Mobile-Menu

Vom Gejagten zum Jäger? Microsoft und der Datenschutz: „Always One Step Ahead!“

Ein Gastkommentar von RA Wilfried Reiners 2 min Lesedauer

Anbieter zum Thema

PRW Rechtsanwälte
Fsas Technologies GmbH
Insider Research
Cloudgermany.de GmbH

Es ist hinreichend bekannt, dass sich Microsoft und die Datenschutzaufsichtsbehörden in Deutschland nicht immer einig sind, wenn es um die Lesart des Datenschutzes geht. Der Softwarekonzern reagiert mit Nachbesserungen. Doch haben das die Kritiker auch gemerkt?

Kritik und datenschutzrechtliche Bedenken der Aufsichtsbehörden und Datenschutzkonferenz gegenüber Microsoft hinken den aktuellen DPAs des Softwarekonzerns hinterher. Wer treibt jetzt wen?(Bild: Levin - stock.adobe.com)
Kritik und datenschutzrechtliche Bedenken der Aufsichtsbehörden und Datenschutzkonferenz gegenüber Microsoft hinken den aktuellen DPAs des Softwarekonzerns hinterher. Wer treibt jetzt wen?
(Bild: Levin - stock.adobe.com)

Betrachtet man das Handeln der unterschiedlichen Akteure in zeitlicher Reihenfolge, war es früher so, dass Microsoft von den Aufsichtsbehörden oder der Datenschutzkonferenz (DSK) als Getriebener angesehen werden konnte.

Hat sich dieses Bild inzwischen umgekehrt?

Wichtigstes Dokument, um das es im Wesentlichen geht, ist das Data Protection Addendum (kurz: DPA). Dieses Dokument stellt den sogenannte Auftragsverarbeitungsvertrag – AVV – (Art. 28 DSGVO – Datenschutz-Grundverordnung) zwischen Microsoft und seinen Anwenderkunden dar. Es wird in unterschiedlichen Zeitabständen angepasst.

Dies ist deshalb notwendig, weil sich Technologien und Rechtsthemen auch weiterentwickeln. Letztlich ist die Weiterentwicklung aber auch dem geschuldet, dass Microsoft auf Statements der Aufsichtsbehörden reagiert und sich an seine Zusage zur Umsetzung der EU Data Boundary gebunden fühlt.

Die letzte umfassenden Debatte zum DPA fand ab dem 15.09.2022 statt. Die Aufsichtsbehörden monierten sehr scharf, dass Verantwortliche auf Basis des DPA in der Fassung vom 15. September 2022 nicht nachweisen könnten, dass sie Microsoft 365 (M365) datenschutzkonform einsetzen. Hierzu gab es zahlreiche Kritik von namhaften Expertinnen und Experten.

In der Folge erschienen neue DPA: zum 01.01.2023 und zum 15.11.2023.

Im Protokoll der 3. Zwischenkonferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 27. September 2023 heißt es unter „TOP 07 – Microsoft EU Data Boundary“:

„Bayern (LDA) führt aus, dass eine Überprüfung des EU Data Boundary und das damit verbundene DPA 01/23 erfolgt sei. Im Ergebnis ändere sich die Bewertung der Vereinbarung zur Auftragsverarbeitung für Microsoft 365 vom 02. November 2022 (DPA 9/22) dadurch nicht. Eine Abstimmung in der AG stehe noch aus. Die Vorsitzende kündigt an, dass der Bericht der Arbeitsgruppe im schriftlichen Umlaufverfahren abgestimmt und anschließend veröffentlicht werden soll.“

Zum 02.01.2024 erschien die derzeit aktuelle Version des DPA. Microsoft hat in den letzten Ausgaben mehr Transparenz und Klarheit im Datenschutz geschaffen. Schade, dass unsere Aufsichtsbehörden zwei (!) Versionen des DPA noch nicht betrachtet haben, sich mit ihrer Kritik aber aktuell einbringen.

Wer so heftige Kritik an dem Datenschutz im Hinblick auf M365 geübt hat, von dem darf erwartet werden, dass sich die zuständigen Behörden mit ihrem Wissen stets auf dem aktuellen Stand befinden. Dies ist wichtig, um sicherzustellen, dass Entscheidungen und Handlungen auf der Grundlage der neuesten verfügbaren Informationen getroffen werden. Dies gilt insbesondere in den Bereichen Datenschutz und neue Technologien, in denen sich die relevanten Umstände schnell ändern können.

(ID:49863212)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte