Aktuell | Internet | c't | heise magazine

Microsoft bessert Datenschutzbestimmungen in Office 365 nach

Microsoft hat eine neue Version des obligatorischen Auftragsverarbeitungsvertrags veröffentlicht, einschließlich aktualisierter EU-Standardvertragsklauseln.

Unternehmen und Behörden, die beispielsweise Word im Rahmen einer Microsoft-365-Lizenz einsetzen, können in Sachen Datenschutz künftig zumindest juristisch etwas beruhigter sein.

Der US-Softwarekonzern Microsoft hat sein „Products and Services Data Protection Addendum“ (DPA) überarbeitet. In der Neufassung, die seit dem 15. September gilt, setzt das Unternehmen neue Vorgaben der EU-Kommission für den internationalen Datenverkehr um. Das betrifft unter anderem das Office-Paket Microsoft 365, das in zahlreichen deutschen Betrieben, aber auch in Schulen und Behörden zum Einsatz kommt.

Kernstück des neu gefassten DPA ist die Integration der überarbeiteten sogenannten Standardvertragsklauseln (SVK). So hat Microsoft die darin geregelte „Übermittlung von Auftragsverarbeiter an Auftragsverarbeiter“ angepasst; demnach ist nun Microsoft Irland als Exporteur von Daten in Drittländer festgelegt. Microsoft will laut DPA ferner wie bisher Anfragen von US-Behörden wie der Bundespolizei FBI individuell prüfen und bei Zweifeln an der Rechtmäßigkeit zumindest anfechten – dafür nun aber als Maßstab die DSGVO heranziehen. Außerdem hat Microsoft präziser formuliert, wie es Daten für die eigene Nutzung (etwa für statistische Zwecke) pseudonymisiert, ohne auf Inhalte von Kundendaten zuzugreifen. In einer ersten Bewertung äußerten sich Datenschutzanwälte positiv zu der Präzisierung der vertraglichen Vereinbarungen im DPA.