Blog für IT- | Medien- | Datenschutz- und Arbeitsrecht
Blog für IT- | Medien- | Datenschutz- und Arbeitsrecht

Mitautoren: Tobias Hinderks*, Nina Diercks*

2020/2021. Die ganze EU diskutierte, wie nach dem EuGH Urteil C-311/18 (Schrems II) noch legal personenbezogene Daten in die USA übermittelt werden können. Die ganze EU? Nein, eine (kleine) Staatskanzlei in Düsseldorf sieht in einer Übertragung überhaupt kein Problem.

Ok, ein wenig Kontext? Die Landesregierung NRW hat eine kleine Anfrage der Grünen-Fraktion im Landtag NRW beantwortet, die sich um den Einsatz eines von Amazon Web Services gehosteten Messengers für Schüler*innen dreht. Die Grünen hatten unter anderem gefragt, ob die Landesregierung bei der Umsetzung auch Subunternehmen in Betracht gezogen hat, die nicht dem US CLOUD Act unterliegen. Hierauf antwortete die Landesregierung:

„Darüber hinaus ist darauf hinzuweisen, dass der CLOUD Act nur dann einen Zugriff auf Daten zulässt, wenn eine rechtmäßige Verfügung einer amerikanischen Ermittlungsbehörde oder eines amerikanischen Gerichts vorausgegangen ist. Insofern unterscheidet sich die Rechtslage nicht von der Rechtslage in anderen Staaten, einschließlich Deutschlands.

[…]

Aber selbst bei einer theoretischen Herausgabe der Daten durch [Amazon Web Services] an amerikanische Ermittlungsbehörde wäre der übermittelte Datensatz aufgrund der durch den Dienstleister SVA eingerichteten Verschlüsselung nach sehr hohem Industriestandard von in der Cloud abgelegten Daten für amerikanische Behörden nicht verwertbar.“ (Drs. 17/11271, S. 3)

Das ist ein interessantes Statement der Regierung des bevölkerungsreichsten Bundeslandes. Inhaltlich dazu später. Für uns soll es zunächst der Aufhänger sein, uns mit der Zeit nach Schrems II zu befassen.

  • Wo ist eigentlich das Problem mit der Datenübertragung in die USA?
  • Was sagt denn die US-Regierung zum Urteil?
  • Was haben die Aufsichtsbehörden zu Schrems II veröffentlicht?
  • Wie könnten Lösungen aussehen? Gibt es überhaupt Lösungen?

Fragen über Fragen und die dringende Suche nach einer Antwort.

An dieser Stelle müssen wir kurz durchatmen. Denn auf uns kommt viel Arbeit zu. Die Übermittlung von Daten in die USA war bereits vor Schrems II sehr intensiv diskutiert worden. Und nach der tiefgreifenden Änderung durch Schrems II ist man sich eigentlich nur noch in einem sicher: Es ist kompliziert.

Um ein verständliches Bild zu schaffen und dieses facettenreiche Thema abzuhandeln, braucht es mehr als einen Blog-Artikel. Deshalb ist dieser Blog-Beitrag der Beginn einer kleineren Serie rund um das Thema: Reaktionen auf Schrems II – Rechtslage im transatlantischen Datenverkehr, bestehend aus vier Beiträgen.

Wir beginnen mit Teil 1: Was hat der EuGH entschieden und wie beurteilen die USA die Auswirkungen. In Teil 2 sehen wir uns an, wie Datentransfer auf Basis von geeigneter Garantien gelingen könnten. Dabei setzen wir uns mit dem Schutzniveau und den Ansichten der Aufsichtsbehörden auseinander. Teil 3 wird sich um den CLOUD Act drehen und in Teil 4 nutzen wir die gewonnen Erkenntnisse um uns ein eigenes Bild der Ausführungen des EuGH zu machen  (Spoiler: Man muss nicht in allem einer Meinung mit dem EuGH sein) und ziehen ein Fazit zum Thema Datenübermittlungen in die USA.

Den ganzen Artikel lesen.

