[3.5.2022] In Baden-Württemberg erwartet der Landesbeauftragte für den Datenschutz und die Informationsfreiheit von den Schulen, dass sie den Schülern Alternativen zum Cloud-Dienst MS 365 für den Schulbetrieb anbieten. Die Vorgabe soll spätestens bis zu den Sommerferien 2022 umgesetzt sein.

Baden-Württemberg will, dass sich die Schulen des Landes möglichst schnell von Cloud-Lösungen des Anbieters Microsoft verabschieden. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI), Stefan Brink, will in Kürze auf ihm bekannte Schulen zugehen, die den Cloud-Dienst Microsoft 365 (MS 365) oder MS Teams verwenden. Die rund 40 Schulen sollen über die rechtliche Bewertung zur Nutzung dieses Online-Dienstes informiert und um einen Zeitplan für den Umstieg auf Alternativen gebeten werden. Als Überbrückung bis zu den Sommerferien 2022 erwartet der Landesbeauftragte, dass Lehrern und Schülern Alternativen angeboten werden. Bei der Suche nach Alternativen will der Landesbeauftragte die Schulen beraten und gemeinsam mit dem Kultusministerium darauf hinwirken, dass sie ihren Bedürfnissen entsprechende Alternativen nutzen können.

MS 365: Datenschutzkonformer Betrieb unmöglich

Zuvor hatte der LfDI das Kultusministerium Baden-Württemberg über einen langen Zeitraum zum eventuellen Einsatz von MS 365 an Schulen begleitet und beraten. Für einen Pilotbetrieb zwischen Herbst 2020 und Frühling 2021 (wir berichteten) wurde vom Kultusministerium in Zusammenarbeit mit den beteiligten Dienstleistern und hochrangigen Vertretern von Microsoft eine funktionell eingeschränkte und möglichst datenschutzkonforme Konfiguration von MS 365 gewählt. Dabei waren datenschutzrechtlich besonders bedenkliche Funktionen von MS 365 soweit wie möglich deaktiviert, darunter etwa die Erfassung von Telemetrie- und Diagnosedaten. Zudem wurden im Pilotbetrieb zusätzliche Sicherheitsfunktionen implementiert und Accounts nur für Lehrkräfte, nicht aber für Schüler vergeben. Es gelang beim Pilotprojekt jedoch trotz intensiver Prüfung und Zusammenarbeit mit den Beteiligten nicht, eine datenschutzkonforme Lösung zu finden.
Im April 2021 informierte der LfDI das Kultusministerium über die datenschutzrechtliche Bewertung dieses Pilotprojekts und empfahl, von der Nutzung der geprüften Version von MS 365 an Schulen abzusehen. Alternative Lösungen sollten gefördert werden. Das Kultusministerium kündigte anschließend an, künftig auf eine datenschutzkonforme digitale Bildungsplattform zu setzen.

Alternativen ohne zusätzliche Kosten für Schulen

Der Landesbeauftragte weist darauf hin, dass inzwischen auch alternative digitale Tools angeboten werden, die sich bereits bewährt haben. Als Lern-Management-System könnten etwa Moodle oder itslearning (wir berichteten) verwendet werden, die das Ministerium den Schulen ohne weitere Kosten anbietet. Die Einbindung des Web-Konferenzsystems BigBlueButton ist jeweils integriert, sodass auch Videokonferenzen durchgeführt werden können.
Schulen, die der Ansicht sind, dass ihr Einsatz und ihre Konfiguration von MS 365 den rechtlichen Anforderungen genügen und die den Cloud-Dienst weiter nutzen möchten, müssen nun begründen, wie sie den datenschutzkonformen Betrieb sicherstellen und dies entsprechend ihrer Rechenschaftspflicht gemäß Datenschutz-Grundverordnung eindeutig nachweisen wollen. (sib)

Hinweise des LfDI zur Nutzung von Microsoft 365 durch Schulen (Deep Link)
Pilotprojekt des LfDI zur Nutzung MS 365 an Schulen (Deep Link)
https://www.baden-wuerttemberg.datenschutz.de
https://km-bw.de

Stichwörter: Schul-IT, Baden-Württemberg, Microsoft, digitale Souveränität, Moodle, itslearning