Datenschutzkonformer Einsatz moderner Dienste und Anwendungen (Apps) wie Microsoft Office 365 - Der ...

DER DATENSCHUTZBEAUFTRAGTE
          FÜR KIRCHE UND DIAKONIE

Datenschutzkonformer Einsatz moderner Dienste und
Anwendungen (Apps) wie Microsoft Office 365
- Arbeitspapier -

Einführung
Derzeit werden die Aspekte eines datenschutzkonformen Einsatzes von Microsoft Office 365 in
Unternehmen, unter Datenschutzbeauftragten und nicht zuletzt in Aufsichtsbehörden selbst
diskutiert.

Der folgende Textentwurf stellt in möglichst kompakter Form einige, aber längst noch nicht alle
wichtigen Informationen zusammen, welche für die Überlegungen zu einem datenschutzkonformen
Einsatz von Diensten wie Microsoft Office 365 zu bedenken sind. Es bleibt die Verantwortung der
verantwortlichen Stelle, alle Fragen des Schutzes der Rechte Betroffener bei der Verarbeitung ihrer
personenbezogenen Daten sachgerecht zu beurteilen.

Den weiteren Erläuterungen vorausgeschickt, darf zunächst als unstrittig gelten, dass Unternehmen
wie Microsoft aus eigenwirtschaftlichem Interesse und nicht zuletzt vor dem Hintergrund hoher
finanzieller Strafen im Falle von eklatanten Datenschutzverstößen engagiert sind in der Bereitstellung
attraktiver und sicherer Leistungsangebote. Das europäische Datenschutzrecht und daraus abgeleitet
das kirchliche Datenschutzrecht in Deutschland setzen einen verlässlichen Rahmen.

Dass hohe Anforderungen an den Datenschutz, auch bei der Verarbeitung von Sozialdaten noch
keine grundsätzlichen Hinderungsgründe für die Nutzung von Cloud-Computing darstellen, führte
Dr. Dirk Bieresborn, Richter am Bundessozialgericht und Datenschutzbeauftragter in seinem
Thesenpapier zur 50. Richterwoche des Bundessozialgerichts vom 18. bis 20. September 2018 aus.
Unter Punkt 9 seines Papieres weist er darauf hin, dass, Zitat: „Auftragsverarbeitung von Sozialdaten
(z.B. Cloud-Computing) … nun auch in den USA grundsätzlich zulässig (ist), weil Privacy Shield als
Nachfolgeabkommen zu Safe Harbour in die sog White List der Kommission (Art 45 DSGVO)
aufgenommen wurde. Es bleibt abzuwarten, ob der EuGH dies angesichts eingeschränkter
Klagerechte von EU-Bürgern vor US-Gerichten akzeptieren wird.“

Dass Unternehmen und Anwender die jeweils aktuellen Entwicklungen stets beobachten und sich
ggf. auf Änderungen einstellen müssen, zeigt auch der seit Ende März 2018 bestehende Konflikt
durch den für die USA geltenden sogenannten „US Cloud-Act“ und dem inhaltlich
entgegenstehenden europäischen Recht zum grenzüberschreitenden Datenzugriff bzw. der
Datenübermittlung im Zuge strafrechtlicher Ermittlungen. An der Lösung des Konflikts wird politisch
auf europäischer Ebene gearbeitet, entsprechende Forderungen seitens der EU-Kommission sind im
aktuellen Sachstandsbericht zum Privacy Shield Abkommen vom Dez. 2018 enthalten mit
unveränderter Beibehaltung des Abkommens.

In einer zunehmend über Ländergrenzen hinweg vernetzten Welt muss sich auch der aktive
organisatorische und technische Datenschutz dynamisch auf sich ändernde Rahmenbedingungen
einstellen können. Das fordert nicht zuletzt verantwortliche Stellen in Kirche und Diakonie.

Datenschutzkonformer Einsatz moderner Dienste und Anwendungen (Apps) wie Microsoft Office 365   Seite 1 von 6

DER DATENSCHUTZBEAUFTRAGTE
          FÜR KIRCHE UND DIAKONIE

Inzwischen zeigt sich, dass bei immer stärker zunehmender Nutzung von IT, insbesondere von
mobilen Geräten, moderne Technologien aus dem Cloud-Umfeld Sicherheitsfunktionen bieten,
welche eher geeignet sind, der zunehmenden Gefahr von Cyber-Angriffen und den daraus
erwachsenden Gefahren für den Datenschutz zu begegnen. Hier abzuwägen und die geeigneten
Werkzeuge auszuwählen, bleibt, wie bereits erwähnt, in letzter Verantwortung der Verantwortlichen.

