Compliance-Analyse und Handlungsempfehlungen Wie Unternehmen Microsoft 365 datenschutzkonform nutzen können

Anbieter zum Thema

PRW Rechtsanwälte

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Wir erinnern uns: DSGVO und US-Cloud-Dienste – zwei wie Feuer und Wasser. Unvereinbar mit den Anforderungen des Datenschutzes erschien bisher der Einsatz von Microsoft-Services in Unternehmen und Organisationen. So stellte es die Datenschutzkonferenz (DSK) im vergangenen November fest.

Folgt man der DSK, wäre beispielsweise die Nutzung von Microsoft Teams – während der Corona-Pandemie das erste Mittel für die Zusammenarbeit von Mitarbeitenden im Homeoffice oder für das Homeschooling – ein No-go. Also Hände weg von Microsoft, sobald personenbezogene Daten im Spiel sind?

Aber wir können doch nicht mehr ohne!

Moment, sagen jetzt einige: Fast alle US-Cloud-Anbieter bieten doch inzwischen ihre Services aus abgeschotteten Rechenzentren in Europa an. So wird doch dafür gesorgt, dass kein Datenaustausch mit Rechenzentren in den USA stattfindet. Und seit Kurzem gilt ja auch der Angemessenheitsbeschluss der EU-Kommission („Data Privacy Framework“). Die Rechtssicherheit für den Transfer personenbezogener Daten in die USA sollte damit ja wieder hergestellt sein.

Die Hauptgeschäftsführerin der Industrie- und Handelskammer Erfurt, Cornelia Haase-Lerch, äußerte sich mit Blick auf die DSK-Einschätzung besorgt: „Die Produkte von Microsoft 365 sind für die Unternehmen unverzichtbar.“ Das Dilemma ist groß, die Verunsicherung bei Unternehmen und insbesondere Behörden noch größer, wie Rechtsanwalt Wilfried Reiners bei einer Veranstaltung Anfang Juni erneut feststellen musste. Für ihn stellte sich die Frage schon 2021, wie es möglich ist, die Microsoft-Welt in Einklang zu bringen mit der deutschen Unternehmensrealität und diese vereinbar zu machen mit den gültigen Daten- und Arbeitsschutzgesetzen?

Denn selbst das Data Privacy Framework, kommentiert Reiners, sei „kein genereller Freischein für die Übertragung personenbezogener Daten in die USA“, da es sich nur um ein politisches Instrument handele. „Anders als von der Europäischen Kommission behauptet, ändert sich am US-Recht insgesamt zu wenig“, kritisiert Reiners und warnt: „Ohne weitere Schutzmaßnahmen oder in risikobehafteten Bereichen ohne das Instrument der Datenschutzfolgeabschätzung (DSFA) gem. Art. 35 DSGVO bleibt die Übertragung personenbezogener Daten in die USA trotzdem bedenklich.“

Datenschutz, IT-Sicherheit und Mitbestimmung

Für Rechtsanwalt Reiners fehlte eine Lösung am Markt, die sowohl rechtliche als auch technische Aspekte berücksichtigt und flexibel auf sich ändernde Gegebenheiten reagieren kann. Zudem sollten Geschäftsleitungen, Organisationsleitungen, Datenschutzbeauftragte und Betriebsräte eine Entscheidungsgrundlage an die Hand bekommen, ob sie für sich oder ihre Organisation ein Risiko in einer ungeprüften Anwendung von Microsoft 365 sehen.

Hintergrund: Zum einen haften die Vorstände einer AG und die Geschäftsführer einer GmbH oder die gesetzlichen Vertreter für aus Fahrlässigkeit aufgetretene IT-Gefährdungslagen und für den hieraus entstehenden Schaden. Zum anderen unterliegt die Einführung von MS 365 dem Mitbestimmungsrecht des Betriebsrats (bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen – § 87 Abs. 1 Nr. 6 BetrVG), so ein Urteil des LAG Köln (Entscheidung vom 21.05.2021).

Sichere Lösung für die Nutzung von MS-365-Produkten

Zusammen mit IT-Experten hat Reiners mit seinem Unternehmen PRW Legal Tech GmbH (Mitglied der PRW Group) die Software „PRW Compliance Set: M365“ entwickelt, um Microsoft 365 „garantiert rechtskonform administrierbar“ zu machen. Die Software analysiert bestehende MS-365-Umgebungen von Anwenderunternehmen hinsichtlich des Datenschutzes und der Informationssicherheit. Die Verbindung von technischem Fachwissen mit der Expertise vor allem auf Datenschutz und Compliance spezialisierter Rechtsanwälte hält Reiners für wichtig, sogar unabdingbar: „Nur wenn die spezifischen technischen Grundlagen sauber herausgearbeitet sind, ist auch eine exakte rechtliche Bewertung möglich.“

„PRW Compliance Set: M365“ geht über die reine Betrachtung des Datenschutzes hinaus und analysiert auch die Informationssicherheit. Auf Basis dieser Analyse können Unternehmen ihre bestehende Systemlandschaft optimieren. Die technische Untersuchung umfasst nicht nur die Darstellung der tatsächlich genutzten MS-365-Umgebung, sondern liefert auch präzise Handlungsempfehlungen in den genannten Bereichen. Die Software kann außerdem die tatsächlichen Daten-Speicherorte genau abbilden. Das ist im Hinblick auf die rechtliche Beurteilung der bereits erwähnten Problematik, nämlich der Datenübertragung von personenbezogenen Daten in Drittländer, von essenzieller Bedeutung.

Auf Grundlage der technischen Analyse erfolgt die rechtliche Bewertung. Das Gutachten ordnet die spezifischen Umstände gemäß den aktuellen gesetzlichen und politischen Vorgaben ein. Um mit der raschen Veränderung in technischen, rechtlichen und politischen Aspekten Schritt zu halten, werden Unternehmen kontinuierliche Modelle angeboten. Dabei werden regelmäßig die Systeme und rechtlichen Bedingungen geprüft und passende Handlungsempfehlungen abgegeben.

Nachweis, dass Datenschutzanforderungen erfüllt werden

„Wir unterstützen Datenschutzbeauftragte in Unternehmen, indem wir gleich sagen können: Das geht oder das geht nicht“, sagt Reiners. „Zusammen mit Betriebsrat und IT-Verantwortlichen können sie sich dann für die Umsetzung der Anforderungen entscheiden oder ein Bußgeldrisiko mit Untersagung der Anwendung in Kauf nehmen.“ Die Erfahrung zeige, so Reiners, dass sich die meisten empfohlenen Maßnahmen bereits durch kleine Eingriffe in den Powershell-Code regeln ließen. An dieser Stelle hebt Reiners stolz das besondere Privileg seiner Lösung hervor: Mit dem PRW Compliance Set: M365 könnten Änderungen an den Programmen vorgenommen werden, die Anwendungen in unserem Rechtsraum compliant machen.

Bei den 400 Microsoft-Diensten in MS 365, so Reiners, ließen sich die meisten rechtlichen Probleme einfach lösen – z.B. durch Änderungen mit Powershells. „Unser Service unterstützt die Datenschutzbeauftragten, ersetzt sie aber keinesfalls“, erklärt Reiners. „Wir können aber aufzeigen, wie MS-365-Anwendungen garantiert rechtskonform administrierbar sind, ohne dass relevante Funktionalitäten verloren gehen. Hier haben wir derzeit eine Alleinstellung im Markt.“

(ID:49631145)