Seit seiner Gründung ist Microsoft ein führender Technologieanbieter, der jedoch immer wieder kritisiert wird, was den Datenschutz betrifft. In diesem Beitrag beleuchten wir die Entwicklung des Geschäftsmodells von Microsoft 365 und die zentrale Kritik an dessen datenschutzrechtlicher Konformität.
Kritik der Datenschutzkonferenz
- Unzureichende Beschreibung der Verarbeitung: Art, Zweck und Umfang der Datenverarbeitung sowie betroffene Datenarten waren nicht vollständig geklärt.
- Verarbeitung zu eigenen Zwecken: Microsoft behielt sich bestimmte Verarbeitungen für eigene „Geschäftstätigkeiten“ vor, was die Klarheit des datenschutzrechtlichen Rollens der Nutzer beeinträchtigte.
- Unklare Weisungsbindung: Es wurde bezweifelt, ob alle relevanten Verarbeitungsvorgänge auf dokumentierte Weisungen des Kunden basierten.
- Datenoffenlegung und gesetzliche Verpflichtungen: Regelungen zur Offenlegung gegenüber Behörden und zur Verarbeitung aufgrund rechtlicher Verpflichtungen wurden kritisiert.
- Technische und organisatorische Maßnahmen: Informationen zur Beurteilung der genutzten Schutzmaßnahmen durch Unterauftragnehmer fehlten teilweise.
- Unterauftragnehmer: Fragen der Transparenz und Einflussmöglichkeiten bei Änderungen der Unterauftragnehmer wurden kritisiert.
- Löschung und Rückgabe: Vertragliche Regelungen zur Löschung oder Rückgabe personenbezogener Daten waren ebenfalls umstritten.
Der Schlüsselpunkt bleibt bis heute: Ein standardisierter Cloud-Vertrag entbindet den Kunden nicht von seiner Verantwortung. Nach Art. 5 Abs. 2 und Art. 24 DSGVO muss das Unternehmen selbst nachweisen können, warum und unter welchen Bedingungen der Einsatz rechtmäßig ist.
Quelle: www.dr-datenschutz.de