Mit Microsoft 365 erhalten Sie immer die aktuelle Version von Microsoft Office.
Sie erhalten zusätzlich 1 TB Speicher pro angemeldetem Nutzer bei Microsofts Cloud-Dienst OneDrive. Microsoft erlaubt, dass Sie Office 365 je nach Paket auf bis zu fünf Rechnern gleichzeitig installieren. Ihre Dokumente und Einstellungen werden über alle Geräte hinweg synchronisiert, wenn Sie sich mit Ihrem Microsoft-Konto anmelden. Weiter bietet der Anbieter für die volle Abonnement-Laufzeit technischen Support per Chat und Telefon. Für Unternehmen, die jetzt einen Vertrag abschließen, verspricht Microsoft DSGVO-konforme und sichere Datenspeicherung auf deutschen Servern. (5)

Aber noch mal die Frage: Ist Microsoft 365 für Unternehmen nicht zulässig, weil es das Datenschutzrecht nicht zulässt? Ein solches Szenario erscheint nicht nur wenig praktikabel, sondern ein genauer Blick in die Datenschutz-Grundverordnung (DSGVO) zeigt: Es lässt sich auch rechtlich kaum begründen. Um die aber durchaus vorhandenen Datenschutzrisiken einzudämmen, sind Unternehmen in aller Regel dazu verpflichtet, vor dem Einsatz von Office 365 im Unternehmen eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Dies bedeutet aber nicht bloß zusätzlichen Aufwand, sondern bringt auch Vorteile mit sich: die Übersicht und Dokumentation über Datenverarbeitungsprozesse, die Identifizierung von Problemen und die Vermeidung von Datenschutzvorfällen sowie den dazugehörigen Bußgeldern.

Aber zurück zu der Frage ob die erfassten Verarbeitungsvorgänge auch rechtmäßig erfolgen können. Am wichtigsten in diesem Zusammenhang sind die Verhältnismäßigkeit der Datenverarbeitungen sowie die Wahl einer passenden Rechtsgrundlage. Unternehmen erfüllen die Anforderungen an die Verhältnismäßigkeit unter folgenden Voraussetzungen:

• Mit dem Einsatz von Microsoft 365 wird insgesamt ein legitimer Zweck verfolgt,
• der Einsatz ist zum Erreichen des Zwecks geeignet,
• es steht kein gleich wirksames, aber milderes Mittel zur Verfügung und
• die Interessen der betroffenen Personen überwiegen nicht die des Unternehmens.

Der allgemeine und legitime Zweck von Microsoft 365 dürfte meist in der übergreifenden Zusammenarbeit im Unternehmen und mit Dritten liegen. Ansonsten variieren die Zwecke je nach Tool und den erfassten Daten. Diagnosedaten werden beispielsweise für die Fehlerbehebung erfasst, personenbezogene Daten bei OneDrive für die Synchronisation von Cloud und Endgerät. Als mildere Mittel sollten zum Beispiel datenschutzfreundlichere Alternativen anderer Anbieter geprüft werden. Auf sie muss aber nicht zwingend zurückgegriffen werden. Die DSGVO erkennt auch an, wenn andere Anbieter beispielsweise deshalb weniger geeignet sind, weil sie schlechter aufeinander abgestimmt sind als Microsoft 365 mit seinen unterschiedlichen Komponenten. Die Bewertung sowie die anschließende Abwägung der Interessen erfolgen streng nach Einzelfall.

Dazu kommt: Über diverse Einstellungen können Unternehmen noch weitere Möglichkeiten ausschöpfen, um das Datenschutzrisiko von Microsoft 365 zu reduzieren.