Schlagwort: Microsoft Office 365
28. November 2022
Viele Verantwortliche möchten in ihrem Unternehmen oder ihrer Behörde gerne Office 365 (jetzt: Microsoft 365) nutzen. Seit Jahren sehen sich diese wegen der Bewertung der datenschutzrechtlichen Zulässigkeit erheblichen rechtlichen Unsicherheiten ausgesetzt. Die neueste Pressemitteilung der Datenschutzkonferenz ist für die Bewertung nun richtungsweisend.
Bericht der Datenschutzkonferenz
In der Mitteilung vom 28. November 2022 weist der Thüringer Landesbeauftrage für den Datenschutz und die Informationsfreiheit (TLfDI) Dr. Lutz Hasse auf die richtungsweisende Bewertung der Datenschutzkonferenz (DSK) zu Microsoft 365 hin: „Die DSK stellt (…) fest, dass der Nachweis von Verantwortlichen, Microsoft 365 datenschutzrechtskonform zu betreiben, auf der Grundlage des von Microsoft bereitgestellten „Datenschutznachtrags vom 15. September 2022“ nicht geführt werden kann. Solange insbesondere die notwendige Transparenz über die Verarbeitung personenbezogener Daten aus der Auftragsverarbeitung für Microsofts eigene Zwecke nicht hergestellt und deren Rechtmäßigkeit nicht belegt wird, kann dieser Nachweis nicht erbracht werden.“
Außerdem betonte er, dass sich die Bewertung der Datenschutzkonferenz nicht direkt an Microsoft wende, sondern an die Verantwortlichen, sodass diese Microsoft 365 nicht datenschutzrechtskonform verwenden könnten. Neben Fragen bezüglich der Datenübermittlung in die USA komme sowohl der Verstoß gegen Art. 28 DS-GVO als auch gegen die Rechenschaftspflicht aus Art. 5 Abs. 2 DS-GVO in Betracht.
Microsoft widerspricht der DSK
Als „Antwort“ auf diesen Bericht stellte Microsoft die Vereinbarkeit mit dem Datenschutzrecht fest und betonte ihre Position von August 2022. „Wir stellen sicher, dass unsere MS 365-Produkte die strengen EU-Datenschutzgesetze nicht nur erfüllen, sondern oft sogar übertreffen. Unsere Kunden in Deutschland und in der gesamten EU können MS 365-Produkte weiterhin bedenkenlos und rechtssicher nutzen.“
Fazit
Verantwortlichen, die mit der MS 365-Software arbeiten, ist aufgrund der widerstreitenden Aussagen jedenfalls nicht geholfen, wodurch kein zufriedenstellender Zustand herrscht. Es bleibt demnach abzuwarten, ob es in dieser Meinungsverschiedenheit doch noch zu einer Einigung kommen wird. Bis dahin bleibt die Verwendung von MS 365 aus datenschutzrechtlicher Sicht noch unsicher. Wir werden schnellstmöglich über weitere Entwicklungen berichten.
26. April 2022
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit in Baden-Württemberg Dr. Stefan Brink erwartet von Schulen, dass sie Schüler:innen bis zu den Sommerferien 2022 Alternativen zum Cloud-Dienst MS 365 für den Schulbetrieb anbieten.
Microsoft 365 ist ein Online- bzw. Cloud-Dienst des Anbieters Microsoft. Spätestens ab dem kommenden Schuljahr sei die Nutzung von MS 365 an Schulen zu beenden. Andernfalls müssten die Schulen den datenschutzkonformen Betrieb des Cloud-Angebots eindeutig nachweisen können.
Pilotprojekt gescheitert
Die Entscheidung deutete sich schon länger an, der LfDI begleitete und beriet zuvor das Kultusministerium Baden-Württemberg über einen längeren Zeitraum in einem umfangreichen Pilotprojekt zum möglichen Einsatz von MS 365. Auch eine eigens modifizierte Version von Microsofts Programmpaket konnte Baden-Württembergs Datenschutzbeauftragten nicht überzeugen. Im Zuge dessen gab es weitere Sicherheitsfunktionen und Accounts ausschließlich für Lehrkräfte, nicht jedoch für Schüler:innen. Trotz der funktionell eingeschränkten und möglichst datenschutzkonformen Konfiguration von MS 365 sei eine datenschutzkonforme Nutzung kaum möglich. Nach dem Test kam Stefan Brink zu dem Ergebnis, dass die Schulen keine vollständige Kontrolle über das Gesamtsystem und den Auftragsverarbeiter in den Vereinigten Staaten hätten. Sie könnten nicht ausreichend nachvollziehen, welche personenbezogenen Daten wie und zu welchen Zwecken verarbeitet würden. Auch könne man nicht nachweisen, dass die Verarbeitung auf das notwendige Minimum reduziert sei. Die Ergebnisse der Prüfung sind hier abrufbar.
