Der Hessische Beauftragten für Datenschutz und Informationsfreiheit (HBDI) erklärt die Nutzung von Office 365 durch hessische Schulen überraschend bis auf weiteres für zulässig.

Zur Erinnerung

Am 9. Juli hatte Der Landesdatenschutzbeauftragte in seiner Stellungnahme den Einsatz von Office 365 an hessischen Schulen für unzulässig erklärt. Begründet wurde dies mit der besonderen Verantwortung von öffentlichen Einrichtungen im Allgemeinen und Schulen im Besonderen hinsichtlich der Zulässigkeit und Nachvollziehbarkeit der Verarbeitung personenbezogener Daten. Ferner argumentiert er mit der Gewährleistung der digitalen Souveränität staatlicher Datenverarbeitung. Das Hauptproblem war die Übermittlung sogenannter Telemetrie-Daten an Microsoft.

2. Stellungnahme

Am 2. August folgte nun eine 2. Stellungnahme zum Einsatz von Microsoft Office 365 in hessischen Schulen. Zwar betont der Hessische Landesdatenschutzbeauftragte darin, dass die Zulässigkeit des Einsatzes von Office 365 noch nicht abschließend geklärt sei und weitere Prüfungen ausstehen, aber Schulen unter bestimmten Bedingungen nun doch Office 365 einsetzen dürfen.

Kernaussage ist, dass Schulen Office 365 einsetzen dürfen, wenn sie die Übermittlung jedweder Art von Diagnosedaten unterbinden.

Im Detail heißt es in der 2. Stellungnahme:

  1. die Nutzung der Cloud-Anwendung Office 365 in der Version ab 1904 (Office365 ProPlus, Office365 Online und Office365 Apps) durch Schulen, die diese bereits erworben haben, wird bis auf weiteres geduldet;
  2. entsprechendes gilt für Schulen, bei denen der Erwerb haushaltsrechtlich gesichert ist.
    Die Duldung beruht auf Vertrauenserwägungen.
    Schulen, die den Erwerb beabsichtigen, können sich ebenfalls auf die Duldung berufen, tragen aber das finanzielle Risiko, falls die weitere Überprüfung zur Unzulässigkeit des Einsatzes von Office 365 in hessischen Schulen führen sollte. Vertrauenserwägungen kommen hier nicht in Betracht.

Die Schulen müssen vorläufig die Übermittlung jedweder Art von Diagnosedaten unterbinden. Der Landesdatenschutzbeauftragte wird zu gegebener Zeit weitere Vorgaben hinsichtlich der Parameter machen, die als Grundlage für die Nutzung der Cloud umzusetzen sind. Microsoft wird Schulen hierfür Handlungsanleitungen zur Verfügung stellen.