Hintergrund
Cloud-Dienste bieten im Vergleich zu lokal betriebenen Softwarelösungen häufig niedrigere Einstiegs- bzw. Betriebskosten und sind mit umfassenden Support- und Pflegeleistungen der Anbieter verbunden. Dadurch können Unternehmen von regelmäßigen Updates profitieren und auf die Rechen- und Speicherkapazitäten der Provider von jedem Ort auf der Welt zugreifen. Insofern verwundert es nicht, dass Unternehmen zunehmend auf die Cloud setzen und Online-Dienste in ihre Geschäftsprozesse integrieren. Als Online-Komplettlösung stellt Microsoft seinen Kunden seine klassischen Office-Anwendung sowie zahlreiche weitere Dienste (z.B. Exchange Online, Share Point, One Drive) unter dem Namen „Microsoft 365“ zur Verfügung.
© UnsplashBei deren Nutzung werden eine Vielzahl an Daten von und über den jeweiligen Nutzer an Microsoft übermittelt. Die Verarbeitung dieser personenbezogenen Daten durch Microsoft erfolgt auf Grundlage der sog. Datenschutzbestimmungen für Microsoft Online-Dienste („Data Protection Addendum“, im Folgenden „DPA”), die als Vereinbarung zur Auftragsverarbeitung in den Lizenzvertrag mit einbezogen werden. Das Microsoft DPA war in der Vergangenheit wiederholt Kritik der Aufsichtsbehörden ausgesetzt. Neben der bekannten Problematik von Datentransfers in Drittländer ist insbesondere die nach wie vor bestehende Intransparenz bei der Übermittlung von Diagnose- bzw. Telemetriedaten an Microsoft strittig.
Mangelnde Transparenz des Microsoft DPA
Die Datenschutzgrundverordnung (DSGVO) knüpft an die Verarbeitung personenbezogener Daten hohe Anforderungen hinsichtlich der Transparenz und der jeweiligen Rechtsgrundlage. Dies gilt, wenn die Daten aus eigenem Interesse oder als Auftragsverarbeiter verarbeitet werden. 2020 stellte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder („DSK“) in einem ihrer Beschlüsse fest, dass das damalige DPA den Anforderungen der DSGVO nicht gerecht wurde. Kritisiert wurde insbesondere die mangelnde Transparenz der konkret durch Microsoft verarbeiteten personenbezogenen Daten und deren Verarbeitungszwecke. Es sei den datenübermittelnden Unternehmen anhand der bereitgestellten Informationen nicht möglich, zu erkennen, in welchem Umfeld und für welche Zwecke die Datenverarbeitungen durch Microsoft stattfinden. Dies gelte nicht zuletzt für die Verarbeitung personenbezogener Diagnosedaten (auch „Telemetriedaten“ genannt) durch Microsoft.
Da die Verarbeitung der Diagnosedaten für eigene geschäftliche Zwecke von Microsoft erfolgt, ist hierfür eine eigenständige Rechtsgrundlage erforderlich und der Abschluss des DPA für sich genommen nicht ausreichend. Bereits im Jahr 2018 stellten niederländische Behörden Übermittlungen von Diagnosedaten an Microsoft bei der Nutzung von Office 365 fest, über die nicht hinreichend informiert wurde. Auch der Landesbeauftragte für Datenschutz und Informationssicherheit Baden-Württemberg („LfDI BW“) übte entsprechende Kritik an der Transparenz der Datenverarbeitungen durch Microsoft und riet im Zuge dessen von einer Nutzung von Office 365 ab, wenngleich diese Empfehlung ausdrücklich auf den Einsatz in Schulen und den damit verbundenen erhöhten Risiken für Kinder als Betroffene bezogen war.
Datentransfers ins Ausland
Neben der Kritik an den unzureichenden und intransparenten Regelungen des DPA selbst, bestehen darüber hinaus die grundsätzlichen Risiken bei der Nutzung von Cloud-Diensten US-amerikanischer Anbieter vor einem unberechtigten Zugriff in den USA bzw. dem jeweiligen Drittland, indem die Daten verarbeitet werden. Der EuGH hatte in seinem „Schrems-II Urteil“ (Rs. C-311/18) festgestellt, dass Datenübermittlungen in die USA nicht länger auf Grundlage des Privacy Shields erfolgen können und der Einsatz von EU-Standardvertragsklauseln bei Datenübermittlungen in Drittländer nur noch unter Verwendung wirksamer zusätzlicher Maßnahmen stattfinden darf, die ein dem Schutz personenbezogener Daten innerhalb der EU gleichwertiges Niveau gewährleisten können (mehr dazu lesen Sie hier).
Zwar bietet Microsoft seinen Kunden auch Serverstandorte innerhalb der EU an. Datentransfers in Drittländer lassen sich aber in der Regel nicht gänzlich vermeiden. Hinzu kommen die umstrittenen Bestimmungen des sog. „Cloud Acts“. Danach können US-Anbieter von den Sicherheitsbehörden zur Preisgabe auch außerhalb der USA gespeicherter Daten gezwungen werden, wenn bestimmte Voraussetzungen vorliegen. Die Aufsichtsbehörden haben vor diesem Hintergrund wiederholt auf die Notwendigkeit einer sogfältigen Prüfung der sich für die Betroffenen ergebenden Risiken hingewiesen.
Fazit und Handlungsempfehlung
Die Kritik und Empfehlungen der Aufsichtsbehörden sollten ernst genommen werden. Zwar hat Microsoft nachgebessert und das DPA überarbeitet. Die beschriebenen Kritikpunkte konnten nach unserer Einschätzung jedoch nach wie vor nicht in Gänze ausgeräumt werden. Es ist damit zu rechnen, dass Aufsichtsbehörden künftig vermehrt auf Unternehmen zugehen und Kontrollen durchführen. Der Hamburgische Beauftragte für Datenschutz und Informationssicherheit hat beispielsweise bereits Fragebögen zum Einsatz von Microsoft Office 365 an Unternehmen versandt. Sieben deutsche Aufsichtsbehörden haben außerdem angekündigt, gemeinsam abgestimmte Kontrollen zur Einhaltung datenschutzrechtlicher Vorgaben bei internationalen Datentransfers durchzuführen (mehr dazu lesen Sie hier).
Umso wichtiger ist es, vorab eine umfassende Risikoanalyse durchzuführen und den Einsatz von Microsoft 365 sorgfältig abzuwägen. Eine entscheidende Rolle können dabei risikomildernde Maßnahmen einnehmen. Diese können technischer, organisatorischer oder vertraglicher Natur sein. Microsoft stellt seinen Nutzern beispielsweise eine Vielzahl von systemseitigen Konfigurationsmöglichkeiten zur Verfügung, die Datentransfers ins Ausland oder Übermittlungen von Diagnosedaten erheblich reduzieren können. Hiervon sollte umfassend Gebrauch gemacht werden. Einzelne, besonders kritische Dienste, die für die beabsichtigte Nutzung nicht zwingend benötigt werden bzw. für die es brauchbare Alternativen gibt, lassen sich ggf. auch vollständig deaktivieren. Darüber hinaus sollte stets eine möglichst sichere Verschlüsselungsmethode gewählt werden, z. B. in Gestalt der sog. „Customer Key-Verschlüsselung“, deren Kompatibilität erst neulich auf weitere Cloud-Dienste wie Microsoft Teams erweitert wurde. Als probates vertragliches Mittel für internationale Datentransfers kann künftig außerdem auf die Vereinbarung der im Juli von der Europäischen Kommission veröffentlichten neuen „EU-Standardvertragsklauseln“ hingewirkt werden (mehr dazu lesen Sie hier).
Unter Beachtung dieser und weiterer Schutzmaßnahmen können die datenschutzrechtlichen Risiken des Einsatzes von Microsoft 365 unter Umständen erheblich reduziert werden. Ob sich dadurch eine Nutzung von Microsoft 365 im Ergebnis rechtfertigen lässt, kann jedoch nur nach einer auf den Einzelfall bezogenen Bewertung der sich für die Betroffenen ergebenden Risiken anhand der Sensibilität der tatsächlich verarbeiteten Daten und Anwendungsszenarien bewertet werden. Dasselbe gilt für sonstige Cloud-Dienste, die Datenverarbeitungen in Drittländern zur Folge haben. Unternehmen sollten sich daher frühzeitig mit den über die Cloud-Dienste stattfindenden Datenverarbeitungen und Übermittlungen in Drittländer auseinandersetzen und die Risikoabwägung anhand der getroffenen Zusatzmaßnahmen hinreichend dokumentieren.