Alternativen vorhanden
Man werde in Kürze auf etwa 40 Schulen zugehen, die den Cloud-Dienst Microsoft 365 oder MS Teams verwenden und sie über seine rechtliche Bewertung zur Nutzung dieses Online-Dienstes informieren. Darüber hinaus werde man die Schulen um einen verbindlichen Zeitplan für den Umstieg auf Alternativen bitten. Zusammen mit dem Kultusministerium sollen die Schulen dann bei der Implementierung neuer Systeme unterstützt werden. Der Landesbeauftragte für den Datenschutz verweist dabei auf bereits erprobte Alternativen. Dazu gehören beispielsweise Moodle, itslearning oder das Web-Konferenzsystem BigBlueButton.
Umstieg kaum zu vermeiden
Sollten die Schulen dennoch den Cloud-Dienst weiter nutzen möchten, so müssten sie begründen, wie sie den datenschutzkonformen Betrieb garantieren und dies entsprechend ihrer Rechenschaftspflicht nach Artikel 5 Absatz 2 Datenschutz-Grundverordnung eindeutig nachweisen könnten. Dabei würde insbesondere die Drittstaatenübermittlung in die Vereinigten Staaten die Schulen vor größere Probleme stellen.
8. August 2019
Anfang Juli 2019 hatte die hessische Datenschutzbehörde Schulen die Nutzung von Microsoft Office 365 untersagt. In seiner Stellungnahme erklärte der Hessische Beauftragte für Datenschutz und Informationsfreiheit, dass es unzulässig sei, das Programm an hessischen Schulen einzusetzen, sofern dort personenbezogene Daten in der europäischen Cloud gespeichert werden.
Am 2. August 2019 folgte eine zweite Stellungnahme zum Einsatz von
Microsoft Office 365 in hessischen Schulen. Der Landesdatenschutzbeauftragte
erklärte darin: „Seither fanden intensive Gespräche mit Microsoft über die
Datenschutzkonformität der schulischen Anwendung von Office 365 statt, die zu
einer datenschutzrechtlich veränderten Einschätzung führten und die einen
erheblichen Anteil der Bedenken entkräfteten.“ Im Rahmen dieser Einschätzung erweist sich diese
Überprüfung als außerordentlich komplex und aufwendig, da eine Vielzahl rechtlicher und technischer
Fragen zu klären war.
In seiner zweiten offiziellen Stellungnahme hat der Hessische Beauftragte
für Datenschutz und Informationsfreiheit sich nach intensiven Gesprächen mit
Microsoft dazu entschlossen, den Einsatz von Office 365 in hessischen Schulen
unter bestimmten Voraussetzungen und dem Vorbehalt weiterer Prüfungen zum
gegenwärtigen Zeitpunkt zu dulden. Die Einschätzung betrifft die Version ab
1904 (für die Produkte Office 365 ProPlus, Office 365 Online und
Office 365 Apps) und der Landesdatenschutzbeauftragte betont, dass Schulen
Office 365 einsetzen dürfen, wenn sie die Übermittlung jedweder Art von
Diagnosedaten unterbinden.
Zu gegebener Zeit wird der Landesdatenschutzbeauftragte weitere
Vorgaben hinsichtlich der Parameter machen, die als Grundlage für die Nutzung
der Cloud umzusetzen sind. Dazu wird
auch Microsoft Schulen Handlungsanleitungen zur Verfügung stellen.
Allerdings können sich die Schulen, die den Erwerb beabsichtigen,
ebenfalls auf die Duldung berufen, aber tragen das finanzielle Risiko, falls
die weitere Überprüfung zur Unzulässigkeit des Einsatzes von Office 365 in
hessischen Schulen führen sollte.
