Cloud-Lösungen an Schulen sind 2026 rechtlich stark reglementiert: Microsoft 365 Education gilt in Baden-Württemberg als nicht datenschutzkonform einsetzbar, mehrere Länder setzen auf eigene Landes-Clouds wie mebis, LernSax oder BayernCloud Schule. DSGVO-konforme Alternativen sind Nextcloud, HPI Schul-Cloud (dBildungscloud) und IServ.
Microsoft 365 Education und Google Workspace for Education stehen in Deutschland unter starker aufsichtsrechtlicher Kritik: Baden-Württemberg rät seit 2022 offiziell ab, Berlin und Hamburg sehen erhebliche Risiken. Als datenschutzsichere Alternativen etablieren sich Landes-Clouds (mebis, LernSax, BayernCloud Schule) und offene Plattformen wie Nextcloud, dBildungscloud (ehemals HPI Schul-Cloud) und IServ. Der Auswahlprozess folgt drei Kriterien: Datenverarbeitung im EWR, Auftragsverarbeitungsvertrag mit Löschkonzept und pädagogischer Funktionsumfang.
Warum sind Cloud-Lösungen an Schulen datenschutzrechtlich kritisch?
Cloud-Lösungen an Schulen verarbeiten personenbezogene Daten von Minderjährigen und unterliegen deshalb den strengen Anforderungen der DSGVO plus Landesschulgesetze. Das Kernproblem ist der Zugriff durch Behörden aus Drittstaaten, insbesondere durch den US-amerikanischen CLOUD Act auf Anbieter mit US-Muttergesellschaft.
Schulen sind öffentliche Stellen der Länder. Sie unterliegen damit nicht nur der DSGVO, sondern zusätzlich den Landesdatenschutzgesetzen und den jeweiligen Schuldatenschutzverordnungen. Der Landesbeauftragte für Datenschutz kann Verarbeitungen untersagen, wenn Risiken für Schülerinnen und Schüler bestehen. Diese Untersagungsbefugnis wurde in Baden-Württemberg gegen einzelne Schulen bereits eingeleitet.
Das Schrems-II-Urteil des EuGH von 2020 hat den Privacy Shield gekippt. Der Nachfolger Trans-Atlantic Data Privacy Framework von Juli 2023 steht seit Einführung unter juristischer Beobachtung, mehrere Klagen prüfen die Angemessenheit. Für Schulen bedeutet das: Datentransfers in die USA sind rechtlich instabil, ein Framework-Wegfall würde MS 365 und Google-Dienste sofort unrechtmäßig machen.
Hinzu kommt die Telemetrie-Frage. Microsoft und Google übertragen Nutzungsdaten an eigene Server, teils zu Diagnosezwecken, teils zur Produktverbesserung. Der LfDI Baden-Württemberg hat in einem zweijährigen Pilotprojekt mit dem Kultusministerium 2022 festgestellt, dass diese Telemetrie sich nicht vollständig abschalten lässt und der Verantwortliche keine ausreichende Kontrolle über die Datenflüsse hat.
Ein datenschutzrechtlicher Verstoß an einer Schule löst zwei Rechtsfolgen aus: eine Untersagungsverfügung durch die Aufsichtsbehörde und potenziell Schadensersatzansprüche der betroffenen Familien nach Art. 82 DSGVO. Schulleitungen tragen die Verantwortung als Verantwortliche im Sinne der DSGVO. Vor jeder Einführung ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht.
Welche Bundesländer haben Microsoft 365 an Schulen untersagt oder eingeschränkt?
Baden-Württemberg hat als erstes Bundesland die Nutzung von Microsoft 365 an Schulen für nicht rechtskonform erklärt. Nach dem Pilotprojekt 2022 rät der LfDI ab und leitete Untersagungsverfahren gegen einzelne Schulen ein. Berlin, Hamburg und Rheinland-Pfalz äußern ähnliche Bedenken, empfehlen aber keine vollständige Untersagung.
Die Länderlage im Detail differenziert sich in drei Gruppen. Zur ersten Gruppe der klaren Ablehner zählt Baden-Württemberg. Der Landesbeauftragte Tobias Keber schrieb 2022 in seiner Empfehlung, dass die geprüfte Version von Microsoft 365 aufgrund hoher datenschutzrechtlicher Risiken an Schulen nicht eingesetzt werden sollte. Das Kultusministerium reagierte mit einer schrittweisen Ablöse-Strategie und dem Aufbau einer landeseigenen digitalen Bildungsplattform.
