> ## Content Index > Fetch the complete content index at: https://www.privacyofficers.at/llms.txt > Use this file to discover other available public pages before exploring further. # Illegales Tracking in Microsoft 365 Education: Ein Einzelfall mit Sprengkraft - URL: https://www.privacyofficers.at/illegales-tracking-in-microsoft-365-education-ein-einzelfall-mit-sprengkraft/ - Published: 2026-01-27T16:17:00.000Z - Updated: 2026-01-27T16:17:00.000Z - Author: Michael Mrak - Tags: GRC Der jüngste Bescheid der österreichischen Datenschutzbehörde ist mehr als nur eine schulbezogene Datenschutzpanne. Er ist **ein deutliches Warnsignal für alle Organisationen, die Microsoft-365-Dienste in der EU einsetzen**, auch im sensiblen Bildungsbereich. ## Der Kern des Falls Eine österreichische Schülerin nutzte **Microsoft 365 Education** im Browser. Ohne ihr Wissen und ohne wirksame Einwilligung installierte Microsoft mehrere **Tracking-Cookies** auf ihrem Endgerät. > Ein technischer Netzwerk-Mitschnitt belegte, dass in weiterer Folge **personenbezogene Daten an Microsoft übermittelt wurden** obwohl die Betroffene in den Datenschutzeinstellungen jede verfügbare Datenübermittlung abgelehnt hatte. Die [**Datenschutzbehörde**](https://noyb.eu/sites/default/files/2026-01/Standarderledigung%20Bescheid%5Fgeschw%C3%A4rzt.pdf?ref=privacyofficers.at) stellte nun fest, **dass dieses Tracking rechtswidrig war**. Microsoft wurde aufgefordert, das Tracking binnen vier Wochen einzustellen, andernfalls drohen Sanktionen. ## Das ist kein Randthema sondern ein strukturelles Problem Der Fall wurde von der NGO [**noyb**](https://noyb.eu/?ref=privacyofficers.at) bei der Datenschutzbehörde eingebracht. Deren Einschätzung ist eindeutig: Hier geht es nicht um einen technischen Fehler, sondern um **systemische Defizite** im Umgang mit Datenschutz bei Microsoft. Besonders brisant ist dabei die vertragliche Konstruktion: > Microsoft verweist auf die Schulen als Verantwortliche, obwohl diese faktisch **keinen Zugriff auf die relevanten Verarbeitungsvorgänge** haben. Für Betroffene entsteht ein klassisches Verantwortungs-Vakuum, ein klarer Verstoß gegen die Grundlogik der DSGVO. ## Minderjährige heute, alle anderen morgen Wer glaubt, dieser Fall sei auf Schüler\*innen beschränkt, verkennt die Tragweite. Tracking-Cookies dieser Art dienen der **eindeutigen Identifikation von Nutzenden** und der Analyse des Nutzungsverhaltens. Das sind klassische Zwecke, die auch in kommerziellen Microsoft-365-Umgebungen relevant sind. Wenn solches Tracking bereits bei **Minderjährigen in Microsoft 365 Education** erfolgt, stellt sich zwangsläufig die Frage, **was in der regulären Office-Suite passiert**. > Zur Erinnerung: Deutsche Datenschutzbehörden kamen bereits **2022** zum Schluss, [**dass Microsoft 365 nicht DSGVO-konform betrieben werden kann**](https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DSK/DSKBeschluessePositionspapiere/104DSK-Festlegung-Microsoft-Onlinedienste.pdf?ref=privacyofficers.at). Der aktuelle österreichische Bescheid bestätigt diese Einschätzung auf neuer Faktenbasis. ## Der Versuch der Zuständigkeitsflucht Microsoft argumentierte im Verfahren, dass die irische Tochtergesellschaft zuständig sei. Die Datenschutzbehörde stellte jedoch klar: > Die **entscheidenden Weichenstellungen erfolgen in den USA** und damit außerhalb der europäischen Datenschutzkontrolle. Auch das ist kein neues Muster, aber eines, das zunehmend **rechtlich nicht mehr akzeptiert wird**. Dieser Fall ist kein Ausreißer. Er ist ein **weiterer Baustein in einer langen Kette von Entscheidungen**, die zeigen, dass Microsoft 365 strukturell kaum DSGVO-konform betrieben werden kann, weder in Schulen noch in Unternehmen oder Behörden. Für Verantwortliche bedeutet das: - **Risikobewertung aktualisieren**: Microsoft-365-Einsatz neu bewerten, insbesondere bei Browser-Nutzung - **Transparenz schaffen**: Betroffene korrekt informieren - **Alternativen prüfen**: Europäische, datenschutzfreundliche Lösungen ernsthaft evaluieren - **Verantwortung übernehmen**: Datenschutz lässt sich nicht an US-Konzerne auslagern Datenschutz ist kein Formalthema sondern eine **Governance-Frage** und zunehmend eine **Haftungsfrage**.