Datenschutz: 2 Lösungen, um Microsoft 365 DSGVO-konform zu nutzen (Verschlüsselung/datensparsame Konfiguration)

1. Was will die europäische Datenschutzgrundverordnung (DSGVO) überhaupt?

Seit dem 25. Mai 2018 gilt die neue europäische Datenschutzgrundverordnung (DSGVO) in allen EU-Mitgliedstaaten – und damit auch für alle hierzulande verwendeten Microsoft und Office 365 Produkte wie Exchange, Teams, Outlook, Word, Excel, PowerPoint, SharePoint, OneDrive, OneNote & Co. Die DSGVO hat dabei die über 20 Jahre alte EU-Richtlinie 95/46/EG aus dem Jahr 1995 ersetzt. Das Ziel war, die Datenschutzregeln im europäischen Binnenmarkt zu vereinheitlichen, an das digitale Zeitalter anzupassen und zugleich auch zu stärken. Dabei sollte eine austarierte Balance zwischen den beiden Polen „Datenschutz“ und „freier Datenverkehr“ erreicht werden.

• Wichtig: Das „Marktortprinzip“ der DSGVO stellt sicher, dass das EU-Datenschutzrecht für alle in der EU tätigen Organisationen gilt – auch für alle außereuropäischen Unternehmen, wenn diese ihre Waren oder Dienstleistungen im EU-Binnenmarkt anbieten.
• Die DSGVO gilt auch dann, wenn die Datenverarbeitung außerhalb Europas stattfindet, sich das Angebot aber an Personen in der EU richtet. Wie zum Beispiel konkret bei den Cloud-gestützten Microsoft/Office 365 Diensten, die Teile der Datenverarbeitung in US-amerikanische Rechenzentren auslager(te)n.
• Für global agierende IT-Unternehmen außerhalb Europas erforderte die DSGVO zum Teil ein massives Umdenken. In den USA gibt es nämlich so gut wie keinen Datenschutz, aber dafür einen ultrafreien Datenverkehr. Das heißt, dass im Unterschied zur Europäischen Union, das Erfassen, Zusammenführen und unbegrenzte Aufbewahren sämtlicher personenbezogener Daten grundsätzlich erlaubt ist. Lediglich Finanzdaten und Gesundheitsdaten sind aus Antidiskriminierungsgründen davon ausgenommen. Von einem Datenschutz wie in der DSGVO also kaum eine Spur.
• Dementsprechend kritisierten auch die US-Branchenriesen bei der Entstehung der europäischen DSGVO zahlreiche ihrer Meinung nach zu weit gehende Datenschutzbestimmungen. Namentlich vor allem zwei zentrale Kernelemente: (1.) Die Speicherbegrenzung und das Recht einer Person auf Löschung sämtlicher ihrer personenbezogenen Daten (das „Recht auf Vergessen“) sowie (2.) die Pflicht zum Einholen einer Einverständniserklärung von jedem einzelnen Nutzenden vor und für das Sammeln personenbezogener Daten.
• Gegen das neue EU-Datenschutzgesetz hatten die US-Regierung und US-Konzerne jahrelang erfolglos lobbyiert – und dadurch zunächst eine rechtzeitige Umstellung und Anpassung ihrer Services in Europa ausgesetzt (verweigert).
• Die Folge war, dass sich die Microsoft 365-Softwaresuite in den ersten Monaten nach Inkrafttreten der DSGVO nicht DSGVO-konform nutzen ließ. Nach mehrmaligem Nachbessern seitens Microsoft ist ein DSGVO-konformer Einsatz nun aber offenbar möglich. Allerdings nur mit zusätzlichen Schutzmaßnahmen und noch nicht in der Standardkonfiguration. Hier muss Microsoft immer noch nachbessern.

