Rechtssichere Einführung von Microsoft 365

Festlegung der Dienste und Funktionen die genutzt werden sollen.

Definition einer Rechtsgrundlage für die geplanten Verarbeitungstätigkeiten innerhalb der Microsoft 365 Cloud gemäß Art. 6 Abs. 1 DS-GVO.

Individuelle Analyse zu erwartender Risiken im Rahmen einer Datenschutz-Folgenabschätzung und ggf. Erweiterung der getroffenen technischen und organisatorischen Maßnahmen (DS-FA).

Durchführung und Dokumentation eines Transfer-Impact-Assessments (TIA) zur Bewertung der Wirksamkeit der getroffenen Maßnahmen mit Blick auf den Transfer von Daten außerhalb der EU.

Anpassung der standardmäßigen Voreinstellungen, Implementierung zusätzlicher Schutzmechanismen und Schulung der Mitarbeiter.

Die Datenschutzkonferenz (bestehend aus den Datenschutzbehörden des Bundes und der Länder) kritisierte zuletzt, dass die notwendige Transparenz über die Verarbeitung personenbezogener Daten aus der Auftragsverarbeitung für Microsofts eigene Zwecke nicht hergestellt und deren Rechtmäßigkeit nicht belegt werden könne. Die verantwortliche Stelle sei daher wegen fehlender Transparenz über Verarbeitungen und unpräzise Regelungen seitens Microsoft nicht in der Lage ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DS-GVO nachzukommen.

Die grundsätzliche Kritik der DSK ist durchaus gerechtfertigt und nachvollziehbar, greift jedoch teilweise zu kurz, da die DS-GVO grundsätzlich einen risikoorientierten und technologieneutralen Ansatz verfolgt. Konkret bietet die DS-GVO selbst entsprechende Instrumente, um risikobehaftete Verarbeitungstätigkeiten „in den Griff zu bekommen“ und letztlich erkannte Risiken effektiv zu minimieren. Hierzu sind beispielsweise die Durchführung einer Datenschutz-Folgenabschätzung und die Ergreifung von adäquaten technischen und organisatorischen Maßnahmen zu nennen. Wichtig ist jedoch abschließend zu betonen, dass Microsoft 365 ohne Ergreifung der relevanten datenschutzrechtlichen Schritte und die Durchführung notwendiger technischer Anpassungen an den Konfigurationen des Auslieferungszustandes nicht rechtskonform eingesetzt werden kann.

Nein, Drittlandtransfers können auch bei Nutzung dieser Option nicht ausgeschlossen werden – Grund dafür ist der sogenannte CLOUD-Act. Dieser ist ein US-amerikanisches Gesetz, das US-IT-Dienstleistern und US-Internetfirmen verpflichtet, amerikanischen Behörden unter bestimmten Voraussetzungen den Zugriff auf außerhalb der USA gespeicherten Daten zu ermöglichen. Daher ist Microsoft gezwungen, auch auf Daten innerhalb Europas zugreifen und den Ermittlungsbehörden in den USA zur Verfügung stellen zu können. Zusätzlich greift Microsoft selbst auf Daten, die in Europa gespeichert sind, zu, um diese zu eigenen Zwecken in den USA zu verarbeiten, unabhängig vom gewählten Speicherort.

Microsoft verspricht durch diese neu eingeführte Datengrenzen, dass jegliche Daten, die mit Microsoft-Programmen erstellt und in der Cloud gespeichert und verarbeitet werden, ausschließlich auf Microsoft-Servern in Europa verbleiben und Microsoft selbst nicht mehr auf diese zugreift. Das klingt zwar zunächst gut, jedoch gibt es auch hier einige Lücken, die dafür sorgen, dass diese Maßnahmen alles andere als wirkungsvoll ist: Zum einen besteht weiterhin die in der vorherigen Frage beschriebene Problematik des Zugriffs von US-Behörden auf Basis des CLOUD-Acts und zum anderen verweist Microsoft in den eigenen Produktbestimmungen darauf, dass es bei dieser Datengrenze weiterhin einige Ausnahmen gibt, die dazu führen, dass Microsoft doch Daten, welche in der EU gespeichert sind, in den USA verarbeitet.

Perspektivisch sind viele Änderungen zu datenschutzrechtlichen und IT-sicherheitstechnischen Aspekten von Microsoft 365 denkbar, welche die Nutzung weiter erschweren oder aber vereinfachen könnten. Mit unserem Angebot des Ongoing Legal Reviews bieten wir dir an, dich rechtzeitig zu informieren und mögliche notwendige Anpassungen gemeinsam mit dir vorzunehmen, sobald konkrete Änderungen absehbar sind. Somit bist du immer automatisch auf dem aktuellen Stand!

Für weitere Informationen empfehlen wir dir gerne unser Whitepaper zum Thema Microsoft 365, welches viele weitere Informationen und Tipps bereithält.
Wenn du weitere Fragen hast oder deine Organisation Unterstützung bei der rechtssicheren Einführung von Microsoft 365 benötigt, erreichst du uns per E-Mail an contact@morgenstern-privacy.com. Gerne können wir uns dann persönlich in einem ersten, unverbindlichen Gespräch zu deinen Fragen und den Plänen deiner Organisation austauschen. Wir freuen uns auf deine Nachricht!