Das Bildungsministerium bietet Bundesschulen Clouddienste von privaten Anbietern für IT-gestützten Unterricht an, darunter Microsoft 365 Education. Diese Software enthält Programme wie Word, Teams und Sharepoint. Bei der Nutzung werden Cookies eingesetzt, die das Nutzungsverhalten analysieren und Daten sammeln, auch für Werbezwecke. Eine Zustimmung für die Datenverarbeitung wurde nicht eingeholt.
"365 Education": Microsoft-Tracking-Cookies an Schulen ohne Einwilligung rechtswidrig
27-01-2026, 14:09
Die Datenschutzbehörde hat entschieden, dass der Einsatz von Tracking-Cookies ohne Zustimmung bei der Nutzung der Microsoft-Software "365 Education" illegal ist, da dies eine unrechtmäßige Verarbeitung personenbezogener Daten darstellt. Die Beschwerde wurde von der Organisation noyb im Namen einer minderjährigen Schülerin eingereicht. Diese Entscheidung ist noch nicht rechtskräftig.
Einwilligung für Microsoft-Tracking-Cookies nötig
In der Entscheidung zieht die DSB Grenzen für die Verarbeitung von Daten: "Soweit Microsoft Education 365 bereitgestellt wird und die Datenverarbeitung ausschließlich zu schulischen Zwecken erfolgt, ist aus Sicht der Datenschutzbehörde keine unrechtmäßige Datenverarbeitung gegeben." Anders verhalte es sich beim Einsatz von (Tracking-)Cookies. Für den Einsatz technisch nicht notwendiger Cookies sei eine vorherige Einwilligung nötig - und Cookies zu Werbe-, Tracking- oder Analysezwecken seien aus technischer Sicht nicht erforderlich.
Die DSB hat nun entschieden, dass Microsoft innerhalb von vier Wochen das Tracking einstellen bzw. eine Einwilligung einholen muss. Die Entscheidung ist allerdings noch nicht rechtskräftig - ein Rechtsmittel an das Bundesverwaltungsgericht ist möglich. Bei Microsoft ist man nach wie vor davon überzeugt, dass alle nötigen Datenschutzstandards eingehalten werden und Einrichtungen im Bildungssektor "365 Education" DSGVO-konform verwenden können, hieß es in einer Aussendung. Ob man ein Rechtsmittel ergreifen wird, wird derzeit geprüft,
"Das Tracking von Minderjährigen ist offensichtlich alles andere als datenschutzfreundlich", betonte noyb-Datenschutzjurist Felix Mikolasch in einer Aussendung. "Es scheint, als würde Microsoft sich nicht sonderlich um den Datenschutz kümmern, wenn es nicht um Marketing und PR-Aussagen geht." Im Zusammenhang mit Microsoft 365 Education hatte noyb zwei Beschwerden eingebracht. Über die erste war bereits im Oktober 2025 entschieden worden - damals stellte die DSB fest dass Microsoft das Recht auf Auskunft gemäß Datenschutz-Grundverordnung verletzt hatte. Schule, Bildungsministerium und dem Konzern wurde auch die Löschung der personenbezogenen Daten aufgetragen.
(APA/Red)
