Neue Handreichung der Aufsichtsbehörden zu Microsoft 365

Der LfD Niedersachsen wendet sich mit seiner Handreichung primär an die Kunden von Microsoft (Unternehmen wie auch öffentliche Stellen) und legt ihnen den Abschluss einer Zusatzvereinbarung nahe. Durch die Anpassungen in der Zusatzvereinbarung sollen sich bislang kritische Punkte an der Verarbeitung durch Microsoft beheben lassen. Die Handreichung gibt dazu Handlungshinweise und benennt wesentliche ToDo‘s. Die Ausführungen in der Handreichung lassen sich für eine bessere Übersicht in sechs Kriterien unterteilen:

• Beschreibung der Datenverarbeitung: Eindeutige Beschreibung der Datenverarbeitung zur Einhaltung der Rechenschaftspflicht;
• Rechtsgrundlage: Beschränkung auf die Verarbeitung von personenbezogenen Daten, für die sich eine Rechtsgrundlage findet;
• Weisungsrecht: Bestand eines eindeutigen und einseitigen Weisungsrechts des Verantwortlichen, wobei zur Verhinderung ungewollter Weisungen ein restriktiver Weisungsbegriff vereinbart werden sollte;
• Datensicherheit: Verarbeitungen zur Gewährleistung der Datensicherheit auf das notwendige Maß beschränken und Vereinbarung eines vertraglichen Ausschlusses unrechtmäßiger/unverhältnismäßiger Datenverarbeitungen (sowie die zugehörige technische Unterbindung derartiger Datenverarbeitungen);
• Löschfristen: Konkretisierung und Kürzung der Löschfristen;
• Unterauftragsverarbeiter: Proaktive und konkrete Information über neue Unterauftragsverarbeiter.

Neben diesen Eckpunkten für vertragliche Anpassungen enthält die Handreichung auch weitere Empfehlungen für eine risikoärmere Nutzung von Microsoft 365. Insbesondere sei zu prüfen, ob ein Betrieb von Microsoft 365 auf eigenen IT-Strukturen möglich sei. Auch legt die Handreichung nahe, die Übermittlung von Telemetriedaten vorab zu filtern (etwa über eine Firewall). Zudem sprechen sich die beteiligten Aufsichtsbehörden in der Handreichung gegen die Nutzung privater Microsoft-Accounts und eigener privater Geräte aus. Abschließend enthält die Handreichung noch einen gesonderten Hinweis für Bildungseinrichtungen. Diese sollen bei Abschluss des Vertrags über die Auftragsverarbeitung darauf achten, dass keine verpflichtende Einwilligung der Eltern von Schülern in die Nutzung von Microsoft 365 an der Schule vereinbart wird.

Der Abschluss einer Zusatzvereinbarung mit Microsoft kann ein Mittel sein, um größere Rechtssicherheit bei der Nutzung von Microsoft 365 zu schaffen. So sieht die Handreichung an wesentlichen Punkten der Zusatzvereinbarung strengere Vorgaben an die Auftragsverarbeitung durch Microsoft vor, indem sie etwa die Position des Verantwortlichen durch ein klar formuliertes Weisungsrecht stärken würde. Auch ließe sich über den Abschluss einer Zusatzvereinbarung besser dem Einwand entgegentreten, dass die Vereinbarungen mit Microsoft nicht den Vorgaben an eine Auftragsverarbeitung nach Art. 28 DSGVO entsprechen.

Es ist aber in der Praxis fraglich, ob Verhandlungen mit Microsoft tatsächlich zu den in der Handreichung geforderten Anpassungen führen würden. So setzt eine vertragliche Anpassung die Bereitschaft von Microsoft voraus, überhaupt mit jedem Kunden in Vertragsverhandlungen zu treten und anschließend auch eine Zusatzvereinbarung mit den geforderten Inhalten abzuschließen. Fehlt es an dieser Bereitschaft aufseiten von Microsoft, besteht die Gefahr, lediglich Ressourcen und Kapazitäten zu verschwenden. Insofern könnte es aus unternehmerischer Sicht ratsam sein, zunächst die Reaktion von Microsoft auf diese Verlautbarungen abzuwarten.

Ungeachtet dessen stellt die Handreichung eine Orientierungshilfe dar, wo Anpassungsbedarf bei den vertraglichen Vereinbarungen mit Microsoft bestehen kann. Im Übrigen lassen sich die weiteren Hinweise zum Umgang mit Microsoft 365 (etwa der empfohlene Ausschluss einer Nutzung privater Mail-Accounts) heranziehen, um die Risiken bei der Nutzung von Microsoft 365 zu verringern. Die Umsetzung derartiger Hinweise kann sich zumindest auf das Ergebnis einer entsprechenden Datenschutzfolgenabschätzung zur Nutzung von Microsoft 365 positiv auswirken.