Die Datenschutzentwicklung von Microsoft 365 und die neue Sichtweise aus Hessen
Wer in den letzten Jahren die Entwicklungen rund um Microsoft 365 und den Datenschutz verfolgt hat, erinnert sich sicher an die kritische Bewertung der Datenschutzkonferenz (DSK) aus dem Jahr 2022. Die DSK, eine Vereinigung der deutschen Datenschutz-Aufsichtsbehörden, hatte damals festgestellt, dass die Nutzung von Microsoft 365 nicht vollständig datenschutzkonform sei. Diese Bewertung stützte sich auf den Microsoft-Datenschutznachtrag (Data Processing Addendum, DPA), der laut DSK nicht den Anforderungen der DSGVO entsprach.
Obwohl Microsoft danach den DPA mehrfach überarbeitete, blieb die DSK bei ihrer Einschätzung. Einzelne Aufsichtsbehörden veröffentlichten eigene Erklärungen, die die Situation jedoch nicht klärten. Solch eine unklare Lage verunsicherte Unternehmen, die Microsoft 365 trotzdem einsetzten – oft mit der Hoffnung, dass sich die Bedenken irgendwann auflösen würden.
Das Problem der Verhandlungsfähigkeit
Eine Initiative einiger deutscher Aufsichtsbehörden, den DPA direkt mit Microsoft nachzuverhandeln, erwies sich als schwierig. Nur die größten Kunden haben die Möglichkeit, direkt mit Microsoft zu verhandeln, während kleinere Unternehmen über Drittanbieter Lizenzen beziehen. Diese Mittler haben kein Interesse daran, in heikle Datenschutzdiskussionen einzusteigen, was eine gerechte Lösung erschwert.
Alternative Ansätze in der EU
Indessen gibt es Bestrebungen in der EU, mit Open-Source-Lösungen eigenständige Clouds zu schaffen, um nicht nur den Kosten, sondern auch politischen Einflüssen entgegenzuwirken. Initiativen wie in Schleswig-Holstein oder München versuchen, langfristige Alternativen zu entwickeln. Dennoch sind solche Ansätze nicht frei von Rückschlägen, was ihre Umsetzung verkomplizieren kann.
Hessen bricht mit der alten Linie: Eine neue Perspektive auf Microsoft 365
Endlich ein Lichtblick aus Hessen: Mit einer kürzlich veröffentlichten Pressemitteilung erklärt der Hessische Beauftragte für Datenschutz und Informationsfreiheit, dass Microsoft 365 unter bestimmten Bedingungen datenschutzkonform genutzt werden kann. Diese Neubewertung hebt sich erheblich von der bisherigen Position der DSK ab und stellt fest, dass Microsoft mittlerweile geeignete Maßnahmen zur Erfüllung der Datenschutzvorgaben ergriffen hat.
Die Gründe für den Umschwung
Die Pressemitteilung aus Hessen hebt hervor, dass entscheidende Bedingungen und Vorgaben sich geändert haben. Zwar wurde vom HBDI keine technische Prüfung einzelner Dienste durchgeführt, aber der Fokus lag auf der Überprüfung des DPA und seiner Konformität mit der DSGVO. Diese Feststellung ermöglicht es Unternehmen, ihren Einsatz von Microsoft 365 unter neuen Gesichtspunkten zu betrachten.
Auswirkungen für andere Bundesländer
Obwohl die Entscheidung zunächst nur für Hessen gilt, wird sie vermutlich Auswirkungen auf andere Bundesländer haben. Andere Aufsichtsbehörden müssen nun entscheiden, wie sie auf die hessische Neubewertung reagieren. Unternehmen könnten sich in Zukunft auf die hessische Entscheidung berufen, was den Druck auf die DSK erhöht, eine einheitliche Linie zu finden.
Wenn Sie Unterstützung bei der datenschutzrechtlichen Bewertung und Nutzung von Microsoft 365 benötigen, stehen wir Ihnen gerne zur Verfügung. Kontaktieren Sie uns für ein erstes Gespräch und erfahren Sie mehr über unsere Beratungsstrategie und unser erweitertes Leistungsspektrum, einschließlich eines Konfigurationsaudits für Microsoft 365-Tenants. Unsere Experten sind bereit, Ihnen mit praktischen Handlungsempfehlungen zur Seite zu stehen. Melden Sie sich jetzt und sichern Sie Ihre Datenschutzkonformität!
