FAQ zur Verweigerung von Microsoft 365

Ich bin der komische Typ, der an unserer Schule kein Microsoft 365 nutzten will. Wieso ich das tue und wie ich den häufigsten Gegenargumenten begegne, könnt ihr hier nachlesen. Wenn ihr weitere Fragen habt, schreibt sie mir gerne (z. Bsp. unten als Kommentar).

Inwiefern verweigerst du Microsoft 365?

Ich habe mich seit Einfürung von Microsoft Teams im Frühling 2020 geweigert, einen Account anzulegen und den Dienst zu nutzen. Seit seit Herbst 2021 eine Einwilligung für die Nutzung von Microsoft 365 nötig ist und ich diese nicht gegeben habe, ist es mir nicht mehr möglich, die Dienste zu nutzen.

Wieso verweigerst du Microsoft 365?

Siehe besonders die rechtlichen Aspekte hier.

Die kurze Antwort, warum ich den Dienst aktuell nicht nutze, ist, dass es mir die Schule ohne Einwilligung nicht erlaubt.

Ok, warum gibst du die Einwilligung nicht?

Weil ich nicht in erfordelichen Maße über die Verarbeitung aufgeklärt wurde. Ach, und weil meine Daten dadurch von Microsoft und US-Behörden missbraucht werden könnten, um mir und der Gesellsschaft zu schadet.

Aber die Server stehen doch in Europa?

Ob das wirklich so ist, ist nicht so sicher. Leicht überprüfen (durch Lokalisierung der IP-Adresse) lässt sich, dass die Daten zumindest teilweise in den USA verarbeitet werden, also für die Telekommunikationsüberwachung durch US-Behörden zugänglich sind. Auch wenn die Server ist Europa stehen, haben US-Behörden Zugriff darauf, da US-Unternehmen nach dem Cloud-Act zur Herausgabe von Daten auch außerhalb der USA verpflichtet sind.

Aber es wird doch nur der Name übertragen?

Die Schule übermittelt Microsoft direkt nur den Namen der Schüler. Der Großteil der problematischen Daten sind aber die, die für die Nutzung notwendig sind, also alles, was die Endgeräte beim Nutzen der Dienste erheben und an Microsoft senden: IP-Adresse und Cookies, Gerätedaten und Nutzungsverhalten, eingesendete bearbeitete Aufgaben und private Kommunikation mit Lehren und Mitschülern, Dokumentation von gemachten Hausaufgaben und teilgenommenen Konferenzen und schließlich Stunden an Videomaterial für die Videokonferenzen.

Die haben doch eh schon alle deine Daten?

Nein, denn ich gebe sie ihnen nicht und möchte nicht jetzt dazu gezwungen werden. Aber auch für die, die sowieso schon Daten mit Microsoft und Co. teilen, ist das kein Argument, denn dadurch halten sie halt nochmehr Daten.

Außerdem geht es hier darum, dass man sonst (mehr oder weniger) frei entscheiden kann, ob und inwiefern man seine Daten teilt und nicht von einer staatlichen Stelle dazu gezwungen wird. Es ist etwas ganz anderes, wenn ich meine Daten selbst preisgebe oder die Schule dies tut, womöglich noch, ohne mich darum zu fragen oder aufzuklären.

Es gibt keine anderen Möglichkeiten?

Doch, z. Bsp. Moodle mit integriertem BigBlueButton oder Jitsi Meet. Dies erfordet halt statt eine Bezahlung von Microsoft die Bezahlung von IT-Menschen, die dies einrichten und pflegen.

Wenn es nicht erlaubt wäre, gäbe es das doch schon längst nicht mehr?

Eine häufige Fehleinschätzung im Recht. Wo kein Kläger, da kein Richter.