Zur zweiten Gruppe der kritisch-tolerierenden Länder gehört Nordrhein-Westfalen. Der LfDI hat 2024 ein Update herausgegeben, das den Einsatz unter engen Bedingungen zulässt: gesonderter Datenverarbeitungsvertrag, keine Diagnose-Daten in Standard-Konfiguration, dokumentierte Datenschutz-Folgenabschätzung. Ähnlich verhalten sich Hamburg, Bremen und Rheinland-Pfalz.
Zur dritten Gruppe der Länder mit eigener Cloud-Infrastruktur zählen Bayern mit mebis und der BayernCloud Schule, Sachsen mit LernSax, Niedersachsen mit der Niedersächsischen Bildungscloud und Schleswig-Holstein mit itslearning-Landesvertrag. Diese Länder haben MS 365 nicht formal verboten, aber durch die Bereitstellung einer Landes-Lösung faktisch marginalisiert.
In der Praxis läuft an vielen Schulen ein Mischmodell: MS Teams für Videokonferenzen, IServ oder Nextcloud für Dateien, Schul-eigene E-Mail-Postfächer, und Landes-LMS wie mebis oder LernSax für Kursstrukturen. Dieses Modell ist rechtlich schwer zu bewerten, weil die Datenverarbeitung fragmentiert läuft. Empfehlenswert ist die Konsolidierung auf eine Plattform mit dokumentierter AV-Vertragslage — das reduziert die Angriffsfläche in der jährlichen Datenschutz-Prüfung deutlich.
Welche DSGVO-konformen Alternativen zu Microsoft 365 gibt es für Schulen?
DSGVO-konforme Alternativen zu Microsoft 365 sind für Schulen in drei Kategorien verfügbar: Open-Source-Plattformen wie Nextcloud und Moodle, Managed-Cloud-Angebote deutscher Anbieter wie IServ und dBildungscloud, und Landeslösungen wie mebis, LernSax oder itslearning-Landesvertrag. Alle drei Kategorien verarbeiten Daten ausschließlich im EWR.
Nextcloud ist eine Open-Source-Plattform aus Stuttgart, die Datei-Ablage, Kalender, Videokonferenzen und Office-Bearbeitung über Nextcloud Office kombiniert. Der Betrieb erfolgt entweder auf Server des Schulträgers oder über zertifizierte deutsche Hosting-Partner wie STRATO, Hetzner oder ionos. Die Kosten liegen bei Managed-Hosting zwischen 3 und 8 Euro pro Nutzer und Monat.
IServ aus Braunschweig ist mit über 6.000 angebundenen Schulen die verbreitetste kommerzielle Schul-Plattform in Deutschland. Der Funktionsumfang deckt E-Mail, Datei-Ablage, Kalender, Aufgabenverwaltung, Messenger und Videokonferenzen ab. Betrieben wird IServ als schuleigener Server oder als gehostete Cloud-Lösung durch IServ selbst mit Rechenzentrum in Deutschland.
Die dBildungscloud, ehemals HPI Schul-Cloud, wurde vom Hasso-Plattner-Institut entwickelt und wird über das Konsortium DBIL betrieben. Sie ist besonders in Thüringen, Brandenburg und Niedersachsen verbreitet, kostenfrei für die angeschlossenen Schulen und lief ursprünglich als BMBF-Modellprojekt.
Moodle als LMS-Alternative zu Teams-basierten Kursen ist ebenfalls Open-Source und wird von vielen Ländern als Landesinstanz bereitgestellt, etwa als Mahara-integriertes Moodle in Hamburg oder als bay-Moodle in Bayern. Die reine Kollaboration in Videokonferenzen läuft meist über BigBlueButton, ebenfalls Open-Source und in Deutschland gehostet.
Was kostet eine DSGVO-konforme Cloud-Lösung an einer Schule?
