Seit Oktober 2020 ist die Nutzung von Google Analytics GA4 möglich. Was Google Analytics überhaupt ist, welche Funktionen es bietet und natürlich was das für den Datenschutz bedeutet, wird in diesem kurzen Beitrag erläutert.
Bitte haben Sie Verständnis, dass wir keine Screenshots zur Verfügung stellen. Sie finden bei Google eine gute Dokumentation.
Continue reading „Google Analytics GA4 – das neue „Tracking“ der Zukunft?“
Der Datenschutzbeauftragte von Baden-Württemberg hat seinen Tätigkeitsbericht 2020 veröffentlicht.
Der Bericht steht vor allem im Zeichen der Corona-Krise. Haben Sie auch schon von dem Gerücht gehört, dass es seit der Corona-Krise keinen Datenschutz mehr gibt :)? Dr. Stefan Brink widmet das erste Kapitel dem Datenschutz in der Corona-Krise. Weiterhin werden im Bericht auch das Schrems II – Urteil, der Brexit, aktuelle Bußgelder und verschiedene Fälle aus der Praxis vorgestellt.
Es handelt sich hier um eine Zusammenfassung des relevanten Inhalts durch die Datenbeschützerin. Hinweise oder Anmerkungen seitens der Datenbeschützerin bedeuten, dass diese Informationen nicht im Papier zu finden sind, sondern aus der Praxiserfahrung resultieren oder auf weitere Einträge verweisen.
Der Bericht wird nicht im Ganzen wiedergegeben, es werden lediglich einzelne Themen vorgestellt. Insbesondere wird die Schlussfolgerung der Aufsichtsbehörde zum jeweiligen Thema hervorgehoben.
Aufgrund der Komplexität der umfangreichen Prüfungen, haben wir uns erstmals entschlossen, einen Beitrag online zu stellen, obwohl er noch in Bearbeitung ist.
Sicherheit und Datenschutz in der Cloud sind wesentliche Argumente bei der Auswahl eines Cloud Anbieters.
Vor allem nach dem Wegfall des EU US Privacy Shields ist es noch schwieriger zu bewerten, inwiefern ein Anbieter eines Online-Dienstes die Anforderungen erfüllen kann.
Wir arbeiten daher gerne mit einem risikobasierten Ansatz. Die gelisteten Cloud Computing Anbieter werden nach objektiven Kriterien bewertet. Eine Risikobewertung basiert aber auch immer auf einer subjektiven Einschätzung, daher ist es wichtig, dass Sie die Liste als Empfehlung sehen, diese aber mit Ihren eigenen Kriterien abgleichen, bevor Sie sich für einen Anbieter entscheiden.
Wir verwenden ein Ampelsystem, das recht einfach zu verstehen sein sollte. Bei US Anbietern bleibt aufgrund der gesetzlichen Lage immer ein Restrisiko. Kaum ein Dienst kann 100% konform betrieben werden. In diesem Fall kennzeichnen wir dies – wenn alle anderen Bedingungen positiv sind – mit einer grün-gelben Ampel.
Continue reading „Cloud Computing Anbieter und Datenschutz im Vergleich“
Bei diesem Thema sind sich selbst die Datenschutzbehörden uneinig.
Eine Aussage zum Beispiel des Berliner Datenschutzbeauftragten, dass Microsoft mit seinen Produkten nicht die gesetzlichen Datenschutzanforderungen umsetzt, ist für die Praxis nicht wirklich hilfreich. Von lösungsorientiert ganz zu schweigen. Daher möchte ich die Cloud Services von Microsoft in diesem Beitrag objektiv beleuchten. Für Fragen stand auch eine Ansprechpartnerin bei Microsoft zur Verfügung, deren Antworten mit in diesen Beitrag einflossen.
Wie sich parallel die Datenschutzbehörden zu diesem Thema positionieren werden, ist noch offen. Zum Zeitpunkt der Erstellung liegt weder ein konkretes Nutzungsverbot noch eine Zustimmung der Behörden zum Einsatz vor. Die DSK spricht sich zwar gegen einen Einsatz von Office 365 aus, einzelne Behörden, sehen das allerdings anders. Eine Stellungnahme des Bayerischen LDAs finden Sie unter diesem Link.
Die hier vorgestellten Informationen sollen Ihnen helfen, eine eigene Bewertung für Ihr Unternehmen vorzunehmen. Weitere Informationen zur Durchführung dieser ausführlichen Bewertung finden Sie im Beitrag zum Einsatz von Cloud Services.
Dieser Artikel kann eventuell als Werbung verstanden werden. Wir stellen jedoch klar, dass wir keine Bezahlung und sonstige Vergütung für diesen Beitrag erhalten haben. Es sind auch keine Affiliate Links hinterlegt. Somit können wir die Berichterstattung neutral halten.
Der obligatorische Hinweis, dass es sich hier um keine Rechtsberatung handelt, sei an dieser Stelle noch angebracht.
Gerade für kleine und mittelständische Unternehmen bietet der Online-Dienst 365 von Microsoft wirklich Mehrwert. Das meine persönliche Einschätzung. Eine vergleichbare Alternative dazu ist mir nicht bekannt. Wer hier der Meinung ist, Open Office wäre im Business-Einsatz ein geeignetes Pendant, der braucht an dieser Stelle nicht weiter zu lesen.
