Thiel: Einsatz von Office 365 weiter kritisch – Verantwortliche müssen datenschutzkonforme Kommunikationsstrukturen etablieren

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen, Barbara Thiel, zeigt sich mehr als verwundert angesichts der Äußerungen von Verbandsseite zu einem angeblichen Verbot von Microsoft Office 365. „Wir haben bislang keine entsprechende Anordnung oder Untersagung ausgesprochen“, sagt Thiel. „Richtig ist allerdings, dass wir den Einsatz dieser Produkte als sehr kritisch einschätzen.“

Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz) befasst sich seit geraumer Zeit mit der Frage eines datenschutzkonformen Einsatzes von Office 365 im öffentlichen und nicht-öffentlichen Bereich. Problematisch sind dabei vor allem die Auftragsverarbeitungsverträge von Microsoft, die dem Einsatz von Office 365 zugrunde liegen, sowie die Übertragung von Telemetriedaten im Hintergrund, für die es nach derzeitigem Stand keine Rechtsgrundlage gibt. Die Datenschutzkonferenz hat bereits zahlreiche Gespräche mit Microsoft geführt, um die bestehenden rechtlichen Probleme zu lösen.

„Aufgrund der beschriebenen Gesamtsituation kann ich von einem Einsatz von Office 365 nach wie vor aus datenschutzrechtlicher Sicht nur dringend abraten“, so die Landesdatenschutzbeauftragte. „Ich hoffe, dass Microsoft die Gesprächsangebote der Datenschutzkonferenz nutzt und die erforderlichen Nachbesserungen umsetzt, um seinen Kundinnen und Kunden einen rechtskonformen Betrieb seines Produktes zu erleichtern.“

Irritiert zeigt sich die LfD auch ob der Äußerungen von Seiten der berufsbildenden Schulen. „Das Niedersächsische Kultusministerium hat mich um beratende Begleitung zum möglichen Einsatz von Office 365 in berufsbildenden Schulen gebeten. Dazu habe ich mich gerne bereit erklärt“, so Thiel. Derzeit erhebt und bewertet das Kultusministerium verschiedene konkrete Nutzungsszenarien von Office 365 an berufsbildenden Schulen. Der LfD wurden hierzu Unterlagen zur Verfügung gestellt, die momentan geprüft werden. „Meine Behörde wird gegenüber dem Kultusministerium zu den jeweiligen datenschutzrechtlichen Bewertungen der erhobenen Nutzungsszenarien Stellung nehmen und das Vorhaben so weiter unterstützen“, sagt die Landesdatenschutzbeauftragte.

Im Übrigen entspricht die Aussage der Verbände, die LfD habe nach der Pandemie bedingten Duldung von Office-365-Produkten an Schulen nun plötzlich ein Verbot ausgesprochen, nicht den Tatsachen. Richtig ist: Angesichts des ersten Lockdowns und der damit einhergehenden Schließungen von Schulen und anderen Einrichtungen im Frühjahr 2020 wurde zeitlich begrenzt geduldet, dass öffentliche Stellen digitale Kommunikationsmittel einsetzen, die nicht im vollen Umfang sämtliche datenschutzrechtlichen Anforderungen erfüllten. Im Herbst 2020 wurde diese Duldung widerrufen, da die LfD davon ausgehen musste, dass die Verantwortlichen die Zwischenzeit dafür genutzt hatten, um für den fortdauernden Einsatz digitaler Kommunikationsmittel datenschutzkonforme Produkte auszuwählen und einzurichten.

„Das ist aber offensichtlich auch fast anderthalb Jahre nach Beginn der Pandemie noch immer nicht geschehen“, kritisiert Thiel. Aufgrund der weiter anhaltenden Pandemielage sind sämtliche Verantwortliche gehalten, sofern dies noch nicht erfolgt ist, datenschutzkonforme digitale Kommunikationsstrukturen zu etablieren.