1. August 2019
Bei Untersuchungen im Auftrag des niederländischen Justizministeriums wurden letztes Jahr massive Datenschutzverstöße bei Microsoft festgestellt. Das Ergebnis einer Nachuntersuchung zeigt, dass trotz vieler Nachbesserungen Office Online, die mobilen Apps und Windows 10 Enterprise immer noch nicht datenschutzkonform sind.
Als Nachbesserungsmaßnahmen wurden z.B. neue Datenschutzbestimmungen für die Nutzung von Enterprise-Versionen von Office und Windows 10-Software für die rund 300.000 digitalen Arbeitsplätze in den Ministerien und anderen Behörden vereinbart. Die acht vorher identifizierten Mängel bei Office 365 ProPlus wurden ebenfalls behoben.
Diese Nachbesserungen wurden aber noch nicht für Office Online und den mobilen Office-Apps umgesetzt. So kann man den Datenverkehr in Office nicht minimieren und bei den iOS App (Word, Excel und PowerPoint) werden Daten an eine US-amerikansiches Marketing-Unternehmen weitergeleitet, das sich auf Profiling spezialisiert hat. Die Nutzer werden nicht über den Zweck dieser Verarbeitung informiert und können sie auch nicht abstellen.
17. Juli 2019
Die digitalen Anwendungen im Schulalltag verändert das Lernen wie kaum
zuvor. Jedoch scheint Hessen auf ein Problem mit Cloudanwendung von Office 365
gestoßen zu sein, so dass die Nutzung von Office 365 an hessischen Schulen derzeit
verboten werden soll. Was für Microsoft Office 365 gilt, ist auch
für andere Cloud-Lösungen etwa von Google oder Apple zutreffend.
Michael Ronellenfitsch, der Hessische Beauftragte für Datenschutz und
Informationsfreiheit, betonte, dass Dritte Zugriff auf die Microsoft Cloud
erlangen könnten, weswegen Schulen die Cloudanwendung von Office 365 nicht mehr
nutzen sollen. Laut Ronellenfitsch liegt das Problem, dass personenbezogene
Schülerdaten aus Deutschland in die USA übermittelt werden. In seiner
Stellungnahme erklärte der
Landesdatenschutzbeauftragte, dass der entscheidende Aspekt ist, „ob
die Schule als öffentliche Einrichtung personenbezogene Daten von Kindern in
einer europäischen Cloud speichern kann, die z.B. einem möglichen Zugriff
US-amerikanischer Behörden ausgesetzt ist.“ Ferner begründet er
seine Auffassung, dass Office 365 nicht
für Schulen geeignet ist, mit der besonderen Verantwortung der
öffentlichen Einrichtungen in Deutschland beim Datenschutz hinsichtlich der
Zulässigkeit und Nachvollziehbarkeit der Verarbeitung personenbezogener Daten. Zudem
mahnt Ronellenfitsch, dass “die
digitale Souveränität staatlicher Datenverarbeitung gewährleistet sein”
müsse. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auch
darauf hingewiesen, dass über Windows 10 und Microsoft Office 365 “eine Fülle von Telemetrie-Daten an Microsoft
übermittelt” würden, deren Inhalte trotz wiederholter Anfragen noch
nicht hinreichend geklärt seien.
Der Landesdatenschutzbeauftragte argumentiert, dass man auch mit
der Einwilligung der Betroffenen das Problem nicht lösen könnte, da die Sicherheit
und Nachvollziehbarkeit der Datenverarbeitungsprozesse nicht gewährleistet
sind. Der Versuch einer Heilung durch eine Einwilligung der Eltern bietet auch keine Lösung, weil es nicht nachvollziehbar ist, welche Daten
tatsächlich übermittelt werden.
Diese Regelungen gelten zurzeit nur
in Hessen. Es bleibt abzuwarten, wie die anderen Bundesländer hiermit umgehen
werden.
8. Mai 2019
Der Software-Konzern reagiert auf die Kritik am Umgang mit Benutzerdaten (wir berichteten) in seinen Produkten, die in Europa in den vergangenen Monaten lauter geworden ist.
Als Reaktion darauf möchte Microsoft über drei Zugänge seinen Kunden mehr Transparenz und Kontrolle über ihre Daten geben. Das wurde nun auf einem Blogbeitrag veröffentlicht.
Zunächst sollen die gesammelten Daten in zwei Gruppen eingeteilt werden: Notwendige (required) und optionale. Notwendige Informationen braucht Microsoft, damit Produkte wie das Betriebssystem oder Office-Software richtig funktionieren. Darunter fallen etwa Begriffe bei Suchanfragen, aber auch Geräte-IP und -typ.
Optionale Daten sollen zur Produktverbesserung genutzt werden. Die genutzten Microsoft-Produkte werden jedoch umfänglich funktionieren – unabhängig davon, ob Kunden der Sammlung von optionalen Daten zustimmen.
Das transparentere Vorgehen soll dem Nutzer die Entscheidung, welche Daten er teilen möchte, erleichtern. In verständlicher Sprache will Microsoft dann erklären, wofür es die Daten überhaupt sammelt und warum sie einer der beiden Kategorien zugeordnet wurden.
Letzlich will Microsoft auch halbjährlich Reports veröffentlichen. So soll zum einen veröffentlicht werden, wenn neue notwendige Daten gesammelt werden. Zum anderen sollen Kunden aber auch darüber informiert werden, wenn Microsoft aufhört, bestimmte Arten von notwendigen Daten zu sammeln. Der IT-Konzern will in den Reports auch darauf eingehen, wie er auf neue Datenschutzbestimmungen reagiert.
Die Maßnahmen sollen in den folgenden Monaten umgesetzt werden. Zunächst für die Produkte Windows 10 und Office 365 ProPlus, anschließend für die Plattformen Xbox und Dynamics 365.
28. Juli 2017
Microsoft Office 365 kann auch in der Cloud betrieben werden. Und genau dies macht die Einführung dieses Systems im Unternehmen spannend wie auch datenschutzrechtlich kompliziert. Dies geht zurück auf aktuelle Praxisprobleme rund um die Cloud, insbesondere aus datenschutzrechtlicher Sicht. Hier ist noch eine Menge in Bewegung. Vor allem ist bereits jetzt abzuschätzen, dass die Rechtslage durch die DSGVO noch weiter an Komplexität zunehmen wird. Mit Microsoft Office 365 ist es jedenfalls möglich nicht nur alle Dokumente, sondern auch Telefonverbindungen, Termine, Emails usw. in die Cloud zu übertragen.
Dadurch wird möglich, dass alle Mitarbeiter auf alle Daten zugreifen und von überall auch bearbeiten können. So schön das auch klingt, ist der Datenschutz dabei nicht zu vernachlässigen. Denn möglich ist eben auch eine fast vollständige Überwachung der Mitarbeiter, so dass dem Begriff der Leistungskontrolle dadurch eine völlig neue Tragweite zukommt. Der Arbeitgeber kann nämlich beispielsweise nachvollziehen, wer wie lange an einem Dokument gearbeitet hat oder wer, wem, wie lange eine Email geschrieben hat. Ausgeschlossen ist überdies nicht, dass Daten miteinander verknüpft werden können. Auf diese Weise können aussagekräftige Bewegungsprofile des Mitarbeiters erstellt werden.
Aus Sicht der Unternehmen geht es freilich um wertvolle Informationen, wollen sie herausfinden wie viel ein Mitarbeiter leisten kann, um daraus wiederum Leistungsvorgaben definieren zu können. Gerade diese Vor- und Nachteile je nach einzunehmender Sichtweise, macht es erforderlich, dass der Betriebsrat die Einführung von Microsoft Office 365 bestätigt. Insofern hat der Betriebsrat hier ein Mitbestimmungsrecht.
- 87 Betriebsverfassungsgesetz
(„1) Der Betriebsrat hat, soweit eine gesetzliche oder tarifliche Regelung nicht besteht, in folgenden Angelegenheiten mitzubestimmen (…)
6. Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen (…)“
Dieses Recht sichert letztlich das Persönlichkeitsrecht der Mitarbeiter und ist somit eng verbunden mit dem Datenschutzrecht, da das Persönlichkeitsrecht hier wegen der unfreiwilligen Preisgabe personenbezogener Daten der Mitarbeiter verletzt werden kann.
Im Rahmen der Betriebsvereinbarung kommt es maßgeblich darauf an, darauf zu achten, dass insbesondere die IT-Sicherheit gewährleistet ist. Daneben müssen Mitarbeiter darüber informiert werden, welche Daten von ihnen erhoben, verarbeitet und genutzt werden.
