Microsoft 365 und die DSGVO
Die Nutzung von Microsoft 365 bietet Unternehmen viele Vorteile. Gleichzeitig zweifeln Aufsichtsbehörden oftmals am datenschutzkonformen Einsatz und gehen mitunter gegen Unternehmen vor.
Wir unterstützen Sie bei einer möglichst datenschutzfreundlichen Implementierung der Microsoft-365-Produkte und minimieren so Ihr Risiko, zum Ziel aufsichtsbehördlicher Maßnahmen zu werden.
Womit wir Sie unterstützen
- Datenschutz-Folgenabschätzung für Microsoft 365
- Unterstützung bei einer datenschutzfreundlichen Konfiguration
- Prüfung und Verhandlung der vertraglichen Grundlagen
- Vertretung Ihrer Interessen gegenüber Aufsichtsbehörden
Die Punkte, an denen die Aufsicht ansetzt
Die Beanstandungen der vergangenen Jahre betreffen wiederkehrend dieselben Stellen. Mit dieser Kenntnis lässt sich die Konfiguration ausrichten, bevor eine Anfrage kommt.
- Telemetrie- und Diagnosedaten, deren Umfang und Zweck sich aus den Unterlagen des Anbieters nicht vollständig ergeben
- Verarbeitungen, die Microsoft für eigene Zwecke vornimmt und für die es damit nicht als Auftragsverarbeiter handelt
- Protokoll- und Auditdaten, für die Aufbewahrung und Zugriff intern oft ungeregelt bleiben
- Standardeinstellungen, die ohne Anpassung mehr übermitteln als nötig
- Der Zugriff aus Drittstaaten im Supportfall und die Frage, welche Garantien ihn tragen
- Eine fehlende oder nicht fortgeschriebene Datenschutz-Folgenabschätzung
Was Beschäftigtendaten hinzufügen
Sobald Auswertungen über einzelne Beschäftigte möglich werden, tritt neben den Datenschutz die Mitbestimmung. § 87 Abs. 1 Nr. 6 BetrVG ist bereits anwendbar, wenn ein System zur Kontrolle von Verhalten oder Leistung taugt. Auf eine Überwachungsabsicht kommt es dabei nicht an. Für Microsoft 365 betrifft das insbesondere Auswertungen zu Aktivität und Zusammenarbeit sowie die Auditprotokolle. Eine Betriebsvereinbarung kann beides zugleich tragen, die Beteiligung des Betriebsrats und die datenschutzrechtliche Grundlage. Näheres steht unter Mitbestimmung.
Microsoft 365 im Einsatz oder in Planung?
Wir prüfen Konfiguration und Dokumentation, bevor die Behörde fragt.
Einschätzung anfragenHäufige Fragen
Ist der Einsatz von Microsoft 365 verboten?
Nein. Es gibt kein pauschales Verbot. Die Datenschutzkonferenz hat den Einsatz in der damals geprüften Konfiguration allerdings als nicht datenschutzkonform bewertet. Aufsichtsbehörden greifen den Punkt auf. Es kommt deshalb auf die konkrete Konfiguration und deren Dokumentation an, nicht auf das Produkt als solches.
Brauchen wir eine Datenschutz-Folgenabschätzung?
In vielen Konstellationen ja. Für den Einsatz einer Cloud-Plattform mit umfangreicher Telemetrie und Beschäftigtendaten liegt ein hohes Risiko nahe. Selbst wenn Sie im Ergebnis zu einem anderen Schluss kommen, ist die Prüfung durchzuführen und zu dokumentieren.
Die Aufsichtsbehörde fragt nach unserem Einsatz. Was jetzt?
Antworten Sie nicht aus dem Stand. Was Sie schreiben, bindet Sie im weiteren Verfahren. Wir sichten zunächst, was tatsächlich konfiguriert und dokumentiert ist. Darauf aufbauend formulieren wir die Stellungnahme.
Erledigt die EU Data Boundary die Drittlandfrage?
Sie entschärft sie, erledigt sie aber nicht. Kundendaten, Protokolldaten und Supportdaten europäischer Kundschaft werden innerhalb der EU gespeichert und verarbeitet. Ein Zugriff aus Drittstaaten bleibt in einzelnen Supportfällen möglich, die Konzernbindung an US-Recht besteht fort. Zu prüfen bleiben deshalb der Zertifizierungsstatus unter dem EU-U.S. Data Privacy Framework, die vereinbarten Garantien und die Frage, welche Daten überhaupt anfallen.
Gilt für Copilot dasselbe wie für Microsoft 365?
Die Grundfragen bleiben, es kommen aber eigene hinzu. Copilot greift auf den vorhandenen Datenbestand des Mandanten zu und macht damit sichtbar, was bei den Zugriffsrechten zu weit gefasst ist. Dazu treten die Transparenzpflichten aus Art. 50 KI-VO, die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG und die Frage, wie lange Eingaben und Ergebnisse aufbewahrt werden. Eine Bereinigung der Berechtigungen gehört deshalb vor die Freischaltung.