Kaum eine Frage beschäftigt unsere Kunden im Datenschutz so dauerhaft wie diese: „Dürfen wir Microsoft 365 überhaupt nutzen?“ Die ehrliche Antwort lautet seit zwei Jahren: Es ist kompliziert. Fast alle Unternehmen arbeiten mit Outlook, Teams, Word und Excel, und viele sind längst in die Cloud gewechselt. Gleichzeitig äußern sich die deutschen Datenschutzaufsichtsbehörden kritisch. Wir fassen den Stand zum Thema Microsoft 365 und Datenschutz im Juni 2022 zusammen und zeigen, was Sie im Alltag tun können.
Warum Microsoft 365 datenschutzrechtlich umstritten ist
Die Kritik lässt sich auf drei Punkte zusammenfassen:
- Datenübermittlung in die USA: Microsoft ist ein US-Unternehmen. Der Europäische Gerichtshof hat im Juli 2020 das „Privacy Shield“ gekippt, das bis dahin Datenübermittlungen in die USA erleichtert hatte. Hauptgrund waren die weitreichenden Zugriffsmöglichkeiten von US-Behörden.
- Vertragsbedingungen: Die Datenschutzaufsichtsbehörden haben bemängelt, dass aus den Vertragsunterlagen nicht klar genug hervorgeht, welche Daten Microsoft zu welchen eigenen Zwecken verarbeitet.
- Telemetrie- und Diagnosedaten: Die Programme senden Nutzungs- und Diagnoseinformationen an Microsoft. Umfang und Zweck sind für Anwender schwer nachvollziehbar.
Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, kam im Herbst 2020 mehrheitlich zu dem Ergebnis, dass ein datenschutzgerechter Einsatz auf Grundlage der damaligen Vertragsbedingungen nicht möglich sei. Seitdem laufen Gespräche zwischen einer Arbeitsgruppe der Behörden und Microsoft. Ein abschließendes Ergebnis gibt es bislang nicht.
Was sich seitdem bewegt hat
| Entwicklung | Stand Juni 2022 |
|---|---|
| Neue Standardvertragsklauseln der EU | Seit Juni 2021 veröffentlicht. Altverträge müssen bis Ende Dezember 2022 auf die neuen Klauseln umgestellt sein. Microsoft hat seine Verträge angepasst. |
| EU-Datengrenze von Microsoft | Microsoft hat angekündigt, Kundendaten seiner zentralen Cloud-Dienste bis Ende 2022 innerhalb der EU zu speichern und zu verarbeiten. Die Umsetzung läuft. |
| Neues Abkommen EU–USA | Ende März 2022 haben die EU und die USA eine grundsätzliche politische Einigung auf einen neuen Rahmen für den Datenverkehr verkündet. Die rechtliche Umsetzung steht noch aus. |
| Bewertung der Aufsichtsbehörden | Gespräche mit Microsoft dauern an. Eine aktualisierte Bewertung wird erwartet. |
Kurz gesagt: Es bewegt sich etwas, aber Rechtssicherheit gibt es noch nicht. Wer Microsoft 365 nutzt, bewegt sich in einem Bereich, in dem die Behörden Bedenken haben, aber bisher kein generelles Verbot ausgesprochen haben.
Was heißt das für Ihr Unternehmen?
Ein sofortiger Ausstieg ist für die meisten Betriebe weder realistisch noch nötig. Alternativen gibt es, aber ein Wechsel kostet Zeit, Geld und Nerven, und auch andere Anbieter haben ihre eigenen Datenschutzfragen. Unser pragmatischer Rat: Nutzen Sie Microsoft 365 bewusst, dokumentiert und so datensparsam wie möglich. So können Sie im Fall einer Nachfrage zeigen, dass Sie sich mit dem Thema auseinandergesetzt und Risiken reduziert haben.
Microsoft 365 datenschutzfreundlicher einsetzen: die Checkliste
Vertrag und Dokumentation
- Den aktuellen Datenschutznachtrag von Microsoft prüfen und ablegen
- Microsoft 365 im Verzeichnis der Verarbeitungstätigkeiten aufnehmen
- Prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist, etwa bei umfangreicher Verarbeitung sensibler Daten
- Die Datenübermittlung in die USA bewerten und dokumentieren
- Beschäftigte und ggf. Kunden in den Datenschutzhinweisen informieren
Technische Einstellungen
- Diagnosedaten auf das erforderliche Minimum reduzieren
- Optionale verbundene Erfahrungen prüfen und nicht benötigte Funktionen deaktivieren
- Speicherort der Daten (Rechenzentrumsregion) im Admin-Center prüfen
- Zwei-Faktor-Anmeldung für alle Konten aktivieren
- Gastzugänge und externe Freigaben in Teams und SharePoint bewusst regeln
- Aufbewahrungs- und Löschregeln einrichten
Organisatorisch
- Regeln für sensible Daten festlegen: Was gehört nicht in Teams-Chats oder in den Cloud-Speicher?
- Regeln für Aufzeichnungen von Besprechungen
- Betriebsrat einbinden, falls vorhanden. Teams und Co. können Leistungs- und Verhaltensdaten erfassen
- Mitarbeitende schulen
Besonders sensible Bereiche
Je sensibler die Daten, desto genauer sollten Sie hinschauen. Berufsgeheimnisträger wie Ärzte, Anwälte oder Steuerberater, aber auch Unternehmen, die Gesundheitsdaten oder Daten besonders schutzbedürftiger Personen verarbeiten, sollten genau prüfen, welche Daten in die Cloud dürfen. Manchmal ist eine Mischlösung sinnvoll: Office-Programme aus der Cloud, besonders sensible Daten auf eigenen Systemen oder bei einem europäischen Anbieter.
Und die Alternativen?
Wer Microsoft 365 ganz oder teilweise ersetzen möchte, hat grundsätzlich mehrere Wege:
- Lokale Installation: Office-Programme und Mailserver im eigenen Haus. Mehr Kontrolle, aber auch mehr Aufwand für Betrieb, Updates und Sicherheit.
- Europäische Cloud-Anbieter: Es gibt Anbieter mit Sitz und Rechenzentren in der EU, etwa für E-Mail, Dateiablage oder Videokonferenzen. Funktionsumfang und Bedienkomfort sollten Sie vorher gründlich testen.
- Open-Source-Lösungen: Für Zusammenarbeit und Dateiablage gibt es ausgereifte Programme, die man selbst oder bei einem Dienstleister betreiben kann.
Unsere Erfahrung: Ein Wechsel gelingt dann gut, wenn er gründlich geplant und nicht überstürzt wird. Testen Sie Alternativen zuerst in einem Team, bevor Sie das ganze Unternehmen umstellen.
Unsere Einschätzung
Microsoft 365 wird in deutschen Unternehmen auf absehbare Zeit eine zentrale Rolle spielen. Die rechtliche Lage bleibt bis auf Weiteres unklar, aber das ist kein Grund, das Thema zu ignorieren. Wer heute sauber dokumentiert, Einstellungen bewusst wählt und die Entwicklung im Blick behält, kann schnell reagieren, wenn die Aufsichtsbehörden ihre Bewertung aktualisieren oder das neue Abkommen mit den USA in Kraft tritt. Sobald es Neuigkeiten gibt, berichten wir hier.
Wir helfen Ihnen gerne
Der Bereich Datenschutz der Mittelstandsoptimierer prüft Ihre Microsoft-365-Umgebung, ergänzt die Dokumentation und stellt gemeinsam mit unserem IT-Team die Einstellungen datensparsam ein. Mehr unter www.mittelstandsoptimierer.de oder telefonisch unter 06131 144928-0.
Herzliche Grüße aus Mainz
