"LfD"-Entscheidung zum Einsatz von Microsoft 365: Stehen bald 80.000 Nutzer vor der Türe von Microsoft?

Datenschützer in anderen EU-Ländern haben kein Problem mit Microsoft 365. Im föderalen Deutschland wird dagegen gestritten - und Handreichungen verteilt, so wie die jüngste vom Landesbeauftragten für den Datenschutz Niedersachsen. Fazit: Der datenschutzkonforme Einsatz von Microsoft 365 sei möglich – theoretisch. Was daraus folgt, kommentiert Rechtsanwalt Wilfried Reiners für CRN.

Der Landesbeauftragte für den Datenschutz Niedersachsen („LfD") hat gemeinsam mit sechs weiteren Datenschutzaufsichtsbehörden eine Handreichung zum Umgang mit der Standard-Auftragsverarbeitungsvereinbarung von Microsoft für den Einsatz von Microsoft 365 entworfen. Diese wurde am 25. September 2023 in der aktuellen Form auf der Webseite des LfD veröffentlicht. In der Pressemeldung heißt es weiter: "Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK - Datenschutzkonferenz) hat im November 2022 festgestellt, dass die für den Einsatz von Microsoft 365 vorgesehene Standard-Auftragsverarbeitungsvereinbarung von Microsoft (Products and Services Data Protection Addendum - kurz: "DPA") nicht den Anforderungen des Art. 28 Abs. 3 DSGVO (Datenschutz-Grundverordnung) entspricht. In Anknüpfung an diese Problemfelder haben mehrere Datenschutzaufsichtsbehörden gemeinsam eine Handreichung für die Verantwortlichen erarbeitet, um diese dabei zu unterstützen, auf entsprechende vertragliche Änderungen hinzuwirken."

Der Link zu den in der Handreichung gegebenen Empfehlungen kann auf der Webseite des LfD heruntergeladen werden.

Das Positive

Eine Handreichung ist per Definition etwas Positives. Es ist z. B. eine Unterstützung, die darin besteht, dass jemand einem anderen bei einer Arbeit zur Hand geht. Es kann auch eine Empfehlung oder eine Richtlinie für ein Verhalten oder für den Umgang mit etwas Bestimmtem sein.

Mit seiner Veröffentlichung zu Microsoft 365 Ende November 2022 hat die DSK als nicht behördliches Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder für einen Paukenschlag gesorgt. In den Schlagzeilen mancher Fach- und Onlinemedien hieß es: Microsoft 365 ist rechtswidrig. Die DSK wurde dafür hart kritisiert und fühlte sich missverstanden.

Jetzt führt das LfD in seiner Handreichung aus: "Zudem gibt es Maßnahmen, die von den öffentlichen und nicht-öffentlichen Stellen unabhängig von vertraglichen Vereinbarungen mit Microsoft getroffen werden können, um den Datenschutz beim Einsatz von Microsoft 365 zu verbessern. Diese Maßnahmen sowie die in Betracht kommenden vertraglichen Vereinbarungen, die dazu beitragen, dass der Einsatz von Microsoft 365 datenschutzkonform erfolgen kann, sind in der folgenden Handreichung beschrieben."

Mit anderen Worten ein Kehrtwende hin zum Positiven. Oder anders ausgedrückt. Der datenschutzkonforme Einsatz von Microsoft 365 ist möglich.

Das deutsche Problem

Hintergrund: Im Unterschied zu anderen EU-Ländern gibt es im föderalen Deutschland eine nationale Datenschutzkonferenz (DSK), besetzt mit 18 unabhängigen Vertretern der Datenschutzaufsichtsbehörden des Bundes und der Länder. Michael Will, Präsident des Bayerischen Landesamts für Datenschutzaufsicht, hat in einem lesenswerten Interview mit der IHK München und Oberbayern über den Streit um den DSK-Beschluss zu Microsoft 365 und was das für die Unternehmen bedeutet, berichtet.

Auf die Frage: "Was will denn die DSK mit ihrem Beschluss erreichen?" kam die Antwort: "Wir wollen für ein Grundproblem sensibilisieren. Viele gehen davon aus: Microsoft 365 ist ein Standard-Produkt, alle nutzen es (Hervorhebungen durch diesen Verfasser), deshalb wird das auch datenschutzrechtlich schon in Ordnung sein. Dieses blinde Vertrauen ist leider nicht berechtigt. Es spiegelt eine Gutgläubigkeit und Naivität wider, mit der weder Datenschutz noch Digitalisierung funktionieren können."

Auf die Frage: "Warum haben Sie Ihre Position nicht mit den anderen europäischen Aufsichtsbehörden abgestimmt?" antwortet M. Will: "In der Langfassung unseres Berichts wird sehr deutlich: Das ist eine Position der deutschen Aufsichtsbehörden, die aber selbstverständlich zur Kenntnis nimmt, dass wir viele Punkte europaweit noch nicht geklärt haben. Aber das kann nicht heißen, dass bis dahin Stillstand herrscht."

Auf die weitere Frage: "Unsere Nachbarn sehen das Thema Datenschutz und Microsoft 365 lockerer. Betreibt Deutschland wieder 'Gold Plating?" war die Antwort: "Auf den ersten Blick mag es mag unbefriedigend erscheinen, wenn Fragen zum Datenschutz innerhalb Europas unterschiedlich beantwortet werden."

Deutschland geht mit seinen 18 Aufsichtsbehörden das Thema Microsoft 365 anders an, als unsere europäischen Nachbarn. Das liegt wohl daran, dass deutsche Anwender vor ihrer Gutgläubigkeit und Naivität von den Aufsichtsbehörden geschützt werden müssen. Da sind die Anwender in den anderen 29 Mitgliedsstaaten, in denen die DSGVO gilt, wesentlich schlauer und souveräner. Denn dort gibt es ein solches Denken über Microsoft 365 Anwender nicht.

Der neue Ansatz

In seiner Handreichung erklärt der LfD: Folgende Punkte betreffen insbesondere die Abschnitte "Art der Datenverarbeitung; Eigentumsverhältnisse", "Verarbeitungsdetails", Anhang B des DPA (DPA ist der Vertrag zur Auftragsdatenverarbeitung) und Art. 28 Abs. 3 Satz 1 DSGVO. Dann erfolgt eine detaillierte Beschreibung, welche vertraglichen Änderungen erreicht werden sollen. Die vertraglichen Änderungen sind zwischen der verantwortlichen Stelle (Anwenderunternehmen) und Microsoft zu verhandeln und zu vereinbaren. Auf die vom LfD einbrachten Vorschläge wird hier nicht eingegangen. Vielmehr ist dies der Versuch der Erläuterung, was das in der Praxis bedeutet.

Musterbeispiel ohne Anspruch auf Detailgenauigkeit

Ausgehend von einer Bevölkerungsanzahl von 500 Mio. Menschen im EWR (Europäischer Wirtschaftsraum) und ausgehend davon, dass auf je 1000 Menschen ein sog. Microsoft Tenant kommt, ergäbe das 500.000 relevante Tenants, die nach Ansicht der deutschen Aufsichtsbehörde im EWR Raum mit Microsoft Vertragsverhandlungen führen sollten.

Wenn wir nun davon ausgehen, dass 16 Prozent (Verhältnis 80 Mio. Einwohner Deutschland zu 500 - Mio. im EWR) der Tenants den deutschen Anwenderunternehmen zuzuordnen sind, sollten sich nun 80.000 deutsche verantwortliche Stellen auf die Reise zu Verhandlungen mit Microsoft machen. Hier mag jeder, der als verantwortliche Stelle M365 im Einsatz hat, für sich entscheiden, ob er sich auf die Reise macht und ob es ihm andere gleichtun.

Die Hintertür

Das Gesetz weist zwar die datenschutzrechtliche Verantwortung - jedenfalls bei Nutzung eines Produkts (Microsoft 365) in Unternehmen oder Behörden - dem nutzenden Unternehmen oder der nutzenden Behörde zu und nicht dem Hersteller des Produkts. Kann es aber sein, dass die gesetzliche Zuordnung unseren Aufsichtsbehörden nicht gefällt? Und dass hier durch die Hintertür bei Microsoft angeklopft wird?

Zusammenfassung

"Alle nutzen es." Dies sollte nicht im "Auslieferungszustand" erfolgen. Das wissen auch unsere IT-Verantwortlichen. Es sind vor allem technische und organisatorische Maßnahmen zwingend zu implementieren. Mit Lösungen wie dem PRW Compliance Set M365 ist dies machbar. Aber wir in Deutschland Lebenden müssen uns daran gewöhnen, dass wir anders (gutgläubiger und naiver) sind als die anderen Anwender im EWR. Uns muss man wertvolle vertragliche Tipps geben, die wir mit Microsoft individuell verhandeln werden. Danke dafür. Es geht auch anders, wie uns die Europäische Kommission zeigt. O Datenschutz, o mores!

Wilfried Reiners