Die Datenschutzaufsichtsbehörden haben sich zum Einsatz von Microsoft 365 positioniert. Microsoft hält mit einer Stellungnahme und einem neuem „Data Protection Addendum" (kurz: DPA) dagegen. 

Bezüglich der Datenschutzkonformität von Microsoft 365 gibt es einen harten öffentlichen Meinungsaustausch zwischen den deutschen Datenschutzaufsichtsbehörden und Microsoft. Die Frage der datenschutzkonformen Anwendung von Microsoft 365 ist nicht neu und wurde von WAVESTONE bereits im April 2021 in diesem Blog diskutiert. 

Im November 2022 veröffentlichte die Arbeitsgruppe der Datenschutzkonferenz ihre Bewertung (hier im Volltext nachzulesen). Zusammengefasst wird vor allem die Transparenz der Verarbeitung im Hinblick auf die Dokumentationspflichten der Verantwortlichen gemäß Art. 5 Abs. 2 DSGVO bemängelt. 

Microsoft hielt direkt Ende November mit einer scharf formulierten Stellungnahme dagegen, die unter dem Titel „Microsoft erfüllt und übertrifft europäische Datenschutzgesetze" veröffentlicht wurde. 

Microsoft hat sich bisher mit den Meinungen der Datenschutzaufsichtsbehörden auseinandergesetzt und Verbesserungen vorgenommen, um das Datenschutzniveau zu erhöhen. Auch die neue Version des DPA folgt dieser Strategie. Das neue DPA schafft mehr Transparenz und bietet Verantwortlichen mehr Unterstützung bei der Einhaltung der datenschutzrechtlichen Anforderungen beim Einsatz von Microsoft 365. Unabhängig davon, ob das neue DPA die Datenschutzaufsichtsbehörden vollends überzeugt, sollten Verantwortliche (im Sinne des Datenschutzes) sich um einen Abschluss des neuen DPA bemühen und die neuen Klauseln in ihrer Datenschutzdokumentation berücksichtigen. 

Eine ausführliche Analyse der Argumente der Aufsichtsbehörde und von Microsoft finden Sie in unserem aktuellen Management Advisory Newsletter.