Die österreichischen Datenschutzaktivisten von noyb haben einen Erfolg gegen Microsoft errungen. Die österreichische Datenschutzbehörde (DSB) hat entschieden, dass das Unternehmen in Microsoft 365 Education ohne Einwilligung (und somit unrechtmäßig) Cookies auf den Geräten einer Schülerin installiert hat. Microsoft hat nun vier Wochen Zeit, um der Entscheidung nachzukommen und die Verwendung von Tracking-Cookies einzustellen.
Monopol Microsoft und seine Gratis-Dienste
Microsoft hat bei den Office-Anwendungen eine Monopolstellung und versucht diese mittels Gratisangeboten sogar noch auszubauen. Wer die Dienste dieser Softwareanbieter nutzen will, muss sich den von den Unternehmen vorgelegten Vertragsbedingungen unterwerfen.
Gleichzeitig versuche Microsoft, die meisten seiner Verpflichtungen im Rahmen der DSGVO, vertraglich auf Schulen und Behörden abzuwälzen. Dabei haben die Schulen gar keine realistische Möglichkeit, Microsofts Vorgehen zu beeinflussen oder zu bestimmen, wie Daten verarbeitet werden.
In Wirklichkeit liegen deshalb alle Entscheidungsbefugnisse und Gewinne bei Microsoft, während die Schulen einen Großteil der Risiken tragen. Ich hatte bereits im Juni 2024 im Beitrag Noyb reicht gegen Microsoft 365 Education DSGVO-Beschwerden ein von den Bestrebungen der Datenschützer von noyb, Microsoft das Tracking unter Microsoft 365 Education zu untersagen, berichtet.
noyb hatte in Österreich gleich zwei Beschwerden gegen Microsoft und die Microsoft 365-Dienste für Education in Österreich eingereicht, wie ich im Artikel erwähnt habe. Eine Beschwerde von noyb wurde im Auftrag einer ehemaligen Schülerin geführt. In der Mitteilung von noyb hieß es: Obwohl die Beschwerdeführerin nie eingewilligt hat, getrackt zu werden, wurden mehrere Cookies installiert. Laut Microsofts eigener Dokumentation analysieren diese das Nutzungsverhalten, sammeln Browserdaten und werden für Werbung verwendet.
Ich hatte letztmalig im Oktober 2025 im Beitrag Österreichs Datenschutzbehörde: Microsoft 365 Education trackt Schüler illegal über die Entscheidung bezüglich der ersten Beschwerde berichtet.
Datenschutzbehörde (DSB) Österreichs entscheidet pro noyb
Nun hat die Datenschutzbehörde (DSB) Österreichs laut noyb eine Entscheidung (PDF) in der zweiten Beschwerde getroffen. Die zweite Beschwerde, über die nun entschieden wurde, betraf die Verwendung unrechtmäßiger Tracking-Cookies in Microsoft 365 Education. In ihrer jüngsten Entscheidung hat die DSB erneut festgestellt, dass Microsoft rechtswidrig gehandelt hat. Diese teilt noyb am 27. Januar 2026 in nachfolgendem Post und im Beitrag noyb-Erfolg: Microsoft muss Tracking von Schulkindern einstellen mit.
Die DSB befasste sich damit, dass Microsoft Tracking-Cookies auf den Geräten einer minderjährigen Nutzerin von Microsoft-365-Education gespeichert hat. Microsoft schreibt in seiner eigener Dokumentation, dass man über diese Cookies das Nutzungsverhalten analysieren, Browserdaten sammeln und für Werbung verwenden werde.
Die österreichische Datenschutzbehörde (DSB) hat nun entschieden, dass das Microsoft unrechtmäßig, wegen fehlender Einwilligung, Cookies auf den Geräten einer Schülerin installiert hat. Die DSB hat Microsoft aufgefordert, das Tracking der Beschwerdeführerin innerhalb von vier Wochen einzustellen. Sowohl die Schule als auch das österreichische Bildungsministerium gaben an, dass sie vor den noyb-Beschwerden keine Kenntnis von solchen Tracking-Cookies hatten.
