Microsoft 365 lässt sich datenschutzkonform betreiben, aber nicht in der Grundeinstellung und nicht ohne Dokumentation. Die Diskussion darüber wird seit Jahren grundsätzlich geführt. Für den Mittelstand ist die praktische Frage eine andere: Welche Einstellungen muss ich bewusst treffen, und wie halte ich fest, dass ich sie getroffen habe?
Die vertragliche Grundlage
Microsoft verarbeitet in erheblichem Umfang personenbezogene Daten für Sie und ist damit Auftragsverarbeiter nach Art. 28 DSGVO. Die entsprechenden Bedingungen sind Teil der Online-Vertragsunterlagen. Sie gelten nicht dadurch, dass es sie gibt, sondern dadurch, dass Ihr Vertrag darauf verweist. Legen Sie den maßgeblichen Stand zu Ihren Datenschutzunterlagen und notieren Sie das Datum.
Prüfen Sie außerdem die Liste der Unterauftragsverarbeiter. Art. 28 Abs. 2 DSGVO verlangt, dass Sie über Änderungen informiert werden und widersprechen können. In der Praxis bedeutet das, die Liste gelegentlich anzusehen, statt sie zu ignorieren.
Die Einstellungen, auf die es ankommt
Speicherort und Drittlandbezug
Der Speicherort der Kerndaten lässt sich für europäische Kunden festlegen. Damit ist aber nicht jede Verarbeitung erledigt: Support-, Diagnose- und Telemetriedaten können weiterhin außerhalb der EU verarbeitet werden. Halten Sie fest, welche Garantien nach Kapitel V DSGVO dafür bestehen und wie Sie zu Ihrer Bewertung gekommen sind. Diese Bewertung ist Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Protokollierung und Auditprotokolle
Protokolle sind sicherheitstechnisch erwünscht und nach Art. 32 DSGVO oft geboten. Gleichzeitig entstehen damit auswertbare Daten über das Verhalten von Beschäftigten. Legen Sie schriftlich fest, zu welchem Zweck protokolliert wird, wer Zugriff hat und wann gelöscht wird. Wo ein Betriebsrat besteht, ist die Mitbestimmung einzubeziehen.
Freigaben und Gastzugriffe
Standardmäßig großzügige Freigabeeinstellungen sind der häufigste Grund für ungewollte Offenlegungen. Begrenzen Sie anonyme Links, setzen Sie Ablaufdaten, und prüfen Sie regelmäßig, welche externen Gäste noch Zugriff haben. Das ist keine juristische, sondern eine organisatorische Aufgabe, die in der Praxis am meisten bewirkt.
Aufbewahrung und Löschung
Ohne ausdrückliche Regeln bleibt alles liegen. Definieren Sie Aufbewahrungsrichtlinien entlang der Löschfristen, die Sie ohnehin im Verarbeitungsverzeichnis festgelegt haben, und achten Sie besonders auf Postfächer ausgeschiedener Beschäftigter.
Besprechungsaufzeichnungen
Aufzeichnungen brauchen eine Rechtsgrundlage und Transparenz. Bei Beschäftigten ist die Einwilligung wegen des Abhängigkeitsverhältnisses heikel, weshalb in der Regel eine Betriebsvereinbarung der tragfähigere Weg ist. Unabhängig davon sind alle Teilnehmenden vorher zu informieren.
Was in die Unterlagen gehört
Die Nutzung von Microsoft 365 ist keine einzelne Verarbeitungstätigkeit, sondern trägt viele. Führen Sie im Verarbeitungsverzeichnis die Tätigkeiten und nennen Sie Microsoft als Empfänger, statt einen Eintrag mit dem Produktnamen anzulegen. Ergänzen Sie die technischen und organisatorischen Maßnahmen um die tatsächlich gesetzten Einstellungen, insbesondere Mehrfaktor-Anmeldung, Rechtevergabe und Protokollierung.
Aus unserer Erfahrung als IT-nahes Haus ist genau das die Lücke: Die Einstellungen sind oft besser als der Papierstand. Geprüft wird aber der Papierstand.
Die Reihenfolge, die sich bewährt hat
Erst die Vertragslage klären und ablegen. Dann die fünf Einstellungsbereiche oben durchgehen und Entscheidungen schriftlich festhalten. Dann Rechte und Gastzugriffe einmal vollständig sichten. Dann die Ergebnisse in Verarbeitungsverzeichnis und Maßnahmenbeschreibung überführen. Zuletzt die Mitarbeitenden kurz unterweisen, vor allem zu Freigaben und Aufzeichnungen.
Das ist an einem Arbeitstag machbar und ersetzt jede Grundsatzdiskussion. Was eine Aufsichtsbehörde anschließend sehen möchte, beschreibt der Beitrag Was prüft die Aufsichtsbehörde wirklich.
Wir begleiten das als externer Datenschutzbeauftragter und sprechen dabei die Sprache Ihrer IT: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zu Microsoft 365 und Datenschutz
Ist Microsoft 365 DSGVO-konform nutzbar?
Ja, aber nicht allein durch die Standardeinstellungen. Nötig sind die Auftragsverarbeitungsbedingungen, eine bewusste Konfiguration und die Dokumentation dieser Entscheidungen.
Braucht man einen Auftragsverarbeitungsvertrag?
Ja. Microsoft verarbeitet personenbezogene Daten im Auftrag. Die Bedingungen gehören zu den Datenschutzunterlagen des Unternehmens.
Reicht die Speicherung in der EU?
Sie hilft, genügt aber nicht allein. Support- und Telemetriedaten können außerhalb der EU verarbeitet werden. Maßgeblich sind die Garantien nach Kapitel V DSGVO und deren Dokumentation.
Darf man Teams-Besprechungen aufzeichnen?
Nur mit Rechtsgrundlage und vorheriger Information aller Teilnehmenden. Bei Beschäftigten ist meist eine Betriebsvereinbarung der tragfähigere Weg als eine Einwilligung.
Was gilt für die Protokollierung?
Protokolle sind für die Sicherheit sinnvoll, dürfen aber nicht zur Leistungskontrolle zweckentfremdet werden. Zweck, Zugriff und Löschfrist gehören schriftlich festgelegt.
