Der Kreisausschuss wird gebeten, zu prüfen und zu berichten:
Sind Schulen im Landkreis Marburg-Biedenkopf von
- der
sich aus der zweiten Stellungnahme des hessischen Beauftragten für
Datenschutz und Informationsfreiheit bezüglich Nutzung von
Microsoft Office 365 an Schulen vom ß2.ß8.2019 ergebenden
Rechtsunsicherheit betroffen? Wenn ja: Wie viele Rechner sind
schätzungsweise betroffen und kann abgeschätzt werden, wie viele
Schülerinnen und Schüler betroffen sind? Bitte aufschlüsseln:
a) Wieviele Schulen/ Schülerinnen und Schüler betrifft Punkt 3.a) der Stellungnahme, wieviele Schulen 3.b)?
b) Wieviele Schulen betrifft der vorletzte Satz „Schulen, die den Erwerb beabsichtigen, können sich ebenfalls auf die Duldung berufen, tragen aber das finanzielle Risiko, falls die weitere Überprüfung zur Unzulässigkeit des Einsatzes von Office 365 in hessischen Schulen führen sollte. “ [Zitat] des Punktes 3. der Stellungnahme?
- Welche Alternativen werden den Schulen nahegelegt, werden dadurch Kosten entstehen, und wenn ja, in welcher ungefähren Höhe? Wird die Nutzung der kostenlos nutzbaren Software LibreOffice oder OpenOffice als mögliche Alternative in Erwägung gezogen?
- Wie wird sichergestellt, dass personenbeziehbare Daten, die bereits in die Microsoft Cloud übertragen wurden, rechtssicher gelöscht werden? Wird es hier Beratungen für die Lehrerinnen und Lehrer geben?
- Sieht der Kreisausschuss die erwähnte Aussage des hessischen Beauftragten für Datenschutz und Informationsfreiheit auch relevant und anwendbar auf Rechner der Kreisverwaltung an? Wenn ja: Wie viele Rechner sind hier schätzungsweise betroffen?
- Welche Alternativen sind für die Rechner der Kreisverwaltung vorhanden, werden dadurch Kosten entstehen, und wenn ja, in welcher ungefähren Höhe? Wird die Nutzung der kostenlos nutzbaren Software LibreOffice oder OpenOffice in Erwägung gezogen?
Begründung:
Der hessische Beauftragte für Datenschutz und Informationsfreiheit hat am 09.07.2019 eine Stellungnahme [1] veröffentlicht, nach der die Nutzung von Microsoft Office 365 an Schulen unzulässig ist, sofern personenbezogene bzw. -beziehbare Daten in der Cloud gespeichert werden. Er hat damit eine frühere Stellungnahme [2] revidiert, da sich die Voraussetzungen durch Abschaltung der sogenannten “Microsoft Cloud Deutschland” durch Microsoft geändert haben.
Die zweite Stellungnahme vom 02.08.2019 [3] duldet zwar vorläufig die Nutzung, hinterlässt aber aufgrund ihrer Vorbehalte eine deutliche Rechtsunsicherheit, die auch finanzielle Konsequenzen haben kann. Das generelle Problem besteht weiterhin.
Hierdurch entsteht Prüfungs- und ggf. Handlungsbedarf, um zu vermeiden, dass personenbezogene bzw. -beziehbare Daten rechtswidrig verarbeitet werden. Insbesondere, da unter den vormals gegebenen Voraussetzungen die Nutzung von Office 365 als möglich bewertet wurde, und das Produkt über den Rahmenvertrag zwischen Microsoft und dem FWU [4] verstärkt für Schulen beworben wird, ist davon auszugehen, dass dies auch genutzt wurde bzw. sofern keine Schritte unternommen werden, auch weiter genutzt wird.
Wenn bereits personenbeziehbare Daten in der Microsoft Cloud gespeichert wurden, ist ein besonderes Augenmerk auf die sichere Löschung zu legen. Gerade im Bereich des Cloud-Computing ist nicht immer direkt ersichtlich, wo Daten tatsächlich abgelegt werden und welche Kopien existieren. Hier ist zu befürchten, dass viele Lehrkräfte überfordert sind.
Da auch die Kreisverwaltung mit Office-Produkten personenbeziehbare Daten erfasst bzw. verarbeitet, ist zu prüfen, inwieweit auch hier Handlungsbedarf besteht.
Da die aktuelle Bewertung durch den hessischen Beauftragten für Datenschutz und Informationsfreiheit zeigt, dass die Bindung an einen Hersteller properitärer Software außerhalb des Geltungsbereiches der EU-DSGVO ein Risiko darstellt, sollten auch Produkte ohne Lizenzkosten, die ohne Übertragung von Daten an den Hersteller betrieben werden können, auf mögliche Eignung geprüft werden.
[4] https://fwu.de/rahmenvertrag-zwischen-dem-fwu-und-microsoft/
Antwort des Kreisausschusses
Unsere Anfrage wurde am 24.09.2019 beantwortet. Die Antwort kann hier (externer Link) eingesehen werden.