Source: https://www.rz.uni-wuerzburg.de/dienste/it-recht/it-vertraege/microsoft-365/
Timestamp: 2020-04-07 19:59:54
Document Index: 238933488

Matched Legal Cases: ['Art. 108', 'Art. 6', 'Art. 4', '§ 3', 'Art. 13', 'Art. 11', '§ 13', 'Art. 6', 'Art. 10', 'Art. 7', 'Art. 20', 'Art. 3', 'Art. 6', 'Art. 4', '§ 106', 'Art. 6', 'Art. 33', 'Art. 6', 'Art. 49', 'Art. 5', 'Art. 49', 'Art. 49', 'Art. 49']

Microsoft - Rechenzentrum
Microsoft 365 ein Lösungsangebot
Mit Microsoft 365 ist der Lösungsansatz von Microsoft Windows 10, Office 365 und Sicherheitslösungen und Gerätemanagement in einem Paket anzubieten.
Die Aussagen zu Microsoft 365 treffen auch den aktuellen Bundesvertrag (der den Einsatz von Windows 10 und Office 365 ermöglicht) wie den geplanten neuen Bundesvertrag (Wechsel zu Microsoft 365) für die die Hochschulen in Deutschland.
Es gibt auch weitere Volumenlizenzprogramme etwa Microsoft Select Plus (ohne Cloudprodukte). Zudem ist dieses Programm im Hinblick auf die gestiegene Lizenzkomplexität bei Microsoftprodukten und -diensten nicht zu empfehlen, da hohe Compliance-Risiken drohen. Soweit nur noch wenig interne Infrastruktur vorhanden ist, kann sich auch ein Blick in die CSP-Programme lohnen.
Auch wenn der Einsatz von Microsoftprodukten und -diensten weltweit üblich und bewährt ist, sollte dieser immer hinterfragt werden und Alternativen in Betracht gezogen werden.
Die zahlenreichen Kooperationen und mitversorgten Einrichtungen führen fast immer in einen Graubereiche der Lizenzierung, abseits von Open Source.
Einen guten Überblick über Alternativen gibt das MALT-Projekt von CERN.
Bestimmungen von Microsoft und dem Microsoft Campus- und Schoolvertrag
Bei der Nutzung gelten grundsätzlich die Bestimmungen von Microsoft.
Die Betriebssysteme sind immer Upgrades von sogenannten "Qualifizierenden Betriebssystemen".
Informationen zum Microsoft Campus- und School-Vertrag
Viele Einrichtungen sind dem Microsoft Campus- und School-Vertrag beigetreten mit einer Laufzeit bis 30. April 2021.
Die Verwendung Produkte und Services aus diesem Vertrag unterliegt den Bestimmungen aus diesem Vertrag, einschließlich, aber nicht beschränkt auf Haftungsbeschränkungen, Ausschluss von Gewährleistungen sowie den Ausschluss von Rechtsmitteln und Ansprüchen.
Die Produkte unterliegen auch Product Terms und Online Service Terms von Microsoft.
Die Nutzungsberechtigung ist auf den lizenzierten Zeitraum beschränkt.
Wenn der Vertrag gekündigt wird oder wenn der Beitritt ausläuft und wir für die unter dem Beitritt bestellten Produkte keine unbeschränkten Lizenzen erwerben, müssen sämtliche Produkte, die unter diesem Vertrag genutzt werden, gelöscht werden, wenn der lizenzierte Zeitraum abläuft oder anderweitig vorzeitig gekündigt wird, je nachdem, welcher Zeitpunkt zuerst eintritt.
Bei der Nutzung einiger Produkte und Onlinedienste können auch die Bestimmung des Servicevertrages gelten, ebenso weitere Datenschutzbestimmungen.
Leitungsentscheidung für Microsoft 365
Es ist nicht Aufgabe der IT, des Rechenzentrums oder einzelner Personen, über den Einsatz von Microsoft 365 zu entscheiden. Vielmehr ist dies Aufgabe der Leitung der Hochschule, in Bayern etwa die Hochschulleitung.
Hochschul-Forums Digitalisierung
Die Aussage des Hochschul-Forums Digitalisierung zu Microsoft Teams lautet:
"Microsoft garantiert eine Speicherung auf in Deutschland stehenden Servern. Entsprechend bestehen keine Datenschutzbedenken."
Zu diese Einschätzung ist von Seiten der Stabsstelle anzumerken:
Die bestehenden (datenschutzrechtlichen) Risiken, werden bei dieser Aussage nicht berücksichtigt.
