Stellungnahme zur datenschutzrechtlichen Bewertung von Microsoft 365 durch die DSK
Heute haben die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) Bedenken zu der Vereinbarkeit von Microsoft 365 (M365) mit den Datenschutzgesetzen in Deutschland und der EU geäußert.
Wir teilen die Position der DSK nicht. Wir stellen sicher, dass unsere M365-Produkte die strengen EU-Datenschutzgesetze nicht nur erfüllen, sondern oft sogar übertreffen. Unsere Kunden in Deutschland und in der gesamten EU können M365-Produkte weiterhin bedenkenlos und rechtssicher nutzen.
Die von der DSK geäußerten Bedenken berücksichtigen die von uns bereits vorgenommenen Änderungen nicht angemessen und beruhen auf mehreren Missverständnissen hinsichtlich der Funktionsweise unserer Dienste und der von uns bereits ergriffenen Maßnahmen. Wir sind auch der Meinung, dass der Bericht der DSK wichtige rechtliche Änderungen nicht berücksichtigt, die einen größeren Schutz der Privatsphäre für den Datenverkehr zwischen der EU und den USA bieten werden. Weitere ausführliche Informationen zu den Bedenken der DSK sind hier zu finden. Im Interesse größerer Transparenz würden wir begrüßen, wenn der vollständige Bericht mit den an die DSK von Microsoft übermittelten detaillierten Antworten und Kommentierungen, aber mit angemessenen Schwärzungen, veröffentlicht würde.
Während des gesamten Überprüfungsprozesses haben wir eng mit der DSK zusammengearbeitet und auf die vorgebrachten Bedenken mit mehreren weitreichenden Änderungen reagiert. Beispiele hierfür sind ein verbessertes Meldeverfahren für den Wechsel von Unterauftragsverarbeitern und weitere Klarstellungen in Bezug auf die Verarbeitung personenbezogener Daten durch Microsoft für durch die Bereitstellung der Dienste an Kunden veranlasste Geschäftstätigkeiten von Microsoft. Microsoft hat vollumfänglich mit der DSK kooperiert, und obwohl wir mit der Bewertung der DSK nicht einverstanden sind, möchten wir verbleibende Bedenken ausräumen.
Wir nehmen uns die Forderung der DSK nach mehr Transparenz zu Herzen. Während unsere Transparenzstandards schon jetzt die der meisten anderen Anbieter in unserem Sektor übertreffen, verpflichten wir uns, noch besser zu werden. Insbesondere werden wir im Rahmen unserer geplanten EU-Datengrenze im Sinne der Transparenz weitere Dokumentationen über die Datenströme unserer Kunden und die Zwecke der Verarbeitung bereitstellen. Wir werden auch mehr Transparenz über die Standorte und die Verarbeitung durch Unterauftragsverarbeiter und Microsoft Mitarbeiter außerhalb der EU schaffen.
Unsere Anstrengungen zum Schutz der Daten unserer Kunden sind marktführend. Wir bieten eine Vielzahl von Instrumenten und Lösungen an, die unseren globalen Kunden mehr Kontrolle über ihre Daten geben, zum Beispiel:
- Microsoft 365 Advanced Data Residency: Dieses Angebot richtet sich an Kunden, die eine genauere Kontrolle über den Speicherort ihrer M365-Daten wünschen und erweitert unsere Verpflichtungen zur Speicherung von Kundendaten im Ruhezustand.
- EU-Datengrenze: Diese Maßnahme ergänzt die bestehenden lokalen Speicher- und Verarbeitungsverpflichtungen und geht über das gesetzlich vorgeschriebene Maß hinaus. Sie wird den Datenfluss aus der EU in andere Länder erheblich reduzieren. So wird es dem öffentlichen Sektor und Unternehmenskunden in der EU und der gesamten Europäischen Freihandelsassoziation ermöglicht, Kundendaten in der Region zu verarbeiten und zu speichern.
- Microsoft Cloud for Sovereignty: Dieses Angebot basiert auf der Microsoft Public Cloud und erlaubt es, ein maßgeschneidertes Produkt für Kunden des öffentlichen Sektors zu schaffen und gleichzeitig die rechtlichen Anforderungen an Datenhoheit einzuhalten.
Microsoft unterstützt auch das EU-US Data Privacy Framework, das unseren Kunden wichtige Rechtssicherheit und mehr Klarheit über den Datenschutz bei der transatlantischen Übermittlung von Daten bieten wird. Die Vereinigten Staaten haben ihre Gesetze in Bezug auf die Überwachung von Daten geändert, sind wichtige neue Datenschutzverpflichtungen eingegangen und haben einen neuen Rechtsbehelfsmechanismus geschaffen. Wir sehen einem positiven Angemessenheitsbeschluss der Europäischen Kommission im Rahmen der DS-GVO im Jahr 2023 entgegen.
Unternehmenskunden von Microsoft 365, die Fragen zum DSK-Bericht haben, können sich gerne an unser Kundenteam in Deutschland wenden.