2. Wieso hat Microsoft Office 365 überhaupt Probleme mit der DSGVO-Konformität?

Der Grund ist, dass Microsoft & Co in einen „Kampf der Kulturen“ geraten sind. Oder genauer formuliert: Sie sind in die für sie zunächst unlösbare Datenschutz-Zwickmühle zwischen europäischer DSGVO und dem US-Cloud-Act geraten.

• Denn nur zwei Monate bevor die europäische DSGVO in Kraft trat, hatten die USA im März 2018 das neue „CLOUD Act“ Gesetz unterzeichnet.
• Dieses ergänzt im Grunde den seit den Anschlägen 2001 geltenden Patriot Act und verpflichtet IT- und Internetunternehmen aus den USA (darunter Microsoft), den US-Behörden auch dann Zugriff auf die von ihnen gespeicherte Daten zu gewähren, selbst wenn deren Speicherung außerhalb der USA erfolgt – und auch dann, wenn die Gesetzeslage am Speicherort eine Herausgabe der Daten eigentlich verbietet. Also auch auf Server und Rechenzentren in Deutschland.
• Die DSGVO lässt das jedoch so pauschal nicht zu und sieht eine Datenübermittlung an ein EU-Ausland nur im Falle eines Rechtshilfeabkommens im Zuge juristischer Ermittlungen vor.
• Dieser Widerspruch ist zwar nach wie vor ungelöst, lässt sich jedoch mittlerweile von Europa aus DSGVO-konform lösen – entweder durch Datensparsamkeit (zulasten einiger spezifischer Funktionalitäten der Software-Suite) oder mittels eines zusätzlichen Verschlüsselungs-Gateways, so dass selbst Microsoft und die US-Behörden die abgegriffenen Daten nicht mehr lesen können.

3. Die DSGVO-Vorschriften im Überblick: Technische Maßnahmen, Erlaubnistatbestände und Grundregeln für die Datenverarbeitung

Eine zentrale Forderung der DSGVO für die Gewährleistung des Datenschutzes bei der Verarbeitung personenbezogener Daten lautet, dass der Datenverarbeiter „geeignete technische und organisatorische Maßnahmen“ dafür ergreifen muss (Art. 25 Absatz 1). Das bedeutet konkret:

• Ein „privacy by design“, um mit geeigneter Hardware, Software und Funktionstrennung den Datenschutz physisch gewährleisten zu können.
• Sowie andererseits „privacy by default“, um durch datenschutzfreundliche Voreinstellungen typische Benutzerfehler bei der Anwendung und Verarbeitung zu vermeiden (zum Beispiel aus einfacher Unkenntnis der jeweiligen Mitarbeiter).
• Jenseits dieser technischen und organisatorischen Maßnahmen werden zudem auch explizit einer von sechs „Erlaubnistatbeständen“ (z. B. eine Einwilligung) sowie die Einhaltung folgender sechs Grundregeln bei der Datenverarbeitung gefordert.

3.1. Die sechs Erlaubnistatbestände für ein DSGVO-konformes Datensammeln

Die Datenschutz-Grundverordnung der EU bestimmt, dass die Verarbeitung personenbezogener Daten ausdrücklich nur mittels eines sogenannten „Erlaubnistatbestands“ zulässig ist und erfolgen darf (Art. 6). Demnach muss konkret eine der sechs folgenden Erlaubnistatbestände erfüllt werden:

1. Einwilligung durch die Person: Die betroffene Person hat ihre persönliche Einwilligung dafür gegeben (Zustimmung).
2. Vertraglich erforderlich: Die Datenverarbeitung ist im Rahmen der Erfüllung eines Vertrags erforderlich.
3. Rechtlich erforderlich: Die Datenverarbeitung wird für die Erfüllung gesetzlicher bzw. rechtlicher Verpflichtungen benötigt.
4. Schutz des Lebens: Der Schutz lebenswichtiger Interessen macht die Datenverarbeitung erforderlich (zum Beispiel im medizinischen Umfeld).
5. Öffentliches Interesse: Die Datenverarbeitung erfolgt im Rahmen einer Aufgabe, die im öffentlichen Interesse liegt.
6. Wahrung berechtigter Interessen: Die Verarbeitung der personenbezogenen Daten dient der Wahrung berechtigter Interessen, entweder des Verantwortlichen oder einer dritten Person – dann ist jedoch eine Interessensabwägung erforderlich.

