System im Einsatz

Microsoft 365 datenschutzkonform betreiben

Ob Microsoft 365 eingesetzt werden darf, ist in den meisten Unternehmen längst entschieden. Über die Zulässigkeit entscheidet danach die Konfiguration, insbesondere die Auswertbarkeit von Protokollen, die Aufbewahrung und der Kreis derer, die im Betrieb zugreifen dürfen.

Vier Jahre auf den Voreinstellungen des Anbieters

Die Umgebung läuft seit vier Jahren. Die Aufbewahrungsrichtlinien stehen auf den Voreinstellungen des Anbieters, das Protokoll der Anmeldungen reicht Monate zurück. Der Zugriff auf die Auswertungen liegt bei allen Administratoren. Eine Betriebsvereinbarung gibt es, sie stammt aus dem Jahr der Einführung.

Über die Zulässigkeit entscheidet die Konfiguration

Welche Einstellungen über die Zulässigkeit entscheiden, ist die Frage, die auf die Grundsatzfrage folgt. In der Praxis wird sie selten gestellt. Dieselbe Umgebung lässt sich so einrichten, dass sie den Grundsätzen des Art. 5 Abs. 1 DSGVO entspricht, ebenso aber so, dass sie es nicht tut.

Vier Stellschrauben, an denen die Prüfung ansetzt

Umfang der Protokollierung

Welche Vorgänge aufgezeichnet werden und wie lange die Aufzeichnung abrufbar bleibt. Beides ist einstellbar. Beides bestimmt, welche Auswertungen überhaupt möglich sind.

Aufbewahrung und Löschung

Aufbewahrungsrichtlinien für Postfächer, Dateiablagen und Zusammenarbeitsräume. Ohne eine eigene Festlegung gilt die Voreinstellung des Anbieters. Diese folgt nicht den Fristen des eigenen Löschkonzepts.

Wer im Betrieb zugreifen darf

Die Trennung von Betrieb und Auswertung. Wer ein System betreibt, braucht keinen Zugriff auf die Inhalte. Wer eine Auswertung veranlassen darf, ist eine Frage der Organisation und nicht der Rolle im Verzeichnisdienst.

Suche über Postfächer und Ablagen hinweg

Die Funktionen zur systemweiten Suche und zur Sicherung von Inhalten für rechtliche Zwecke. Sie sind für ihren Zweck notwendig und zugleich das stärkste Mittel zur Verhaltenskontrolle, das die Umgebung bereithält.

Art. 25 Abs. 2 DSGVO verlangt datenschutzfreundliche Voreinstellungen und nennt dafür ausdrücklich die Menge der Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit. Das sind dieselben vier Stellschrauben.

Protokolle sind Beschäftigtendaten, sobald sie auswertbar sind

Wann aus Protokollierung eine Leistungs- und Verhaltenskontrolle wird, hängt nicht an der Absicht. Das BAG stellt für § 87 Abs. 1 Nr. 6 BetrVG auf die objektive Eignung ab. Eine Umgebung, die Anmeldungen, Zugriffe und Aktivitäten je Person aufzeichnet, ist dazu geeignet.

Zwei Zwecke, dieselben Daten

Betrieb und Sicherheit	Merkmal	Verhaltens- und Leistungskontrolle
Vom Vorfall zur PersonEin Alarm oder eine Störung ist der Anlass. Die Auswertung folgt ihm.	Auswertungsrichtung	Von der Person zum BefundEine Person wird ausgewertet, ohne dass ein Anlass vorlag.
§ 26 Abs. 1 BDSG oder Art. 6 Abs. 1 Buchst. f DSGVOErforderlichkeit für den Betrieb, dokumentierte Abwägung.	Rechtsgrundlage	Enger Ausnahmefall§ 26 Abs. 1 Satz 2 BDSG verlangt für die Aufdeckung von Straftaten zu dokumentierende tatsächliche Anhaltspunkte.
Nach dem Zweck bemessenStörungsanalyse in Tagen, Sicherheitsvorfälle länger.	Aufbewahrung	Kein eigener ZweckEine Vorratshaltung für den Fall der Fälle rechtfertigt keine Frist.
Mitbestimmung dennochDie objektive Eignung genügt, auf die Absicht kommt es nicht an.	Beteiligung	Regelung erforderlichOhne Vereinbarung fehlt sowohl die Ausübung der Mitbestimmung als auch der Rahmen für den Einzelfall.

Die erste Zeile ist die praktische Trennlinie. Eine Auswertung, die bei einem Vorfall beginnt, bleibt beim Betrieb. Eine, die bei einer Person beginnt, ist Verhaltenskontrolle und braucht ihre eigene Grundlage.

Der Speicherort beantwortet die Übermittlungsfrage nicht

Wo trotz einer Speicherung in der Union ein Drittlandbezug bleibt, entscheidet sich an Art. 44 DSGVO. Die Vorschrift erfasst jede Übermittlung. Ein Zugriff aus einem Drittland ist eine Übermittlung, auch wenn keine Datei kopiert wird.

Vier Fragen an den Betrieb, unabhängig vom Speicherort

Aus welchen Ländern greift der Support zu und in welchen Fällen
Welche Unterauftragsverarbeiter stehen in der Liste des Anbieters und wo sitzen sie
Welche Störungs- und Nutzungsdaten verlassen die Umgebung zur Auswertung durch den Anbieter
Für welche dieser Übermittlungen greift ein Angemessenheitsbeschluss und für welche eine Garantie nach Art. 46 DSGVO

Wo eine Garantie nach Art. 46 DSGVO gebraucht wird, tritt die Beurteilung nach Klausel 14 der Standardvertragsklauseln hinzu. Die Liste der Unterauftragsverarbeiter ist dafür die Grundlage und nicht der Sitz des Vertragspartners.

So unterstützen wir Sie beim Betrieb von Microsoft 365

Die Arbeit beginnt nicht beim Vertrag, sondern bei einer Aufnahme des Ist-Zustands. Welche Protokolle laufen, wie lange sie bleiben, wer sie auswerten darf und welche Aufbewahrungsrichtlinien gesetzt sind. Daraus ergibt sich, was im Verzeichnis der Verarbeitungstätigkeiten fehlt und welche Einstellungen zu ändern sind.

Die arbeitsrechtliche Seite liegt außerhalb des Datenschutzrechts. Die Verhandlung einer Vereinbarung, das Verfahren vor der Einigungsstelle und die Verwertbarkeit von Auswertungen im Kündigungsschutzverfahren laufen über die angegliederte Kanzlei.

Häufige Fragen

Ist der Einsatz von Microsoft 365 zulässig?

Die Frage ist zu unbestimmt für eine Antwort. Zulässig oder unzulässig ist eine Verarbeitung. Dieselbe Umgebung lässt sich so einrichten, dass sie den Grundsätzen des Art. 5 DSGVO entspricht, ebenso aber so, dass sie es nicht tut. Die Prüfung setzt deshalb an den Einstellungen an.

Braucht es eine Betriebsvereinbarung?

Die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG greift, weil die Umgebung objektiv geeignet ist, Verhalten und Leistung zu erfassen. Eine Vereinbarung ist der übliche Weg, sie auszuüben. Zugleich kann sie Rechtsgrundlage sein, wenn sie den Anforderungen des Art. 88 Abs. 2 DSGVO genügt.

Löst eine Speicherung in der Union den Drittlandbezug auf?

Nur für die Speicherung. Art. 44 DSGVO erfasst jede Übermittlung. Ein Zugriff aus einem Drittland ist eine Übermittlung, auch ohne Kopie. Zu prüfen sind deshalb Support, Fernwartung, Störungsanalyse und die Liste der Unterauftragsverarbeiter.

Wie lange dürfen Protokolle vorgehalten werden?

So lange, wie es für den festgelegten Zweck erforderlich ist, Art. 5 Abs. 1 Buchst. e DSGVO. Der Zweck ist zuerst zu bestimmen. Ein Protokoll zur Störungsanalyse braucht Tage, eines zur Aufklärung von Sicherheitsvorfällen länger. Beide Zwecke rechtfertigen keine Auswertung nach Personen.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.