Microsoft-Tracking-Cookies an Schulen rechtswidrig

Das Bildungsministerium stellt Bundesschulen Clouddienste durch private Clouddienste-Anbieter für den IT-gestützten Unterricht zur Verfügung. Dafür gibt es auch eine Rahmenvereinbarung mit der europäischen Niederlassung von Microsoft. Die Schülerin, für die noyb vor die DSB gezogen ist, besucht eine Schule, an der für Unterrichtszwecke die Software Microsoft 365 Education genutzt wird, die etwa Produkte wie Word, Teams und Sharepoint beinhaltet.

Im Rahmen der Nutzung wurden sogenannte Cookies gesetzt und ausgelesen. Diese analysieren das Nutzungsverhalten, sammeln Browserdaten und werden für Werbung verwendet. Eine Einwilligung dafür wurde nicht eingeholt - das hatte Microsoft im Verfahren auch gar nicht behauptet.

In der Entscheidung zieht die DSB Grenzen für die Verarbeitung von Daten: "Soweit Microsoft Education 365 bereitgestellt wird und die Datenverarbeitung ausschließlich zu schulischen Zwecken erfolgt, ist aus Sicht der Datenschutzbehörde keine unrechtmäßige Datenverarbeitung gegeben." Anders verhalte es sich beim Einsatz von (Tracking-)Cookies. Für den Einsatz technisch nicht notwendiger Cookies sei eine vorherige Einwilligung nötig - und Cookies zu Werbe-, Tracking- oder Analysezwecken seien aus technischer Sicht nicht erforderlich.

Die DSB hat nun entschieden, dass Microsoft innerhalb von vier Wochen das Tracking einstellen bzw. eine Einwilligung einholen muss. Die Entscheidung ist allerdings noch nicht rechtskräftig - ein Rechtsmittel an das Bundesverwaltungsgericht ist möglich. Bei Microsoft ist man nach wie vor davon überzeugt, dass alle nötigen Datenschutzstandards eingehalten werden und Einrichtungen im Bildungssektor "365 Education" DSGVO-konform verwenden können, hieß es in einer Aussendung. Ob man ein Rechtsmittel ergreifen wird, wird derzeit geprüft,

"Das Tracking von Minderjährigen ist offensichtlich alles andere als datenschutzfreundlich", betonte noyb-Datenschutzjurist Felix Mikolasch in einer Aussendung. "Es scheint, als würde Microsoft sich nicht sonderlich um den Datenschutz kümmern, wenn es nicht um Marketing und PR-Aussagen geht." Im Zusammenhang mit Microsoft 365 Education hatte noyb zwei Beschwerden eingebracht. Über die erste war bereits im Oktober 2025 entschieden worden - damals stellte die DSB fest dass Microsoft das Recht auf Auskunft gemäß Datenschutz-Grundverordnung verletzt hatte. Schule, Bildungsministerium und dem Konzern wurde auch die Löschung der personenbezogenen Daten aufgetragen.