I’m driving home for Christmas
Oh, I can’t wait to see those faces*

Nach Hause (zu den Eltern, Großeltern, den besten Freunden, der Wahlfamilie) zu fahren, das Jahr hinter sich zu lasssen und die Lieben fest in die Arme zu schließen. Das wünschen sich gerade dieses Jahr wohl die allermeisten Menschen. Und doch, es geht nicht. Jedenfalls nicht einfach so. Oder es geht vielleicht auch gar nicht mehr. Denn hinter den Zahlen, die uns das RKI jeden Tag meldet, stehen Menschen. Und demnach sind bis heute, den 22. Dezember 2020, bereits 27.006 Menschen an oder mit Corona verstorben. Menschen, die für andere Ehepartner, Geliebte, Söhne, Mütter, Opa, Tante, bester Freund waren. Die Menschen hinterlassen, die trauern. Und so geht es für uns, die  – vermeintlich – gesund sind, darum, uns selbst, die, die uns am Herzen liegen, aber auch das Gesundheitssystem und damit uns alle, zu schützen. Das gelingt am besten, in dem wir eben möglichst nicht „nach Hause fahren“. Denn das Virus ist tückisch. Sein Wirt ist hochinfektiös bevor er oder sie (wenn überhaupt) Symptome zeigt. Und doch sollte Verständnis für jeden bestehen, der unter den größtmöglichen Sicherheitsvorkehrungen – etwa Schnelltests vor einem Besuch und  Einhalten der Schutzmaßnahmen wie Händewaschen, Lüften und Masketragen – dennoch die Eltern oder die beste Freundin sehen möchte. Denn zum einen kann es bei dem einen oder anderen sein, dass – vollkommen unabhängig von Covid19 – die Zeit verrinnt und jedes Treffen das Letzte sein kann. Und zum anderen kann die Seele nach diesem Jahr, den einen Besuch – unter allen Sicherheitsvorkehrungen – so nötig haben, dass ein Verzicht auch kein Lösung darstellt. Derartiges hinfort zu wischen und auf „nächstes Jahr“ oder „bald“ zu verweisen, ist immer leicht (gerade auf Twitter, looking at you!), wenn man selbst in keiner dieser Situationen steht.

In allem Grau ist leises Licht

Aber es gibt ihn ja, in all dem Grauen, den Silberstreif am Horizont. Vorgestern hat die EMA bekannt gegeben, dass sie den Impfstoff von BioNTech und Pfizer in Europa zur Zulassung empfiehlt. Gestern hat die EU-Kommission ihr „Go“ geben. Und das bedeutet, dass in wenigen Tagen in ganz Europa die Impfungen gegen Covid19 starten können! Hurra! Ja, es werden zunächst „nur“ die Vulnerabelsten und die im Gesundheitssystem beschäftigten geimpft werden. Und womit? Mit Recht! Alte Menschen tragen das größte Risiko für schwere Verläufe und die Ärztinnen und Pfleger tragen das größte Risiko für eine Ansteckung. Und ohne sie… sind wir am Arsch. (Ja, das muss man genauso schreiben.) Vor allem, wenn Ärzte und Pflegerinnen außer Lavendel, leeren Tassen und harten, ungenießbaren Lebkuchenherzen schon nichts als Anerkenntnis für deren herausragende Leistungen (nicht nur zu Corona-Zeiten) bekommen, dann muss wenigstens die Frontline bei der Impfung drin sein. Davon abgesehen darf man im Hinblick auf die Impfung auch einfach mal staunend vor diesem wissenschaftlichen Wunder bzw. der Leistung der VirologInnen, MedizinerInnen, BiologInnen, ChemikerInnen und all den anderen, die es für die Entwicklung eines Impfstoffes braucht, stehen. Ein Impfstoff in weniger als Jahresfrist. Wow.

Und das ist nicht der einzige Lichtblick. Im Januar wird in den USA wieder ein Mann als Präsident der Vereinigten Staaten vereidigt, der in seinem langen beruflichen Leben bereits unter Beweis gestellt hat, dass für ihn Fakten, Wissenschaft und Ratio die Basis des Handelns darstellen. Er wird nicht der Messias sein und Europa wird sich auf harte politische Verhandlungen einstellen müssen. Aber hey! Man kann wieder über politische Verhandlungen sprechen!

