Source: https://www.mission-datenschutz.de/art-28-dsgvo/office-365-und-dsgvo
Timestamp: 2019-11-20 17:52:00+00:00

Document:
Office 365 und DSGVO
www.mission-datenschutz.de
0511 / 47 39 06-0 mail@mission-datenschutz.de
In Kategorie(n): Art 28 DSGVO - 04. September 2019 von Rechtsanwalt Thomas Feil
Aktuell wird wieder intensiv diskutiert, ob Office 365 entsprechend den Vorschriften der EU-Datenschutzgrundverordnung (DSGVO) betrieben werden kann.
Office 365 und die Datenschutz-Folgenabschätzung
Verschiedene Datentypen bei Office 365
Empfehlungen für die Umsetzung der DSGVO bei Anwendung Office 365
Vertrag zur Auftragsverarbeitung bei Office 365 notwendig
Das niederländische Ministerium für Justiz und Sicherheit hat in der Vergangenheit eine Datenschutz-Folgenabschätzung gem. Art. 35 DSGVO extern in Auftrag gegeben, mit dem Prüfungsthema, inwieweit ein Einsatz von Office 365 datenschutzkonform möglich ist. Das beauftragte Prüfungsunternehmen stellte Ende 2018 fest, dass Office 365 nicht nach dem geltenden Datenschutzrecht betrieben werden kann. Insbesondere acht Aspekte wurden intensiv kritisiert, bspw. die Weitergabe von Diagnosedaten an Microsoft und das Sammeln von Daten im Sinne von Microsoft.
Es liegt nun eine aktualisierte Fassung der Datenschutz-Folgenabschätzung vor. Dabei ist aber deutlich darauf hinzuweisen, dass nur Office 365 ProPlus bewertet wurde. Nicht geprüft wurden die Webzugänge für Office 365 und auch die mobilen Anwendungen für Office 365. Hierzu gab es eine gesonderte Prüfung, die ebenfalls deutliche rechtliche Widersprüche zum Datenschutz und zu den Vorgaben der DSGVO feststellten. Die Bewertung zu Office 365 ProPlus kommen nunmehr zu dem Schluss, dass wohl ein datenschutzkonformer Einsatz möglich ist.
Bei der rechtlichen Betrachtung von Office 365 ist zwischen den Funktionsdaten, den Inhaltsdaten und den Diagnosedaten zu unterscheiden. Funktionsdaten sind notwendige Daten, um den Service Office 365 bereitstellen zu können. Hierzu gibt es in den Online Service Terms (OST) weitere Informationen von Microsoft. Wichtig ist, dass ein Auftragsverarbeitungsvertrag mit Microsoft gem. Art. 28 DSGVO abgeschlossen wird, da ansonsten die Weitergabe der personenbezogenen Daten an Microsoft keine Rechtsgrundlage hat.
Bei den Inhaltsdaten handelt es sich um die Daten, die ein Nutzer im Rahmen von Office 365 einstellt, bspw. Dokumente, E-Mails oder Präsentationsdaten für PowerPoint. In den Online Service Terms wird ausdrücklich darauf hingewiesen, dass die Verarbeitung solcher Kundendaten zu anderen Zwecken nicht gestattet ist.
Bei den Diagnosedaten finden sich bspw. Informationen zu der Dauer der Nutzung eines Office-Dienstes, verschiedene IDs und auch die Größe der bearbeiteten Dateien. Microsoft verweist darauf, dass diese Daten für die Bereitstellung und Verbesserung des Dienstes sowie die Aktualisierung notwendig sind. Auch Sicherheitsaspekte werden angeführt.
Microsoft verweist darauf, dass diese Daten nicht für Datenanalyse, Marktforschung, Werbung und ein Profiling genutzt werden. Hierzu sind aber ausdrückliche Einstellungen, bezogen auf die Übermittlung von Diagnosedaten, notwendig. Microsoft bietet die Wahl zwischen „Optimal“, „Erforderlich“ und „Keine“. Nur bei „Keine“ werden die Diagnosedaten nicht übermittelt. Davon ausgenommen sind die notwendigen Diagnosedaten für Lizenzprüfungen.