3.2. Die sechs Datenschutz-Grundregeln der DSGVO für die Datenverarbeitung

1. Rechtmäßigkeit und Transparenz: Die Verarbeitung muss rechtmäßig sein (also ein Erlaubnistatbestand vorliegen) sowie transparent und Schritt für Schritt nachvollziehbar sein. Das Transparenzgebot betrifft den Grund der Datenverarbeitung, das beabsichtigte Ziel, den Zeitpunkt etc.
2. Zweckbindung: Die Verarbeitung darf nur für „festgelegte, eindeutige und legitime Zwecke“ erfolgen. Das heißt, der Zweck muss also bereits vor der Erhebung feststehen und darf nicht nachträglich noch geändert oder willkürlich erweitert werden. Allgemeine Angaben reichen ebenfalls nicht aus. Dadurch soll ein wahlloses Datensammeln verhindert werden.
3. Datenminimierung: Die Erhebung, Verarbeitung und Speicherung personenbezogener Daten muss dem Zweck angemessen bleiben und muss auf das „notwendige Maß beschränkt“ werden (nach dem bisherigen Grundsatz der Datensparsamkeit).
4. Richtigkeit und Korrektur: Es müssen angemessene Maßnahmen getroffen werden, damit unrichtige personenbezogene Daten umgehend gelöscht beziehungsweise korrigiert werden können.
5. Speicherbegrenzung und Recht auf Vergessen: Die personenbezogenen Daten müssen „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es […] erforderlich ist“. Dies bedingt auch das „Recht auf Vergessenwerden“ (Art. 17), also das Löschen der Daten auf Anforderung, sowie automatisch auch dann, wenn diese Daten für den ursprünglichen Zweck nicht mehr benötigt werden.
6. Integrität und Vertraulichkeit: Der oder die Datensammelnde muss eine angemessene Sicherheit der relevanten Daten sicherstellen. Dies umfasst die Datensicherheit vor Verlust, Zerstörung oder Beschädigung sowie vor unbefugter beziehungsweise unrechtmäßiger Verarbeitung.

3.3. Warum ist der Schutz personenbezogener Daten für Unternehmen überhaupt so wichtig?

Bei Verstößen gegen den Datenschutz (Verstöße bei der Erhebung, Verarbeitung oder Speicherung personenbezogener Daten) drohen empfindliche Strafen, die durch die DSGVO noch einmal deutlich erhöht wurden. Sah das Bundesdatenschutzgesetz zuvor „lediglich“ maximale Strafen von 300.000 Euro vor, so können die Bußgelder seit der DSGVO nun 4 % des weltweiten Jahresumsatzes und bis zu 20 Millionen Euro betragen.

4. Wo werden die Daten von Microsoft 365 und Office 365 eigentlich gespeichert?

Microsoft speichert die Kundendaten seiner Microsoft/Office 365 Services in seinen rund um den Globus verteilten Rechenzentren, der nach Amazon (AWS) zweitgrößten Cloud-Infrastruktur der Welt. Dabei werden die Daten, laut Microsoft, möglichst in der jeweiligen geografischen Region der Nutzer abgespeichert, um damit die Anforderungen an Data Residency, Resilienz und den Datenschutz erfüllen zu können.

