Microsoft 365 datenschutzkonform einsetzen

Die Frage, ob sich Microsoft 365 datenschutzkonform betreiben lässt, wird meist zu grundsätzlich gestellt. Für die Praxis ist sie falsch formuliert: Kein Aufsichtsbehördenschreiben verlangt die Abschaffung. Verlangt wird der Nachweis, dass Sie wissen, was das Produkt tut, und dass Sie die Punkte geregelt haben, an denen Sie entscheiden können.

Die drei Streitpunkte

Diagnose- und Telemetriedaten. Neben den Inhalten, die Sie bewusst ablegen, entstehen Daten über die Nutzung des Produkts. Die Kritik der Aufsicht richtet sich seit Jahren darauf, dass Umfang und Zweck dieser Verarbeitung nicht vollständig transparent seien und dass Microsoft sie teilweise zu eigenen Zwecken nutze – womit die reine Auftragsverarbeitung verlassen wird.

Übermittlung in die USA. Sie findet statt, auch bei Speicherung in europäischen Rechenzentren – etwa im Support oder bei bestimmten Diensten. Die Rechtsgrundlage dafür ist getrennt zu prüfen; siehe Datenübermittlung in die USA.

Die Rolle im Vertragsverhältnis. Wo Microsoft ausschließlich weisungsgebunden verarbeitet, liegt Auftragsverarbeitung vor. Wo eigene Zwecke verfolgt werden, nicht – und dann brauchen Sie eine eigene Rechtsgrundlage.

Diese Punkte sind Gegenstand einer seit Jahren laufenden Auseinandersetzung zwischen Aufsichtsbehörden und Anbieter, in der sich Vertragswerk und Produkteinstellungen mehrfach geändert haben. Wer heute eine Bewertung liest, sollte auf ihr Datum sehen.

Was Sie tatsächlich in der Hand haben

Die Verantwortung für den Einsatz liegt bei Ihnen, nicht beim Anbieter. Sieben Punkte gehören abgearbeitet:

1. Vertragslage prüfen. Der Auftragsverarbeitungsvertrag samt Anlagen muss vorliegen – nicht als Verweis auf eine Webseite, sondern in einer Fassung, die Sie archiviert haben. Dazu die Liste der Unterauftragsverarbeiter und der Weg, auf dem Änderungen mitgeteilt werden.

2. Telemetrie reduzieren. Der Umfang der übermittelten Diagnosedaten lässt sich zentral steuern. Was Sie einstellen, gehört dokumentiert – die Einstellung selbst ist der Nachweis der Datenminimierung.

3. Verarbeitungen erfassen. Jeder genutzte Dienst – Exchange, SharePoint, Teams, OneDrive – ist eine Verarbeitung und gehört ins Verzeichnis, mit Zweck, Datenkategorien und Löschfristen.

4. Aufbewahrung regeln. Ohne Aufbewahrungsrichtlinien wächst der Bestand unbegrenzt. Ein Löschkonzept, das in der Umgebung technisch umgesetzt ist, ist wirksamer als jede Anweisung.

5. Berechtigungen aufräumen. Der häufigste reale Vorfall in solchen Umgebungen ist kein Angriff, sondern ein zu weit geteilter Ordner.

6. Protokollierung und Auswertung begrenzen. Anmeldeprotokolle, Aktivitätsberichte und Auswertungen zur Nutzung sind Verhaltensdaten von Beschäftigten. Hier greift der Beschäftigtendatenschutz, und der Betriebsrat ist zu beteiligen.

7. Risiko bewerten. Bei umfangreichem Einsatz mit besonderen Kategorien von Daten kommt eine Datenschutz-Folgenabschätzung in Betracht – auch als Nachweis, dass Sie sich mit den Streitpunkten befasst haben.

Die Teams-Funktionen, die eigene Regelungen brauchen

Zwei Funktionen führen regelmäßig zu Rückfragen, weil sie unauffällig eingeführt werden und mitbestimmungspflichtig sind.

Transkription und Aufzeichnung von Besprechungen. Erzeugt ein dauerhaftes Protokoll dessen, was Beschäftigte gesagt haben – abgeschrieben, durchsuchbar, auswertbar. Zu klären sind: Rechtsgrundlage, Hinweis an alle Teilnehmenden vor Beginn, Widerspruchsmöglichkeit, Aufbewahrungsdauer, Zugriff. Ein reiner Hinweis „Diese Besprechung wird aufgezeichnet” genügt nicht, wenn niemand widersprechen kann, ohne aufzufallen.

Standort- und Anwesenheitserfassung. Funktionen, die über das Netzwerk erkennen, ob jemand im Büro oder im Homeoffice arbeitet, erzeugen Verhaltensdaten mit Kontrollpotenzial. Sie sind vor der Aktivierung zu bewerten und mit dem Betriebsrat zu regeln – nicht danach.

Für beide gilt: Die Funktion ist nicht per se unzulässig. Unzulässig ist ihre stille Aktivierung.

Der pragmatische Weg

Für die meisten Unternehmen ist der Umstieg auf ein anderes Produkt keine ernsthafte Option. Der gangbare Weg besteht darin, die eigenen Entscheidungen sauber zu dokumentieren: welche Dienste genutzt werden, welche Einstellungen gesetzt sind, welche Risiken erkannt und wie sie behandelt wurden.

Damit haben Sie im Zweifel etwas vorzulegen. Ein Unternehmen, das die Punkte kennt und behandelt hat, steht anders da als eines, das die Frage nie gestellt hat – auch wenn beide dieselbe Software einsetzen.

Kontakt

Sie setzen Microsoft 365 ein und haben die Punkte nie durchgearbeitet? Das ist in einem überschaubaren Projekt zu erledigen.