Drei Monate nach dem Hannover-Stopp – Was die 60.000-Lizenzen-Panne über Microsoft 365 an Schulen zeigt und wie Schulträger das Schuljahr 2026/27 sauber aufsetzen

Am 21. April 2026 um 18:00 Uhr stellte die Landeshauptstadt Hannover den Zugriff auf 60.000 Microsoft-365-Education-Lizenzen an ihren rund 100 Schulen ein. Kaufwert: rund 324.000 Euro. Grund: die falsche Vertragsart und eine zu spät erstellte Datenschutz-Folgenabschätzung. Drei Monate später ist das Verfahren noch offen, die Stadt hat sich bis etwa Oktober 2026 Zeit gegeben, „konkrete Vorschläge für eine datenschutzkonforme und praktikable Schul-IT" vorzulegen.

Der Vorgang wäre eine kommunale Panne unter vielen – wäre er nicht exakt symptomatisch für die Position, die die Datenschutzkonferenz (DSK) 2022 zu Microsoft 365 an Schulen bezogen hat. Und wäre er nicht zeitlich kollidiert mit der Microsoft-Preiserhöhung vom 1. Juli 2026 (öffentlicher Sektor bis plus 13 Prozent) und mit dem operativen Start von openDesk Phase 3 – die Ausweitung des Zentrums für Digitale Souveränität (ZenDiS) auf Kommunen und Schulen.

Wer als Schulträger, Kreis oder Landesministerium jetzt vor dem Schuljahr 2026/27 eine Entscheidung treffen muss, hat drei Themen gleichzeitig auf dem Tisch: Rechtssicherheit, Preisdruck und eine gereifte Alternative. Dieser Beitrag sortiert die drei entlang des Hannover-Falls und liefert im HowTo-Abschnitt einen konkreten Vierzehn-Tage-Prüfpfad für die eigene Beschaffung.

Was am 21. April 2026 in Hannover schiefging

Die Stadtverwaltung Hannover hatte im Frühjahr 2026 rund 60.000 Microsoft-365-Education-Lizenzen für ihre etwa 100 Schulen beschafft. Der Rollout begann Anfang April. Am 21. April stoppte die Stadt den Zugriff selbst, nachdem interne Prüfung und Rückfragen des Landesbeauftragten für Datenschutz Niedersachsen zwei Mängel offengelegt hatten:

• Nur Standard-DPA statt Bildungs-DPA. Der Auftragsverarbeitungsvertrag entsprach dem allgemeinen Microsoft Products and Services Data Protection Addendum – nicht dem für Schulen zusätzlich erforderlichen „Data Protection Addendum for Education". Damit fehlten die schärferen Zweckbindungsklauseln, die die DSK 2022 explizit als Voraussetzung für einen datenschutzkonformen Schuleinsatz benannt hat.
• DSFA nach dem Kauf. Die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO war erst nach der Lizenzbeschaffung erstellt worden. Damit war das Prinzip Privacy by Design aus Artikel 25 DSGVO formal verletzt – die Risikoabwägung soll vor der Verarbeitung stehen, nicht danach.

Beide Punkte lassen sich mit sauberer Vorbereitung vermeiden. Dass sie zwei Ebenen der Verwaltung durchliefen, ohne aufzufallen, zeigt: das Bewusstsein für die Schulspezifika im DSGVO-Regime ist in vielen Kommunen nicht auf Stand.

Warum die Panne symptomatisch ist – die DSK und das Illusionsmodell des Standard-DPA

Die Datenschutzkonferenz hat im November 2022 mit klarer Mehrheit festgestellt, dass der Nachweis eines datenschutzkonformen Betriebs von Microsoft 365 durch die Verantwortlichen mit den zu jenem Zeitpunkt geltenden Vertragswerken nicht erbracht werden kann. Microsoft hat seither an verschiedenen Stellen nachgebessert, insbesondere über die EU Data Boundary (im Februar 2025 als abgeschlossen erklärt) und den Datenschutznachtrag für Bildungseinrichtungen. Der Beschluss der DSK gilt aber im Grundsatz weiter: Zweckerweiterung, Legitimate-Business-Operations-Nutzung, Telemetrie, fehlende Trennung zwischen Verantwortlichem und Auftragsverarbeiter in Grenzfällen – all das bleibt strittig.

Die Landesdatenschutzaufsicht Hessen hat im November 2025 zwar den de-facto-M365-Bann für Hessen aufgehoben, aber ausdrücklich unter der Bedingung, dass Verantwortliche die schulspezifischen Vertragsanhänge korrekt schließen und die DSFA vollständig vor Beginn der Verarbeitung durchführen. Genau diese zwei Bedingungen hat Hannover übersehen – vier Monate nach der Freigabe.

Wer den Hintergrund der DSK-Bewertung tiefer nachlesen will, findet den Kontext im Beitrag Microsoft 365 in Schulen – Warum NRW, Hessen, Niedersachsen aussteigen. Der Rahmen des BSI-Grundschutz-Kompendiums zeigt zusätzlich, welche Baustein-Verletzungen ein M365-Betrieb ohne saubere DSFA im öffentlichen Sektor auslöst.

Preiserhöhung 1. Juli 2026 – der ökonomische Zeitdruck

Zum 1. Juli 2026 hat Microsoft die Listenpreise für den öffentlichen Sektor erhöht. Business Basic um 16 Prozent, Business Standard um 12 Prozent, der öffentliche Sektor insgesamt bis zu 13 Prozent. Für Schulträger heißt das in der Praxis: A1-Lizenzen bleiben kostenfrei, aber für den produktiven Regelbetrieb reichen A1-Lizenzen nicht. Teams-Telefonie, Intune-basierte Mobile-Device-Verwaltung, Defender for Endpoint und Copilot for Education sind nur mit A3 oder A5 verfügbar. Genau diese Lizenzen sind zum 1. Juli teurer geworden.

Für einen typischen Schulträger mit 10.000 Nutzenden und einem A3-Mix bedeutet die Preiserhöhung Mehrkosten zwischen 14.000 und 22.000 Euro pro Jahr. Wer in dieser Größenordnung einen Alternativpfad rechnet, sollte parallel den Beitrag NIS2, DSGVO und das Microsoft-Paradox heranziehen – die Compliance-Kosten für abgesicherten M365-Betrieb werden dort quantifiziert und liegen bei größeren Trägern in derselben Größenordnung wie die Lizenzkosten selbst.

openDesk Phase 3 – die Alternative wird operativ

Das Zentrum für Digitale Souveränität (ZenDiS) hat mit openDesk 2.5 vom 15. Mai 2026 einen Reifegrad erreicht, der den Regelbetrieb in Grundschulen und Sekundarstufe I abdeckt. Die Version enthält:

• den überarbeiteten Univention-Portal-Client mit Single-Sign-on gegen das schulinterne Nutzendenverzeichnis
• den integrierten OnlyOffice-Editor mit Kollaboration in Echtzeit
• den XMPP-basierten Messenger inklusive Video-Talk
• die Anbindung an IServ-Nutzendenverzeichnisse für Bestandsschulen
• eine Mobile-Device-Verwaltungsschnittstelle für iPadOS und Android

Baden-Württemberg betreibt seinen Digitalen Arbeitsplatz für Lehrkräfte seit April 2026 auf openDesk und meldet nach 90 Tagen Regelbetrieb 99,4 Prozent Verfügbarkeit. Die Deutsche Rentenversicherung Bund und die Bundesagentur für Arbeit haben im Januar 2026 die Testinstallationen aufgenommen. Mehr Kontext zur Programmatik gibt der Beitrag openDesk-Vertriebspartnerprogramm 2026 und die Detail-Analyse Euro Office – Die realistische Microsoft-365-Alternative 2026.

Für einen Schulträger mit 500 Nutzenden pro Schule liegt der openDesk-Vollkostensatz 2026 bei rund 45 Euro pro Nutzenden und Jahr Lizenz plus 8 bis 12 Euro pro Nutzenden und Monat Betrieb – deutlich unter den M365-A3-Kosten in der neuen Preisstruktur.

Was Schulträger bis Ende August 2026 klären sollten

Das Schuljahr 2026/27 beginnt zwischen dem 24. August und dem 14. September 2026 – je nach Bundesland. Wer heute einen offenen M365-Vertrag hat, sollte bis zum Schuljahresstart drei Fragen beantworten:

• Ist unser DPA schulgeeignet? Falls nein, entweder Nachvertrag mit Microsoft schließen oder Vertragsart wechseln.
• Steht unsere DSFA vor der Verarbeitung? Falls nein, DSFA nachziehen und dokumentieren, warum die Verarbeitung im Übergang trotzdem zulässig ist.
• Ist der Alternativpfad kalkuliert? Falls nein, jetzt eine parallel gerechnete openDesk-Kalkulation als Vergleichsanker aufsetzen.

Die operative Detailtabelle mit tagesaktuellen souveränen Angeboten steht unter /alternativen. Wer die Migrationskosten und den Betriebsrahmen einer managed openDesk-Umgebung prüfen will, findet die Positionen unter /pricing. Für eine Ersteinschätzung des eigenen Vertrags und der eigenen DSFA-Lage bietet sich der Weg über /contact an.

Fazit

Der Hannover-Stopp vom 21. April 2026 ist keine Ausnahme, sondern der sichtbare Ausdruck eines strukturellen Musters: die schulspezifischen DSGVO-Anforderungen werden in kommunalen Beschaffungen häufig übersehen, die DSFA folgt der Beschaffung statt sie zu leiten, der Standard-Auftragsverarbeitungsvertrag wird als schulgeeignet fehlinterpretiert. Die Kombination aus DSK-Position 2022, Microsoft-Preiserhöhung Juli 2026 und openDesk 2.5 verändert die Rechenlage. Wer die vier Prüfpunkte oben und den 14-Tage-Pfad in der HowTo-Sektion abarbeitet, hat vor dem Schuljahresstart 2026/27 belastbare Klarheit – und vermeidet den nächsten kommunalen Datenschutz-Stopp.