Breaking-News für #TeamDatenschutz: Der Beschluss der #DSK zum #Datenschutz bei #Office365 mir per #IFG herausgeben: fragdenstaat.de/anfrage/bewert… Die Veröffentlichung auf der Homepage der DSK wird in Kürze erfolgen. #DSGVO
FYI @WebschauDS @DS_Stiftung @Telemedicus @bvd_datenschutz @offenenetze @GDD_eV @kleibold23 @TimWybitul @sayho @RAinDiercks @PiracyByDesign @Ra_Koellner @winfriedveil @FranzOnBrands @datenreiserecht @Dr_Datenschutz @dsnotizen @nhaerting @JoNehlsen @AdOrgaSolutions @stephanschmidt
Meine erste Einschätzung: Schon die Überschrift stellt klar, dass mit Maßnahmen gegen Verantwortliche, die MS Office 365 einsetzen nicht zurechnen ist, zumindest nicht unter dem Gesichtspunkt Auftragsverarbeitung. Bei Drittstaatentransfers könnte es anders aussehen. 
Grundsätzlich erkennt die DSK an, dass eine eigene Verantwortlichkeit neben der Auftragsverarbeitung zulässig ist. Kritisch sei jedoch, dass im Behördenkontext ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f) #DSGVO nicht herangezogen werden könne.
Obwohl die DSK nicht ausdrücklich nicht auf #SchremsII bezieht, geht das Dokument darauf ein und stellt fest was offensichtlich ist: Das Privacy Shield ist aufgehoben, Standardvertragsklauseln sind neu zu bewerten. Unterschieden wird zw. CloudAct und Datentransfer in die USA (👍)
Der DSK geht die Dokumentation der technisch-organisatorischen Maßnahmen nicht weit genug. Ein Vorwurf der m.E. in Anbetracht der umfangreichen Darstellungen von Microsoft in der Dokumentation etc. eher absurd ist und eher mit dem engen Prüfumgang der DSK zusammenhängen dürfte.
Bei Daten die Microsoft in eigener Verantwortlichkeit verarbeitet, fehlen nach Ansicht der DSK Angaben zur Löschfrist. Ein "Fehler", der sich leicht beheben lassen dürfte.
Wenig überraschend: Die Regelung zum Einsatz von Unterauftragnehmern wird bemängelt. Auch das dürfte sich tendenziell leicht beheben lassen, wenn man überhaupt davon ausgeht, dass die DSK hier richtig liegt.
Fazit zum jüngsten Papier der #Datenschutz-konferenz zur Unzulässigkeit von #Microsoft #Office365: Es besteht für Unternehmen kein Grund zur Panik. Der Scope der Prüfung ist unzureichend. Die "Mängel" scheinen eher trivial. Die Auswirkungen von #SchremsII dürften kritischer sein.
• • •
Missing some Tweet in this thread? You can try to
force a refresh