Eine DSGVO-konforme Cloud-Lösung für eine Schule kostet je nach Anbieter und Nutzerzahl zwischen 0 und 12 Euro pro Nutzer und Jahr. Landes-Clouds wie mebis, LernSax oder BayernCloud Schule sind für angeschlossene Schulen kostenlos. Kommerzielle Anbieter wie IServ liegen bei 4 bis 8 Euro pro Nutzer und Jahr, gehostetes Nextcloud bei 3 bis 8 Euro pro Nutzer und Monat.
Die Preisstrukturen unterscheiden sich fundamental. Landeslösungen werden aus Steuermitteln finanziert und tragen für die einzelne Schule keine direkten Betriebskosten. Für Bayern hat die BayernCloud Schule laut Kultusministerium einen jährlichen Landeshaushalt-Ansatz im mittleren zweistelligen Millionenbereich. Sachsen und Thüringen betreiben LernSax und dBildungscloud auf ähnlichem Kostenmodell.
Kommerzielle Anbieter kalkulieren nach Schülerzahl mit Volumenrabatt. IServ als On-Premise-Installation kostet einmalig zwischen 3.000 und 12.000 Euro Hardware plus Wartungsvertrag ab etwa 1.500 Euro pro Jahr für eine Schule mit 500 bis 1.000 Schülerinnen und Schülern. Die Managed-Cloud-Variante rechnet nach Nutzeranzahl ab, die Preisspanne beträgt für eine Grundschule mit 200 Schülern rund 800 bis 1.200 Euro pro Jahr, für ein Gymnasium mit 1.000 Nutzern rund 4.000 bis 6.000 Euro pro Jahr.
Zu den direkten Lizenzkosten kommen Betriebskosten. Bei On-Premise-Lösungen fallen Strom, Server-Ersatzbeschaffung nach 5 bis 7 Jahren, Admin-Zeit und Backup-Infrastruktur an. Als Faustregel verdoppeln Betriebskosten die reinen Lizenzkosten über eine Fünf-Jahres-Betrachtung.
Der DigitalPakt Schule 2.0 fördert seit 2025 auch die Umstellung auf DSGVO-konforme Cloud-Lösungen. Kommunale Schulträger können bis zu 90 Prozent der Umstellungskosten und der ersten drei Jahre Betriebskosten über den Bund-Länder-Fonds beantragen. Die Antragsstellung erfolgt über die Landeskoordinierungsstellen.
Wie führt eine Schule eine neue Cloud-Lösung datenschutzkonform ein?
Eine Schule führt eine neue Cloud-Lösung in fünf Schritten datenschutzkonform ein: Bedarfsanalyse und Anbieter-Shortlist, Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, Abschluss des Auftragsverarbeitungsvertrags, Information der Eltern und ggf. Einwilligung, technische Migration mit Pilotphase.
Die Bedarfsanalyse klärt zuerst die Anforderungen des Unterrichts. Zentrale Fragen sind: Welche Funktionen sind Pflicht (E-Mail, Datei-Ablage, Videokonferenz, LMS)? Wie viele Nutzer sind einzuplanen? Wie hoch ist das Datenvolumen? Welche Endgeräte greifen zu? Ergebnis ist eine Shortlist von drei bis fünf Anbietern.
Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist bei Cloud-Lösungen an Schulen praktisch immer erforderlich, weil Daten von Minderjährigen in großem Umfang verarbeitet werden. Die DSFA dokumentiert die verarbeiteten Datenkategorien, Zwecke, Rechtsgrundlagen, Risiken und Schutzmaßnahmen. Sie muss dem schulischen Datenschutzbeauftragten vorgelegt werden und ist bei Anfragen der Landes-Aufsichtsbehörde vorzuhalten.
Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt die Rollen zwischen der Schule als Verantwortlicher und dem Cloud-Anbieter als Auftragsverarbeiter. Er muss die Datenkategorien, den Verarbeitungszweck, die Dauer und die technisch-organisatorischen Maßnahmen konkret beschreiben. Muster-AV-Verträge stellen sowohl die Landesdatenschutzbeauftragten als auch die kommunalen Spitzenverbände zur Verfügung.
Die Elterninformation ist Pflicht nach Art. 13 DSGVO. Bei zentralen Funktionen wie E-Mail-Postfächern für Schülerinnen und Schüler reicht die Information aus. Bei zusätzlichen Diensten wie freiwilligen Cloud-Speichern oder App-Integrationen kann eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO nötig sein, bei Schülern unter 16 Jahren durch die Eltern.