Der Serverstandort ist für die datenschutzrechtliche Beurteilung nicht maßgeblich, wenn Support und Wartung für diese aus den USA / der ganzen Welt kommen.
Beispiele für die Risiken Public Cloud
Die Daten werden von Microsoft auch für eigene Zwecke verarbeitet, wenn dies erforderlich ist zwecks Abrechnung- und Kontoverwaltung, Vergütung, interner Berichterstattung und Modellierung, Bekämpfung von Betrug, Cyberkriminalität oder Cyberangriffen, Verbesserung der Kernfunktionalität in Bezug auf Barrierefreiheit, Datenschutz oder Energieeffizienz sowie Finanzberichterstattung und Einhaltung gesetzlicher Verpflichtungen.
Letzteres gilt für Ermittlungen durch Polizei und Geheimdienste etwa aus den USA, etwas beschränkt durch interne Vorgaben von Microsoft selbst. Solche Ermittlung sind jedoch extrem selten und werden Hochschulen kaum treffen.
Mit dem Dienst wird vertraglich nur Ausfallsicherheit gewährleistet, d.h. die Nutzer müssen sich eigenverantwortlich um Backups und Archivierung kümmern.
Daten aus Personalakten dürfen nicht in Office 365 abgelegt werden (z.B. Art. 108 Abs. 3 BayBG)
Informationssicherheit für die Public Cloud Lösung ist formal durch das BSI C5 Testat auch für Bundesbehörden gegeben. Office 365 muss jedoch sicher konfiguriert werden, etwa Multi-Faktor-Login für alle administrativen Accounts.
Vorzuziehen ist, dass eine Multi-Vendor-Strategie gewählt wird und auch eigene Lösungen angeboten werden, etwa jitsi-meet, RocketChat oder Nextcloud Talk in Ergänzung zu Lernplattformen.
Prüfung der Informationssicherheit
Bereitstellen der notwendigen Ressourcen für die Administration
Dienstvereinbarung zu Microsoft 365
Löschung der Benutzerkonten
Verhalts- und Leistungskontrolle
=> Verzichts auf diese (soweit nicht gesetzlich vorgeschrieben)
Beteiligung und Rechte des Personalrats
=> Festlegen, welche Rolle mit Lesendem Zugriff auf Office 365 für den Personalrat bereitgestellt wird.
Anlage der zugelassen Dienste
Weitere Dokumente zur Entscheidungsfindung
Interne Dokumentation zur Wirtschaftlichkeit
Erwogene Alternativen
Beispielhafte Auswahl von Diensten
Forms (Online Formulare)
Planer für die Arbeitsorganisation
Office Online (Word, PowerPoint, Excel, OneNote, usw. um online und kooperativ nutzen)
Office Lens (zur Digitalisierung von Dokumenten)
Teilen eigener Dateien
Stream (Interne Videoplattform)
Sway (Alternative zu Prezi)
Teams (Zusammenarbeit und Kommunikation)
To Do (Aufgabenverwaltung)
Beispiel für nicht aktivere Dienste
Flow (wegen der Komplexität)
MyAnalytics (Persönliche Nutzungsanalyse von Office 365)
Skype for Business (da Migration zu Teams)
Video (da Migration zu Stream)
Yammer (da im Kern auch über Teams abgebildet)
Hausordnung für Teams
Microsoft Teams sollte für die Kommunikation mit einer Hausordnung oder Netiquette vorsehen.
Ein gutes Beispiel (auf Englisch) für eine Hausordnung kommt von Storyals.
Microsoft bietet zudem ein Erfolgs-Kit zur Einführung von Microsoft Teams an.
Teams als Zentrum der Kommunikation
Teams ersetzt weder die ordnungsgemäße Aktenführung noch die Archivierung. Leider verhindert das Urheberrecht in Deutschland Gifs, Memes oder Sticker zu nutzen. Ferner ist Teams kein Ersatz für die Personalakte und steuerrechtlich relevante Unterlagen werden nicht in Teams abgelegt. Und auch mit Teams gilt deutsches Arbeitszeitrecht.
Teams aktiv nutzen!
Kommunikation mit Bild und Ton ist wichtig, insbesondere wenn man sich nicht direkt treffen kann.
Keine Silos bilden!
Gruppenchats sind geeignet für nicht unmittelbar dienstliche Belange et
Im Übrigen gehört die Kommunikation in die jeweiligen Teams.
Emoji-Bedeutungen festlegen.
Umschrift der Reaktionen
Festgelegte Bedeutung
Unzutreffende Bedeutung
Like Das gefällt mir! Daumen hoch! Ich bin einverstanden. Ich hab's gesehen. Gut gemacht! Ich habe es gesehen. Ich hab's! Danke! Genehmigt. Machen Sie weiter. Bestätigt. Machen Sie es. Kaufen Sie es.
