Österreich: Microsoft Cloud-Office trackt Schüler illegal

Microsoft versucht seit geraumer Zeit mit seinem Office-Abonne­ment Microsoft 365 auch im Bildungsbereich mehr Kunden zu ge­win­nen. Laut einer Entscheidung der Österreichischen Daten­schutz­behörde erfolgt dabei offenbar illegales Tracking von Schülern.

Microsoft verwies bei DSGVO-Verantwortung auf Schulen

Die Verwendung von Microsoft 365 in Schulen könnte bald auch in Deutschland und Österreich stärker eingeschränkt werden. Hintergrund ist die Feststellung der Datenschutzbehörde Österreichs (DSB), dass Microsoft offenbar illegales Tracking von Schülern vornimmt und dabei keinerlei Verantwortung bezüglich der Einhaltung der Datenschutzgrundverordnung (DSGVO) übernimmt.

Die Datenschutz-Lobbygruppe Noyb hatte im Namen einer Schülerin aus Österreich Beschwerde bei der DSB eingelegt (via Borncity), weil Microsoft bei einer Anfrage der Schülerin über den Umfang und den Inhalt ihrer bei dem Unternehmen gespeicherten Daten auf die Bildungseinrichtung als Verantwortlichen für die Auskunft verwiesen hatte. Dabei hatte noyb sich mit seiner Beschwerde auch gegen die Schule, die zuständige Bildungsdirektion, das österreichische Bildungsministerium und Microsoft in den USA gewandt.

Tracking-Cookies ohne Zustimmung = DSGVO-Verstoß

Bei einer Prüfung der Verantwortlichkeiten stellte die DSB fest, dass mehrere Verstöße gegen die DSGVO vorliegen. So verwendet Microsoft 365 auch in der Education-Variante ohne Zustimmung Tracking-Cookes, was als illegal eingestuft wurde. Die DSB veranlasste deshalb die Löschung dieser personenbezogenen Daten. Microsoft habe außerdem gegen das in der DSGVO verankerte Auskunftsrecht verstoßen, indem man der Beschwerdeführerin keinen vollständigen Zugang zu ihren bei dem Unternehmen gespeicherten Daten gab.

Microsoft soll jetzt nicht nur diesen Zugang ermöglichen, sondern auch klarstellen, was für "legitime Geschäftstätigkeiten" des Unternehmens bestehen, für die die erfassten Daten verwendet werden. Zusätzlich ist zu klären, ob und wie Daten der Beschwerdeführerin an Drittfirmen wie den Tracking-Anbieter Xandr, den KI-Anbieter OpenAI und Microsofts Job-Plattform LinkedIn weitergegeben wurden.

Die DSB sieht unterdessen auch die Bildungsbehörden in Österreich und die Schulen in der Pflicht, was die Bereitstellung von Informationen darüber angeht, welche Informationen von Schülern an Microsoft übermittelt wurden. Allerdings stellt die österreichische DSB auch fest, dass die zuständigen Bildungsbehörden und die Schule gar keine entsprechenden Informationen von Microsoft erhalten haben.

Die Verantwortlichkeit liegt nach Meinung der DSB grundsätzlich bei Microsoft - und zwar nicht bei der europäischen Hauptniederlassung in Irland, sondern am Hauptquartier in den USA. Sollte der Softwarekonzern bezüglich Transparenz bezüglich des Umgangs mit den Daten seiner Nutzer nicht umgehend aktiv werden, könnten sich massive Probleme für das Unternehmen ergeben, weil man in großem Stil gegen die DSGVO verstößt - auch mit den Microsoft-365-Produkten für Privatanwender und Firmenkunden.


Siehe auch: