RECHT IM INTERNET

:

Microsoft 365 – so sollte Datenschutzaufsicht nicht sein

- VON KRISTIN BENEDIKT, THOMAS KRANIG UND ROLF SCHWARTMANN

- -AKTUALISIERT AM -11:30

Bildbeschreibung einblenden

Deutschlands Datenschutzbehörden tragen eine große Verantwortung für Staat und Gesellschaft. Ihr Umgang mit dem Datenschutz muss grundlegend neu justiert werden. Ein Gastbeitrag.

- MERKEN

- 2

- 0

11 Min.

Die deutschen Datenschutzaufsichtsbehörden haben Ende November 2022 eine Stellungnahme zu Microsoft 365 veröffentlicht, die es in sich hat. Microsoft-Kunden können danach einen rechtmäßigen Einsatz der Software nicht nachweisen, mit anderen Worten: Microsoft 365 ist rechtswidrig. Nach dem Willen der Aufsicht soll hierzulande die Nutzung von Microsoftprodukten also faktisch eingestellt werden. Nehmen Deutschlands Unternehmen, Schulen, Städte und Gemeinden, Gerichte und Gesetzgebungseinrichtungen die Empfehlung zu diesem „digitalen Lockdown“ ernst, dann steht hier faktisch alles still, denn es gibt keine alternative Software, die in der Fläche einsetzbar wäre. Der Beschluss aus dem November wiederholt einerseits eine Bewertung eines Arbeitskreises der Datenschutzkonferenz (DSK) aus dem Jahr 2020. Allerdings gab es damals Widerspruch aus den eigenen Reihen: Den Datenschutzbehörden von Baden-Württemberg, Bayern, Hessen und des Saarlandes war die Bewertung zu undifferenziert. Vor allem seien nur (veraltete) Vertragsbestimmungen von Microsoft zur Grundlage der Entscheidung gemacht worden. Es habe keine eigenständige Prüfung der Technik stattgefunden. Zum anderen seien rechtsstaatliche Grundsätze verletzt worden, da Microsoft nicht förmlich angehört worden sei. Nun bekräftigt das Gremium einstimmig sein „Microsoft-Verbot“. Der Fall braucht einen konstruktiven Ausgang und verdient eine grundlegende Einordnung.

1. Datenschutzrecht

Europa hat im Jahr 2018 die Datenschutzgrundverordnung (DSGVO) ins Werk gesetzt und eine belastbare Grundlage für Datenverarbeitungen geschaffen. Das Gesetz ist viel besser als sein Ruf. Es gibt schon in seinem ersten Artikel weise abgewogene verbindliche Maßgaben vor. Erstens: Das Datenschutzrecht schützt natürliche Personen bei der Verarbeitung ihrer Daten. Zweitens: Das Datenschutzrecht schützt die Wirtschaft bei der Verarbeitung der Daten zu deren freiem, wirtschaftlichem Verkehr im Binnenmarkt. Ergänzend legt das Recht fest: Datenschutz genießt keinen Vorrang, und Datenverarbeitung ist dem Dienst an der Menschheit verpflichtet. Das Recht auf Datenschutz muss fair abgewogen werden mit den anderen europäischen Grundrechten. Das gilt insbesondere für die wirtschaftlichen Freiheiten im Binnenmarkt, die in praktische Konkordanz, also in einen harmonischen Wohlklang mit dem Datenschutz gebracht werden müssen. Weitere und entstehende neue Datenakte wie die Entwürfe der KI-Verordnung oder des Data Act unterstützen den Ansatz des vielfältigen Einsatzes von Daten zum Wohl von Gesellschaft, Wirtschaft und Staat auf Basis der DSGVO.

2. Datenschutzpraxis

Das Recht wirkt in seiner Anwendung. Der Gesetzgeber der DSGVO hat die Überwachung ihrer Anwendung Europas Datenschutzaufsichtsbehörden überantwortet. Diese rechtlich unabhängigen, aber der gerichtlichen Kontrolle voll unterworfenen Behörden sollen im europäischen Verwaltungsverbund trotz Unabhängigkeit einheitlich entscheiden. Sie tragen wegen der hohen Bußgelder, die sie verhängen können, eine enorme Verantwortung für die Anwendung der DSGVO. Heute sind die Gefahren der Überwachung so real wie nie. Wer behauptet, sie hätten sich nicht schon realisiert, ist naiv. Deshalb – so der Auftrag der DSGVO – müssen die der Anwendung des Rechts verpflichteten Datenschutzaufsichtsbehörden Risiken abwägen. Wie ist das nun im Fall Microsoft 365 geschehen? Die DSGVO statuiert für Unternehmen Rechenschaftspflichten über deren Datenverarbeitung. Sie erzeugen Transparenz und ermöglichen der Aufsicht ihre Prüfungen. Zu den wesentlichen Ergebnissen der DSK im November gehörte, dass Verantwortliche ihrer Rechenschaftspflicht nach der DSGVO nicht nachkommen können. Die Rechenschaftspflicht verlangt, dass Unternehmen und Behörden lückenlos belegen können, dass sie Daten rechtmäßig verarbeiten. Wie sie diese Pflicht erfüllen, legt die DSGVO jedoch nicht fest. Für gewöhnlich reicht es aus, Vertragsunterlagen zu prüfen. Allerdings sind im Fall Microsoft die Vertragsbedingungen aus Sicht der Behörde nicht transparent genug. Microsoft beschreibe den Umgang mit Kundendaten und die Verarbeitungszwecke nicht hinreichend. Auch die technischen und organisatorischen Maßnahmen zum Schutz der Daten sind aus Sicht der Behörden nicht ausreichend. Unklar bleibe auch, welche Unterauftragnehmer Microsoft beauftragt. Und schließlich bleibt aus Sicht der Behörden ein unlösbares Problem: Microsoft muss auch Daten in den USA und anderen Ländern außerhalb der EU verarbeiten, um sein Produkt anzubieten.

Betrachtet man den behördlichen Prüfungsmaßstab rechtlich, dann zeigt sich, dass die Bewertung der Datenschutzkonferenz auch im zweiten Anlauf auf eine vollständige Prüfung von Microsoft 365 verzichtet. Grundlage der Bewertung ist ein von Microsoft im September 2022 veröffentlichtes Vertragsdokument. Eine technische Prüfung der Behörde, die Datenflüsse und technische Maßnahmen wie Verschlüsselung oder Pseudonymisierung hätte berücksichtigen müssen, gibt es hingegen nicht. Ebenso wenig wurde ermittelt, ob und welche personenbezogenen Daten durch wen verarbeitet werden. Auch in rechtlicher Hinsicht haben sich die Aufsichtsbehörden nur mit ausgewählten Themen befasst. Die zentrale Frage, ob Nutzerdaten bei Videokonferenzen per Microsoft Teams durch das Fernmeldegeheimnis geschützt sind, bleibt beispielsweise unbeantwortet. Bemerkenswert ist auch der Zeitpunkt der Veröffentlichung. Zu Recht weist die DSK auf eine Entscheidung des Europäischen Gerichtshofs zur Datenübermittlung in die USA hin. In dem Verfahren „Schrems II“ erklärte der EuGH das Abkommen für den Datentransfer „Privacy Shield“ für ungültig. Die EU-Kommission steht kurz vor dem Abschluss eines neuen Abkommens, das den Datentransfer zwischen der EU und den USA legitimiert. Anfang Oktober unterzeichnete der amerikanische Präsident Biden eine sogenannte Executive Order, welche die Grundlage für ein angemessenes Schutzniveau nach europäischem Maßstab bilden soll. Der Ball liegt nun bei der EU-Kommission, die kurzfristig einen neuen Angemessenheitsbeschluss fassen wird. Auch Microsoft ist aktiv. Man hat für Unternehmenskunden und Behörden angekündigt, bis Ende des Jahres eine EU-Datengrenze („EU Data Boundary“) zu schaffen. Microsoft sichert vertraglich zu, dass die Daten innerhalb der EU verarbeitet werden und über die gesetzlichen Anforderungen hinaus mehr Transparenz geschaffen wird.

Deutschlands Datenschutzaufsichtsbehörden sind wiederum nach dem Grundgesetz beim Vollzug des Rechts unmittelbar an die Vorgaben der Verfassung im Rechtsstaat gebunden. Doch welche Rechtsnatur hat die Verlautbarung des Gremiums? Die DSK ist ein loser Zusammenschluss der unabhängigen Datenschutzaufsicht des Bundes und der Länder. Zwar regelt das Datenschutzrecht, dass die Aufsichtsbehörden zusammenarbeiten sollen. Zuständigkeiten, Aufgaben oder Befugnisse der DSK sind jedoch nicht geregelt. Es gibt lediglich eine behördeninterne Geschäftsordnung zur Arbeitsweise. Trotz der föderalen Struktur und der Unabhängigkeit einer jeden Aufsichtsbehörde sollen die Behörden zusammenarbeiten, um einen einheitlichen Vollzug des Datenschutzrechts zu erreichen. Das gelang in der Vergangenheit nicht immer. Nicht nur zu Microsoft 365 gab es Meinungsverschiedenheiten. Auch bei Videokonferenzen während der Pandemie oder den Anforderungen an Websites sind Unternehmen und Behörden je nach Bundesland unterschiedlichen Bewertungen ausgesetzt. Das führt zu Rechtsunsicherheit unter den Verantwortlichen und beeinflusst den Wettbewerb. Aus diesen Gründen wird häufig ins Spiel gebracht, die Aufsichtskompetenz in Deutschland für den nichtöffentlichen Bereich umzugestalten, etwa sie zu zentralisieren. Der Koalitionsvertrag der Ampel setzt demgegenüber darauf, die DSK zu institutionalisieren, damit sie einheitlich rechtlich verbindliche Beschlüsse fassen kann. Solange das Bundesdatenschutzgesetz keine Regelungen zur Datenschutzkonferenz enthält, hat der lose Zusammenschluss keinerlei rechtlich anerkannte Befugnisse.

In diesem Kontext drängt sich die Frage auf, ob die DSK rechtsstaatliche Grundsätze einhält. Eine behördliche Stellungnahme, in der Microsoft 365 im Ergebnis als rechtswidrig bewertet wird, kommt ja einer Produktwarnung gleich. Eine negative Bewertung durch staatliche Behörden kann erhebliche Folgen für Unternehmen haben. Wie gravierend die Konsequenzen sein können, hat zuletzt der Fall des russischen Software-Herstellers Kaspersky gezeigt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor dem Einsatz der Virenschutzsoftware und empfahl Unternehmen und Behörden, auf alternative Produkte zu setzen. Aus Sicht des BSI besteht das Risiko, dass russische IT-Hersteller gegen ihren Willen gezwungen werden könnten, Cyberangriffe gegen die EU durchzuführen. Kaspersky wehrte sich erfolglos gegen diese amtliche Produktwarnung. Das Verwaltungsgericht Köln lehnte einen Eilantrag des Unternehmens ab und entschied, dass das BSI warnen durfte. So ist es richtig gelaufen. Der Gesetzgeber hat das BSI ausdrücklich ermächtigt, die Öffentlichkeit bei Sicherheitslücken und Gefährdungen zu warnen, und ein Gericht hat den Fall geprüft. Eine vergleichbare Regelung fehlt aber für Datenschutzaufsichtsbehörden, erst recht für die rechtlich nicht existente DSK. Zwar verweisen einige Behördenvertreter auf die DSGVO, nach der die Aufsichtsbehörden befugt sind, sich mit Stellungnahmen an die Öffentlichkeit zu wenden. Dies gilt jedoch nur, wenn die Öffentlichkeitsarbeit im Einklang mit nationalem Recht steht. Das dürfte nicht der Fall sein, zumal auch das Bundesverfassungsgericht mehrfach klargestellt hat, dass eine Produktwarnung gezielt die Entscheidung der Marktteilnehmer beeinflusst und die Wettbewerbssituation nachteilig verändert. Dies stellt einen gravierenden Eingriff in die unternehmerischen Grundrechte dar und ist nur dann rechtmäßig, wenn der Gesetzgeber die Behörde dazu ermächtigt hat. Die Produktwarnung beeinträchtigt mittelbar auch Microsoftkunden, also Unternehmen und Behörden, denn sie müssen als Verantwortliche damit rechnen, dass die zuständige Behörde Anordnungen erlässt und Bußgelder gegen Unternehmen verhängt. Zudem haben sie in der Vergangenheit Investitionsentscheidungen getroffen und sich – nicht zuletzt mangels Alternativen – vertraglich an Microsoft gebunden.

Eine zentrale Rolle kommt schließlich auch Microsoft zu. Das Unternehmen hat die Bewertung der DSK nicht auf sich beruhen lassen. Noch am Tag des Beschlusses wurde eine Gegenstellungnahme veröffentlicht. Der Konzern stellt klar, dass mehr als nur die Mindestanforderungen der DSGVO erfüllt werden, um die Kundendaten auf der ganzen Welt zu schützen. Microsoft verweist nicht nur auf internationale Zertifizierungen und vertragliche Zusicherungen, sondern kritisiert die Rechtsansicht der Behörden als technologiefeindlich und überzogen. Außerdem wird den deutschen Behörden vorgeworfen, dass sie sich europaweit auf besonders strenge Einzelmeinungen festlegen. Von den übrigen europäischen Aufsichtsbehörden werden sie in der Tat nicht geteilt, und es fehlt an einer Position der von der DSGVO im Gegensatz zur DSK institutionalisierten gemeinsamen Behörde, dem Europäischen Datenschutzausschuss (EDSA), dem die deutschen Behörden angehören.

3. Datenschutzkritik

Das Verfahren um Microsoft hätte anders laufen können, und zwar konstruktiv. Die DSGVO regelt für grenzüberschreitende Sachverhalte wie bei der Nutzung von Cloud-Diensten, dass die europäischen Datenschutzaufsichtsbehörden in einem Verfahren gemeinsam zu einer einheitlichen Wertung gelangen. Die federführende Aufsichtsbehörde schlägt eine Rechtsauffassung vor, der die anderen folgen können. Sind sich die Aufsichtsbehörden nicht einig, entscheidet der EDSA. Nur so wird gewährleistet, dass ein einheitlicher Rechtsrahmen auch einheitlich in der gesamten EU vollzogen wird. Dieses Kohärenzverfahren hätte auch im Fall von Microsoft 365 durchgeführt werden sollen. Dabei spielt es keine Rolle, ob Microsoft die Daten für eigene Zwecke verarbeitet oder im Auftrag von Unternehmen und Behörden. Zielführend wäre es auch gewesen, wenn die Aufsichtsbehörden nicht nur wichtige Meilensteine in puncto Drittstaatentransfer wie das neue EU-US-Datentransferabkommen oder die EU-Datengrenze abgewartet hätten, sondern auch die Sachlage und Rechtslage vollumfänglich geprüft hätten. Die Rechts- und Gesetzesbindung der Verwaltung bindet die Behörden an den Grundsatz der Amtsermittlung. Behörden müssen einen Sachverhalt vollumfänglich ermitteln, bevor sie belastende Maßnahmen ergreifen. Erst wenn diese Pflicht erfüllt ist, können (und müssen) sie das geltende Recht anwenden. Neben dem allgemeinen Datenschutzrecht ist auch das Telekommunikations- und Telemedienrecht zu berücksichtigen. Kommt eine Behörde zu dem Ergebnis, dass europäisches Recht unterschiedlich ausgelegt werden kann, muss sie darauf hinwirken, dass Auslegungsfragen vom EuGH beantwortet werden. Einzelmeinungen oder Rosinenpickerei liefern am Ende nur weiteren Diskussionsstoff für eine Zentralisierung der Behörden. Sie delegitimieren sich und das Datenschutzsystem, auf das Europa angewiesen ist.

4. Datenkonstruktivismus

Es ist ein modernes und konstruktives Selbstverständnis der Behörden gefragt. Die DSGVO verleiht den Behörden nicht nur Sanktionsrechte, sondern regelt auch einen Beratungsauftrag. Es ist zunehmend Präventionsarbeit gefordert. Repressives Handeln hilft wenig, denn Ziel muss sein, Datenschutzverstöße im Vorfeld zu verhindern, statt im Nachhinein zu sanktionieren. Das gelingt nur, wenn Behörden ihre Aufgabe als Berater und Begleiter der Digitalisierung verstehen. Dafür gibt es Beispiele. Wie konstruktive Behördenarbeit aussehen kann, stellte jüngst Baden-Württemberg unter Beweis. Der dortige Landesbeauftragte für den Datenschutz und die Informationsfreiheit genehmigte einen Code of Conduct mit dem Titel „Trusted Data Processor“. Auftragsverarbeiter wie Microsoft können sich dem Standard unterwerfen und somit nachvollziehbar belegen, dass ihre Produkte datenschutzkonform sind. Das entspricht dem Willen der DSGVO, die auf solche Verfahren setzt. Es hilft auch Unternehmen und Behörden, denn sie können zuverlässige Anbieter auswählen. Insgesamt gilt es, mit Wirtschaft, Wissenschaft und Gesellschaft konstruktiv zusammenzuarbeiten. Die Stiftung Datenschutz des Bundes etwa hat jüngst „Grundsatzregeln für die Anonymisierung personenbezogener Daten“ und einen zugehörigen Praxisleitfaden für die Durchführung der Anonymisierung veröffentlicht. Die Praxis erhält damit konkrete Handreichungen. Im Rahmen des Digitalgipfels der Bundesregierung hat die Fokusgruppe Datenschutz des Bundesinnenministeriums schon im Jahr 2019 einen entsprechenden Ansatz zur Pseudonymisierung vorgelegt. Vertreter von Aufsichtsbehörden waren auch hier konstruktiv beteiligt.

Mit der Digitalisierung leben bedeutet schon in der Gegenwart, mit einer sich dynamisch entwickelnden Zukunftstechnologie zu leben. Jede neue Technik von der Eisenbahn über die Autofahrt bis zum Fliegen verlangt der Menschheit ab, Risiken zu kalkulieren, wenn sie sich für deren Einsatz entscheidet. Das bedeutet, Vorkehrungen gegen vorhersehbare Gefahren sorgfältig zu treffen und mit unvermeidbaren Restrisiken zu leben. Wir beklagen in diesem Wissen jährlich weit mehr als eine Million Verkehrstote rund um den Globus.

Auch Datenverarbeitung ist Risikotechnologie. Ein Smartphoneprozessor rechnet etwa deutlich mehr als 100 Millionen Mal schneller als der Apollo 11 Guidance Computer, der vor über 50 Jahren in der Mondrakete verbaut war. Auch wenn damit heute jedes Kind mehr Computertechnik einsetzt als eine Apollo-11-Rakete, kommt die neue Technik nicht als Raketenwissenschaft daher. Wir erleben Datenverarbeitung als in harmlose Alltagsgegenstände verpackt und füttern sie von Siri bis Echo mit Privatwissen, das im Weltwissen der Nutzer aufgeht. Wir speisen das Netz über vernetzte Endgeräte – vom Rasenmäher über Smartphones bis hin zu vernetzten Autos – mit persönlichen Daten in Ton, Text, Bild und Standorten. Weil die Technik so einfach bedient werden kann, aber rechtlich so komplex ist, sieht, spürt und beachtet man deren Risiken so wenig wie Madame Curie die Wirkung von Röntgenstrahlen. Ohne deren Einsatz wollen wir aber auch nicht leben. Wir treffen sorgsam Vorkehrungen gegen ihr Risiko.

MEHR ZUM THEMA

Realität als KI-Puzzle: Die Montage des amerikanischen Künstlers Trevor Paglen rekombiniert Internetfotos zu einem riesigen Wimmelbild.

KÜNSTLICHE INTELLIGENZ

:

Was kann das Sprachmodell ChatGPT?

- HARALD STAUN

- Kommentare:

Veröffentlicht/Aktualisiert:

9

Empfehlungen:

,

20

Tesla- und Twitter-Chef: Elon Musk hatte erst kürzlich seinen „Krieg“ mit Apple beigelegt.

„TWITTER BLUE“

:

Twitters Premium-Konto für Apple-Nutzer teurer

- Empfehlungen:

Veröffentlicht/Aktualisiert:

7

Auf dem Weg in die digitale Welt: Schüler in Erfurt

MILLIARDEN FÜR DIE BILDUNG

:

Der Digitalpakt Schule ist besser als sein Ruf – vermutlich

- LISA BECKER

- Kommentare:

Veröffentlicht/Aktualisiert:

9

Empfehlungen:

,

4

Die wenigsten werden auch auf datengestützte Navigation zur Fortbewegung oder gar auf die Nutzung einer Schreib- oder Videokonferenzsoftware verzichten wollen. Auf Microsoft 365 können wir aktuell nicht verzichten, wenn das digitale Leben weitergehen soll. Die Europäische Union hat sich dazu entschieden, mit einer eigenen Datenstrategie für den Binnenmarkt ihren Platz auf der digitalwirtschaftlichen Weltkarte einzunehmen. Derzeit behaupten sich dort die USA, China und Indien. Wir machen uns im Bewusstsein der damit verbundenen Risiken zum Baustein im Internet der Menschen und der Dinge. Mit jedem Foto, das wir machen, und mit jedem Schritt, den wir mit dem Handy in der Tasche gehen, übertragen wir eine Vielzahl von Daten, die genutzt werden können. Wir spiegeln unsere körperliche Existenz in der Welt der Daten und machen uns transparent. Die Menschen nutzen im Netz ihre Daten und damit sich selbst zum Wohle und auf das Risiko aller. Das ist ein auf Gegenseitigkeit fußendes Zusammenwirken. Weil sich die Menschheit nichts schenkt, muss sie die Tech-Konzerne und die Onlinewirtschaft, die Infrastruktur und die Welt der Daten mit den Daten der Menschen beherrschen und Nutzen mit ihren Daten zahlen. So ist es gekommen, und so ist es grundsätzlich von den Menschen gewollt und rechtlich entschieden. Dass es risikolos ist, wenn man mit seiner Persönlichkeit zahlt, kann bei Licht betrachtet niemand glauben.

Wir können, wollen und werden deswegen aber nicht auf unsere Grundrechte verzichten. Die deutschen Datenschutzaufsichtsbehörden haben einen wichtigen Anteil an der Herstellung der Ausgewogenheit des Systems zu deren Schutz. Sie müssen alle Ziele und Interessen ausgewogen wahren, welche die Erwägungsgründe der DSGVO benennen und welche die neuen Datenakte betonen. Die Aufsichtsbehörden sollten ihre unabhängige Stellung im Lichte eines digitalen Europas neu justieren. Der europäische Gesetzgeber strebt mit der digitalen Datenstrategie einen Binnenmarkt an, in dem die oberste Prämisse nicht die Datenminimierung oder Datenvermeidung, sondern die Datennutzung zum Wohle der Allgemeinheit ist. Das erfordert ein Umdenken: weniger diffuse Produktwarnung und mehr Beratung zur datenschutzkonformen Datennutzung.

Kristin Benedikt ist Richterin am Verwaltungsgericht Regensburg, Datenschutzbeauftragte des Gerichts und gehört dem Vorstand der Gesellschaft für Datenschutz und Datensicherheit (GDD) e. V. an.

Thomas Kranig ist Präsident des Bayerischen Landesamtes für Datenschutzaufsicht a. D., das er von 2011 bis 2020 leitete, und war zuvor Richter am Verwaltungsgericht Ansbach.

Professor Dr. Rolf Schwartmann forscht zu Medienrecht, Daten und Digitalisierung an der TH Köln und leitet dort die Kölner Forschungsstelle für Medienrecht und steht dem Vorstand der GDD vor. Er ist Mitherausgeber der Fachzeitschrift „Recht der Datenverarbeitung“ (RDV) und der Heidelberger Kommentare zu DSGVO/BDSG und TTDSG. Ein Teil des Autorenteams ist Mitherausgeber von Schwartmann/Benedikt/Reif, „Datenschutz im Internet“, einem Rechtshandbuch, das 2023 erscheinen wird.

Dirk Bergmann

filter_list

- 1

Frank Müller_60223

vor 18 Minuten

Microsoft kann die DSGVO nicht rechtskonform einhalten, da MS sich an US-Recht zu halten hat: Cloud Act. Auf Verlangen von US-Behörden sind sämtliche von US-Unternehmen und deren Töchtern im US-Ausland kontrollierten Daten an US-Behörden heraus zu geben.

Microsoft muss sich an deutsches Recht und an US-Recht halten. Das US-Recht ist mit der EU-DSGVO inkompatibel. Mehrfach vor den höchsten Gerichten bestätigt, siehe Supreme Court United States v. Microsoft Corp., 584 U.S., 138 S. Ct. 1186 (2018) oder EuGH Az. C-311/18.