Das Data Privacy Framework allein reicht nicht! Was Datenschützer bei Microsoft 365 kritisch sehen

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Die EU-Kommission verstößt bei Nutzung von Microsoft 365 gegen Vorgaben des EU-Datenschutzes, so der Europäische Datenschutzbeauftragte. Doch wie kann das sein, trotz Data Privacy Framework? Ganz einfach, im Datenschutz geht es nicht nur um Datenübermittlung. Auch als Unternehmen sollte man wissen, wo die Knackpunkte bei Nutzung von M365 liegen können.

Wer glaubt, mit dem Data Privacy Framework (DPF) sei nun alles im Datenschutz bei Nutzung von Microsoft 365 und vergleichbaren Diensten geklärt, der irrt sich. Das zeigt auch eine aktuelle Entscheidung des Europäischen Datenschutzbeauftragten (EDSB).

Nach seiner Untersuchung hat der EDSB festgestellt, dass die Europäische Kommission bei der Nutzung von Microsoft 365 gegen mehrere wichtige Datenschutzvorschriften verstoßen hat. In seiner Entscheidung legt der EDSB Korrekturmaßnahmen, die die EU-Kommission umsetzen muss, fest.

Dabei ist die Übermittlung personenbezogener Daten außerhalb der EU/des Europäischen Wirtschaftsraums (EWR) und die Frage nach einem angemessenen Datenschutz im Zielland nur eine Frage, die die Datenschützer stellen.

So hat die EU-Kommission nach Ansicht des EDSB in ihrem Vertrag mit Microsoft nicht ausreichend spezifiziert, welche Arten personenbezogener Daten zu welchen expliziten und festgelegten Zwecken bei der Nutzung von Microsoft 365 erhoben werden sollen.

Wojciech Wiewiórowski, EDSB, sagte dazu: „Es liegt in der Verantwortung der Organe, Einrichtungen, Ämter und Agenturen der EU, sicherzustellen, dass jegliche Verarbeitung personenbezogener Daten, die außerhalb und innerhalb der EU/des EWR, auch im Zusammenhang mit cloudbasierten Diensten, erfolgt, von strengen Datenschutzgarantien und -maßnahmen begleitet wird“.

Welche Kritikpunkte die Datenschützer nennen

Auch die Datenschutzkonferenz (DSK) als deutsches Gremium der Datenschutz­aufsichts­behörden der Länder und des Bundes hatte seinerzeit zu Microsoft 365 erklärt, dass der Nachweis von Verantwortlichen, Microsoft 365 datenschutz­rechts­konform zu betreiben, auf der Grundlage des von Microsoft bereitgestellten „Datenschutz­nachtrags vom 15. September 2022“ nicht geführt werden könne. Solange insbesondere die notwendige Transparenz über die Verarbeitung personenbezogener Daten aus der Auftragsverarbeitung für Microsofts eigene Zwecke nicht hergestellt und deren Rechtmäßigkeit nicht belegt würde, könne dieser Nachweis nicht erbracht werden.

Die Aufsichtsbehörden erläutern dies so: Die Verantwortlichen müssen nach DSGVO (Datenschutz-Grundverordnung) nachweisen können, dass Microsoft 365 transparent und rechtmäßig verwendet werden kann. Das können sie aber nicht, solange Microsoft seinen eigenen Unterlagen zufolge personenbezogene Daten (von wem?) für eigene Zwecke (welche?) verwendet und hierüber auch keine weiteren Angaben macht, so die Aufsichtsbehörden.

Einen Mangel an Transparenz sahen die Datenschützer auch, als Microsoft Ende 2023 eine neue Version des E-Mailprogramms Outlook für Windows vorgestellt hatte, als Teil von Microsoft 365. Die Datenschutzaufsicht von NRW wies darauf hin, dass bei der Nutzung der neuen Version Microsoft ein vollständiger Zugriff auf das Postfach ermöglicht werde. Die geführte Korrespondenz inklusive möglicher Anhänge würde dabei in der Cloud gespeichert und von Microsoft verarbeitet. Es bliebe unklar, zu welchen konkreten Zwecken die Verarbeitung dieser Daten erfolgt.

Was Unternehmen aus Datenschutzsicht tun müssen

Gemäß DSGVO sind diejenigen, die den Einsatz eines Produkts, wie Microsoft 365, verantworten, dabei auch für die Einhaltung des Datenschutzes verantwortlich und müssen diese Einhaltung nachweisen können (Rechenschaftspflicht).

Die Aufsichtsbehörden machten deshalb deutlich: Neben eigenen Maßnahmen, mit denen Unternehmen sicherstellen können, dass beim Einsatz von Microsoft 365 so wenig personen­bezogene Daten wie möglich verarbeitet werden, zum Beispiel durch die Verwendung pseudonymer Mailadressen/Accounts für die Beschäftigten, ist es der Auftrags­verarbeitungs­vertrag mit Microsoft, der sicherstellen muss, dass personenbezogene Daten rechtmäßig verarbeitet werden, was bislang allerdings – jedenfalls ohne entsprechende vertragliche Anpassungen – nicht der Fall ist, so die DSK.

Zudem gibt es Maßnahmen, die von Unternehmen unabhängig von vertraglichen Vereinbarungen mit Microsoft getroffen werden können, um den Datenschutz beim Einsatz von Microsoft 365 zu verbessern. Der Bayerische Landesbeauftragte für den Datenschutz gibt hierzu zahlreiche Hinweise, darunter den Betrieb von Microsoft 365 auf eigenen IT-Strukturen („On-Premises-Lösung“).

Verantwortliche sollten prüfen, ob und inwieweit Lösungen in Betracht kommen, die einen Betrieb von Microsoft-Produkten auf eigenen IT-Strukturen vorsehen, die eine Übermittlung personenbezogener Daten an Microsoft zu eigenen Zwecken unterbinden. Denkbar könnten auch Lösungen sein, die eine Übermittlung personenbezogener Daten zumindest verringern, wie die Zwischenschaltung entsprechend vorkonfigurierter Terminal-Clients.

Dringend empfohlen wird demnach die genannte Verwendung pseudonymer Mailadressen/ Accounts, aber auch ein Verbot der Nutzung privater Microsoft-Accounts sowie des „Bring your own device“ (BYOD) im dienstlichen Bereich. Grundsätzlich sollte zudem darauf geachtet werden, den Personenbezug der verarbeiteten Daten zu minimieren.

Es zeigt sich: Es ist nicht nur die Frage nach der Datenübermittlung, die bei Microsoft 365 und vergleichbaren Lösungen geklärt sein muss, und damit auch nicht nur das Data Privacy Framework, das eine Rolle für den Datenschutz spielt. Die notwendige Transparenz beim Anbieter und die Rechenschaftspflicht der Anwenderunternehmen dürfen nicht vergessen werden. Hier sind aus Sicht des Datenschutzes die Unternehmen, die Microsoft 365 einsetzen wollen, in der Pflicht, da sie die Verantwortlichen nach DSGVO sind.

(ID:49998569)