Niedersächsisches Ministerium erreicht Anpassung der datenschutzrechtlichen Vereinbarung mit Microsoft

Erste Handreichung im Jahr 2023

Bereits im Sommer 2023 veröffentlichten sieben deutsche Landesdatenschutzbehörden eine gemeinsame Handreichung für den Einsatz von Microsoft 365. In diesem Papier gaben diese Behörden Hinweise für etwaige Vertragsverhandlungen mit Microsoft und zeigten auf, in welchen Punkten des „Data Processing Addendum“, des Nachtrags zur Datenverarbeitung, ihres Erachtens Anpassungsbedarf besteht. 

In der Praxis half dieses Papier Unternehmen nur wenig, da es insbesondere kleineren und mittelgroßen Unternehmen regelmäßig nicht möglich war, Microsoft zu Änderungen an den Musterverträgen zu bewegen. 

Alle Daten werden in Europa gespeichert

Das Niedersächsische Ministerium für Inneres und Sport gab nun Ende April den erfolgreichen Abschluss einer datenschutzrechtlichen Vereinbarung mit Microsoft zur Nutzung von Microsoft Teams bekannt. Der Landesbeauftragte für den Datenschutz Niedersachsen unterstützte das Ministerium dabei mit datenschutzrechtlichen Einschätzungen und einer Bewertung der erzielten Verhandlungsergebnisse. 

Maßgeblich für die datenschutzrechtliche Zulässigkeit war die „EU-Boundary“, also die Entscheidung von Microsoft, alle Daten in Europa zu speichern und zu verarbeiten. Trotz aller Änderungen und der „EU-Boundary“ entfiel die Pflicht zur Erstellung einer Datenschutz-Folgenabschätzung nicht. 

In der vom Landesbeauftragten für den Datenschutz Niedersachsen veröffentlichten Stellungnahme betont er jedoch, dass dieses Verhandlungsergebnis keine Abkehr von der bisherigen Sensibilisierung für die Risiken der Microsoft-Produkte bedeuten würde. Es sollten weiterhin Alternativen geprüft werden, insbesondere digital souveräne Lösungen z.B. mit Open-Source-Software. Das erzielte Verhandlungsergebnis sei akzeptabel, biete aber Potenzial für datenschutzfreundlichere Regelungen.

Positives Signal

Microsoft soll gegenüber dem Niedersächsischen Ministerium erklärt haben, diese erzielte datenschutzrechtliche Vereinbarung auch mit anderen Kunden der öffentlichen Verwaltung in Deutschland berücksichtigen zu wollen. Details bleiben hier abzuwarten. 

Die erzielte Einigung zwischen Niedersachsen und Microsoft ist somit ein positives Signal. In der Praxis bleibt natürlich die Frage, ob die erzielten Ergebnisse seitens Microsoft flächendeckend, insbesondere für die öffentliche Hand, zur Verfügung gestellt werden. Unabhängig davon sollte der Entscheidungsprozess inkl. aller Sicherheitsmaßnahmen, Alternativen und Risiken in einer Datenschutz-Folgenabschätzung dokumentiert werden. Gerne beraten wir Sie zu dem Einsatz von Microsoft-Produkten in Ihrem Unternehmen.