Die Zeiten sind also dunkel. Aber pünktlich zur Wintersonnenwende scheint leise das Licht. Und ich glaube, dahin sollten wir uns alle wenden. Gerade in  einer Weihnachtszeit, die weit stiller und besinnlicher sein wird, als sie es sonst zwar auch immer sein soll, aber vor lauter „Wann fahren wir denn bloß auch noch zu Tante Inge?„, „Denk dran, um 17.00 Uhr sind wir bei Onkel Karl-Heinz und um 19.00 Uhr müssen wir bei Deinen Eltern sein!“ und „Muss Dein Bruder mit seiner Familie wirklich auch noch kommen? Ihr versteht Euch doch eh nicht!“ doch nicht ist. Man könnte sagen, die erzwungene Besuchsenthaltsamkeit hat auch etwas Gutes.

Wir brauchen alle eine Pause

Dazu brauchen wir alle eine Pause.** Ein ganzes Jahr war geprägt von diffuser Angst vor dem Unbekannten und großer Sorge. Und das neben dem beruflichen wie privaten Alltag und all den Schwierigkeiten, den dieser eben so mitbringt. Der übliche Ausgleich wie das Treffen mit Freunden, der Theaterbesuch oder das Sporttraining im Verein fiel hingegen weg.


Btw, so sieht übrigens die Besprechungsecke in meinem Büro aus. Eigentlich stehe ich ja mindestens zwei Mal die Woche in einer Turnhalle. Seit November findet das Training wieder per Zoom statt. (An dieser Stelle ein großes „Danke“ an unseren Trainer, der große Mühe in das Training investiert -gleich ob in der Halle oder digital.) Und während ich am Anfang des 2. Lockdowns Tisch und Stühle noch jedes Mal hin und her räumte, sah ich recht schnell ein, dass dies vergebene Liebesmüh ist, da ich schließlich nicht nur meine Trainingsgruppe nur noch auf den Kacheln sehe, sondern auch die Mandanten. Tja nun.  (Aber ich wette, mein Büro ist nicht das Einzige, das inzwischen so aussieht.)


Diese ständige Unsicherheit und der fehlende soziale Ausgleich zerren an den Nerven. Und ich kenne niemanden, der von den Anforderungen dieses Jahres unbeeindruckt blieb. Deswegen sollten wir alle nicht nur nett zu einander, sondern vor allem auch zu uns selbst sein und einfach mal tief seufzend sagen „Das war anstrengend!“. Dabei sollten wir vielleicht aber auch  auf der Couch an den Keksen knabbern und überlegen, was denn in diesem Jahr – trotz allem – schön war.

War es nicht auch trotzdem vielleicht ein schönes Jahr?

Kekse knabbernd darf ich persönlich persönlich feststellen, es war  – trotz allem – gutes Jahr. Zunächst einmal sind meine Familie und Freunde bis jetzt alle gesund geblieben oder hatten milde Verläufe. (Fingers crossed!). Dann gibt es eher selten Jahre, in denen man Klopapier zum Geburtstag geschenkt bekommt und in denen das Wohnzimmer regelmäßig zur Turnhalle wird. Was zwar den Mann nicht erfreut, die kleine Tochter aber um so mehr. Und zwischenzeitlich durften wir unter Auflagen auch in die Halle. Endlich wieder an den Geräten mit dem Trainer und seinen preisgekrönten Sätzen wie „Nina, jetzt sei nicht so schwierig. Denk nach unten und mach!“ daneben. :D. Und vor allem auch live und in Farbe mit J., J., S., S., L., A., C., K. und allen anderen. Jetzt steht zwar erneut das Kacheltraining auf dem Plan. Doch auch da sind die liebevollen Sätze wie „Lass den Arm doch einfach lang. Man kann Arme und Beine getrennt von einander bewegen.“ aus der Box zu vernehmen. 😀 Und man sieht mal andere Menschen auf dem Monitor als die Business-Kontakte. Kurz: All das Jahr blieb auch die Möglichkeit des sportlichen Ausgleichs im Verein. Irgendwie. Dazu hatten wir das Glück, unseren Sommerurlaub genau in der Zeit und in den Ländern (Tirol und Südtirol) sowie in der Art (hochalpines Wandern) geplant zu haben, der uns mit der Pandemie-Lage vereinbar schien und in der das Coronavirus uns ohnehin alle in unserem naiven Glauben bestärkte, es werde alles gut werden.