Der Datenschutz wurde viele Jahre lang trotz rechtlicher Regulierung vernachlässigt. Seit vier Jahren gibt es die DSGVO, das mag lange klingen, ist aber noch zu kurz, damit es zu allen Fragen höchstrichterliche Entscheidungen gibt. 2020 urteilte der Europäische Gerichtshof, dass eine Datenübermittlung in die USA in der Regel (aufgrund der DSGVO) rechtswidrig ist (Schrems II), die Umsetzung davon dauert an, viele Beschwerden und Klagen dazu sind anhängig. Auch wenn die Rechtslage in einigen Bereichen schon recht klar ist, scheinen sich manche erst daran halten zu wollen, wenn oft genug empfindliche Bußgelder deswegen verhängt wurden. Gelegentlich gibt es diese gegen Microsoft und Co., allerdings scheinen die großen Internetunternehmen aktuell noch mehr Geld durch den Missbrauch von Daten als durch die Bestrafung dafür zu verdienen. Unternehmen und öffentliche Stellen, die deren Dienste einsetzen und damit mitverantwortlich sind, haben nicht viel zu befürchten und scheinen weiter zu machen, bis mal jemand konkret dagegen klagt oder Beschwerde bei einer Aufsichtsbehörde eingereicht, wie ich es in dem Fall getan habe, damit Recht endlich durchgesetzt wird.

Die Schule kann doch nichts für die Situation?

Die Aussage ist an sich richtig, das ändert aber nichts an den Punkten. Die Datenverarbeitung bleibt trotzdem eine Datenschutz- und Rechtszverletzung.

Außerdem sehe ich die Schule als Einrichtung, ja Repräsentant des Landes Baden-Württemberg, ich protestiere hier also gegen den Staat, der mir in Form der Schule begegnet.

Siehe dazu: Es gibt keine anderen Möglichkeiten? und Die Schule kann doch nichts für die Situation?

Erforden besondere Situationen nicht besondere Maßnahmen?

Der Rechtsstaat ist nicht verhandelbar. Wenn die Legislative (EU-Parlament) ein Gesetz erlässt, muss dich die Exekutive (Schule) daran halten (Gewaltenteilung). Zu entschieden, ob das Gesetz sinnvoll ist, ist nicht Aufgabe der Exekutive, sondern der Legislative.

Außerdem erfodert die aktuelle Situation keine besonderen Maßnahmen. Es gibt andere Möglichkeiten, ihr mit “gewöhnlichen” Maßnahmen zu begegnen.

Datenschutz ist (mir) egal

Datenschutz sollte dir nicht egal sein. Wenn er es für dich ist, solltest du dir vielleicht mal die Dokumentation “Citizenfour” über die Snowden-Entgüllungen anschauen.

Darüber hinaus, ist es es nicht wichtig, ob es dir wichtig ist, denn Datenschutz ist ein Grundrecht (u. a. im Grundgesetz und in der Europäischen Menscherechtskonvention). Der Staat muss ihn also schützen und wenn er dies nicht tut, ist das ein Problem an sich. (Die gesellschaftlichen Auswirkungen der Verletzung von Bürger- und Menschenrechten spüren am Ende alle.)

Und wenn er Gesetze zum Schutz des Datenschutzes erlässt und sie öffentliche Stellen einfach nicht daran halten, ist das zusätzlich ein Problem für die Rechtsstaatlichkeit.

Warum hast du Beschwerde gegen die Schule eingelegt?

Es handelt sich dabei um eine formale Beschwerde nach Art. 77 DSGVO, wodurch die zuständige Datenschutzaufsichtsbehörde (LfDI BW) den Fall auf Datenschutzrechtsverletzungen prüfen und ggf. Maßnahmen ergreifen muss, um diese zu verhindern. Ich habe der Schulleitung wiederholt die Verstöße mitgeteilt, diese hat diese aber kaum verhindert. Da meine Möglichkeiten damit ausgeschöpft sind, soll sich nun eine Behörde mit entsprechenden Exekutivfähigkeiten darum kümmern.

Was erhoffst du dir von der Beschwerde?

Dass die in der Schule eingesetzten Dienste datenschutzkonform werden. Mit Microsoft 365 wird das höchstwahrscheinlich nicht gehen, ich hoffe, das das die Schule dies nach der Beratung durch den LfDI BW einsieht und dieser ansonsten dies der Schule rechtskräftig vorschreibt. Ich hoffe, dass die Entscheidung des LfDI auch Präzedenzwirkung für alle Schulen zumindest in Baden-Württemberg haben wird, denn bisher gibt es soetwas noch nicht.

Siehe dazu auch einen Post des LfDI.

• Mastodon