NRW-Zoff um Microsoft 365: Datenschützer warnen vor GDPR-Verstößen in Schulen

NRW-Zoff um Microsoft 365: Datenschützer warnen vor GDPR-Verstößen in Schulen

In Nordrhein-Westfalen ist ein Streit um den Datenschutz entbrannt, nachdem das Bundesland eine KI-Initiative mit Microsoft 365 gestartet hatte – ohne vorher die eigene Datenschutzbehörde zu konsultieren. Ministerpräsident Hendrik Wüst (CDU) stellte öffentlich die Notwendigkeit einer unabhängigen Landesbehörde infrage und erntete dafür Kritik von Abgeordneten und Aufsichtsbehörden. Die Auseinandersetzung kommt zu einer Zeit, in der mehrere deutsche Bundesländer Microsoft 365-Produkte an Schulen aus Datenschutzgründen einschränken oder verbieten.

Ausgelöst wurde der Konflikt durch die Einführung des Programms "AI-Skilling.NRW" in Kooperation mit Microsoft 365. Die Landesbeauftragte für Datenschutz und Informationsfreiheit, Bettina Gayk, war zuvor nicht eingebunden worden. Wüst kritisierte später bestehende Regelungen, darunter eine Vorschrift, die Schulen den Zugang zu Deutschleistungsbewertungen von Kindern verwehrt, wenn Eltern widersprechen. Solche Schutzmaßnahmen drohten, "staatliches Handeln zu lähmen", räumte der Ministerpräsident ein – betonte aber zugleich die Bedeutung des Schutzes persönlicher Daten.

Gayk wies Wüsts Vorwürfe zurück und unterstrich, dass Datenschutzbehörden dazu da seien, "die Rechtsstaatlichkeit zu wahren". Ihr Amt hatte bereits zuvor gewarnt, dass die weitere Nutzung von Microsoft 365-Produkten an nordrhein-westfälischen Schulen – trotz interner Prüfungen und zusätzlicher Vertragsklauseln – nach wie vor keine GDPR-Konformität belege.

Die Debatte beschränkt sich nicht auf das Bundesland. Drei Länder – Rheinland-Pfalz, Hessen und Baden-Württemberg – haben Microsoft 365 oder Teams entweder komplett verboten oder stark eingeschränkt. Rheinland-Pfalz sperrte Microsoft Teams, Hessen setzte dem Einsatz enge Grenzen, und Baden-Württemberg erklärte Microsoft 365 für nicht konform und setzt stattdessen auf datenschutzfreundliche Alternativen oder landeseigene Lösungen. Auf Bundesebene urteilte die Datenschutzkonferenz von Bund und Ländern, dass der Einsatz von Microsoft 365 in öffentlichen Einrichtungen gegen die Datenschutz-Grundverordnung verstößt.

Auf politischer Ebene scheiterte ein von der CDU vorgebrachter Vorschlag, die Landesdatenschutzbeauftragten abzuschaffen, nachdem Rechtsexperten auf Konflikte mit EU-Recht hinwiesen. Der SPD-Abgeordnete Hartmut Ganzke verurteilte die Idee scharf und verglich sie mit "dem Türsteher zu feuern, weil die Schlange zu lang ist". Die Ministerpräsidentenkonferenz nahm den Plan schließlich nicht weiter auf.

Nordrhein-Westfalen steht nun unter Druck, seine Digitalisierungsstrategie im Bildungsbereich an die GDPR-Standards anzupassen. Angesichts der Tatsache, dass immer mehr Bundesländer Microsoft-Tools meiden und Bundesbehörden die Compliance-Anforderungen verschärfen, zeigt der Streit die wachsenden Spannungen zwischen Datenschutzvorgaben und staatlichen IT-Strategien. Das Ergebnis könnte wegweisend dafür sein, wie andere Regionen künftig Innovation und Privatsphäre in Einklang bringen.