Kapitel 5   Jugend und Bildung einschließlich Medienkompetenz Wir gehen davon aus, dass das Jugendamt eine Verfahrensweise etablieren wird, die den datenschutzrechtlichen Anforderungen genügt. Das Beispiel zeigt, dass die Umstellung von Prozessen auf IT-Lösungen sehr gut geeignet sein kann, langjährig etablierte, aber unzulässige Verfahrensweisen zu hinter- fragen, um einen datenschutzgerechten Zustand zu entwickeln. 5.3         Zum Einsatz von Office 365 in Schulen Immer wieder erreichen uns Anfragen aus dem Schulbereich zur Zulässigkeit Aus der Praxis des Einsatzes von Office 365. Hierbei handelt es sich um ein Produkt des Un- ternehmens Microsoft Corp., das in der Regel die Office-Anwendungen in einer cloudbasierten Variante bereitstellt. Da sich die Frage der Zulässigkeit des Ein- satzes nicht nur in Berlin, sondern bundesweit stellt und auch für andere Teile der öffentlichen Verwaltung relevant ist, befinden sich die Datenschutzaufsichts- behörden des Bundes und der Länder seit mehreren Jahren mit Microsoft im Gespräch darüber, wie das Produkt datenschutzkonform genutzt werden kann. Das Grundproblem liegt darin, dass Microsoft aufgrund der Beauftragung durch eine Behörde Kenntnis von Daten erhält, die auch für eigene Zwecke des Unter- nehmens genutzt werden, ohne dass hierfür eine Rechtsgrundlage ersichtlich wäre. Bei den Daten handelt es sich neben den Inhalten, die die Behörde verar- beitet, auch um Angaben über die Nutzerinnen und Nutzer, seien es Beschäftigte oder Schülerinnen und Schüler. Dies geschieht insbesondere über die Verwen- dung der Software. Grundsätzlich ist es datenschutzrechtlich zwar denkbar, cloudbasierte Dienste privater Anbieter auch in öffentlichen Bereichen wie z.B. Schulen einzusetzen. Welche Anforderungen dabei jedoch erfüllt werden müssen, um die Vorgaben der DS-GVO einzuhalten, ist Gegenstand von Gesprächen zwischen den Datenschutz- aufsichtsbehörden und Microsoft. Ein besonderes Problem stellen die zwischen den Verantwortlichen und Micro- soft abzuschließenden Verträge über eine Auftragsverarbeitung durch Microsoft dar. Microsoft verlangt von den Auftraggeberinnen und -gebern, dass diese die Weiterverarbeitung ihrer ggf. personenbezogenen Daten durch Microsoft auch für 92

5.4 Die Schuldatenverordnung Zwecke der Produktverbesserung zulassen. Für eine dementsprechende Beauf- tragung durch öffentliche Stellen und eine Bereitstellung von personenbezogenen Daten, die sich auf Beschäftigte oder Bürgerinnen und Bürger beziehen, ist eine Rechtsgrundlage nicht erkennbar. Die deutschen Datenschutzaufsichtsbehörden befinden sich derzeit in einem engen Abstimmungsprozess darüber, wie gegenüber Microsoft erreicht werden kann, dass eine derartige Datenverwendung unterbleibt. Bis dahin bleibt es den Verantwortlichen überlassen, Office 365 so einzusetzen, dass die personenbezo- genen Daten lediglich ohne Verwendung der Cloud in der eigenen Informations- technik abgespeichert werden. Uns ist sehr wohl bewusst, dass die Zeit bei den Verantwortlichen, die sich mit der Frage der Zulässigkeit eines Einsatzes von Office 365 in ihren Institutionen beschäftigen, drängt. Daher bringen wir uns intensiv in den Klärungsprozess der rechtlichen und technischen Probleme ein, um bei den Schulen, aber auch den anderen Akteuren in der öffentlichen Verwaltung für Rechtssicherheit zu sorgen. Wir gehen davon aus, dass die Konferenz der unabhängigen Daten- schutzaufsichtsbehörden des Bundes und der Länder (DSK) zeitnah die Vor- aussetzungen für einen zulässigen Einsatz von Office 365 aufzeigen wird. Es wird an Microsoft liegen, seinen Teil zur Erfüllung dieser Voraussetzungen bei- zutragen. 5.4       Die Schuldatenverordnung – Eine neue Groß- baustelle auf dem Weg zur Digitalisierung Nachdem wir im vergangenen Jahr die Senatsverwaltung für Bildung, Jugend Aus der Praxis und Familie hinsichtlich der Anpassung des Berliner Schulgesetzes an die DS- GVO beraten haben,72 stand in diesem Jahr die Novellierung der Schuldatenver- ordnung auf der Agenda. 72   JB 2018, 5.1 93