Herz Liebe es! Wunderbar! So süß. Das ist so nett. DANKE! Alles Unangebrachte.
Lachen Das ist lustig. Das macht mich so glücklich.
Überrascht Was??!?!?!! Wirklich?! Ich bin überrascht. Oje!
Traurig Das ist so traurig. Es tut mir leid, das zu hören. Ich fühle mit Ihnen mit.
Wütend Das macht mich so wütend. Das ist verärgernd. Das ist so falsch.
Regeln der Einrichtung für die Nutzung
Die Software und Dienste sind ausschließlich zu studentischen bzw. dienstlichen Zwecken oder für studentische oder dienstliche Projekte einzusetzen unter Beachtung der gesetzlichen Aufbewahrungsfristen und des Archivrechts.
Sicherungen und Archivierung der Daten muss eigenverantwortlich durch die Nutzenden erfolgen.
Der Einsatz zu privaten Zwecken ist in den Lizenzbestimmungen nicht vorgesehen. Es werden ausschließlich persönliche nicht übertragbare Lizenzen bereitgestellt.
Soweit mit der Anwendung personenbezogene Daten Dritter verarbeiten werden, müssen die Vorschriften des Datenschutzes einhalten und die Erfüllung der Informationspflichten sicherstellt werden.
Bestimmungen und Informationen sind bei Bestellungen über WebShop4All an durch die Bestellung begünstigten Personen weiterzugeben.
Allgemein gilt: Unveröffentlichte personenbezogene Daten von Personen, die nicht Microsoft 365 bzw. Office 365 nutzen (Fall 1), die nicht im Bezug zu aufgabenbezogene Kommunikation stellen (Fall 2) dürften ebenso wenig wie Daten, die besonderer Geheimhaltung und hohem Schutzbedarf unterliegen (Fall 3), unverschlüsselt in das Speicherangebot des Dienstes übergeben werden.
Beispiele für Fall 1 sind etwa Anwesenheitslisten oder Listen von Teilnehmenden einer Veranstaltung, für Fall 2 Mitteilungen von Kontaktinformationen oder Wissenswertem mit dienstlichem Bezug über fachlich zuständige oder Kontaktpersonen bei Dienstleistern und Kooperationspartnern, Kurs-/Veranstaltungsteilnehmer sowie für Fall 3 Krankmeldungen und Forschungsverträge mit Geheimhaltung.
Werden Daten verschlüsselt gespeichert, muss der Schlüssel den Passwortvorgaben der Einrichtung entsprechen oder gleichwertig sicher sein. Das genutzte Verschlüsselungsverfahren hat der technischen Richtlinie BSI TR-02102-1 des Bundesamtes für Sicherheit in der Informationstechnik zu entsprechen.
Microsoft stellt einige Funktionen seiner Dienste und Software als sogenannte „Optionale verbundene Erfahrungen bereit“. In diesem Fall ist sicherzustellen, dass diese Funktionen ausschließlich mit personenbezogenen Daten der Nutzenden erfolgt und die erforderlichen urheberrechtlichen Nutzungsrechte für eine Weitergabe der Werke an Microsoft bestehen.
Es gibt viele Wege, die Accounts der Nutzer anzulegen
Azure-AD Only
ADFS-Shibboleth
Hybrididentität in Azure Active Directory
Manuelles Verwalten
Verwalten von Benutzerkonten, Lizenzen und Gruppen mit Office 365 PowerShell
Bayerische Hochschulen können Accounts in Azure-AD sowie Lizenzen auch über StudiSoft zuweisen lassen.
MusterVVT für Microsoft 365
MusterVVT für staatliche Hochschulen in Bayern
Datenschutzinformation über die Verarbeitung personenbezogener Daten (Bayern)
Verantwortliche und deren Datenschutzbeauftrage (neben dem Lizenznehmer)
One Microsoft Place, South County Business Park, Leopardstown Dublin 18, Ireland,
Einrichten und Betreiben von Arbeitsstätten, einschließlich Betreuung, Herstellersupport und kontinuierlichen Verbesserungen und statistischer Nutzungsanalysen
Einschließlich Offenlegung für folgende Zwecke von Microsoft
Für die Universität und Personen, die in Kommunikation und Dokumenten identifizierbar sind Art. 6 Abs. 1 lit. e i.V.m. Art. 4 BayDSG (insbesondere § 3a ArbStättV, Art. 13 BayBGG, Art. 11 Abs. 1 BayEGovG, § 13 Abs. 7 TMG, Art. 6 Abs, 1 BayDSG, Art. 10 Abs. 1 BayHSchG, Art. 7 BayHO, Art. 20a GG, Art. 3, 3a, 141 BayVerf)
Für die Personen, die Office 365 nutzen in der Rolle als
Beschäftigter zudem Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 4 BayDSG (§ 106 Gewerbeordnung)
Beamte zudem Art. 6 Abs. 1 lit. c DSGVO i.V.m. art. 4 BayDSG (Art. 33 Abs. 5 GG)
Rechtsgrundlagen für die Offenlegung an Microsoft (jenseits der Auftragsverarbeitung)
Für lizenzierte Personen Art. 6 Abs. 1 lit. b DSGVO sowie Art. 49 Abs. 1 lit c (1. und 6.)
