NRW streitet über Datenschutz – während Microsoft 365 trotz DSGVO-Bedenken genutzt wird

NRW streitet über Datenschutz – während Microsoft 365 trotz DSGVO-Bedenken genutzt wird

In Nordrhein-Westfalen ist eine Debatte über den Datenschutz entbrannt, nachdem Ministerpräsident Hendrik Wüst (CDU) die Notwendigkeit einer unabhängigen Landesdatenschutzbehörde infrage gestellt hat. Seine Äußerungen stoßen auf scharfe Kritik von Abgeordneten und der Landesdatenschutzbeauftragten, die vor einer Schwächung der Kontrolle im Namen der Effizienz warnen.

Ausgelöst wurde der Streit, als Wüst öffentlich die Rolle der Landesdatenschutzbehörde hinterfragte und argumentierte, dass einige Vorschriften die Arbeit der Regierung behinderten. Als Beispiel nannte er eine Regelung im Bildungsbereich, wonach Schulen keine Daten zur Sprachkompetenz von Kindern erhalten dürfen, wenn Eltern widersprechen. Zwar betonte er die Bedeutung des Schutzes personbezogener Daten, warnte jedoch vor Bestimmungen, die "staatliches Handeln lähmen".

Bettina Gayk, die Landesbeauftragte für Datenschutz, wies Wüsts Vorwürfe zurück. Sie unterstrich, dass Datenschutzbehörden die Rechtsstaatlichkeit sichern und einen übermäßigen Einsatz staatlicher Macht verhindern. Der SPD-Abgeordnete Hartmut Ganzke verglich die Pläne zur Abschaffung der Kontrollinstanz mit der Idee, "den Türsteher zu feuern, weil die Schlange vor der Tür zu lang ist", und argumentierte, dass der Wegfall von Überprüfungen nur neue Probleme schaffen würde.

Der Konflikt eskaliert zu einem Zeitpunkt, an dem Nordrhein-Westfalen die Initiative "AI-Skilling.NRW" gemeinsam mit Microsoft gestartet hat – ohne vorher Gayks Behörde zu konsultieren. Dies steht im Kontrast zu anderen Bundesländern, in denen die Nutzung von Microsoft 365 an Schulen wegen Bedenken hinsichtlich der Datenschutz-Grundverordnung (DSGVO) verboten wurde. Die Datenschutzkonferenz von Bund und Ländern hatte zuvor festgestellt, dass Microsoft 365 den DSGVO-Anforderungen nicht genügt, und verwies dabei auf Risiken durch US-Überwachungsgesetze wie den CLOUD Act.

Seit 2022 haben Urteile des EuGH – darunter das Schrems-II-Folgeurteil von 2023 – sowie nationale Gerichtsentscheidungen in Deutschland, Italien und Österreich öffentlichen Einrichtungen die Nutzung von Microsoft 365 stark eingeschränkt. Viele sind seitdem auf EU-basierte Cloud-Dienste umgestiegen oder haben die Datenlokalisierung verstärkt. Nordrhein-Westfalen erlaubt jedoch weiterhin die Nutzung von Microsoft 365 und stützt sich dabei auf interne Prüfungen und vertragliche Garantien.

Pläne zur Abschaffung der Datenschutzbeauftragten auf Landesebene waren zwar in der Ministerpräsidentenkonferenz diskutiert worden, scheiterten jedoch an rechtlichen Hürden des EU-Rechts. Gayk warnte davor, Datenschutz als Hindernis darzustellen, und betonte, dass er in der staatlichen Arbeit Priorität behalten müsse.

Der Streit verdeutlicht die Spannungen zwischen Verwaltungs effizienz und Datenschutz in Nordrhein-Westfalen. Während EU-Urteile öffentliche Einrichtungen zunehmend von nicht konformen Diensten wie Microsoft 365 abbringen, bleibt der Kurs des Landes umstritten. Vorerst verhindert der rechtliche Rahmen größere Veränderungen bei der Datenschutzkontrolle – die Behörde bleibt damit in ihrer bisherigen Rolle erhalten.