Es gab also – trotz allem – viele schöne Momente.

Und auch beruflich hatte ich ein gutes, nein, ein sehr, sehr gutes Jahr. Es begann mit dem Wechsel zu MÖHRLE HAPP LUTHER. Dem folgten interessante Monaten mit vielen Einblicken, dem Eindruck, dass ich fachlich wie menschlich gerne dort arbeite, aber auch der relativ zügigen Erkenntnis, dass meine Vorstellungen von einem Arbeitsumfeld doch andere sind. In der Konsequenz öffneten sich am 16.08. die wieder Türen der Anwaltskanzlei Diercks. War der Wechsel nun ein vermeidbarer Fehler? Klares Nein. Ich hätte mich ewig „Was wäre wenn…“ gefragt. Die Frage ist nun beantwortet. Dazu ist nun alles sogar besser als vorher. Zum einen haben wir ein sehr schönes, ruhiges Büro mit samtgelben Sofas und einem sonnigen Balkon für die Kaffeepause sowie genügend Platz für ein Airtrack 😉 (Siehe oben). Zum anderen – und das ist viel wichtiger – konnten wir Rechtsanwältin Ulrike Berger, die bei MHL zu uns stieß, davon überzeugen mit uns gemeinsam „zurück“ zu gehen. Damit haben wir nicht nur eine fachlich ausgezeichnete Kollegin, sondern auch gleich noch ihren großartigen Humor dazu gewonnen (der, man mag es kaum glauben, noch trockener ist als der, der besten Assistenz der Welt). Und des Weiteren habe ich zwar KollegInnen „zurückgelassen“, aber mindestens einen Freund gewonnen.

Doch was wäre eine Anwaltskanzlei ohne Mandanten? Genau. Nichts.

Ihnen, unseren Mandanten, gebührt deswegen an dieser Stelle großer Dank. Für das Vertrauen. Für die Treue. Und ganz besonders für die Geduld, wenn wir aufgrund von Kapazitätsauslastungen mitteilen mussten, dass eine zeitnahe Bearbeitung bei dieser im juristischen Sinne nicht eiligen Angelegenheit gerade nicht möglich ist und Sie trotzdem sagten „Wir wollen das aber unbedingt mit Ihnen machen.“. Danke dafür! Wir freuen uns schon jetzt auf die weitere Zusammenarbeit im Jahr 2021!

Auch dieses Jahr haben wir kein Foto für Sie!

Und wie jedes Jahr gilt, dass unsere Mandanten, Geschäftspartner und Geschäftsfreunde keine Weihnachtskarten und kleine Präsente erhalten werden. Die dafür notwendigen Aufwendungen spenden wir lieber denen, die eine Unterstützung dringend notwendig haben. Und zwar zum einen an die Stiftung Mittagskinder (mehr zu den Mittagskindern aus meiner Feder auch: hier) und zum anderen an Hinz & Kunzt, der Hamburger Obdachlosenzeitung, die sich insgesamt stark gegen Obdachlosigkeit und für soziale Projekte in der Stadt einsetzt. Daneben geht noch eine monatliche Spende an eine Grundschule bei mir im Stadteil, mit der Müsli für die Nachmittagsbetreuung angeschafft wird. Denn für einige Kinder dort ist das Müsli zugleich das Abendbrot.

In diesem Sinne,

wünsche ich Ihnen,

dass Sie zwischendurch auf der Couch sitzen und sagen können „2020 war Mist. Kann weg. Aber irgendwie hatte selbst dieses Jahr seine schönen Momente.“,

dass Sie dabei der Geist der Weihnacht umwehen möge (gleich ob christlichen, jüdischen, muslimischen, sonstigen oder gar keinen Glaubens, der Geist der Weihnacht ist universal) und

dass Sie gesund bleiben oder schnell genesen.

Frohe Weihnachten!

*Chris Rea, Driving Home for Christmas

**Den im Gesundheitssektor beschäftigten ÄrztInnen, PflegerInnen und LabormitarbeiterInnen und sonstigen tragenden Säulen, die keine Pausen machen können, wünsche ich von Herzen, dass sie alle irgendwann, möglichst bald, auch Zeit für eine solche Pause erhalten werden.

Der Kollege Stephan Hansen-Oest beschrieb die derzeitlich vorfindliche Sach- und Rechtslage in Sachen „Datenübermittlung in unsichere Drittstaaten“ in seinem letzten Newsletter sehr treffend mit „Drittlands-Frust“. Dem ist nichts hinzuzufügen. Oder wäre es eigentlich doch. Jede Menge sogar. Aber die Zeit habe ich heute nicht. Deswegen nur ganz kurz ein paar postive Nachrichten im Hinblick auf einen Einzelfall. Aber positive Nachrichten tun uns wohl alle derzeit ganz gut.

[Wir sind aber gerade dabei die ganze Drittstaaten-Transfer-Problematik etwas vertiefter für den Blog aufzubereiten!]

Microsoft veröffentlich „Additional Safeguards Addendum to Standard Contractual Clauses“

Den ganzen Artikel lesen.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) hat heute eine Pressemitteilung zur datenschutzrechtlichen Bewertung von Office365 herausgegeben. Die DSK hatte einen „Arbeitskreis Verwaltung zur Auftragsverarbeitung bei Microsoft Office 365“ eingesetzt. Der Arbeitskreis hatte „die dem Einsatz des Produktes Microsoft Office 365 zu Grunde liegenden Online Service Terms (OST) sowie die Datenschutzbestimmungen für Microsoft-Onlinedienste (Data Processing Addendum / DPA) – jeweils Stand: Januar 2020“ geprüft. Dieser Arbeitskreis hat am 15. Juli 2020 eine Bewertung abgegeben. Diese Bewertung ergibt, „dass auf Basis der genannten Unterlagen kein datenschutzgerechter Einsatz von Microsoft Office 365 möglich ist„.

Diese Bewertung wurde von der DSK „mehrheitlich zustimmend zur Kenntnis genommen„. Eine interessante Formulierung, die schon erahnen lässt, dass die Sach- und Rechtslage im Hinblick auf die Beurteilung wohl so eindeutig nicht ist.

Dennoch werden mit an Sicherheit grenzender Wahrscheinlichkeit in Kürze Headlines wie „Deutsche Datenschutzbehörden erklären Office365 für rechtswidrig“ durch die Lande ziehen. Damit werden zahlreiche Unternehmen, die Office365 im Einsatz haben, hochgradig verunsichert sein und sich fragen, ob ihnen nun bei jedwedem Einsatz ihrer Office365 Software ein Bußgeld der zuständigen Aufsichtsbehörde droht.

In Folge dessen werde ich diese Aussage der DSK hier nun einmal kurz einordnen:

Eine rechtshistorische Prüfung

Zunächst einmal ist festzuhalten, dass die geprüften Dokumente den „Stand Januar 2020“ aufweisen. Wer sich näher mit Microsoft Office365 Produkten in den letzten Jahren beschäftigt hat, der weiß, dass Microsoft seit Januar 2020 nicht nur Änderungen in den Verträgen, sondern vor allem auch umfängliche und erhebliche Änderungen in der Dokumentation vorgenommen hat. Das heißt, ob die OST und das DPA aus 2020 einen datenschutzgerechten Einsatz ermöglichen oder nicht, ist nur noch aus rechtshistorischer Sicht interessant.


Exkurs Dokumentation: Warum verweise ich hier auf die maßgeblichen Änderungen in der Dokumentation, wenn es doch um die OST und das DPA geht? Die Dokumentation der Software einschließlich der dort vorfindlichen Beschreibungen zu Funktionen wie Datenverarbeitungen der verschiedenen Applikationen ist durchaus wesentlich für die Bewertung der Verträge. Wie bei hochkomplexen Produkten üblich, sind die Verträge recht abstrakt gestaltet. In der Zusammenschau mit der jeweiligen Dokumentation können diese abstrakt gehaltenen vertraglichen Regelungen jedoch im Hinblick auf die jeweiligen Applikationen konkretisiert werden. Und während die Dokumentationen bis ins Jahr 2019 und in Teilen auch noch bis Anfang 2020 nahezu nichts sagend waren, lassen sich nun mehr tatsächlich detailliert sämtliche Funktionen und Datenverarbeitungen nachlesen. (Obacht! Nothings perfect. In Sachen Auffindbarkeit und damit Transparenz der Dokumentation kann MS immer noch hart nacharbeiten. Aber das scheint nach meinem Eindruck der letzten Monate auch stetig weiter der Fall zu sein.)


Es gibt kein Produkt „Office365“

Daneben ist es wirklich wichtig zu bemerken, dass es kein Produkt „Office365“ gibt, dass prüfbar wäre. Office365 ist ein Oberbegriff für eine ganze Produktgruppe. Und selbst dieser Oberbegriff ist inzwischen veraltet, weil es derzeit zwei Produktgruppen gibt, nämlich Office365 und Microsoft365. Innerhalb dieser beiden Produktgruppen gibt es zum einen zahlreiche Produkte bzw. Lizenzen – von Microsoft „Pläne“ genannt. (Business, E1, E3, E5 uvm.). Diese beiden Produktgruppen mit den jeweiligen Plänen gibt es dann noch branchenspezifisch angepasst. Für privat (Microsoft365 „zu Hause“), für Unternehmen, Behörden oder Bildungseinrichtungen. Und alle diese Pläne in den unterschiedlichen Produktgruppen werden in unterschiedlichen Grundkonfigurationen und mit unterschiedlichen Konfigurationsmöglichkeiten ausgeliefert.

Da lautet die Frage: Was ist denn hier überhaupt geprüft worden!? Ich weiß das bis heute nicht.

Nun kann man zu recht kritisieren, dass die unterschiedlichen Pläne und Produktgruppen auch im Hinblick auf den Datenschutz und die Datensicherheit (derzeit) mit unterschiedlich guten Grundkonfigurationen und Einstellungsmöglichkeiten ausgeliefert werden. Und ja, natürlich müssten alle Produkte schlicht schon in den Default-Einstellungen DSGVO-konform sein. Geschenkt.

Wenn die Behörden sich aber zu der Aussage hinreißen lassen, dass „kein datenschutzgerechter Einsatz von Microsoft Office 365 möglich ist“, dann muss mindestens die Frage erlaubt sein, was genau denn da bitte geprüft wurde. Denn auch für die Prüfung „nur“ der Verträge und damit der datenschutzrechtlichen Seite des Ganzen, ist auch ein Blick auf die zu prüfende Software notwendig (oder ich hab meinen Job bisher nicht so richtig verstanden. Who knows.).

We only agree to disagree – Die Behörden sind sich eben nicht einig

Diese Bewertung wurde von der DSK „mehrheitlich zustimmend zur Kenntnis genommen„. Wie oben schon geschrieben steht, ist dies eine interessante Formulierung, die schon erahnen lässt, dass die Sach- und Rechtslage im Hinblick auf die Beurteilung wohl so eindeutig nicht ist.

Die Entscheidung der DSK erging äußert knapp. Nämlich 9:8. Das heißt, neun Aufsichtsbehörden stimmten der Wertung zu. Acht Aufsichtsbehörden konnten und wollten dieser Wertung nicht uneingeschränkt zustimmen.

Die Aufsichtsbehörden Baden-Württembergs, Bayerns, Hessens und des Saarlands stellten ausdrücklich klar, dass sie „die Bewertung des Arbeitskreises Verwaltung vom 15. Juli 2020 zwar als relevante Arbeitsgrundlage, aber noch nicht als entscheidungsreif angesehen“ haben. Eben diese Behörden brachten heute auch eine eigene Pressemitteilung heraus, in der sie das Vorstehende noch einmal betonten. Sie kritsierten unter anderem, dass eben Microsoft die Vertragsbedingungen zwischenzeitlich bereits zwei Mal überarbeitet hat und dass bisher keine förmliche Anhörung Microsoft zu den Bewertungen des Arbeitskreises erfolgt ist.

