Golem meldet, dass Microsoft für deutsche Großkunden Office 365 auch aus deutschen Rechenzentren anbieten möchte, um Bedenken hinsichtlich des DSGVO-konformen Betriebs auszuräumen.
In der Vergangenheit musste Microsoft das Produkt schon u.a. auf Druck der niederländischen Regierung überarbeiten, da personenbezogene Daten unbefugt an Dritte und in die USA abflossen.
Verbessert die Datenhaltung in Deutschland also die rechtliche Position der Auftraggeber hinsichtlich Einhaltung der DSGVO? Aus meiner Sicht nicht wesentlich.
Zum jetzigen Zeitpunkt hat Microsoft ein gültiges Zertifikat unter dem Privacy Shield (Gültigkeit noch bis 30.9.2020). Damit könnte schon jetzt ein Vertrag über Auftragsverarbeitung in einem Drittland nach DSGVO abgeschlossen werden.
Die Notwendigkeit zum Abschluss eines Vertrages über Auftragsverarbeitung ergibt sich daraus, dass zum einen in den bearbeiteten Dokumenten in der Regel personenbezogene Daten enthalten sein dürften und zum anderen auch durch die Nutzer der Software personenbezogene Daten (z.B. Telemetriedaten) erzeugt werden (s.a. Art. 4 und Art. 24 DSGVO).
„Die Verarbeitung durch den Auftragsverarbeiter wird … grundsätzlich dem Verantwortlichen zugerechnet.“ (s.a. Kurzpapier Nr. 13, Auftragsverarbeitung, Art. 28 DS-GVO, Datenschutzkonferenz). Der Verantwortliche (in der Microsoft beauftragenden Organisation) ist für die Auswahl geeigneter Auftragsverarbeiter verantwortlich.
Die Frage, die sich Verantwortliche jetzt stellen müssen, ist zum einen, ob die rechtliche Absicherung mittels Vertrag hinreichend ist, wenn der Auftragsverarbeiter in der Vergangenheit gegen die DSGVO verstoßen hat auch die Aufsichtsbehörden noch keine eindeutige Position bezogen haben.
Zum anderen sollte man sich allerdings auch fragen, ob man Datenabflüsse auch aus Sicht der IT-Sicherheit überhaupt tolerieren möchte, selbst wenn sie rechtlich nach DSGVO nicht zu beanstanden wären. Einmal in die USA abgeflossen, ist die Kontrolle vollständig verloren.
Zumal durch den Cloud Act Unternehmen in den USA zur Herausgabe von Daten auch auf europäischen System verpflichtet sind. Hierbei sollte man auch daran denken, dass die DSGVO nur personenbezogene Daten aber nicht beispielsweise Informationen zu Geschäftsprozessen oder Technologien schützt.
Viele Funktionen der Microsoft Lösung lassen sich auch durch Software wie z.B. Nextcloud oder Owncloud realisieren. Diese können In-House oder bei geeigneten Hostern innerhalb der EU installiert werden und belassen die Kontrolle über die Daten bei den Verantwortlichen.
UPDATE 24.2.20: Heise berichtet, dass sich die Business-Versionen von Office 365 nicht an das per Gruppenrichtlinie erzwungene Abschalten von Makros bei MS Office-Dokumenten halten. Damit kann die Software zu einem Einfallstor für Schadsoftware wie Emotet werden, wenn nicht die teureren Enterprise-Versionen genutzt werden.