Die technische Migration startet mit einer Pilotphase in ein bis zwei Klassen über sechs bis zwölf Wochen. In dieser Phase werden Login-Prozesse, Rollen- und Rechtekonzepte, Backup und Wiederherstellung getestet. Der Rollout auf die gesamte Schule erfolgt schrittweise nach Jahrgangsstufen, damit Support-Anfragen bewältigbar bleiben.
Wie unterscheiden sich Google Workspace for Education und Microsoft 365 Education aus Datenschutz-Sicht?
Google Workspace for Education und Microsoft 365 Education stehen aus deutscher Datenschutz-Sicht ähnlich in der Kritik: beide Anbieter haben US-Muttergesellschaften und fallen damit unter den CLOUD Act. Google Workspace for Education Fundamentals ist kostenlos, während Microsoft 365 A1 für Schüler kostenlos und A3/A5 für Lehrkräfte kostenpflichtig ist.
Der zentrale Unterschied liegt in der Konfigurationsvielfalt. Microsoft 365 bietet über die Compliance-Tools zahlreiche Einstellungen zur Telemetrie-Reduktion, die Baden-Württemberg im Pilot getestet hat. Google Workspace for Education Fundamentals liefert Standard-Konfigurationen mit vergleichsweise wenig granularer Steuerung, dafür aber mit einem klaren Grundgerüst.
Beide Anbieter haben mit deutschen Rechenzentren geworben. Microsoft betreibt Cloud-Standorte in Frankfurt am Main und Berlin, Google in Frankfurt und Hanau. Der physische Speicherort in Deutschland löst allerdings nicht das CLOUD-Act-Problem, weil US-Behörden auch bei europäischer Datenlage bei US-Anbietern Herausgabe verlangen können.
Aus Perspektive der pädagogischen Nutzung sind beide Systeme umfangreich. Microsoft Teams for Education, OneDrive, Office-Apps und Class Notebook bilden das Kern-Ökosystem bei Microsoft. Google Classroom, Google Drive, Docs und Meet decken bei Google die gleichen Funktionen ab. Für Videokonferenz-lastige Schulen wird oft Microsoft bevorzugt, für dokument-lastige Fächer eher Google.
Meine Einschätzung zur Cloud-Landschaft an deutschen Schulen 2026
💬 Meine Einschätzung
Die gängige Annahme lautet: DSGVO-konforme Alternativen sind funktional immer schwächer als Microsoft 365 oder Google Workspace. In der Praxis zeigt sich aber, dass IServ, dBildungscloud und Nextcloud die zentralen Schul-Anforderungen zu 90 Prozent abdecken und in Punkten wie Elternkommunikation, Klassenbuch-Anbindung und Landes-Support sogar überlegen sind. Drei Gründe: erstens wurden die deutschen Anbieter aus der Schul-Perspektive entwickelt und haben LMS-Funktionen nativ; zweitens ist der Admin-Support in deutscher Sprache und mit Kenntnis der Bundesländer-Spezifika oft schneller; drittens sinkt das rechtliche Risiko drastisch, was in der jährlichen Datenschutz-Prüfung Ressourcen freisetzt. Wer heute neu einführt, sollte primär die Landes-Lösung prüfen und nur bei Lücken kommerzielle Alternativen ergänzen.
- Baden-Württemberg rät seit 2022 offiziell von Microsoft 365 an Schulen ab und leitete Untersagungsverfahren ein
- Landes-Clouds sind für Schulen kostenlos: mebis (Bayern), LernSax (Sachsen), dBildungscloud (Thüringen, Brandenburg, Niedersachsen)
- IServ deckt 6.000+ Schulen ab und kostet 4 bis 8 Euro pro Nutzer und Jahr
- Nextcloud als Open-Source-Alternative liegt bei 3 bis 8 Euro pro Nutzer und Monat als Managed-Hosting
- DigitalPakt Schule 2.0 fördert seit 2025 bis zu 90 Prozent der Umstellungs- und ersten drei Jahre Betriebskosten
- Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist bei jeder neuen Cloud-Einführung an Schulen Pflicht
Häufige Fragen zu Cloud-Lösungen an Schulen
Diese fünf Fragen tauchen bei der Einführung von Schul-Cloud-Lösungen regelmäßig auf und ergänzen die oben behandelten Hauptaspekte um praktische Detailfragen.