Wenn Sie wissen möchten, was Microsoft im Bezug auf Datenschutz zu bieten hat (oder eben nicht), dann hilft Ihnen dieser Artikel weiter. Natürlich beleuchten wir auch die Produkte unter dem Aspekt Datenübermittlung in Drittstaaten und zugrundeliegende Rechtsgrundlage.
Mit diesen Informationen im Beitrag und der Vorgehensweise zum Einsatz von Cloud Services geben wir Ihnen solide Werkzeuge an die Hand. Damit können Sie eine Bewertung vornehmen und als Nachweis dokumentieren, ob Sie den Einsatz von Microsoft Office 365 in Ihrem Unternehmen als datenschutzkonform erachten.
In unserem Whitepaper zum Thema Office 365 – Datenschutz haben wir diese Vorgehensweise und Dokumentation nochmals konkret für Sie zusammen gestellt.
Sie erhalten dieses Whitepaper mit der Anmeldung zu unserem Newsletter. Alternativ senden wir es Ihnen kostenlos zu. Schreiben Sie uns einfach eine kurze E-Mail.
Klicken Sie auf den unteren Button, um den Inhalt von subscribe.newsletter2go.com zu laden.
„Wenn wir unsere Kunden nicht schützen können, haben wir ihr Vertrauen nicht verdient.“
Brad Smith, President und Chief Legal Officer, https://www.microsoft.com/de-de/trust-center
Wenn dies nicht der erster Artikel ist, den Sie von mir lesen, wissen Sie, dass ich keiner Verschwörungstheorie anhänge. Daher bin ich auch nicht der Meinung, dass es das Ziel von Microsoft ist, den Datenschutz mit Füßen zu treten und seine Kunden nicht zu schützen.
Natürlich ist der Konzern ein gewinnorientiertes Unternehmen und nutzt Daten zur Optimierung und Bewerbung seiner Produkte.
I did it! Mit netter Unterstützung einer Compliance Expertin bei Microsoft habe ich extrem viel gelesen, gelernt und mir eine Meinung gebildet. Das Ergebnis meiner Recherchen finden Sie zusammengefasst in diesem Blogbeitrag. Wer mehr erfahren möchte, wird in unserem Webinar zum Thema „Cloud Services mit Schwerpunkt Microsoft 365“ fündig. Das hier neu Erlernte können Sie sich nach erfolgreicher Prüfung mit einem Zertifikat bestätigen lassen.
Was viele hassen, mache ich eigentlich ganz gern. Ich vergrabe mich in Informationen, recherchiere und trage Fakten zusammen. So auch in diesem Fall bei der Mission „Office 365 Datenschutz“.
Mein erster Eindruck ist trotz allem Optimismus kritisch: Will Microsoft überhaupt Transparenz bieten? Es gibt zwar gefühlt zu allem und jedem Detail eine Dokumentation, aber wirklich weiter hilft diese nicht. Selbst dem interessierten Leser erschließt sich der Zusammenhang der tausend und abertausend Dokumente nicht. Ich kann nach tagelangem Lesen noch immer keine Struktur erkennen. Jede Dokumentation verweist auf eine weitere Dokumentation. Irgendwann bin ich fast in jedem Punkt so weit, dass ich meinen Ausgangspunkt nicht mehr im Blick habe.
Zudem werde ich von der Weiterleitung weiter geleitet, bis dann am Ende die Meldung kommt, dass die Datei oder die Seite nicht mehr existiert. Vom ursprünglichen e-Book Link zu DSGVO Best Practices komme ich dann irgendwann bei der digitalen Transformation heraus. Da ging wohl etwas schief bei der Customer Journey! Mein Reisegefühl entwickelt sich gerade etwas in Richtung Aggressivität.
Das ist deprimierend und auf jeden Fall ein Punkt, der mich extrem stört. Ich habe gerne klare Linien und eine Übersicht.
In den verschiedenen Dokumentationen liest man immer wieder von unterschiedlichen Datenarten. Was sich dahinter versteckt, fasse ich hier kurz zusammen.
Das sind die „Nutzdaten“. Sozusagen der produktive Output. Alle Dateien und auch Software, die hochgeladen und gespeichert werden. Dazu zählen auch E-Mails und Berichte oder SharePoint Webseiteninhalte…
Hier wird auf die Daten verwiesen, die quasi als Logfile oder Protokoll generiert werden, wenn man die Microsoft Software lokal installiert hat. Der Zweck der Datenverarbeitung ist die ordnungsgemäße Funktion der Software.
Im Gegenzug zu den Diagnosedaten beziehen sich die hier automatisch erfassten Protokolle auf die Online-Services. Unter anderem dienen die Daten auch dazu, Kapazitäten zu erhöhen und dadurch Rückschlüsse auf Auslastung der Server zu ziehen.
Nach meinem Verständnis sind das Daten, die entweder durch den Kunden selbst an Microsoft für Support Zwecke übermittelt werden oder die Microsoft aufgrund der Kundenvereinbarung erfasst – in Bezug auf die Nutzung von Professional Services. Auch das können wieder alle möglichen Formen und Formate an Dateien sein. Dieser Punkt ist aus meiner Sicht etwas intransparent kommuniziert.