• Im August 2019 hat Microsoft zwei neue Cloud-Rechenzentren in Deutschland sowie auch in der Schweiz eröffnet (zusätzlich zu denen in Österreich, Finnland, Irland, den Niederlanden und den damals schon bestehenden zwei in Deutschland). Somit stehen in Deutschland nun vier Rechenzentren zur Verfügung, zwei in Frankfurt und jeweils eins in Magdeburg und Berlin.
• Seitdem können die personenbezogenen Kundendaten deutscher Microsoft-365-Nutzer an für sich wieder DSGVO-konform und redundant in Deutschland gespeichert und dennoch zugleich die Cloud-Dienste von Microsoft genutzt werden.
• Hintergrund: Die DSGVO-konforme Lösung „Microsoft Cloud Deutschland“ mit der Telekom als zwischengeschalteten neutralen und unabhängigen Datentreuhänder, der die Daten auch für Microsoft selbst unlesbar verschlüsselt hat, war nur zwischen 2015 und 2018 buchbar. Seit März 2018 hat die Telekom keine Neukunden mehr angenommen, sondern nur noch die Bestandskunden weiter betreut.
• Microsoft hat im Zuge der Inbetriebnahme seiner neuen Rechenzentren zugesichert, dass sobald ein Kunde Microsoft 365 mit einer deutschen Rechnungsadresse abonniert, dass dessen Daten automatisch redundant in Deutschland gespeichert und gehostet werden (ohne Zusatzkosten und mit dem gleichen Servicelevel). Tipp: Den genauen Speicherort für Ihre bestehenden Microsoft-365-Dienste können Nutzer mit Administratorenrechten im → Microsoft 365 Admin Center unter → Einstellungen → Organisationsprofil → Datenspeicherort einsehen.
• Die beiden „Haupt-Gretchenfragen“ bleiben jedoch trotz deutscher Rechenzentren: Ob nur die Kundendaten oder alle Daten von Microsoft 365 in deutschen Rechenzentren verarbeitet und gespeichert werden. Denn bei den „Kundendaten“ handelt es sich laut der Definition von Microsoft nur um alle Daten (Text-, Ton-, Video- und Bilddateien sowie Software), die während der Nutzung vom oder im Namen des Kunden bereitgestellt werden. Die problematischen Telemetrie- und Diagnosedaten sind von dieser Definition bislang jedoch noch ausgenommen, so dass hier weiterhin eine Speicherung in den USA erfolgen kann. Auch die zweite Kernfrage bleibt noch ungelöst, inwiefern Microsoft den US-Behörden wegen des Cloud-Acts Zugang gewähren muss. Und genau hier setzt die zusätzliche Schutzmaßnahme mittels eines Verschlüsselungs-Gateways an.

5. Chronologie der Ereignisse: Wie 2018 der Streit um ein DSGVO-konformes Microsoft 365 eskalierte …und seit 2019 schrittweise gelöst wird

Microsoft Office 365 ist die weltweit meistgenutzte Standardsoftware für die Büroarbeit. Sie wird nicht nur in Unternehmen jeglicher Größe, sondern auch vielfach in staatlichen Behörden, Verwaltungen und Regierungsorganisationen eingesetzt. So nutzen beispielsweise allein in der niederländischen Verwaltung rund 300.000 Arbeitsplätze Microsoft Office 365. Im November 2018 hatte dann auch eine Datenschutz-Folgenabschätzung (DSFA) im Auftrag der niederländischen Regierung den Stein ins Rollen gebracht. Diese DSFA hat ergeben, dass Microsoft-Anwendungen in Office 2016 und Microsoft 365 technische Telemetrie- und Diagnosedaten, darunter auch personenbezogene Daten, automatisch an eine Datenbank für Microsoft-Entwicklerteams senden, unter anderem an Rechenzentren in den USA.