Ist Microsoft Teams for Education an deutschen Schulen erlaubt?
Microsoft Teams for Education ist Bestandteil des Microsoft-365-Pakets und teilt dessen datenschutzrechtliche Bewertung. In Baden-Württemberg wird von der Nutzung abgeraten, in Nordrhein-Westfalen ist es unter Auflagen zulässig. Die Erlaubnis hängt vom Bundesland und der individuellen Datenschutz-Folgenabschätzung der Schule ab.
Wer trägt die datenschutzrechtliche Verantwortung an einer Schule?
Verantwortliche im Sinne der DSGVO ist die einzelne Schule, in der Regel vertreten durch die Schulleitung. Der schulische Datenschutzbeauftragte berät und prüft, entscheidet aber nicht. Der Schulträger kann als weiterer Verantwortlicher oder gemeinsam mit der Schule verantwortlich sein, je nach Regelung im jeweiligen Landesschulgesetz.
Kann eine Schule zwischen Landes-Cloud und externem Anbieter frei wählen?
Die Wahlfreiheit hängt vom Bundesland ab. In Bayern und Sachsen ist die Nutzung der Landes-Cloud faktisch verpflichtend, wenn keine begründete Ausnahme vorliegt. In Nordrhein-Westfalen und Berlin haben Schulen mehr Spielraum. In allen Fällen entscheidet die Schulkonferenz gemeinsam mit dem Schulträger über die Einführung neuer digitaler Systeme.
Was passiert mit den Daten, wenn eine Schule den Cloud-Anbieter wechselt?
Beim Anbieterwechsel greift Art. 20 DSGVO zur Datenübertragbarkeit für personenbezogene Daten und die vertraglichen Löschverpflichtungen aus dem Auftragsverarbeitungsvertrag. Der alte Anbieter muss die Daten in strukturiertem Format herausgeben und nach Fristablauf löschen. Für die Migration ist ein detaillierter Zeitplan mit Backup-Zwischenschritten empfehlenswert.
Wie oft muss die Datenschutz-Folgenabschätzung aktualisiert werden?
Die Datenschutz-Folgenabschätzung ist kein Einmal-Dokument, sondern muss bei jeder wesentlichen Änderung der Verarbeitung aktualisiert werden. Als Faustregel gilt eine jährliche Prüfung, ob technische Änderungen, Anbieter-Updates oder neue Rechtsprechung eine Anpassung erfordern. Bei Anbieter-Wechseln ist eine vollständig neue DSFA nötig.
Quellen und weiterführende Literatur
Die folgenden Quellen dokumentieren die aktuelle Rechtslage, die Behörden-Positionen und die Anbieter-Landschaft für schulische Cloud-Lösungen in Deutschland.
- Empfehlung des LfDI Baden-Württemberg zur Nutzung von Microsoft 365 an Schulen · baden-wuerttemberg.datenschutz.de · Offizielles Prüfergebnis des Landesbeauftragten nach zweijährigem Pilotprojekt mit dem Kultusministerium.
- Update des LfDI Nordrhein-Westfalen zum Einsatz von Microsoft 365 · datenschutz-notizen.de · Aktualisierte Position der NRW-Aufsicht mit Bedingungen für den zulässigen Einsatz.
- BMBF OER-Strategie und dBildungscloud-Konsortium · dbildungscloud.de · Trägerorganisation der ehemaligen HPI Schul-Cloud, aktive Instanzen in Thüringen, Brandenburg und Niedersachsen.
- IServ Schulserver-Dokumentation · iserv.de · Anbieter-Dokumentation zur On-Premise- und Managed-Cloud-Installation für Schulen.
- Nextcloud Enterprise Education Deployment · nextcloud.com · Referenzdokumentation und Kostenmodelle für schulische Nextcloud-Installationen.
- BayernCloud Schule und mebis · mebis.bycs.de · Landesplattform des bayerischen Kultusministeriums, verfügbar für alle staatlichen Schulen Bayerns.
- DigitalPakt Schule 2.0 – Förderrichtlinien 2025 · digitalpaktschule.de · Aktuelle Konditionen der Bund-Länder-Förderung für digitale Schulinfrastruktur einschließlich Cloud-Umstellung.
