hat Microsoft gegenüber der österreichischen Datenschutzbehörde versucht, die EU-Tochtergesellschaft in Irland für zuständig zu erklären. Dort werden EU-Datenschutzbestimmungen kaum durchgesetzt. Doch die Datenschutzbehörde stellte fest, dass die relevanten Entscheidungen in den USA getroffen werden.
Weil das unautorisierte Tracking nicht nur bei Minderjährigen illegal ist, geht noyb davon aus, dass die Nutzung von Microsoft 365 auch bei erwachsenen EU-Usern juristische Probleme aufwirft. Tracking erscheine auch in Microsoft 365, also der gewöhnlichen Office Suite, wahrscheinlich, wenn dies selbst bei Minderjährigen in Microsoft 365 Education stattfinde. Die deutschen Datenschutzbehörden hatten bereits 2022 festgestellt, dass Microsoft 365 nicht DSGVO-konform betrieben werden kann.
Nicht nur Microsoft 365 kann nicht nach DSGVO betrieben werden. Das gesamte Betriebssystem ist illegal, und soviele Menschen finden das auch noch in Ordnung.
Und ein Macintosh-Produkt zuzulegen wird ebenfalls nichts bringen.
Einzig dezentrale Linux-Distributionen, welche prinzipiell nicht trackfähig sind, sollten Menschen benutzen.
So sehr ich auch fuer den Datenschutz bin – Dieser Bericht ist komplett einseitig, gegen MS.
„Und das obwohl die Schülerin zuvor in den Datenschutzeinstellungen wo immer möglich die Datenübermittlung abgelehnt hatte.“ – Lass uns mal von uns ausgehen, wem ist es nicht schon passiert, Zack, falsch geklickt, ‚cookie‘ angenommen. Hier wird von der AT-Datenschutzbehoerde suggeriert, dass der Schuelerin noch NIE ein Cookie-Banner-Missclick passiert ist – Ja Genau!!11
Ausserdem, ob MS nun Minderjaehrige?? oder Volljaehrige trackt ist voellig egal! – Klassische Polemik ‚minderjaehrig‘. Da haette ich mir mehr erwartet von einer „Datenschutzbehoerde“
Die Aussage „Microsoft trackt Minderjährige“ ist nicht polemisch, weil sie auf den geschilderten Sachverhalt zutrifft, da es sich um eine Software handelt, die an Schulen eingesetzt wird. Daher wäre noch zutreffender eine Aussage wie „Microsoft trackt wissentlich und mit voller Absicht Minderjährige“.
Ich kann mich nicht erinnern, dass ich bei Cookie-Anfragen jemals versehentlich auf „Akzeptieren“ geklickt hätte (der „Akzeptieren“-Button ist ja ohnehin oft optisch hervorgehoben, so dass man deutlich sehen kann, wohin man n-i-c-h-t klicken will); schon gar nicht dürfte einem das beim Einrichten einer Software oder eines Dienstes passieren, weil man das sowieso mit erhöhter Aufmerksamkeit tut.
Mich würde auch interessieren, was an diesem Artikel ‚einseitig gegen Microsoft‘ sein soll. Was müsste denn im Artikel stehen, damit er nicht einseitig wäre?
Wieder ist es bestätigt- die Firma Microsoft ist kriminell! Und das Widersprüchliche ist, die werden von Aufsichtsbehörden und Kanzleien „beraten“, wie Sie weniger kriminell sein dürfen. Die Grundrechte werden dann auf dem Papier weniger eingeschränkt. Ein Krimineller bekommt Tipps, weniger kriminell zu sein – komisches Geschäftsmodell?
Und in den Betrieben? Abhängig Beschäftigte sind weisungsbebunden und müssen der Nutzung von Datenräuber hinnehmen – denn die Betriebsräte und auch Gewerkschaften winken die Nutzung allzuoft mit durch! Ich als einzelner kann dann die Behörde informieren, dass meine Grundrechte verletzt werden…na toll…das dauert aber ewig und am Ende passiert eh nix (siehe oben)! Die Behörden sind aber nicht das Problem, denn die werden ja mit poltischer Absicht klein gehalten (obwohl offiziell unabahngig)…nun denn
Ein Dilemma – Grundrechte werden einfach nicht beachtet im Arbeitsleben
Und das Gechäftsmodell – dass die Behörden quasi beratend den Datendieben zur Seite stehen – ist Wettberbsverzerrung at its worst! Denn die „ehrlichen“ Anbieter werden offensichtlich benachteiligt, dass Sie sich an Gesetze halten! Freier Markt, lächerlich?
Die Behörden müssten eigentlich anordnen: Solange die Datendiebe nicht einwandfrei grundrechtekonform sind- ist die Nutzung zu untersagen! noyb hat es ähnlich mal formuliert: Ein Fahrstuhl darf ja auch bei „Gefahr im Verzug“ nicht betrieben werden – wird vom TÜV bis zur Reperatur stillgelegt. Warum haben die Datendiebe dieses Privileg seitens des Rechts?