Microsoft 365 in der Kritik: Bundesländer verbieten Nutzung an Schulen wegen DSGVO-Verstoßes

Microsoft 365 in der Kritik: Bundesländer verbieten Nutzung an Schulen wegen DSGVO-Verstoßes

Öffentliche Einrichtungen in Deutschland geraten wegen Nutzung von Microsoft 365 zunehmend unter Druck

Nach einem Urteil der Datenschutzbehörden, wonach Microsoft 365 nicht den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entspricht, sehen sich öffentliche Institutionen in Deutschland mit wachsender Kritik konfrontiert. Mehrere Bundesländer haben bereits Konsequenzen gezogen – einige haben die Software an Schulen verboten oder stark eingeschränkt. Die Debatte hat die Spannungen zwischen Politikern und Aufsichtsbehörden verschärft, die um den Ausgleich zwischen digitalem Fortschritt und Datenschutzrechten ringen.

Die Datenschutzkonferenz von Bund und Ländern kam kürzlich zu dem Schluss, dass Microsoft 365 für öffentliche Stellen nicht DSGVO-konform ist. Daraufhin haben drei Bundesländer – Rheinland-Pfalz, Hessen und Baden-Württemberg – die Nutzung in Schulen entweder untersagt oder stark begrenzt. Rheinland-Pfalz verbot Microsoft Teams, Hessen verhängte strenge Auflagen, und Baden-Württemberg erklärte Microsoft 365 für unzulässig, stattdessen werden lokale oder datenschutzkonforme Alternativen bevorzugt.

Nordrhein-Westfalen hingegen erlaubte Schulen die weitere Nutzung von Microsoft-Produkten – allerdings unter verschärften internen Kontrollen und zusätzlichen vertraglichen Sicherheitsvorkehrungen. Doch selbst diese Maßnahmen reichen nach Ansicht des Landesdatenschutzbeauftragten nicht aus, um eine vollständige Einhaltung der Datenschutzgesetze zu garantieren.

Die Auseinandersetzung eskalierte, als Ministerpräsident Hendrik Wüst (CDU) die Notwendigkeit einer unabhängigen Landesdatenschutzbehörde infrage stellte. Er warnte, zu strenge Regeln könnten die "Handlungsfähigkeit des Staates lähmen", räumte aber ein, dass der Schutz personenbezogener Daten wichtig sei. Seine Äußerungen fielen in eine Phase, in der das Land die Initiative "AI-Skilling.NRW" gemeinsam mit Microsoft startete – ohne die Datenschutzbeauftragte zuvor zu konsultieren.

Die Landesdatenschutzbeauftragte Bettina Gayk wies Wüsts Kritik zurück. Sie betonte, ihr Amt diene der Rechtsstaatlichkeit und behindere diese nicht. Gayk warnte zudem davor, Datenschutz pauschal als Hindernis für Sicherheit oder Regierungsarbeit darzustellen, und forderte einen verhältnismäßigen Einsatz staatlicher Befugnisse.

Unterdessen diskutierte die Ministerpräsidentenkonferenz über die Abschaffung der Landesdatenschutzbeauftragten, verwarf den Plan jedoch wegen rechtlicher Hürden durch das EU-Recht. Der SPD-Abgeordnete Hartmut Ganzke verurteilte den Vorschlag scharf und verglich ihn mit der Idee, "den Türsteher zu entlassen, weil die Schlange zu lang ist". Er verwies auf die steigende Zahl von Bürgerbeschwerden, die eine wachsende Besorgnis über den Umgang mit Daten zeigen.

Wüst kritisierte zudem Regelungen, die es Schulen verbieten, Sprachstandsanalysen von Kindern aus Kitas zu erhalten, wenn Eltern widersprechen. Der Fall verdeutlicht die allgemeine Frustration darüber, wie Datenschutzbestimmungen den Verwaltungsalltag erschweren.

Der Streit um Microsoft 365 hat tiefere Gräben zwischen politischen Entscheidungsträgern und Datenschutzbehörden offenbart. Während einige Bundesländer Verbote durchsetzen, suchen andere nach Kompromisslösungen – doch die DSGVO-Konformität bleibt ungelöst. Wie öffentliche Einrichtungen künftig digitale Innovation mit rechtlichen Verpflichtungen in Einklang bringen, wird sich an diesem Konflikt entscheiden.