• Microsoft hat daraufhin bestätigt, dass Office 365 zwischen 23.000 bis 25.000 verschiedene Ereignisarten automatisiert an mehrere Entwicklerteams sendet, wo die Daten analysiert, protokolliert und ausgewertet werden.
• Diese Daten dienen unter anderem dazu, technische Probleme zu identifizieren und zu beheben (z. B. Programmabstürze) sowie die Stabilität und Funktionalität der Programme zu verbessern – aber vor allem auch, jedem Nutzer individuelle, Cloud-gestützte und personalisierte Funktionen bereitstellen zu können (abhängig von dessen aufgezeichnetem Nutzerverhalten), zum Beispiel mittels der sogenannten „verbundenen Dienste“.
• Der niederländischen DSFA zufolge bereiteten dabei besonders die Nachschlagefunktion in der Rechtschreibprüfung, die Übersetzungsfunktion sowie das Sammeln des individuellen Nutzerverhalten in Word, Excel, PowerPoint und Outlook die größten Probleme. Denn dabei handelt es sich nicht nur um pseudonymisierte Diagnosedaten, sondern auch um personenbezogene Daten. Da dieses automatische Übermitteln anfangs noch nicht optional blockiert werden konnte, verstieß Microsoft Office 365 dieser DSFA zufolge also somit zunächst gegen die geltende DSGVO.

Per Schnellschuss zur DSGVO-Konformität: Microsoft 365 mit funktionalen Einschränkungen

Microsoft hat daraufhin zunächst in einem ersten Schritt im Laufe des Jahres 2019 die Datenschutzeinstellungen in Office 365 so geändert, dass europäische Kunden ihre Daten DSGVO-konform selbst kontrollieren können. Das galt jedoch anfangs nur für die Lizenz „Office 365 ProPlus“ ab der Versionsnummer 1905. Zudem führt das einfache Deaktivieren aller relevanten Datenübermittlungen zu einem Verlust bestimmter Funktionalitäten in den Microsoft 365-Anwendungen (wie zum Beispiel die integrierte Übersetzung oder die Vorschläge der „verbundenen Dienste“). Eine erneute Datenschutz-Folgenabschätzung im Auftrag der niederländischen Regierung bestätigte jedoch, dass diese aktualisierte Office-365-Version nun DSGVO-konform nutzbar ist (allerdings nur auf dem Desktop und noch nicht in „Office für das Web“ und auch noch nicht in den mobilen Apps, die beide große Teile der Rechenlast nicht auf dem Endgerät ausführen, sondern in ein Rechenzentrum auslagern).

• Mittlerweile haben alle Nutzer der lokal installierbaren Microsoft-365-Desktop-Dienste die Möglichkeit, die Telemetrie- und Diagnosedaten einzusehen und diese Datenübermittlung selektiv zu deaktivieren und damit zu blockieren. Eine wichtige Änderung, um die Desktop-Apps von Teams, Word, Excel, Outlook, PowerPoint & Co DSGVO-konform nutzen zu können (siehe unsere Anleitung unten).
• Microsoft hat zudem auch peu à peu DSGVO-konforme Anpassungen bezüglich der Zweckgebundenheit der Daten, dem Recht auf Korrektur und Löschen der Daten sowie der notwendigen Einverständniserklärung der Nutzer vorgenommen.
• Zum Jahreswechsel 2019/2020 hat Microsoft dann auch seine weltweit geltenden Online Service Terms („Cloud-Verträge“) für alle öffentlichen und Firmenkunden entsprechend geändert und sich dabei auch offiziell zur Rolle des Datenverantwortlichen bekannt.
• Im September 2020 hat die deutsche Datenschutzkonferenz (DSK) dann allerdings erneut ein negatives Urteil ausgesprochen, dass „derzeit kein datenschutzgerechter Einsatz von Microsoft Office 365 möglich ist“. Kern des Anstoßes waren vor allem Microsofts Online Service Terms (OST) und welche Daten Microsoft mit welcher Rechtsgrundlage zu welchen eigenen Zwecken verarbeitet (verarbeiten darf) – die Datenschutzbeauftragten aus Bayern, Baden-Württemberg, Hessen und dem Saarland haben diese negative Beurteilung jedoch explizit nicht geteilt.
• Microsofts Salamitaktik des scheibchenweisen Annäherns an die DSGVO hat sich dann auch 2021 und 2022 fortgesetzt, wie zum Beispiel im Juli 2021 die überfällige Anpassung an die Standardvertragsklauseln der EU-Kommission.

