Microsoft 365 und die DSGVO: was im Betrieb wirklich zählt
Entschieden wird das nicht an einem Schalter, sondern an Vertrag, Speicherort, Diagnosedaten, Löschkonzept und der Frist, die bei einem Auskunftsersuchen läuft.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Eine Prüfung will Dokumente sehen und keine Einstellungen
Die Frage kommt selten aus der IT. Sie kommt vom Betriebsrat, aus einem Ausschreibungsverfahren oder von der Aufsichtsbehörde, und sie zielt nicht auf Häkchen im Admin Center, sondern auf Nachweise: Was habt ihr geprüft, wann, und was ist daraus gefolgt. Eine Bildschirmaufnahme aus der Verwaltungsoberfläche beantwortet das nicht.
Der Verweis auf den Auftragsverarbeitungsvertrag reicht nur für einen Teil. Er deckt den Bereich ab, in dem Microsoft als Auftragsverarbeiter handelt. Daneben verarbeitet Microsoft Daten für eigene Zwecke, etwa für die Weiterentwicklung der Dienste, und genau diesen Bereich haben die deutschen Aufsichtsbehörden in der Datenschutzkonferenz mehrfach kritisch bewertet.
Wer stattdessen mit Einstellungen beginnt, härtet Dienste, die niemand nutzt, und übersieht die, mit denen alle täglich arbeiten. Und selbst eine gute Bewertung altert schnell, weil neue Funktionen ohne Zutun der Organisation dazukommen. Ohne festen Termin für die Fortschreibung ist sie nach einem Jahr ein historisches Dokument.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Auftragsverarbeitungsvertrag und Unterauftragnehmer | Die datenschutzbeauftragte Stelle gemeinsam mit dem Einkauf | Einkauf legt die aktuelle Fassung ab, die IT liefert die Liste der genutzten Dienste | Der Vertrag gilt als Nachweis für alles, deckt aber nur den Teil ab, in dem Microsoft als Auftragsverarbeiter handelt. |
| Speicherort und Zugriff aus dem Support | Geschäftsleitung auf Vorschlag der datenschutzbeauftragten Stelle | Administration aktiviert Customer Lockbox, also die Freigabepflicht für Supportzugriffe, sofern der Plan sie enthält | Die EU-Datengrenze wird als abschließende Antwort verstanden, Supportfälle und Zusatzdienste bleiben dabei außen vor. |
| Diagnosedaten und verbundene Erfahrungen | Datenschutz gemeinsam mit der IT-Leitung | Administration über Richtlinien für die Office-Anwendungen | Betrachtet werden nur die Anwendungen, während Betriebssystem und Browser eigene Telemetrie senden. |
| Auskunftsersuchen betroffener Personen | Die datenschutzbeauftragte Stelle | Benannte Personen mit eDiscovery-Berechtigung in Microsoft Purview | Die Frist läuft ab Eingang, und ohne Probelauf geht die Hälfte davon für das Erlernen des Werkzeugs drauf. |
| Löschkonzept und Fristen | Fachbereiche und Rechtsabteilung legen die Fristen fest | Administration über Aufbewahrungsrichtlinien in Microsoft Purview | Eine Löschung aus Sicht der Beschäftigten ist keine Löschung, solange eine zurückgehaltene Kopie besteht. |
Auftragsverarbeitungsvertrag und Unterauftragnehmer
- Wer entscheidet
- Die datenschutzbeauftragte Stelle gemeinsam mit dem Einkauf
- Wer setzt um
- Einkauf legt die aktuelle Fassung ab, die IT liefert die Liste der genutzten Dienste
- Stolperfalle
- Der Vertrag gilt als Nachweis für alles, deckt aber nur den Teil ab, in dem Microsoft als Auftragsverarbeiter handelt.
Speicherort und Zugriff aus dem Support
- Wer entscheidet
- Geschäftsleitung auf Vorschlag der datenschutzbeauftragten Stelle
- Wer setzt um
- Administration aktiviert Customer Lockbox, also die Freigabepflicht für Supportzugriffe, sofern der Plan sie enthält
- Stolperfalle
- Die EU-Datengrenze wird als abschließende Antwort verstanden, Supportfälle und Zusatzdienste bleiben dabei außen vor.
Diagnosedaten und verbundene Erfahrungen
- Wer entscheidet
- Datenschutz gemeinsam mit der IT-Leitung
- Wer setzt um
- Administration über Richtlinien für die Office-Anwendungen
- Stolperfalle
- Betrachtet werden nur die Anwendungen, während Betriebssystem und Browser eigene Telemetrie senden.
Auskunftsersuchen betroffener Personen
- Wer entscheidet
- Die datenschutzbeauftragte Stelle
- Wer setzt um
- Benannte Personen mit eDiscovery-Berechtigung in Microsoft Purview
- Stolperfalle
- Die Frist läuft ab Eingang, und ohne Probelauf geht die Hälfte davon für das Erlernen des Werkzeugs drauf.
Löschkonzept und Fristen
- Wer entscheidet
- Fachbereiche und Rechtsabteilung legen die Fristen fest
- Wer setzt um
- Administration über Aufbewahrungsrichtlinien in Microsoft Purview
- Stolperfalle
- Eine Löschung aus Sicht der Beschäftigten ist keine Löschung, solange eine zurückgehaltene Kopie besteht.
Sechs Nachweise, nach denen tatsächlich gefragt wird
- 01 Der Datenschutznachtrag liegt vor, mit Stand und Abrufdatum.
- 02 Die Liste der tatsächlich genutzten Dienste ist vollständig und aktuell.
- 03 Für Diagnosedaten und verbundene Erfahrungen ist eine Stufe begründet gesetzt.
- 04 Das Löschkonzept nennt Fristen und erklärt die zurückgehaltenen Kopien.
- 05 Der Ablauf für Auskunftsersuchen ist einmal geprobt und aufgeschrieben.
- 06 Die Datenschutz-Folgenabschätzung trägt ein Datum und einen Termin zur Fortschreibung.
Was du danach vorlegen kannst
Statt eines Gutachtens entsteht eine überschaubare Sammlung von Dokumenten mit Datum, die zusammen die Frage nach der Rechtmäßigkeit beantworten.
Den Vertragsteil belegen
Du legst den Datenschutznachtrag mit Stand und Abrufdatum zu den Verarbeitungsverzeichnissen und kannst benennen, welchen Bereich er abdeckt und welchen nicht.
Die eigene Bewertung schreiben
Du hältst datiert fest, was geprüft wurde, welche Einstellungen daraus folgten und welche Restrisiken bewusst getragen werden. Bei einer Nachfrage der Aufsicht ist dieses Dokument die eigentliche Antwort.
Den Speicherort ehrlich beschreiben
Du erklärst, was die EU-Datengrenze abdeckt und wo Supportfälle, Fehleranalysen und einzelne Zusatzdienste darüber hinausgehen können. Dazu gehört die Liste der Dienste, die ihr tatsächlich nutzt.
Diagnosedaten zentral steuern
Du setzt die Stufe der Diagnosedaten und die Freigabe der optionalen verbundenen Erfahrungen über Richtlinien statt pro Person und beziehst Betriebssystem und Browser mit ihrer eigenen Telemetrie ein.
Auskunft einmal proben
Du spielst ein Auskunftsersuchen mit eDiscovery in Microsoft Purview einmal durch und dokumentierst den Ablauf mit Zuständigkeiten, bevor die Frist von einem Monat zum ersten Mal läuft.