Einig sind sich die Behörden augenscheinlich (nur) dahingehend, dass Microsoft seine Produkte noch nicht zur Perfektion gebracht hat. (Okay, okay, das war nur spitz ausgedrückt.)

Und nun? – Eine weitere Arbeitsgruppe nimmt die Arbeit auf

Was sicher im Rahmen der Aufregung untergehen oder jedenfalls nicht hinreichend Beachtung finden wird, ist das die DSK einstimmig dafür votiert hat, einen neue Arbeitsgruppe unter der Führung der Aufsichtsbehörden Brandenburgs und Bayerns einzusetzen, die zeitnah mit Microft Gespräche aufnehmen soll.

Fazit

Auf Basis veralteter Vertragsdokumente und eines unklaren Prüfungsfokus ist der Arbeitskreis der DSK zu der Wertung gelangt, dass kein datenschutzgerechter Einsatz von Microsoft Office 365 möglich ist. Dass einer solchen auf dieser Basis vorgenommenen Wertung gerade einmal neun von 17 Aufsichtsbehörden zugestimmt haben, finde ich jetzt nicht erstaunlich. Mich erstaunt viel eher, dass einer solchen pauschalen Wertung auf dieser Basis überhaupt eine Aufsichtsbehörde zugestimmt hat. (Zur Frage, ob Behörden „Produktwarnungen“ aussprechen dürfen und wenn ja, in welchen Umfang, haben wir uns schon hier auseinandergesetzt.)

Und nach all dem ist nun hoffentlich klar, dass der Einsatz von Office365 oder Microsoft365 eben nicht seit heute klar datenschutzwidrig ist.

Ebenso klar dürfte aber hoffentlich auch sein, dass man sich als Unternehmen leider (noch?) nicht darauf verlassen kann, dass die Produkte und Pläne von 365 einfach ohne jedwede Konfiguration der Grundeinstellungen oder jedenfalls die Nachprüfung dieser Konfiguration datenschutzkonform genutzt werden kann. [Sidenote: Obwohl ich letztens bei der Prüfung eines Microsoft365 Plan beinahe Bauklötze gestaunt habe, was alles per Default aus ist. Ich vermutete fast, ich sei gar nicht in einem MS-Admin-Center. ;)] Vielmehr muss ich mir als Unternehmen genau überlegen, welche Produkte und Pläne in welcher Konfiguration einen datenschutzkonformen Einsatz ermöglichen (könnten).

In diesem Sinne,

Augen auf bei dem Einsatz Ihrer Office-Software – gleich von welchem Hersteller.

 

PS: Nein, leider werde ich immer noch nicht von Microsoft für Äußerungen dieser Art bezahlt. Damn!

1 2 3 4 5 33

Diercks Digital Recht

 

Nina Diercks (M.Litt, University of Aberdeen) arbeitet seit 2010 als Rechtsanwältin. Sie führt die Anwaltskanzlei Diercks in Hamburg. Die Anwältin berät und vertritt Unternehmen bundesweit, ist jedoch ausschließlich im IT-| Medien-| Datenschutz und Arbeitsrecht tätig. Daneben steht die Nina Diercks gern und oft als Referentin auf der Bühne sowie als Interviewpartnerin und Gastautorin zur Verfügung. Dazu hat sie im Jahr 2010 diesen Blog (früher: Social Media Recht Blog) ins Leben gerufen. Mehr

Anmeldung zum Blog-Newsletter

Twitter

Wenn Sie ausschließlich an juristischen Informationen zum IT-| Medien-| Datenschutz-| und Arbeitsrecht interessiert sind, dann folgen Sie dem Kanzlei-Account @kanzleidiercks.

Sehr gerne können Sie auch meinem persönlichen Account unter @RAinDiercks folgen. Hier finden Sie neben dem Recht persönliche Meinung zu den Themen Politik, HR und Vereinbarkeit. Und dann oder wann den einen oder anderen Nonsense.

Social

Follow me on: