Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat sich mit der datenschutzkonformen Nutzung von Microsoft 365 befasst. Die Datenschutzbeauftragten von Bund und Ländern sehen eine Nutzung von Microsoft Office in Behörden nur nach intensiver Prüfung und erheblichem Begründungsaufwand.

Die DSK vertritt die Auffassung, dass Verantwortliche “(…) jederzeit in der Lage sein müssen, ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzukommen. Beim Einsatz von Microsoft 365 lassen sich hierbei auf Grundlage des „Datenschutznachtrags“ weiterhin Schwierigkeiten erwarten, da Microsoft nicht vollumfänglich offenlegt, welche Verarbeitungen im Einzelnen stattfinden. Zudem legt Microsoft weder vollständig dar, welche Verarbeitungen im Auftrag des Kunden noch welche zu eigenen Zwecken stattfinden. Die Vertragsunterlagen sind in der Hinsicht nicht präzise und erlauben im Ergebnis nicht abschließend bewertbare, ggf. sogar umfangreiche Verarbeitungen auch zu eigenen Zwecken.” Eine Verwendung personenbezogener Daten der Nutzenden (z.B. Mitarbeitenden oder Schüler:innen) zu eigenen Zwecken des Anbieters schließe den Einsatz eines Auftragsverarbeiters etwa im öffentlichen Bereich (insbesondere an Schulen) aus.

Den Bericht der DSK finden Sie hier.

Einrichtungen der Kinder- und Jugendhilfe empfehlen wir, sich mit der Frage des datenschutzkonformen Einsatzes von Microsoft 365 auseinanderzusetzen. Gerade weil Sie im Rahmen der Kinder- und Jugendhilfe sog. personenbezogene Daten besonderer Kategorien verarbeiten, sollten Sie gemeinsam mit Ihrem Datenschutzbeauftragten eine gründliche Risikobewertung vornehmen und insbesondere die Einstellungen Ihrer Microsoft-Anwendung überprüfen. Klären Sie auch die Frage, in welchem Land Ihre Daten verarbeitet und gespeichert werden.

Weitere Informationen zum Datenschutz finden Sie hier.