Aufbewahrung und Löschung zusammen denken
Du kannst erklären, warum trotz eines Löschvorgangs noch eine Kopie existiert, und führst Aufbewahrungskonzept und Löschkonzept in einem Dokument statt in zwei Projekten.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer hier eigentlich was verarbeitet
Für die Inhalte, die eure Beschäftigten erzeugen, ist Microsoft Auftragsverarbeiter. Geregelt ist das im Datenschutznachtrag, auf den die Produktbestimmungen verweisen. Er kommt mit dem Vertragsschluss zustande, du musst ihn also nicht verhandeln, wohl aber vorlegen können. Lad dir die aktuelle Fassung herunter, notiere Stand und Abrufdatum und leg sie zu den Verarbeitungsverzeichnissen.
Strittig ist der Bereich daneben. Für bestimmte eigene Zwecke, etwa die Weiterentwicklung der Dienste und die Abrechnung, verarbeitet Microsoft Daten in eigener Verantwortung. Genau diesen Bereich haben die deutschen Aufsichtsbehörden in der Datenschutzkonferenz mehrfach kritisch bewertet, weil aus ihrer Sicht nicht ausreichend transparent ist, welche Daten das im Einzelnen sind.
Für die Organisation heißt das nicht, den Betrieb einzustellen, sondern die eigene Bewertung schriftlich und mit Datum festzuhalten: was geprüft wurde, welche Einstellungen daraufhin gesetzt wurden und welche Restrisiken bewusst getragen werden. Bei einer Nachfrage der Aufsicht ist dieses Dokument die eigentliche Antwort.
Der Speicherort ist eine Antwort, aber nicht die ganze
Mit der EU-Datengrenze bietet Microsoft an, Kundendaten in der Europäischen Union zu speichern und zu verarbeiten. Das deckt den Regelbetrieb ab, beantwortet aber nicht jede Frage, denn Supportfälle, Fehleranalysen und einzelne Zusatzdienste können weiterhin einen Zugriff von außerhalb nach sich ziehen. Welche Dienste ihr überhaupt nutzt, ist deshalb die erste Angabe, die in die Dokumentation gehört.
Für den Support gibt es eine zusätzliche technische Sperre, die den Zugriff von Microsoft-Personal auf Inhalte an eine Freigabe aus dem eigenen Haus knüpft. Diese Sperre hängt an einer höheren Lizenzstufe, und wenn sie im Mandanten vorhanden ist, gehört sie aktiviert und die Verantwortung für die Freigabe benannt.
Der Übermittlungsweg in die Vereinigten Staaten ist über den Angemessenheitsbeschluss zum EU-US Data Privacy Framework abgesichert, solange der Anbieter zertifiziert ist. Sicher ist dieser Beschluss allerdings nicht: Ein Rechtsmittel dagegen ist beim Gerichtshof der Europäischen Union anhängig, und zwei Vorgängerregelungen sind dort bereits gekippt. In die Bewertung gehört deshalb ein Satz dazu, was ihr tut, wenn es auch diesen Beschluss trifft.
Diagnosedaten und verbundene Erfahrungen begrenzen
Die Office-Anwendungen senden Diagnosedaten und bieten daneben verbundene Erfahrungen, also Funktionen, die Inhalte zur Verarbeitung an einen Onlinedienst geben, etwa Übersetzung oder Recherche. Beides lässt sich zentral über Richtlinien steuern, statt es jeder Person selbst zu überlassen. Die Stufe der Diagnosedaten und die Freigabe der optionalen verbundenen Erfahrungen sind die beiden Stellschrauben, die in Prüfungen regelmäßig abgefragt werden.
Wichtig ist, das nicht nur für die Office-Anwendungen zu tun. Betriebssystem und Browser haben eigene Einstellungen mit eigener Telemetrie, und eine Bewertung, die nur die Anwendungen betrachtet, ist unvollständig.
Halte für jede Entscheidung fest, welche Stufe gewählt wurde und warum. Wenn zwei Jahre später jemand fragt, warum eine bestimmte Funktion deaktiviert ist, spart diese Notiz eine ganze Diskussionsrunde.