In Sinne einer positiven Herangehensweise und Prüfung sollen die folgenden Erläuterungen
verstanden und ernst genommen werden. Für Anregungen, Korrekturvorschläge und Kritik sind wir
dankbar.

Grundsätze
Grundsätzlich gilt beim Einsatz von Informationstechnologien, einschließlich der IT-Dienste und IT-
Applikationen, dass bereits vor dem praktischen Einsatz die Anforderungen an den Datenschutz
gemäß dem Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (EKD-
Datenschutzgesetz – DSG-EKD) in der jeweils gültigen Fassung und die Anforderungen an die Daten-
bzw. IT-Sicherheit gemäß Verordnung zur Sicherheit der Informationstechnik (IT-
Sicherheitsverordnung - ITSVO-EKD) gewährleistet werden müssen.

Das Vorhandensein eines regelmäßig aktualisierten Datenschutzkonzeptes als auch eines IT-
Sicherheitskonzeptes gemäß dieser Verordnung ist Voraussetzung für jeglichen Einsatz von IT,
Diensten und Applikationen.

Das Vorgenannte gilt uneingeschränkt auch für den Einsatz von Diensten und Applikationen wie
Microsoft Office 365 oder vergleichbaren Diensten wie Google G-Suite, Google Apps for Education
etc., wobei es in der Praxis erforderlich ist, dass die Darstellungen zum Datenschutz, welche die
Hersteller regelmäßig auf die Regeln des Europäischen Datenschutzrechts, die DS-GVO (engl. GDPR)
referenzieren, in sachgerechter Weise am Datenschutzrecht der Kirche zu prüfen sind.

Der Wechsel hin zu solchen Diensten wie Microsoft Office 365 ist zwar technisch „mit wenigen
Klicks“ zu bewerkstelligen, jedoch nicht ratsam. Das zuvor Gesagte verdeutlicht, dass es hier
grundsätzlich eines systematischen Vorgehens bedarf. Für sinnvolle Szenarien der Anwendung,
didaktische Konzepte zum Einsatz im Bildungsbereich und alle sicherheits- und
datenschutzrelevanten Aspekte bleibt die verantwortliche Stelle verantwortlich. Erfahrungsgemäß
bedarf es hier eigenständiger Projekte zur Vorbereitung und Einführung. Das ist insbesondere dann
rechtzeitig zu berücksichtigen, sobald bekannt wird, dass zum Beispiel der Support für die derzeit
verwendete Software in naher Zukunft endet. Erfahrungsgemäß beträgt der Zeitraum zwischen der
Ankündigung des Herstellers und dem konkreten Support-Ende mehr als ein Jahr.

Der Hersteller Microsoft stellt im sogenannten „Office 365 Trust Center“, nachlesbar unter der
Internetadresse: https://products.office.com/de-de/business/office-365-trust-center-welcome, seine
Sichtweise und Arbeitsweise im Zusammenhang mit dem Datenschutz und der Datensicherheit dar.
Für den Hersteller Google finden sich solche Informationen aktuell unter der Internetadresse:
https://policies.google.com/?hl=de. Die Hersteller veröffentlichen auch alle Dokumente und
Verträge, welche die Konformität ihrer Prozesse mit den Anforderungen des Datenschutzrechts
darstellen.

Datenschutzkonformer Einsatz moderner Dienste und Anwendungen (Apps) wie Microsoft Office 365   Seite 2 von 6

DER DATENSCHUTZBEAUFTRAGTE
          FÜR KIRCHE UND DIAKONIE

Sicherheitsniveau auf dem Stand der Technik
Microsoft Office 365, Google G-Suite und vergleichbare moderne Dienste für das individuelle und
gemeinsame Arbeiten an Dokumenten bzw. Daten und den Austausch derselben bieten heute ein
dem Stand der Technik entsprechendes Sicherheitsniveau, vorausgesetzt, die dafür bereitgestellten
Konfigurationsmöglichkeiten werden angewendet und betriebsinterne Sicherheitsvorschriften im
Hinblick auf den IT-Einsatz umgesetzt. Obwohl nahezu alle Angebote der Hersteller von jedem
Interessenten eigenverantwortlich gebucht und eingesetzt werden können, ist diese Vorgehensweise
grundsätzlich nur zu empfehlen, wenn bei der verantwortlichen Stelle fachkundiges Personal, das
heißt geschulte und für diese Dienste zertifizierte Mitarbeiter regelmäßig tätig sind. Externe
Dienstleister sind entsprechend sorgfältig auszuwählen. Nur ein registrierter Microsoft Partner und
Händler oder Online-Shop-Betreiber zu sein, reicht dafür nicht aus.

