Microsoft 365 Education an Schulen: Datenschutzrechtliche Grenzen beim Einsatz von Cookies
veröffentlicht am 11.02.2026
Die österreichische Datenschutzbehörde (DSB) hat in einer aktuellen Entscheidung klargestellt, dass Microsoft beim Einsatz von Microsoft 365 Education personenbezogene Daten von Schülerinnen und Schülern nicht mittels Cookies verarbeiten durfte, ohne zuvor eine Einwilligung einzuholen.
Ausgangspunkt des Verfahrens war die Beschwerde einer minderjährigen Schülerin, die von der österreichischen Datenschutzorganisation noyb vertreten wurde. Gegenstand der Beschwerde war der Einsatz unzulässiger Tracking-Cookies innerhalb von Microsoft 365 Education. Die Schülerin nutzte im Rahmen des Unterrichts einen von ihrer Schule bereitgestellten Microsoft-365-Account. Beim Arbeiten mit der Online-Version von Microsoft Word wurden auf ihrem Endgerät mehrere Cookies gesetzt, darunter solche mit Analyse- und Trackingfunktionen. Nach Microsofts eigener Dokumentation dienen diese Cookies unter anderem der Analyse des Nutzungsverhaltens, der Erhebung von Browserdaten sowie Werbezwecken.
Im konkreten Fall lag weder eine Einwilligung der minderjährigen Nutzerin noch ihrer gesetzlichen Vertreter vor.
Einsatz von Analyse- und Tracking-Cookies erfordern die Einwilligung
Die Datenschutzbehörde stellte fest, dass für den Einsatz technisch nicht notwendiger Cookies eine vorherige Einwilligung erforderlich ist. Cookies, die Analyse-, Tracking- oder internen Geschäftszwecken dienen, gelten nicht als technisch erforderlich. Ihr Einsatz setzt daher eine wirksame Einwilligung nach der Datenschutz-Grundverordnung (DSGVO) voraus.
Da im vorliegenden Fall keine wirksame Einwilligung vorlag und auch keine andere Rechtsgrundlage nach Art. 6 DSGVO einschlägig war, bewertete die Datenschutzbehörde die Datenverarbeitung als rechtswidrig. Insbesondere schloss sie eine Rechtfertigung auf Grundlage berechtigter Interessen ausdrücklich aus.