Datenschutzkonferenz: Microsoft 365 datenschutzwidrig

Das Office-Paket Microsoft 365 kann von Unternehmen, Behörden und Schulen nicht rechtskonform eingesetzt werden, jedenfalls nicht ohne zusätzliche technische Maßnahmen. Zu diesem Schluss kommt eine aktuelle Datenschutzbewertung.

Die Datenschutzbewertung haben die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder auf ihrer 104. Datenschutzkonferenz verabschiedet. Anwender müssten auf jeden Fall zusätzliche Schutzvorkehrungen treffen, warnt der Bundesdatenschutzbeauftragte Ulrich Kelber.

Im September hatte Microsoft eine neue Fassung seines Auftragsverarbeitungsvertrags veröffentlicht. Mit dieser Version des „Microsoft Products and Services Data Protection Addendum“ (DPA) hat der US-Konzern unter anderem die neuen Standardvertragsklauseln der EU-Kommission übernommen. Das war notwendig, weil der Europäische Gerichtshof (EuGH) mit dem Schrems-II-Urteil den transatlantischen „Privacy Shield“ und damit eine der wichtigsten Grundlagen für den Transfer von Kundendaten in die USA für ungültig erklärt hat.

Einzelne Fortschritte reichen nicht

Präzisiert hat Microsoft zudem Angaben dazu, welche Daten zu eigenen Zwecken genutzt werden. Der Datenkonzern gibt an, beispielsweise statistische, nicht-personenbezogene Daten aus pseudonymisierten Daten zu aggregieren und Statistiken zu erstellen. Er versichert dabei, auf die Inhalte von Kundendaten nicht zuzugreifen und diese so auch nicht zu analysieren. Bisher genannte Zwecke wie der Kampf gegen Betrug oder IT-Kriminalität finden sich an diesem Punkt nicht mehr.

Den Datenschutzbehörden reichen die Korrekturen nicht aus. Microsoft habe damit zwar „in einzelnen Punkte Fortschritte“ erzielt, erkennt Kelber an. Die überarbeiteten Dokumente lieferten aber nicht die nötige Transparenz, welche Daten von dem Unternehmen „für eigene Zwecke verwendet werden können“. Die Kontrolleure könnten „an einigen Stellen“ nach wie vor nicht einschätzen, welche Informationen und Diagnosewerte noch erhoben und an Microsoft übertragen werden. Damit lasse sich auch nicht prüfen, „ob alle Schritte rechtmäßig sind“.

Quelle: heise.de