Datenschutz auf dem Stand der Technik
Wesentliche Grundsätze im Datenschutz wie Rechtmäßigkeit, Verhältnismäßigkeit, Verarbeitung
nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit und
Speicherbegrenzung (§ 5 DSG-EKD) können bei entsprechend fachkundigem Einsatz solcher
Werkzeuge zumindest technisch eingehalten werden. Nutzer sind in angemessenem Umfang für
einen datenschutzkonformen Umgang mit IT zu schulen, ganz besonders für die o.g. Dienste.

Zwingende Anforderung: Zugriffskontrolle auf Dateiebene
Der Verantwortliche hat sicherzustellen, dass nur solche Angebote gekauft/gebucht werden, die eine
technische Abschottung sensibler Daten vom Privatbereich eines Nutzers erlauben. Konkret heißt
das, es muss technisch möglich sein, zu verhindern, dass ein als vertraulich eingestuftes Dokument
aus dem Speicherbereich des Verantwortlichen (z.B. der Schule oder eines diakonischen Trägers) in
einen privaten Speicherbereich eines Schülers oder eines Beschäftigten kopiert werden kann. Ebenso
ist die Versendung solcher als vertraulich gekennzeichneten Dokumente per E-Mail an externe, nicht
zugelassene E-Mail Empfänger wirksam zu verhindern. Dies entspricht heute dem aktuellen Stand
der Technik. Für Office 365 ist nach unserer Einschätzung (Irrtum vorbehalten), Stand heute, der
Einsatz von „Azure Information Protection für Office 365“ (https://products.office.com/de-
de/business/azure-information-protection-for-office-365) zwingend erforderlich, um diese
Funktionalitäten nutzen zu können.

Zwingende Anforderung: Schutz gegen Datenverlust
Office 365 Dienste beinhalten aktuell kein Backup von Daten. Microsoft stellt zwar die Verfügbarkeit
der gespeicherten aktiven Daten sicher, jedoch sind „versehentlich“ oder absichtlich gelöschte Daten
an den Cloud-Speicherorten in Office 365 Diensten nach kurzer Verweildauer im Papierkorb bzw.
nach vollzogener Synchronisation der Löschanforderung endgültig gelöscht. Für personenbezogene
Daten muss der Verantwortliche jedoch sicherstellen, dass er auskunftsfähig bleibt und
personenbezogene Daten auf Anforderung zur Herausgabe/Übertragung bereitstellen kann. Aus
diesem Grund ist gegebenenfalls Drittanbietersoftware einzusetzen, welche ein vollständiges Backup
aller Office 365 Daten sicherstellt.

Datenschutzkonformer Einsatz moderner Dienste und Anwendungen (Apps) wie Microsoft Office 365   Seite 3 von 6

DER DATENSCHUTZBEAUFTRAGTE
          FÜR KIRCHE UND DIAKONIE

Die Praxis: Verarbeitung personenbezogener Daten mit Office 365
Im Zusammenhang mit der Bereitstellung von Microsoft Office 365 für einen Nutzer oder eine
Nutzerin werden personenbezogene Daten verarbeitet.

Zum ersten (1.) werden personenbezogene Daten verarbeitet durch die
Organisation, welche die Bereitstellung der Dienste von Office 365 beim
Anbieter und letztlich bei Microsoft bucht, also zum Beispiel eine kirchliche
oder diakonische Einrichtung, eine Bildungseinrichtung oder andere. Das
muss im Verarbeitungsverzeichnis gemäß §31 DSG-EKD dokumentiert sein.

Zu dokumentieren ist die Datenverarbeitung neben den üblichen Inhalten u.a. im Zusammenhang
mit der

     -    Anlage eines Nutzerkontos
     -    Nutzerauthentifizierung
     -    Dienstnutzung von Office 365
     -    Störungsbeseitigung
     -    Löschung personenbezogener Daten

Darüber sind künftige Office 365 Nutzer, also Beschäftigte, Studenten, Schüler (ggf. deren Eltern)
umfassend in einer Datenschutzerklärung zu informieren und, soweit nach §6 DSG-EKD kein anderer
Rechtsgrund angegeben werden kann, auch eine Einwilligungserklärung einzuholen.

Beispiel eines Teilaspekts zur Dokumentation:
Anlage eines Nutzerkontos:

Im Rahmen des Abschlusses eines Anstellungsvertrages oder zum Beispiel auch im Rahmen einer
Immatrikulation bei einem kirchlichen Bildungsträger speichert die verantwortliche Stelle Vor- und
Nachnamen, die künftige E-Mailadresse, andere Eigenschaften, wie zum Beispiel die Eigenschaft als
Schüler oder als Student, gegebenenfalls eine eindeutige Benutzerkennung, die Teile des Namens
enthalten kann, einen Benutzernamen für den Zugang zu den IT- Diensten, dem Status des
technischen Eintrages im IT-Verzeichnisdienst (aktiviert oder deaktiviert).

Dokumentiert wird auch der Zweck: Ziel ist die Einrichtung eines E-Mail-Postfaches, über das der
Verantwortliche Kontakt aufnehmen kann. Zugleich wird darüber die Kommunikation mit Dritten
oder auch die Nutzung weitere Apps ermöglicht, zur Erfüllung der Arbeitstätigkeiten und anderes.

Datenschutzkonformer Einsatz moderner Dienste und Anwendungen (Apps) wie Microsoft Office 365   Seite 4 von 6

DER DATENSCHUTZBEAUFTRAGTE
          FÜR KIRCHE UND DIAKONIE

Zum zweiten (2.) werden personenbezogene Daten verarbeitet durch den
Hersteller Microsoft und dessen Subunternehmen, zum Beispiel im
Zusammenhang mit den Regelungen zum Datenzugriff und zur
Datenspeicherung sowie zur Analyse von Verkehrsdaten zur
Qualitätssicherung.

Weiterhin ist zu dokumentieren und darüber zu informieren, dass zur Einrichtung des
Benutzerkontos (Microsoft E-Mail-Adresse) personenbezogene Stammdaten an Microsoft zwecks
Einrichtung des E-Mail-Postfachs in Office 365 übermittelt werden.

Holschuld des Verantwortlichen
Der Verantwortliche hat sich regelmäßig zu informieren, in welcher Weise personenbezogene Daten
von Microsoft verarbeitet werden. Diese Informationen werden derzeit bekanntgemacht in den
„Bestimmungen für Onlinedienste“ und sind in der Regel monatlich aktuell abrufbar in deutscher
Sprache unter:
http://www.microsoftvolumelicensing.com/DocumentSearch.aspx?Mode=3&DocumentTypeId=31.

Die Bereitstellung von Office 365, technisch-organisatorische
Maßnahmen von Anfang an
Sicherheits-Roadmap für Office 365 - Top-Prioritäten für den ersten 30
Tagen 90 Tage und darüber hinaus

Der Hersteller Microsoft stellt umfangreiche Informationen und Hilfestellungen zur Verfügung, damit
Organisationen selbst oder mit Unterstützung durch einen von Microsoft zertifizierten Dienstleister
ihre gebuchten Office 365 Dienste für einen sicheren und datenschutzkonformen Betrieb einrichten
können, zum Beispiel unter der Internetadresse https://docs.microsoft.com/de-
de/Office365/SecurityCompliance/security-roadmap.

Die von Microsoft eingerichteten Standardrichtlinien für Datensicherheit, Datenschutz und die
Zugriffssicherheit in der Office 365-Umgebung des Kunden müssen zwingend vor dem allgemeinen
Bereitstellen von Office 365 für Nutzer überprüft und an die Sicherheitsanforderungen der
Organisation angepasst werden.

Beispielsweise ist die (aktuell) per Standard aktivierte Option zur Einladung von Gästen außerhalb der
Organisation in solche Apps wie „TEAMS“ in der Regel nicht sinnvoll. Die ungeprüfte Übernahme der
Voreinstellungen des Herstellers stellt keinen datenschutzkonformen Betrieb sicher.

Datenschutzkonformer Einsatz moderner Dienste und Anwendungen (Apps) wie Microsoft Office 365   Seite 5 von 6

DER DATENSCHUTZBEAUFTRAGTE
          FÜR KIRCHE UND DIAKONIE

Stand: 29.01.2019
Autor: Erik Kahnt

Referent beim Datenschutzbeauftragten für Kirche und Diakonie, Unabhängige Aufsichtsbehörde
gemäß Kapitel 6 des Kirchengesetzes über den Datenschutz (DSG-EKD) für die Ev.-Luth. Landeskirche
Sachsens; die Evangelische Landeskirche Anhalts, das Diakonisches Werk der Ev.-Luth. Landeskirche
Sachsens e.V., das Diakonisches Werk Evangelischer Kirchen in Mitteldeutschland e.V.

Reichenbrander Str. 4, 09117 Chemnitz

Datenschutzkonformer Einsatz moderner Dienste und Anwendungen (Apps) wie Microsoft Office 365   Seite 6 von 6