Darunter fällt nach meiner Interpretation alles, was bei den Tätigkeiten des Admins so anfällt. Das sind die personenbezogenen Daten des Admins, wie E-Mail, Name, Telefonnummer. Aber auch Nutzungsdaten und kontobezogene Daten. Zweck ist die Bereitstellung des Dienstes, Wartung der Konten und Erkennung von Betrug.
Eigentlich selbsterklärend, hier geht es um die Abwicklung des Kaufs, aber auch um die Erkennung und Verhinderung von Betrug im Zahlungsverkehr.
Glücklicherweise hat Microsoft hier keine eigene Definition entgegen der gesetzlichen Begrifflichkeit. Ergänzt wird hier allerdings, dass personenbezogene Daten in jeder Unterkategorie der beschriebenen Daten auftreten können – ist aber auch logisch.
Wenn es um die Anfrage von Behörden geht, in denen um die Herausgabe von Daten gebeten wird, werden die Daten in folgende Klassen eingeteilt.
Hierbei handelt es sich um allgemeine Informationen des Abonnenten (Name, Adresse, IP-Adresse, Zahlungsfinformationen…).
Darunter fallen die Kundendaten, die bereits oben beschrieben sind. Also die Nutzdaten, die der Kunde kreiert.
Die Services, die unter Office 365 zusammen gefasst sind, laufen als Software as a Service (SaaS) in Azure Rechenzentren. Die Rechenzentren sind in verschiedene Geographien und Regionen zusammen gefasst.
Neu im „Geographie-Club“ ist Deutschland. Jeder neue Office 365 Kunde seit Dezember 2019 ist automatisch in Deutschland lokalisiert. Seine Services (die meisten jedenfalls) laufen also in deutschen Rechenzentren. Alle Kunden, die vor 12/2019 ihr Abonnement begonnen haben, werden sukzessive umgezogen. Für den Umzug gibt es einen Plan, der mir ein Schmunzeln entlockt hat. Quasi alle Kunden in den genannten Ländern werden nach diesem Plan bis Juli 2022 umgezogen sein. Der Umzug der deutschen Kunden (die „Nervensägen“ lt. Microsoft 😉 ), ist jedoch bereits jetzt in Planung.
Wie war das? Wer am lautesten schreit…..
In einer Übersicht zeigt Microsoft, wo welcher Service gehostet wird, also in welchem Land das Rechenzentrum liegt, in dem der Dienst läuft. Bei den gängigen Services (aus meiner subjektiven Sicht, die wohl am meisten verwendeten) sind die Dienste für deutsche Kunden vorbildlich in Deutschland gehostet.
Interessanterweise gibt es aktuell (Stand Sommer 2020) folgende Dienste, die nicht in Deutschland laufen.
Davon werden in der EU folgende Services gehostet:
In den USA werden folgende Services für deutsche Nutzer angeboten:
Ob der oben genannte Umzug der Services der deutschen Kunden in deutsche Rechenzentren tatsächlich alle Services beinhaltet, stelle ich mal in Frage. Das würde ich daraus nicht schließen.
Ein ganz wichtiger Faktor im Sinne des Datenschutzes ist die benutzerdefinierte Freigabe von Apps. Kritische Apps aus Sicht des Verantwortlichen können für den Anwender deaktiviert werden.
Ein paar der nicht so bekannten Applikationen möchte ich hier kurz vorstellen.
Der Microsoft Graph ist die Summe aller Daten und Informationen rund um Produktivität, Identität und Sicherheit einer Organisation in Microsoft 365. Über die Microsoft Graph API interagieren Office-365-Anwendungen und Drittanbieteranwendungen berechtigungsgesteuert mit den Daten.
Quelle: https://aka.ms/gutgemacht
Mit Microsoft Graph können Funktionen erweitert werden. Mit individuellen Abfragen können z.B. Workflows eingebunden werden und die Interaktion von Dritt-Diensten mit Microsoft Ressourcen kombiniert werden.
Diese App zeigt die öffentlichen Daten des Mitarbeiters für andere Unternehmensangehörige an. Mitarbeiter können zudem darüber hinaus freiwillige Angaben über sich preisgeben.
Eine weitere Funktion von Delve ist die Anzeige, wer welche Datei als letzte/r bearbeitet hat. Das Berechtigungskonzept wird natürlich eingehalten. Das heißt, wenn Mitarbeiter B keine Einsicht auf den Finanzplan hat, sieht er auch nicht, dass Mitarbeiter A diesen gerade bearbeitet hat.
Bei MyAnalytics erhält der Anwender nur Auswertungen und Informationen über sich selbst und sein eigenes Verhalten. Diese Informationen sind nur für den Anwender selbst bestimmt.
Im Gegensatz zu MyAnalytics ist es mit Workplace Analytics möglich, innerhalb von Mitarbeitergruppen das Arbeitsverhalten zu vergleichen. Dazu muss unbedingt eine Betriebsvereinbarung oder eine andere Rechtsgrundlage der Verarbeitung vorliegen. Ansonsten müssen Sie diese Funktion zwingend deaktivieren.
Sofern diese Funktion wie oben beschrieben nur auf amerikanischen Servern verfügbar ist, empfehlen wir grundsätzlich, diese Analyse zu deaktivieren.
Microsoft bietet in seinen Cloud Services ein vielschichtiges Konzept mit Audit- und Überwachungsfunktionen an. Damit ist es möglich, gesetzliche oder sonstige vertragliche und normative Anforderungen zu gewährleisten. Nicht nur ein technischer Admin aus der IT hat somit Überwachungsmöglichkeiten, sondern auch ausgewählte vertrauenswürdige Personen z.B. aus der Revision, dem Betriebsrat oder anderen definierten Stellen.
Im System wird ein „Global Reader“ Administrationskonto zur Verfügung gestellt. Damit ist es ausgewählten Rollen möglich, die Konfiguration und vollständige Administration von Office 365 einzusehen.
Ein Zugriff auf die Daten oder auch Änderungen an der Konfiguration sind nicht möglich.
Wer diese Berechtigung erhält, hat die Möglichkeit, alle Inhalte in Office 365 zu durchsuchen. Dies ist z.B. für Mitarbeiter gemacht, die Auskunftsgesuche im Rahmen des Datenschutzes bearbeiten.
Aber nicht nur funktionelle Rollen unterstützen in der Einhaltung der Compliance Vorgaben. Neben den eingeschränkten Adminrechten gibt es auch weitere Dashboards, die bei der Einhaltung von Compliance Vorgaben unterstützen können. Anbei nur einige Möglichkeiten, die Microsoft hier bietet.
Die Acitivity API stellt detaillierte Informationen über die Verwendung des Microsoft Cloud Services zur Verfügung. Der Zweck der API soll sich laut Hersteller auf forensische Analysen oder Audit-Systeme beziehen.
Der kostenlose Compliance Manager ist ein integriertes Tool zur Risikoabschätzung. Damit lassen sich Regelwerke nachverfolgen, zuweisen und überprüfen.
Ich muss gestehen, ich bin beim ersten Öffnen ziemlich erschlagen. Es gibt neben den vordefinierten Compliance-Regeln auch die Möglichkeit, eigene Vorgaben zu integrieren und diese zu überwachen.
Mit diesem DSGVO Dashboard hat man verschiedene Optionen, Vorgaben des Datenschutzes umzusetzen. Die Löschung kann man hier z.B. in Regeln hinterlegen. Ebenfalls gibt es eine Funktion, um Auskunftsgesuche zu beantworten (also die Daten dazu herauszufiltern).
Mein persönlicher Favorit ist der Secure Score von Microsoft. Hier werden ganz konkrete Handlungsempfehlungen gegeben. Je nach umgesetzter Maßnahme verbessert sich im Anschluss die Bewertung, der interne Secure Score steigt also.
Ich sehe weniger die absolute Zahl, die man hier erreichen kann, als hilfreich. Viel mehr finde ich das Verhältnis gut, das zeigt, mit welchen Maßnahmen man die eigene Sicherheit erhöhen kann. Dass natürlich nicht für jedes Unternehmen und jeden Einsatzzweck dieselben Maßnahmen sinnvoll sind, müssen wir nicht diskutieren. Vielmehr werden hier dem Admin und dem Unternehmen Möglichkeiten aufgezeigt, sich damit auseinander zu setzen.
Das Trust Center enthält eine Vielzahl an Dokumentationen über Compliance und technische Sicherheit der Microsoft Dienste und Produkte.
Im Trust Center unter Datenschutz verpflichtet sich Microsoft selbst zu strengen Regeln des Datenschutzes:
Dieses Thema füllt einen eigenen Artikel. Was Sie beim Einsatz von Cloud Services generell beachten sollten, finden Sie im Beitrag auf unserem Blog.
Ganz besonders und vor allem beim internationalen Anbieter Microsoft beschäftigen wir uns mit dem Thema Datentransfer in die USA. Aufgrund des Wegfall des EU US Privacy Shields ist hier ja grundsätzlich ein Compliance Risiko zu berücksichtigen. Wie sich Microsoft hier positioniert und dem Kunden Sicherheit entgegen bringt, hat mir unser Kontakt bei Microsoft erläutert.
Microsoft erlegt sich hier selbst strenge Verpflichtungen auf. Bei Anfragen von Dritten zur Herausgabe von Kundendaten leitet Microsoft diese Anfragen direkt an den Kunden weiter. Dies gilt auch bei Anfragen, die auf dem Cloud Act basieren.
Folgendes Vorgehen wurde mir von Microsoft per Mail mitgeteilt:
In einer Stellungnahme von Microsoft ist nachvollziehbar, welche Maßnahmen und vor allem Klagen Microsoft seit 2013 bestritten hat, um für die Sicherheit der Kundendaten einzustehen.
Konkret findet man hier auch einen Erfolgsbeitrag, wie Microsoft eine Klage zur Herausgabe von E-Mails an Strafverfolgungsbehörden verhindert hat.
Microsoft wird Behörden bei Anfragen zur Herausgabe von Kundendaten von Unternehmenskunden weiterhin immer zunächst an den Kunden verweisen beziehungsweise den Kunden über die Anfrage informieren, soweit nicht gesetzlich verboten. Microsoft bietet seinen Kunden zudem Transparenz über die an Microsoft gestellten Anfragen sowie verschiedene Alternativen zur Speicherung von Kundendaten.
Whitepaper „Datenschutz mit Windows 10 und Microsoft 365“
Dieses Zitat ist schon mal ein guter Ansatz. Aber irgendwie doch unbefriedigend mit dem Zusatz „soweit nicht gesetzlich verboten“. Wie groß ist nun das Risiko, dass auf Daten durch die US Regierung zugegriffen wird, ohne das der Kunde darüber Bescheid weiß?
Hierzu veröffentlich Microsoft halbjährlich einen Transparenz-Report. Dieser ist einzusehen über den Law Enforcement Requests Report.
Hier wird auch noch unterschieden bzw. angezeigt, welche Art von Daten (siehe Definition oben) durch die Strafverfolgungsbehörden angefragt wurde.
Die Anzahl der Löschanfragen wird ebenfalls protokolliert und ist in einer Auswertung einsehbar.
Wer noch ein paar weitere unabhängige Nachweise haben möchte, kann sich die vielen Zertifikate von Microsoft ansehen. Für jede Sparte ist quasi etwas dabei.
Übersicht über alle Controls und Auditberichte finden Sie unter diesem Link.
Hier gibt es eine Übersicht der Zertifikate von Microsoft.
Allein diese Dokumentation sagt Ihnen noch nicht, ob Sie in Ihrem Unternehmen nun die Cloudlösung einsetzen können. Die aufgelisteten Punkte sind Faktoren, die Sie selber für Ihr Unternehmen bewerten müssen.
Hört sich kompliziert an? Eigentlich nicht, aber etwas Arbeit steckt schon dahinter. Wie genau diese Bewertung und Stellungnahme aussehen kann, zeigen wir Ihnen detailliert im Blogbeitrag zum Thema.
Gerne stellen wir Ihnen unser Whitepaper zum Thema Office 365 – Datenschutz zur Verfügung. Sie erhalten es, wenn Sie sich für unseren Newsletter anmelden. Alternativ senden wir es Ihnen auf Anfrage zu. Schreiben Sie uns in diesem Fall einfach eine kurze E-Mail.
Die bayerischen Aufsichtsbehörden äußern sich in einer Pressemitteilung positiv zu den Anpassungen der Standardvertragsklauseln von Microsoft. Die neuen Vertragsklauseln von Microsoft enthalten Regelungen über
– die Information der betroffenen Person, wenn Microsoft durch eine
Aber dass sich Microsoft als einer der größten, international agierenden Konzerne weltweit, mit
Der Bayerische Landesbeauftragte für den Datenschutz
einer erheblichen Marktmacht in Europa, nun in die richtige Richtung bewege und wesentliche Verbesserungen für die Rechte der Europäischen Bürgerinnen und Bürger in seine Vertragsklauseln
aufnehme, sei ein wichtiger Schritt und ein deutliches Signal an andere Anbieter, diesem Beispiel
zu folgen.
Bayerisches Landesamt für Datenschutzaufsicht, Pressmitteilung vom 20.11.2020
Klicken Sie auf den unteren Button, um den Inhalt von subscribe.newsletter2go.com zu laden.
Das LfDI prüfte in einem Praxistest eine für Schulen konfigurierte Microsoft 365 Version. Als Ergebnis steht folgendes fest:
Für den Schulbereich hat der LfDI daher ein hohes Risiko der Verletzung von Rechten und Freiheiten betroffener Personen festgestellt. Dies gilt für die ins Auge gefasste Erweiterung des Systems um Konten für die Schülerinnen und Schüler umso mehr. Der Staat hat eine Garantenstellung für die in der Regel minderjährigen Schülerinnen und Schüler, welche zudem der staatlichen Schulpflicht unterliegen und daher der Verwendung ihrer persönlichen Daten nicht ausweichen können. In dieser Konstellation bewertet der Landesbeauftragte das Risiko der eingesetzten Software als inakzeptabel hoch.
Pressemitteilung des LfDI Baden-Württemberg vom 07.05.2021: Empfehlung des LfDI hinsichtlich der Nutzung der geprüften Version von Microsoft Office 365 an Schulen | Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
In der Pressemitteilung wird weiterhin darauf aufmerksam gemacht, dass
[a]lle Verantwortlichen […] eine Risikobewertung mit Blick auf die konkret verarbeiteten Daten vornehmen und sich nachvollziehbar mit den Rechtsgrundlagen ihrer Datenverarbeitungen befassen [müssen]. Diese Rechtsgrundlagen unterscheiden sich im öffentlichen und privaten Sektor zum Teil erheblich, so können Behörden grundsätzlich keine Daten auf Basis eines ‚berechtigten Interesses‘ verarbeiten und sind auch bei der Nutzung von Einwilligungen eingeschränkt. Der LfDI betont dabei, dass bei dieser Betrachtung pauschale Aussagen wie etwa, dass eine Software immer oder nie datenschutzkonform einsetzbar sei, zu undifferenziert und nicht überzeugend sind.
Pressemitteilung des LfDI Baden-Württemberg vom 07.05.2021: Empfehlung des LfDI hinsichtlich der Nutzung der geprüften Version von Microsoft Office 365 an Schulen | Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Microsoft kündigt eine sogenannte „Datengrenze“ für die Microsoft Cloud an. Mit dieser wird die ausschließliche Datenverarbeitung in der EU garantiert. Damit kommt Microsoft den Forderungen der Aufsichtsbehörden entgegen und soll damit noch mehr den Datenschutz der Betroffenen wahren.
Uns ist jedoch noch nicht genau klar, welche Dienste unter dem Begriff Microsoft Cloud konkret fallen.
Die Aufsichtsbehörde hat ein FAQ zu Microsoft 365 veröffentlicht. Es werden dabei folgende Frage beantwortet:
Folgende beiden Fragen heben wir explizit aus dem FAQ heraus, da diese besondere Relevanz haben:
Microsoft hat sich in einer Stellungnahme zur Datenschutzkonformität von Microsoft 365 und Microsoft Teams geäußert. Die Stellungnahme ist in zwei Kategorien unterteilt:
Folgende drei Falschaussagen werden seitens Microsoft in der Stellungnahme korrigiert bzw. richtig dargestellt:
Aussage: „Die US-Regierung liest alles mit.“
Richtig ist vielmehr:
➢ Ein Interesse von US-Behörden z. B. an Daten aus einem Schulunterricht in Deutschland kann nicht ernsthaft behauptet werden.
➢ Eine umfangreiche Auswertung öffentlich verfügbarer Dokumente von US-Regierungs-Behörden zur Nutzung von §702 des Foreign Intelligence Surveillance Act (FISA) in der Praxis10 belegt dagegen:
➢ Es gibt keinen Anhaltspunkt dafür, dass die US-Regierung §702 FISA nutzt, um(i) Industriespionage zu betreiben oder US-amerikanische wirtschaftliche
Interessen zu verfolgen oder(ii) Regierungen im Europäischen Wirtschaftsraum
Stellungnahme von Microsoft Deutschland zur
ins Visier zu nehmen; und
➢ Die US-Regierung nutzt §702 FISA im Wesentlichen zur Sammlung von Informationen für Ermittlungen zu schwerwiegenden Bedrohungen der nationalen Sicherheit, wie Terrorismus, Cybersecurity-Angriffe und Waffenproliferation.
➢ Microsoft hat die US-Regierung mehrmals erfolgreich verklagt, um die Datenschutz-Rechte seiner Kunden zu verteidigen. Microsoft bezieht auch weiterhin Stellung, um Kundendaten zu verteidigen.
➢ Microsofts „Transparency Reporting“ zeigt, dass eine erzwungene Herausgabe von außerhalb der USA befindlichen Unternehmensdaten an amerikanische Strafverfolgungsbehörden in nur sehr wenigen Fällen erfolgt ist.
➢ Die pauschale Empfehlung seitens einzelner Behörden, nur Anbieter aus der EU zu nutzen, verkennt im Übrigen, dass auch Anbieter mit Stammsitz innerhalb der EU US-Überwachungsgesetzen unterliegen können, z. B. durch eine Präsenz in oder minimalen Kontakt mit den USA. Behörden dürfen nicht mit zweierlei Maß messen und unterliegen dem Objektivitätsgebot.
Datenschutzkonformität von Microsoft 365 und Microsoft Teams, 11.08.2022 , Seite 2 Nr. 2
Aussage: „Diagnosedaten sind nicht notwendig und schädlich.“
Stellungnahme von Microsoft Deutschland zur
Richtig ist vielmehr:
➢ Diagnosedaten sind notwendig, um Produkte und Dienste sicher und stabil zu betreiben. Unsere Kunden erwarten zurecht, dass sie unsere Produkte und Dienste vertragsgemäß und sicher nutzen können. Die verantwortungsvolle Nutzung von
Diagnosedaten trägt dazu bei.
➢ Kunden nutzen viele verschiedene technische Infrastrukturen. Die Verarbeitung von Diagnosedaten ist daher sehr nützlich, um die Anfälligkeit für Fehler und die Wahrscheinlichkeit von Sicherheitsrisiken zu verringern.
➢ Diagnosedaten werden oft falsch verstanden und mit Funktionsdaten verwechselt, z. B., weil entsprechende (Fehl-)Einordnungen außer Acht lassen, dass für die vertraglich vereinbarte und daher vom Kunden auch zurecht erwartete Stabilität und Sicherheit der jeweiligen Anwendung (und damit für deren ordnungsgemäßes Funktionieren) bestimmte
Daten erfasst werden müssen, um die gewünschte Aktion des Nutzers auszuführen.
Datenschutzkonformität von Microsoft 365 und Microsoft Teams, 11.08.2022, Seite 3 Nr. 4
Aussage: „Microsoft überwacht die Nutzer seiner Produkte und Dienste.“
Stellungnahme von Microsoft Deutschland zur
Richtig ist vielmehr:
➢ Die technische Verbindung zwischen Nutzer und Microsoft (z. B. über Server und Rechenzentren) ist in vielen Fällen zwingende Voraussetzung für die vertraglich geschuldete Diensterbringung. Nichts davon kann als ein Ausspähen von Kunden
angesehen werden.
➢ Cloud-Dienste funktionieren nur, wenn Nutzeraktionen übermittelt werden, damit die jeweilige Reaktion der Applikation ausgeführt werden kann (z. B. eine Übersetzung). Das ist technisch mit Verarbeitungen bei on-premises Lösungen vergleichbar.
Datenschutzkonformität von Microsoft 365 und Microsoft Teams, 11.08.2022, Seite 3 Nr. 5
Die Frage lässt sich nicht mit einem Ja oder Nein beantworten. Die Einschätzung der Datenschutzbehörden stehen hier noch aus.
Die Stellungnahme hilft aber zumindest den Verantwortlichen das Risiko bezüglich des Datentransfers in die USA besser einordnen zu können.
Die DSK hat den „Datenschutznachtrag zu den Produkten und Services von Microsoft“ anhand folgender Nachbesserungen bewertet:
Aus der Stellungnahme geht eindeutig hervor, dass die vertraglichen Nachbesserungen nur geringfügige Verbesserungen erzielten, im Ergebnis nicht präzise genug sind und teilweise noch Fragen offenbleiben.
Insbesondere bleibt die Frage im Raum, in welchen Fällen Microsoft Verarbeitungen eigenverantwortlich oder im Auftrag des Kunden durchführt. Hierzu sind die Beschreibungen der Tätigkeiten im Vertragswerk nicht genau genug.
Insgesamt kann der Verantwortliche seiner Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) nicht nachkommen. Das bedeutet, dass der Einsatz vom Microsoft365 weiterhin mit einem Risiko behaftet ist und nach Ansicht der Behörden nicht möglich ist.
Am 01.01.23 hat Microsoft einen neuen AV-Vertrag (englische Version) veröffentlicht. Damit reagiert Microsoft auf die angebrachte Kritik der Aufsichtsbehörden.
Im neuen AV-Vertrag ist vor allem folgende Änderung bedeutend, dass über die EU-Cloud sämtliche Kundendaten ausschließlich in der EU verarbeitet und gespeichert werden. Des Weiteren wurde der Anhang I (relevante Regelungen zum AV-Vertrag) überarbeitet und ergänzt. Es werden dabei Bezüge auf die verschiedenen Rechtsgrundlagen nach Art. 5, 28, 32 und 33 genommen und ergänzt.
Seit Anfang Februar ist der Vertrag auch in deutscher Sprache verfügbar. Sie finden ihn hier.
Ob der Vertrag nun den Anforderungen der Aufsichtsbehörden entsprechen, wird sich wohl erst mit einer erneuten Bewertung zeigen.
Die DSK hat hierzu ein Statement abgegeben. Zum Stand Oktober 2020 stehen allerdings nicht alle Datenschutzbehörden hinter dieser Aussage. Als nächstes planen die Behörden gemeinsam mit dem Anbieter Microsoft eine Lösung zu finden.
Wir empfehlen eine ausführliche Risikobewertung und vor allem eine strenge Konfiguration des Services hinsichtlich Datenschutz. Deaktivieren Sie alle Services, die Sie nicht benötigen. Deaktivieren Sie auch Services, die nicht auf EU Servern laufen.
Setzen Sie auch alle weiteren Konfigurationsschalter auf die sichersten Optionen hinsichtlich Datenschutz. Dokumentieren Sie dies gut, damit Sie im Zweifelsfall einen Nachweis haben, alles zum aktuellen Stand mögliche getan zu haben.
Trotz allem, verfolgen Sie zu diesem Thema auch die Stellungnahmen der Behörden. Natürlich aber auch unseren Blog uns unsere Social Media Kanäle. Wir halten Sie zu diesem Thema auf dem Laufenden.
Selbst nach aktuellen Möglichkeiten bleibt immer ein Restrisiko. Zumal sich Microsoft über den Cloud Act nicht komplett aus der Verantwortung nehmen kann, im Zweifelsfall doch Daten an die US Regierung auszuhändigen. Die Maßnahmen, um dieses Risiko zu verbringen, werden allerdings vom Anbieter sehr streng eingehalten.
Zudem besteht natürlich immer die Gefahr, dass Daten durch eine falsche, fehlende Konfiguration oder unbekannte Funktion an den Anbieter übermittelt werden.
https://www.vitako.de/Publikationen/Leitfaden_Nutzung%20von%20Office.pdf
https://www.microsoft.com/de-DE/trust-center/privacy/customer-data-definitions
Es handelt es sich hier um eine Zusammenfassung des relevanten Inhalts seitens der Datenbeschützerin. Hinweise oder Anmerkungen seitens der Datenbeschützerin bedeuten, dass diese Informationen nicht im Papier zu finden sind, sondern aus der Praxiserfahrung resultieren oder auf weitere Einträge verweisen.
Die niedersächsische Aufsichtsbehörde hat ihren jährlichen Tätigkeitsbericht veröffentlicht. Der Bericht wird nicht im Ganzen wiedergegeben, sondern es werden einzelne Themen vorgestellt. Insbesondere wird die Schlussfolgerung der Aufsichtsbehörde zum jeweiligen Thema hervorgehoben.
Continue reading „25. Tätigkeitsbericht des LfDI Niedersachsen“ Am 16.07.2020 hat der Europäische Gerichtshof das Privacy Shield für ungültig erklärt.
In diesem Beitrag zeigen wir auf, worum es im Urteil überhaupt geht. Für alle, die sich der Konsequenzen schon bewusst sind, geben wir auch Handlungsempfehlungen – nach dem aktuellen Stand der Stellungnahmen der Aufsichtsbehörden und Rücksprache mit Fachkollegen.
