Die österreichische Datenschutzbehörde (DSB) hat Microsoft wegen des Einsatzes von Tracking‑Cookies auf einem schulischen Gerät eines Kindes gerügt: Der Fall geht auf eine Beschwerde der Datenschutzorganisation noyb zurück, die bereits 2024 zwei Verfahren gegen Microsofts 365‑Education‑Plattform angestoßen hatte. Während es im ersten Fall um Verstöße gegen das Auskunftsrecht nach Art. 15 DSGVO ging, dreht sich die aktuelle Entscheidung um Cookies, die über Inhalte von Microsoft‑Diensten gesetzt wurden und das Gerät eines minderjährigen Schülers betrafen.
Interessant ist in diesem Fall vor allem, dass die Schule offenbar Microsoft 365 falsch konfiguriert hatte: Dennoch sieht die Behörde bei Microsoft eine Mitschuld: Die DSB argumentiert nämlich, dass die Cookies nicht durch die Schule selbst, sondern durch Microsofts Inhalte ausgeliefert wurden. Damit greift eine strengere Auslegung der gemeinsamen Verantwortung: Auch wenn Kunden Fehler machen, sollen große Cloud‑Anbieter technische Maßnahmen bereitstellen, die Datenschutzverstöße verhindern. Microsoft hat nun vier Wochen Zeit, das Tracking vollständig zu unterbinden. Das Unternehmen betont gegenüber Medien, dass Microsoft 365 Education weiterhin DSGVO‑konform genutzt werden könne und prüft aktuell die Entscheidung der Behörde.
Der Fall hat potenziell weitreichende Folgen für die gesamte Cloud‑Branche: Wenn Microsoft trotz Fehlkonfiguration durch die Schule haftet, könnte dies auch andere Anbieter wie Google Workspace, Apple School Manager oder andere Lernplattformen betreffen. Behörden und Bildungseinrichtungen müssten künftig noch genauer prüfen, wie Plattformen mit sensiblen Daten umgehen, während Anbieter stärker in die Pflicht genommen werden, Fehlkonfigurationen technisch abzufangen. Besonders im Bildungsbereich, in dem Minderjährige geschützt werden müssen, wächst der regulatorische Druck spürbar.
Für Microsoft ist die Entscheidung ein weiterer Hinweis darauf, dass Datenschutz im europäischen Bildungssektor zunehmend zu einem komplexen und streng überwachten Thema wird. Die DSB‑Rüge dürfte daher nicht nur technische Anpassungen nach sich ziehen, sondern auch die Diskussion darüber verstärken, wie viel Verantwortung Cloud‑Anbieter tatsächlich tragen müssen, wenn ihre Dienste in sensiblen Bereichen eingesetzt werden.