Daneben gibt es sogenannte „Connected Experiences“, bspw. Übersetzungen oder Rechtschreibprüfungen. Auch diese Funktionalität kann deaktiviert werden.
Wichtig ist in der Praxis, dass beim Einsatz und Betrieb von Office 365 aktive Einstellungen vorgenommen werden, um die Datenschutzkonformität sicherzustellen. Insbesondere die Beschränkung der Diagnosedaten ist notwendig. Auch bei den Connected Experiences sind ausdrückliche Voreinstellungen vorzunehmen.
Ohne einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO kann insgesamt Office 365 nicht nach den Vorgaben der DSGVO betrieben werden.
Die Anwendung von Office-Online und Office-Mobile bedarf noch einer gesonderten Prüfung.
Insgesamt ist das Thema nach wie vor kritisch, wie auch eine Stellungnahme des hessischen Beauftragten für Datenschutz und Informationsfreiheit vom 15.07.2019 zeigt. In dieser Stellungnahme wurde zunächst der Einsatz von Office 365 in den hessischen Schulen untersagt. Wenige Wochen später wird der Einsatz aber zumindest von der Landesdatenschutzaufsicht in Hessen geduldet.
Die entsprechende Verwendung von Office 365 sollte daher intensivst dokumentiert werden. Insbesondere im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO bedarf es ausführlicher Darstellung und Abwägung, warum im konkreten Fall in der Behörde oder im Unternehmen Office 365 datenschutzkonform betrieben werden kann.
2 Bewertung(en), durchschnittlich: 5,00 von 5
Windows 10 und DSGVO
Kostenloses Muster Verzeichnis der Verarbeitungstätigkeit Office 365 Bürokommunikation
DSGVO: Microsoft gerät in den Fokus der Aufsichtsbehörden
Untersuchung deckt Microsofts Datenschutzverstöße auf
Datenschutzfolgenabschätzung für Windows 10 und Office 365
Regelungen zur Auftragsverarbeitung in AGB nach der DSGVO zulässig? Muss ein gesonderter Vertrag geschlossen werden?
Telearbeit und DSGVO
Home Office – Datenschutz und Rechtliches
Steuerberater und die Auftragsverarbeitung
Auftragsverarbeitung gem. DSGVO
Arbeitnehmerüberlassung und Anwendung der DSGVO: Keine Auftragsverarbeitung, sondern Joint Controllership
Verwendung von Google Analytics kann gegen DSGVO verstoßen
mail@mission-datenschutz.de
Abmahnung und DSGVO (14)
Art 12 DSGVO (3)
Art 13 DSGVO (11)
Art 14 DSGVO (6)
Art 15 DSGVO (18)
Art 17 DSGVO (13)
Art 2 DSGVO (2)
Art 22 DSGVO (2)
Art 25 DSGVO (1)
Art 26 DSGVO (3)
Art 28 DSGVO (16)
Art 3 DSGVO (1)
Art 30 DSGVO (11)
Art 32 DSGVO (4)
Art 33 DSGVO (7)
Art 34 DSGVO (4)
Art 35 DSGVO (1)
Art 37 DSGVO (7)
Art 38 DSGVO (3)
Art 39 DSGVO (5)
Art 4 DSGVO (5)
Art 5 DSGVO (2)
Art 58 DSGVO (3)
Art 6 DSGVO (5)
Art 7 DGSVO (10)
Art 8 DSGVO (1)
Art 82 DSGVO (7)
Art 83 DSGVO (Bußgeld) (21)
Art 88 DSGVO (6)
Art 9 DSGVO (1)
Art 91 DSGVO (1)
Beschäftigtendatenschutz (41)
Datenschutz und Vergabeverfahren (3)
Datenschutz-Organisation (22)
Datenschutzrecht (65)
Dieselfahrverbot DSGVO (4)
EU Datenschutz-Grundverordnung (49)
Kostenlose Muster und Musterschreiben (5)
Kostenlose Muster Verarbeitungsverzeichnis (4)
Orientierungshilfen und Hinweise der Aufsichtsbehörden (8)
Sozialdatenschutz (2)
Urteile zur DSGVO und zum Datenschutz (25)
§ 26 BDSG (5)
§ 32 BDSG (3)
§ 4 BDSG (10)
§ 44 BDSG (1)
Cookies werden von unserer Seite nur gesetzt, wenn Sie akzeptieren anklicken. Weitere Informationen

References: Art. 35
 Art. 28
 Art. 28
 Art. 30

§ 26

§ 32

§ 4

§ 44