Felix Mikolasch, Datenschutzjurist bei noyb: „Das Tracking von Minderjährigen ist offensichtlich alles andere als datenschutzfreundlich. Es scheint, als würde Microsoft sich nicht sonderlich um den Datenschutz kümmern, wenn es nicht um Marketing und PR-Aussagen geht."
Laut noyb versuchte Microsoft während des Verfahrens die Zuständigkeit auf seine EU-Tochtergesellschaft in Irland abzuwälzen, da diese für Microsoft 365-Produkte in Europa zuständig sei. Damit wäre die Datenschutzkommission in Österreich für die Beschwerde gegen Microsoft nicht mehr zuständig. Die DSB wies dieses Argument laut noyb zurück und stellte fest, dass tatsächlich Microsoft USA die relevanten Entscheidungen trifft.
Große US-Technologieunternehmen argumentieren regelmäßig, dass sie dem irischen Recht unterliegen, da die irische Datenschutzbehörde dafür bekannt ist, EU-Recht kaum durchzusetzen.
Welche Folgen hat die DSB-Entscheidung?
Microsoft 365 Education wird von Millionen Schulkindern und Lehrkräften in ganz Europa genutzt. Die Datenschutzbehörde in Österreich hat Microsoft vier Wochen Zeit gegeben, um die Praxis in Microsoft 365 Education innerhalb Österreichs abzustellen. Möglicherweise holt Microsoft künftig über die Schule eine entsprechende Zustimmung von den Eltern minderjähriger Schüler und Schülerinnen ein.
Aber die Implikationen der DSB sind weitreichender. Die deutschen Datenschutzbehörden haben bereits festgestellt, dass Microsoft 365 die Anforderungen der DSGVO nicht erfüllt (siehe Datenschutzkonferenz 2022: Microsoft 365 weiterhin nicht datenschutzkonform).
Jetzt steht fest: Das Tracking von Nutzern ohne deren Einwilligung verstößt gegen EU-Recht. Das stellt für alle Organisationen, die Microsoft 365 nutzen, ein Problem dar. Die deutschen Datenschutzbehörden haben bereits festgestellt, dass Microsoft 365 die Anforderungen der DSGVO nicht erfüllt. Spätestens wenn ein EU-Gericht angerufen wird, bekommen Nutzer von Microsoft 365 ein Problem. Das es auch anders laufen kann, zeigt Schleswig-Holstein (siehe Schleswig-Holstein: Schon 80 % der Arbeitsplätze auf LibreOffice umgestellt).
Ähnliche Artikel:
Microsoft Office spioniert Nutzer aus, kollidiert mit DSGVO
Microsoft will Office Pro Plus DSGVO-konform nachbessern
Privacy: Microsoft steht mit Windows 10/Office 365 unter Druck
Datenschutzkonferenz 2022: Microsoft 365 weiterhin nicht datenschutzkonform
Nachbetrachtung zur DSK-Einstufung "Microsoft 365 weiterhin nicht datenschutzkonform"
Noyb reicht gegen Microsoft 365 Education DSGVO-Beschwerden ein
Österreichs Datenschutzbehörde: Microsoft 365 Education trackt Schüler illegal
Bundesländer verweigern Einsicht in Rechtsgutachten zur DSGVO-Einstufung von Microsoft 365
EU-Datenschützer: EU-Kommission verstößt mit Microsoft 365 gegen DSGVO; Korrektur bis Dez. 2024
EU-Kommission darf MS365 einsetzen
Microsoft 365 an Schulen: Droht Schadensersatz wegen DSGVO-Verstößen?
Hessischer Datenschützer: Office 365 kann DSGVO-konform eingesetzt werden
MVP: 2013 – 2016
