Microsoft Teams ist eine Kollaborations-Plattform für die Online-Zusammenarbeit in Unternehmen. Es ist das Nachfolgeprogramm von Skype for Business und in die Plattform Microsoft 365 integriert, die weitere Dienste wie MS Office inkl. Outlook bereitstellt. Die Daten werden in der sog. Microsoft Cloud gehostet.
Die erhobenen Telemetrie- und Diagnosedaten stellen personenbezogen Daten gem. Art. 4 Nr. 1 DSGVO dar und die Verarbeitung bedarf daher einer Rechtsgrundlage. Zurzeit wird der Art. 6 Abs.1 f. DSGVO (berechtigtes Interesse) als Rechtsgrundlage für die einwandfreie Nutzung der geräteunabhängigen Office-Dokumente für eine Zusammenarbeit innerhalb des Unternehmens herangezogen.
Microsoft erhebt diverse Daten, sog. Telemetrie-Daten, die sowohl nutzerbezogen als auch anonymisiert gespeichert und für die Analyse der Nutzung und Leistung von Anwendungen und Anwendungskomponenten erhoben werden. Die Speicherung der Telemetriedaten und weiterer Systemdaten erfolgt für mindestens 30 Tage und kann bis zu 18 Monate erfolgen. Administratoren des Benutzers können seit Kurzem die bei Microsoft hinterlegten Telemetriedaten selbst löschen.
Seit der Einführung des „Microsoft Diagnostic Data Viewers“ können die Office Nutzer nachvollziehen, welche Daten bei der Office Nutzung aufgrund welcher Datenschutzeinstellungen erfasst werden. Bei der Verwendung der Office mobile Apps gibt es diese Kontrollfunktionen für die Erfassung und Verarbeitung von Diagnosedaten weiterhin nicht.
Die Daten der europäischen Kunden werden in Microsofts Rechenzentren in Österreich, Finnland, Irland und den Niederlanden gespeichert.
Den genauen Speicherort können Nutzer mit Administratorenrechten im Office 365 Admin Center unter → Einstellungen → Organisationsprofil → Datenspeicherort einsehen. Der Datentransfer erfolgt immer verschlüsselt, die Datenspeicherung kann ebenfalls verschlüsselt werden.
Microsoft übermittelt Diagnosedaten auch außerhalb des EWR. Diese Übermittlung der Daten ist durch das EU-US Privacy Shield, für das Microsoft zertifiziert ist, zurzeit konform zu den Bestimmungen der DSGVO. Der Europäische Gerichtshof entscheidet in Kürze darüber, ob der in den USA geltende CLOUD-Act (Clarifying Lawful Overseas Use of Data Act) mit den europäischen Datenschutzgesetzen in Einklang zu bringen ist, oder ob dadurch die Übermittlung von Daten an US-amerikanische Unternehmen nicht mehr rechtskonform durchgeführt werden kann. Der CLOUD-Act ermöglicht den US-Behörden, Daten direkt von US-Unternehmen anzufordern, auch wenn diese Daten im Ausland gespeichert werden.
Die Verarbeitung der Daten durch Microsoft erfordert einen Vertrag zur Auftragsverarbeitung gem. Art. 28 DSGVO. Die Online Service Terms (OST, Vertragsbedingungen für die Nutzung von Office 365) enthalten EU-Standardvertragsklauseln und den Vertrag zur Auftragsverarbeitung.
Maßnahmen für den datenschutzkonformen Einsatz von Microsoft Teams:
- Unternehmen, die die Kollaborations-Plattform einsetzen möchten, sollten sich für eine der kostenpflichtigen Versionen entscheiden, die für den Datenschutz wichtige Funktionen anbieten. So hat man in diesen Versionen vollen Zugriff auf das Security & Compliance Center, das über Sicherheits-Features verfügt und z.B. mehrstufige Authentifizierungen für Benutzeranmeldungen bietet
- Update auf die neueste Programmversion (jünger als Office 365 ProPlus Version 1904)
- Übermittlung der Telemetriedaten auf die niedrigste Stufe „Sicherheit“ einstellen
- Übermittlung der Diagnosedaten auf das Level „Keine“ setzen
- Übersetzungsdienste abschalten (keine Transparenz bei der Nutzung der Daten durch Microsoft, z. T. Bearbeitung durch Mitarbeiter zur „Qualitätssicherung“ möglich)
- keine Synchronisation von Benutzeraktivitäten mit der Zeitachse in Windows 10
- Verbundene Dienste deaktivieren
- Übermittlung von Daten zur Verbesserung der Benutzerfreundlichkeit sperren
- Linked-In-Integration deaktivieren
- Desktop-Versionen statt mobile Apps oder Web verwenden, da die DSGVO-kompatiblen Verbesserungen in den mobilen Apps und in den Webversionen noch nicht integriert wurden
- Abschluss der in den Online Service Terms (OST) enthaltenen EU-Standardvertragsklauseln und des in den OST ebenfalls enthaltenen Auftragsverarbeitungsvertrags
- keine Garantie dafür, dass Office 365 auch zukünftig datenschutzkonform eingesetzt werden kann (Entscheidung zum CLOUD-Act durch den EuGH)
- Datenschutzfolgenabschätzung nach Art. 35 DSGVO durchführen