Für vertraglich nicht erforderliche Zwecke, Art. 5 Abs. 1 S. 1 Nr. 2, Art. 49 Abs. 1 lit. d DSGVO (2.-5.,7.,8.)
Personenbezogene Basisdaten
Logfile mit Zugriffen
System generierte Protokolldaten
Für Datenkategorien 1-9 Personen, die Office 365 nutzen oder administrieren
Für Datenkategorien 3, 8, 9 Personen, die in der Kommunikation und Dokumenten identifizierbar sind
Microsoft Ireland Operations Limited, zwecks Auftragsverarbeitung und Vertragserfüllung
Microsoft Corporation, zwecks Auftragsverarbeitung und Vertragserfüllung und eigener Zwecke
Sowie deren Unterauftragsverarbeiter und Supportdienstleister
Garantien für den Internationalen Datentransfer
Rückausnahmen Art. 49 Abs. 1 lit c DSGVO für Zwecke 1. und 6.
Rückaufnahmen Art. 49 Abs. 1 lit. d DSGVO für Zwecke 2.-5., 7., 8.
90 Tage nach Löschung des Accounts auf Verlangen oder nach Widerspruch (Datenkategorien 4-7)
90 Tage nach Löschung der Inhaltsdaten, nach Wegfall der Erforderlichkeit (Datenkategorien 1-3)
180 Tage (Datenkategorien 8, 9)
Überblick über die Sicherheitsportale zur Microsoft 365 Administration
Microsoft 365-Sicherheitsdokumentation
Microsoft-Ressourcen zum Thema Sicherheit
Informationen zur Microsoft-Sicherheitsbewertung
Microsoft über Sicherheitsprobleme benachrichtigen (Englisch)
Der Großteil der Dienste von Microsoft hat ein SLA von 99,9% pro Monat. Sollte das SLA nicht einhalten werden und in einem Monat etwa unter 99% fallen, gibt es Gutschriften. Da der Prozess nicht automatisiert ist, muss jede Einrichtung selbst die Verfügbarkeit überwachen.
Über den aktuellen Stand der Verfügbarkeit informiert Microsoft Administratorinnen und Administratoren im Admincenter und öffentlich auf Twitter (alternativer Zugriff über Nitter).
Evaluation eigener Risiken (Clients und Konfigurationen) mit Threat Explorer und Echtzeiterkennung
Analyse von Risiken für Datenschutzfolgeabschätzungen
Leitsätze für die Prüfung von IuK-Outsourcing
Durch das BSI C5 Testat der Rechenzentren und Dienste von Microsoft kann Microsoft und Office 365 werden die Compliancevorgaben für Bundesbehörden für externe Clouddienste erfüllt.
Über die Sicherheitszertifikate und Prüfberichte informiert Microsoft in einem Trustcenter.
Die Sicherheitsmaßnahmen von Microsoft können auch für eigene Sicherheitszertifizierungen geerbt werden.
Dennoch gilt, die Einrichtung muss auch eigene Maßnahmen ergreifen, etwa die Sicherung administrativer Konten oder Backups.
Hinweise zu Telemetrie bei Produkten und Diensten von Microsoft
Microsoft nutzt auf Endgeräten gesammelte Informationen für seine eigenen Geschäftsinteressen. Hintergründe dazu erklärt Microsoft etwa zu Windows 10 oder zu Office 365 auf YouTube.
Dem Kunden stehen vielfältige Möglichkeiten zur Verfügung, den Umfang der Sammlung von Informationen zu begrenzen.
Für einen Großteil dieser von Microsoft gesammelten Daten wurde der Begriff "Telemetriedaten" verwenden. Inzwischen hat Microsoft diesen Begriff durch die Bezeichnung "Diagnosedaten" ersetzt.
Microsoft ermöglicht es, die Übermittlungen der Diagnosedaten zu kontrollieren. Wenn das Betriebssystem zentral verwaltet wird, und die Editionen Enterprise oder Education eingesetzt werden, stehen weitere Optionen zur Einschränkung des Sendeverhaltens zu Diagnosedaten zur Verfügung.
Die Level gehen von Vollständig, Erweitert, Einfach zu Sicherheit.
Für mehr Akzeptanz von Windows 10 und um den eigenen digitalen Fußabdruck zu verkleinern, sollte das Level "Sicherheit" gesetzt werden.
Sofern bereits Windows 10 ab dem Build 1909 eingesetzt wird, gibt es nach dem 9. Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht für das Jahr 2019 nur noch eine Kommunikation zu Updateservern und zur Zertifikatsprüfung.
Noch verbliebene Diagnosedaten können über "Einstellungen" unter "Datenschutz" im Menüpunkt "Diagnose und Feedback" angezeigt (Diagnosedaten anzeigen) und gelöscht (Diagnosedaten löschen) werden.
Office 365 (Desktop-Anwendung)
Microsoft ermöglicht die Übermittlungen der Diagnosedaten zu kontrollieren. Dazu empfiehlt es sich Office 365 zentral zu verwalten.
Als Optionen kann gewählt werden "Erforderlich", "Optional" sowie "Weder noch".
Für mehr Akzeptanz von Office 365 und um den eigenen digitalen Fußabdruck zu verkleinern, sollte das Level "Weder noch" gesetzt werden, jedoch kann für einige Nutzergruppen für die Zugriff auf bestimmte Funktionen auch das Level "Optional" notwendig sein.
Frühere Versionen von Office 365 (vor dem Build 1904) und Office 2019 oder früher bieten leider keine Möglichkeit das Senden der Diagnosedaten an Microsoft über Gruppenrichtlinien oder Einstellungen in der Anwendung selbst zu unterbinden. Es können jedoch die übermittelten Diagnosedaten über einen Viewer einsehen.
Anleitung zu den Datenschutzeinstellungen für Windows, Mac, Web und iOS. Der Weg zu den Einstellungen bei Android ist ähnlich.
Verbundene Erfahrungen und Dienste
Im Hinblick auf die Datenschutzbedürfnisse vor Ort sollten Sie entscheiden, ob sie etwa für den Bereich der Verwaltung Funktionen nicht bereitstellen.
Übersicht der Verbundenen Erfahrungen in Office 365
Studie zu Systemaufbau, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10 des Bundesamtes für Sicherheit in der Informationstechnik
Gutachten im Auftrag des niederländischen Ministeriums für Justiz und Sicherheit von Pvacy Company zu Datenschutzrisiken von Microsoft Windows 10 Enterprise, Office 365 ProPlus und Office Online
Microsoft hat eine umfassende Strategie für die Barrierefreiheit in Produkten und Diensten.
Es gibt Bedienhilfen wie Sprachausgabe und Tastenkombinationen bei Office-Apps oder für Teams.
Konformitätsberichte zu den Produkten werden regelmäßig aktualisiert veröffentlicht.
Barrierefreiheit der mit Office-Anwendungen erstellten Dokumente und Inhalte
Mit den Office-Anwendungen können Dokumente barrierefrei erstellt werden.
Grundsätzlich gilt, dass Sie Barrierefreiheit einfacher und besser durch die Nutzung von Formatvorlagen und Folienmaster erreichen können.
Informationen stellt Microsoft etwa bereit für
Ebenso ist verfügen die Programme über eine Barrierefreiheitsprüfung für die erstellten Dokumente.
Branding der Anmeldeseite von Office 365
Banner und Farben für Corporate Design
Anpassung des Hilfelinks beim Passwortzurücksetzen
Vertriebsfragen Handelspartner Microsoft
Bezugsfragen Hochschulintern Handelspartner
Datenschutzbeauftragte der Teilnehmer sowie von Microsoft
Microsoft soweit Auftragsverarbeiter
Allgemeine Datenschutzfragen Datenschutzbeauftragte Stabsstellen IT-Recht
Lizenzfragen Arbeitskreise Softwarelizenzen Microsoft
Stabsstellen IT-Recht
Hausmesse von Microsoft (englisch)
Microsofts YouTube-Kanäle (englisch)
Microsoft 365 alternativ über Invidio
Microsoft Mechanics alternativ über Invidio
Microsoft 365-Hilfecenter für Administratoren und IT-Experten
Office-Dokumentation für Administratoren und IT-Spezialisten
Microsoft 365 Education-Dokumentation
Azure Dev Tools für Teaching
Seite: 219181/75