Datenschutzbehörde:
Microsoft-Tracking-Cookies an Schulen rechtswidrig
Die Datenschutzbehörde (DSB) hat den Einsatz von Tracking-Cookies ohne Einwilligung im Zusammenhang mit der Microsoft-Software „365 Education“ als rechtswidrig erklärt. Damit liege eine unrechtmäßige Verarbeitung personenbezogener Daten vor. Die Beschwerde für eine minderjährige Schülerin war von der Datenschutzorganisation noyb eingebracht worden, die Entscheidung ist noch nicht rechtskräftig.
Das Bildungsministerium stellt Bundesschulen Clouddienste durch private Anbieter für den IT-gestützten Unterricht zur Verfügung. Dafür gibt es auch eine Rahmenvereinbarung mit der europäischen Niederlassung von Microsoft. Die Schülerin, für die noyb vor die DSB gezogen ist, besucht eine Schule, an der für Unterrichtszwecke die Software Microsoft 365 Education genutzt wird, die etwa Produkte wie Word, Teams und Sharepoint beinhaltet.
Im Rahmen der Nutzung wurden sogenannte Cookies gesetzt und ausgelesen. Diese analysieren das Nutzungsverhalten, sammeln Browserdaten und werden für Werbung verwendet. Eine Einwilligung dafür wurde nicht eingeholt – das hatte Microsoft im Verfahren auch gar nicht behauptet.
Einwilligung nötig
In der Entscheidung zieht die DSB Grenzen für die Verarbeitung von Daten: „Soweit Microsoft Education 365 bereitgestellt wird und die Datenverarbeitung ausschließlich zu schulischen Zwecken erfolgt, ist aus Sicht der Datenschutzbehörde keine unrechtmäßige Datenverarbeitung gegeben.“ Anders verhalte es sich beim Einsatz von (Tracking-)Cookies. Für den Einsatz technisch nicht notwendiger Cookies sei eine vorherige Einwilligung nötig – und Cookies zu Werbe-, Tracking- oder Analysezwecken seien aus technischer Sicht nicht erforderlich.
Die DSB hat nun entschieden, dass Microsoft innerhalb von vier Wochen das Tracking einstellen bzw. eine Einwilligung einholen muss. Die Entscheidung ist allerdings noch nicht rechtskräftig – ein Rechtsmittel an das Bundesverwaltungsgericht ist möglich.
Bei Microsoft ist man nach wie vor davon überzeugt, dass alle nötigen Datenschutzstandards eingehalten werden und Einrichtungen im Bildungssektor „365 Education“ DSGVO-konform verwenden können, hieß es in einer Aussendung. Ob man ein Rechtsmittel ergreift, wird derzeit geprüft,
„Alles andere als datenschutzfreundlich“
„Das Tracking von Minderjährigen ist offensichtlich alles andere als datenschutzfreundlich“, betonte noyb-Datenschutzjurist Felix Mikolasch in einer Aussendung. „Es scheint, als würde Microsoft sich nicht sonderlich um den Datenschutz kümmern, wenn es nicht um Marketing und PR-Aussagen geht.“
Im Zusammenhang mit Microsoft 365 Education hatte noyb zwei Beschwerden eingebracht. Über die erste war bereits im Oktober 2025 entschieden worden – damals stellte die DSB fest, dass Microsoft das Recht auf Auskunft gemäß Datenschutz-Grundverordnung verletzt hatte. Schule, Bildungsministerium und dem Konzern wurde auch die Löschung der personenbezogenen Daten aufgetragen.
Willkommen in unserer Community! Eingehende Beiträge werden geprüft und anschließend veröffentlicht. Bitte achten Sie auf Einhaltung unserer Netiquette und AGB. Für ausführliche Diskussionen steht Ihnen ebenso das krone.at-Forum zur Verfügung. Hier können Sie das Community-Team via unserer Melde- und Abhilfestelle kontaktieren.
User-Beiträge geben nicht notwendigerweise die Meinung des Betreibers/der Redaktion bzw. von Krone Multimedia (KMM) wieder. In diesem Sinne distanziert sich die Redaktion/der Betreiber von den Inhalten in diesem Diskussionsforum. KMM behält sich insbesondere vor, gegen geltendes Recht verstoßende, den guten Sitten oder der Netiquette widersprechende bzw. dem Ansehen von KMM zuwiderlaufende Beiträge zu löschen, diesbezüglichen Schadenersatz gegenüber dem betreffenden User geltend zu machen, die Nutzer-Daten zu Zwecken der Rechtsverfolgung zu verwenden und strafrechtlich relevante Beiträge zur Anzeige zu bringen (siehe auch AGB). Hier können Sie das Community-Team via unserer Melde- und Abhilfestelle kontaktieren.