Auskunft, Löschung und die Frist
Ein Auskunftsersuchen ist der Belastungstest für den ganzen Aufbau. Die Daten einer einzelnen Person liegen im Postfach, im OneDrive, in Teams-Chats, in Kanälen, auf SharePoint-Websites und in Protokollen. Der übliche Weg führt über eDiscovery in Microsoft Purview, wo eine Suche alle diese Orte gemeinsam abdeckt; die frühere eigenständige Inhaltssuche ist darin aufgegangen. Wer das erst im Ernstfall zum ersten Mal macht, verliert die halbe Frist mit dem Erlernen des Werkzeugs.
Die Frist selbst ist knapp, sie beträgt einen Monat ab Eingang und lässt sich nur unter Bedingungen verlängern. Ein einmal durchgespielter Probelauf mit einer echten Person aus der Belegschaft, dokumentiert als Ablauf mit Zuständigkeiten, ist deshalb gut investierte Zeit.
Bei der Löschung kommt die Aufbewahrung ins Spiel. Solange eine Aufbewahrungsrichtlinie greift, existiert eine Kopie weiter, auch wenn die betroffene Person sie gelöscht hat. Das ist zulässig, wenn eine gesetzliche Pflicht dahintersteht, muss aber erklärbar sein. Aufbewahrungskonzept und Löschkonzept gehören deshalb in dasselbe Dokument und nicht in zwei getrennte Projekte.
Was daraus für die Einführung folgt
Eine Datenschutz-Folgenabschätzung ist bei Microsoft 365 in aller Regel erforderlich, weil die Werkzeuge in der Breite eingesetzt werden und geeignet sind, Verhalten auswertbar zu machen. Zugleich ist sie das Dokument, das die Gespräche mit dem Betriebsrat versachlicht, weil beide Seiten dann über dieselbe Faktenlage reden.
Praktisch bewährt hat sich die Reihenfolge: erst die Liste der tatsächlich genutzten Dienste, dann die Bewertung je Dienst, dann die technischen Einstellungen, dann die Vereinbarungen. Wer mit den Einstellungen beginnt, konfiguriert Dinge, die niemand einsetzt, und übersieht die, die alle nutzen.
Und die Bewertung hat ein Haltbarkeitsdatum. Der Dienst ändert sich monatlich, neue Funktionen kommen ohne Zutun dazu. Ein fester Termin einmal im Jahr, an dem die Bewertung gegen den aktuellen Stand gehalten wird, ist der Unterschied zwischen einem gepflegten und einem historischen Dokument.
Dazu passende Kurse
Genau an dieser Stelle setzt unser Microsoft-365-Programm für Datenschutzfragen an: Auftragsverarbeitung, Speicherort, Diagnosedaten und Löschkonzept werden dort an den Einstellungen des eigenen Mandanten durchgegangen.
Von der Protokollierung bis zum Löschkonzept führen die Kurse zur technischen Umsetzung im Mandanten durch die Einstellungen, die dafür nötig sind.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Ich bin sehr zufrieden, alles wurde klar erklärt. Insgesamt war der Kurs sehr informativ und sehr empfehlenswert.
Referent und Inhalt sehr gut und vor allem durch den kleinen Teilnehmerkreis sehr hilfreich.
Gut verständlich erklärt, weitere Möglichkeiten und Optionen aufgezeigt. Die Teilnehmer hatten bereits sehr unterschiedliche Vorkenntnisse, da hat der Veranstalter aber keinen Einfluss.
Häufige Fragen
Reicht der Auftragsverarbeitungsvertrag von Microsoft aus?
Brauchen wir wirklich eine Datenschutz-Folgenabschätzung?
Wo entstehen im Alltag die meisten Konflikte?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Microsoft 365-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Vom Vertragstext zur eigenen, belastbaren Bewertung
Die Reihenfolge aus Dienstliste, Bewertung je Dienst, technischen Einstellungen und Vereinbarungen erarbeitest du in den cmt-Kursen zu Datenschutz und Microsoft 365 an deiner eigenen Ausgangslage.