Praxis-Tipps für die datenschutzkonforme Verwendung von Microsoft 365

DIE PROBLEMATIK

Nach Prüfung der von Microsoft bereitgestellten Vereinbarung zur Auftragsverarbeitung hatte die DSK festgestellt, dass diese nicht den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entspricht. Der zentrale rechtliche Aspekt, der die Problematik im Zusammenhang mit der Verwendung von Microsoft 365 betrifft, ist die Anforderung zur Rechenschaftspflicht gemäß Artikel 5, Absatz 2 der DSGVO. Gemäß dieser Anforderung muss der Verantwortliche die Fähigkeit besitzen, die Einhaltung der sogenannten Verarbeitungsgrundsätze gemäß Artikel 5, Absatz 1 DSGVO nachzuweisen. Dabei sei unklar, welche Verarbeitungen im Auftrag des Kunden und welche für Microsofts eigene Zwecke durchgeführt werden. Zudem werden die durchgeführten Verarbeitungsschritte nicht im Detail enthüllt.

EMPFEHLUNGEN DER DATENSCHUTZKONFERENZ

Die Veröffentlichung der Anleitung zu Microsoft 365 zielt darauf ab, Kunden auf Mängel in Microsofts Auftragsverarbeitungsvereinbarung hinzuweisen und praktische Ratschläge für die datenschutzkonforme Nutzung von Microsoft 365 zu bieten. Somit empfehlen die Behörden den Kunden, sich vor rechtlichen Unsicherheiten zu schützen, indem diese eine Zusatzvereinbarung abschließen, welche Vorrang vor der vorgefertigten Vereinbarung zur Auftragsverarbeitung hat. Diese sollte die Kritikpunkte der DSK an der Auftragsverarbeitungsvereinbarung beseitigen. Diese Zusatzregelung sollte Microsoft verpflichten, Details über die durchgeführten Verarbeitungen offenzulegen. Dabei sollten Arten und Zwecke der Verarbeitung beschrieben werden und die Kategorien der verarbeiteten Daten ausdrücklich benannt werden. Es ist wichtig zu betonen, dass Microsoft in der Datenverarbeitung den Anweisungen folgt und Informationen nur im Einklang mit gesetzlichen Vorschriften offenlegen darf.

Abschließend sollte klargestellt werden, welche Schritte unternommen werden, um die Sicherheit der Datenverarbeitung sicherzustellen und wie diese mit den verschiedenen Arten von personenbezogenen Daten verknüpft sind.

FAZIT

Microsoft 365 stellt für viele Unternehmen ein wichtiges Werkzeug im Arbeitsalltag dar, weshalb die Einhaltung der Datenschutzvorschriften umso wichtiger ist. Jedoch wird dies durch die von Microsoft bereitgestellten Vereinbarungen zur Auftragsverarbeitung nicht gewährleistet. Die Aufsichtsbehörden erkennen an, dass es schwierig sein wird, mit Microsoft die gewünschten zusätzlichen Vereinbarungen zu treffen, da Microsoft wohl kein einfacher Verhandlungspartner ist. Die Behörden fordern die Verantwortlichen dennoch auf, alle möglichen Wege zu nutzen, um sicherzustellen, dass Datenschutzrichtlinien eingehalten werden, selbst wenn die Verhandlungen herausfordernd sind.