Vor 10 Jahren: Der Datenschutz und Microsoft
Seit Einführung der Office-365-Cloud vor zehn Jahren sind die Dienste von Microsoft datenschutzrechtlich umstritten. Doch erst die Volatilität von US-Präsident Trump scheint den europäischen Behörden wirklich die Augen zu öffnen.
Im Jahre 2015 startete Microsoft das ehrgeizigste Projekt der 40-jährigen Firmengeschichte: Alle Kundinnen und Kunden von lokalen Installationen seiner Produkte sollten in die von Microsoft gestellten Cloud-Services wandern. Datenschützer sahen das Vorhaben sehr kritisch. Hinter der harmlos klingenden Überschrift „Office 365 wirft Datenschutzfragen auf“ berichtete die iX 5/2015 unter anderem von den Bedenken des Berliner Landesdatenschützers. Er vermisste eine dezidierte Einwilligung der betroffenen Nutzer von Office 365 zur Verarbeitung ihrer Daten im Ausland. Selbst wenn es eine solche Einwilligung geben sollte, könne man bei den Angestellten durch das Ungleichgewicht zwischen Beschäftigten und Unternehmen keine Freiwilligkeit bei der Abgabe der Erklärung annehmen. Außerdem müssten Firmen, die mit Office 365 in die Cloud gehen, ihre Kunden von diesem Schritt informieren. Ergänzt wurde diese Einschätzung von dem Landesdatenschutz aus Schleswig-Holstein: Dort hatte man bei Microsoft angefragt, wie es mit den für Kunden einsehbaren Protokollen zur Datenverarbeitung in der Cloud aussieht, doch keine Antworten bekommen.
Zwei Jahre später beschlossen die USA den CLOUD Act. Nach ihm wurden US-Firmen verpflichtet, den US-Behörden den Datenzugriff zu ermöglichen, auch wenn die Daten auf Servern außerhalb der USA gespeichert sind. Über die Jahre gingen deshalb die Diskussionen um DSGVO-konforme Praktiken in der Microsoft-Cloud mit der Nutzung von Office 365 weiter. Sie gipfelten 2020 in der Einschätzung der DSK, der Konferenz der Datenschutzbeauftragten von Bund und Bundesländern, dass Microsoft mit seinem Office in der Cloud gegen die deutsche Datenschutzverordnung verstößt. Die Beurteilung wurde mit 9 zu 8 Stimmen gefällt und offenbarte einen tiefen Riss unter den beteiligten Datenschützern. Im Jahre 2022 raufte man sich in der DSK zusammen und beschloss, dass die Unternehmen selbst für den Nachweis der datenschutzkonformen Speicherung verantwortlich sind.