Datenschutzkonferenz Ende 2022: „Microsoft 365 ohne zusätzliche Schutzmaßnahmen weiterhin nicht DSGVO-konform nutzbar“

• Urteil: Die „Arbeitsgruppe Microsoft-Onlinedienste“ der deutschen Datenschutzkonferenz (DSK) hat dann im November 2022 mit knapper Mehrheit entschieden, dass die aktuelle Version von Microsoft 365 immer noch nicht den strengen Vorschriften der DSGVO erfülle.
• Begründung: Konkret ging es darum, welche personenbezogenen Daten Microsoft überhaupt alles mit welcher Berechtigung für seine eigenen Zwecke verwenden und verarbeiten darf. Dazu gesellten sich vier weitere Hauptprobleme: (1.) Die weiterhin bestehenden Zugriffsrechte der US-Behörden auf Daten europäischer Kunden, die in die USA übertragen wurden, sowie auch auf deutsche Server; (2.) wann Microsoft die Rolle eines Auftragsverarbeiters und wann eines Verantwortlichen einnimmt; (3.) was Microsoft genau unter „legitime Geschäftszwecke“ als Erlaubnistatbestand versteht und (4.) die Hintergrundübermittlung der Telemetrie-, Diagnose- und Meta-Daten in die USA.
• Zielgruppe: Im Fokus der DSK stand dabei explizit der Einsatz von Microsoft 365 im öffentlichen Bereich (besonders an Schulen und Behörden), da diese nicht auf die Erlaubnisnorm der DSGVO (Art. 6 Abs. 1) zurückgreifen können, die eine Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter auch zugunsten eines überwiegenden berechtigten Interesses zulässt. Die DSK hat daher explizit nur das derzeitige Angebot von Microsoft für deutsche Schulen und Behörden analysiert – und nicht die Business-Pläne für Unternehmen. Der Landesdatenschutzbeauftragte Thüringens, Lutz Hasse, hat dies bestätigt und angekündigt, nun mit Unternehmerverbänden sowie der Industrie- und Handelskammer über den Sachverhalt zu diskutieren.
• Stellungnahme: Microsoft hat dieser Einschätzung der DSK kurz darauf als „grundlegend falsch“ widersprochen. Die von dem Unternehmen in den letzten Jahren getroffenen Maßnahmen würden die europäischen Datenschutzgesetze nicht nur erfüllen, sondern sie sogar übertreffen. Zugleich hat Microsoft seine schon 2021 angekündigte „EU Data Boundary“ forciert. Am 1. Januar 2023 hat Microsoft dann eine entsprechend überarbeitete Version seines Auftragsverarbeitungsvertrages veröffentlicht. Der Passus „Microsoft Products and Services Data Protection Addendum“ (DPA) setzt die neue „EU-Datengrenze“ offiziell in Kraft. Diese ergänzt die bestehenden lokalen Speicher- und Verarbeitungsverpflichtungen, so dass der Datenfluss aus der EU in andere Länder weiter deutlich reduziert wird. Europäische Unternehmen könnten dadurch künftig, so Microsoft, alle Kundendaten in der Region verarbeiten und speichern.
• Ausblick: Die DSK hat daraufhin am 31. Januar 2023 beschlossen, sich für eine weitere Behandlung der Fragestellung des exterritorialen Zugriffs im Europäischen Datenschutzausschuss einzusetzen – eine Bewertung der neuen EU Data Boundary steht ebenfalls noch aus.
• Lösung: Das Thema bleibt also auch noch 2023 spannend. Wenn man jedoch eine der beiden folgenden Schutzmaßnahmen vornimmt, ist ein DSGVO-konformer Einsatz von Microsoft 365 auch jetzt schon möglich. Es empfiehlt sich jedoch, die individuellen Details in einer für Unternehmen obligatorischen Datenschutz-Folgeabschätzung klären zu lassen.