[Update am 26.10.2020: Nach einem Austausch in kleiner Runde mit Vertretern der bayerischen Aufsichtsbehörde und erfahrenen Datenschützern, wird dieser Artikel mit den Ergebnissen des Gesprächs ergänzt.]
Die nachfolgende Zusammenfassung stellt natürlich keine Rechtsberatung dar.
Continue reading „EuGH kippt Privacy Shield – Fehlende Sicherheit der Daten beim Datenaustausch zwischen der EU und den USA“ Am Freitag, den 17.07.2020, wurde vom Bundesverfassungsgericht in Karlsruhe in einem Urteil beschlossen, dass Teile des Kommunikationsgesetzes verfassungswidrig sind.
Begründung ist, dass das Gesetz unverhältnismäßig in das informationelle Selbstbestimmungsrecht und das Telekommunikationsgeheimins eingreife.
Für Polizei und Verfassungsschutz bedeutet dies eine Einschränkung in der Auswertung von Nutzungsdaten von Mobilgeräten und der Internetnutzung. Diese Daten dürfen zukünftig nur noch unter strengen Voraussetzungen von Sicherheitsbehörden abgefragt werden.
Im Urteil geht es nicht grundsätzlich um die Zulässigkeit der Verwendung der Daten für die Verfolgung von Straftaten, sondern um die Schwelle, wann diese Daten herausgegeben werden dürfen. Voraussetzung müsse eine konkrete Gefahr oder ein Anfangsverdacht sein.
Handelsblatt „News am Abend“ vom Freitag 17.07.2020
Am 16.06.2020 wurde nun die Corona Warn App veröffentlicht. Sie soll uns helfen, die Pandemie weiter im Griff zu behalten und die Infektionsketten schnellstmöglich zu brechen. Wie es bei der Corona Warn App (CWA) mit Datenschutz und Sicherheit aussieht, möchten wir in diesem Artikel beleuchten.
Wir wollen und können nicht den Quellcode prüfen und die App auf die Schnelle prüfen (lassen). Aber darum geht es auch nicht.
Wenn Sie uns kennen, wissen Sie, dass wir gut und ausführlich recherchieren. Wir arbeiten nach bestem Wissen und Gewissen und kennzeichnen deutlich, wenn bestimmte Aussagen unsere persönliche Meinung darstellen. Beachten Sie – wie immer – dass es sich hierbei aber um keine Rechtsberatung handelt.
Continue reading „Corona Warn App – Wie steht’s um Sicherheit und Datenschutz?“
Gastbeitrag von Dr. Klaus Meffert
Dr. Meffert beschäftigt sich mit dem Thema Datenschutz auf Webseiten. In diesem Gastbeitrag berichtet er, wie Webseiten DSGVO-konform gemacht werden können. Dieser Bericht geht auch auf die häufigsten Probleme in Bezug auf rechtssichere Webseiten (Schwerpunkt Datenschutz) ein und zeigt, welche Maßnahmen zur Abhilfe es gibt.
Hier beschreibt Dr. Meffert wie die DSGVO für Webseiten eingehalten werden kann. Zusätzliche Vorschriften für Webseiten wie die Anbieterkennzeichnung (Impressumspflicht), die Ausgestaltung von AGB oder von Einkaufsprozessen in Internet-Shops werden hier nicht thematisiert. Es geht nur um die datenschutzrechtlichen Betrachtungen, die allerdings sehr wichtig sind. Schließlich kann jede Webseite zu jeder Zeit von jedem, der es möchte, angeschaut, untersucht und bei Bedarf kritisiert werden. Die Webseite ist der öffentlichste Teil jedes Unternehmens.
Continue reading „So entstehen rechtssichere Webseiten“
Vorweg, im Folgenden wird vom Datenschutzbeauftragten in der männlichen Form gesprochen. Der Einfachheit halber beim Lesen unterscheiden wir nicht. Es sind natürlich alle Geschlechter angesprochen.
In einem vorherigen Blogbeitrag haben wir bereits die zahlreichen Aufgaben des Datenschutzbeauftragten vorgestellt. Neben der Überwachung und Einhaltung der DSGVO, Beratungstätigkeiten und Mitarbeitersensibilisierung ist ein wichtiger Aspekt nicht zu vergessen: Die Weiterbildung des Datenschutzbeauftragten im fachlichen Sinne.
Doch wie und vor allem wo kann ein Datenschutzbeauftragter eine Datenschutzfortbildung absolvieren? Welche Angebote entsprechen den gesetzlichen Anforderungen? Kann man auch ohne Schulungen auf dem laufenden bleiben?
Diese Fragen stellen sich insbesondere interne Datenschutzbeauftragte. In vielen Fällen übt nämlich der interne Datenschutzbeauftragte seine Rolle als DSB zusätzlich zu einer bereits bestehenden Tätigkeit aus. Es bleibt meist wenig Zeit für eine qualifizierte Fortbildung und einen Austausch mit Gleichgesinnten in einem Netzwerk.
In diesem Blogartikel möchte ich Ihnen diese Fragen beantworten und auch einen Lösungsansatz anbieten.
Continue reading „Erfüllen Sie als Datenschutzbeauftragter Ihre Pflicht zur Weiterbildung?“
Melden Sie sich zu unserem Newsletter an und erhalten Sie alle 14 Tage aktuelle und praxisorientierte Informationen zum Datenschutz und zur Informationssicherheit.
