Sofern Microsoft-Kunden mit Sitz in der EU/EWR die Online-Dienste der Microsoft Corporation (z.B. Office 365) nutzen, werden personenbezogene Daten, für die sie verantwortlich sind, von Microsoft im Auftrag verarbeitet und in Rechenzentren gespeichert, die sich u.a. auch in Drittstaaten befinden.
Die von Microsoft zur Verfügung gestellten Online Services Terms (OST) in ihrer jeweils aktuellen Form müssen daher den Vorgaben der Artikel 28 sowie 44 ff Datenschutzgrundverordnung (DSGVO) entsprechen.
Was ist dabei für die Verantwortlichen als schwierig anzusehen?
Der Aufbau des Textes ist eher undurchsichtig gestaltet:
Zum einen ist der Aufbau der OST insgesamt recht unübersichtlich gestaltet. Dies zeigt sich einmal dadurch, dass die einzelnen Bestandteile der notwendigen Bestimmungen im Sinne von Art. 28 Abs. 3 DSGVO nicht zusammenstehen, sondern im gesamten Text oder über Verweise zu anderen Verträgen, einzelnen Abschnitten oder Anhängen eher versatzstückhaft zu finden sind. So ergeben der eigentliche Volumenlizenzvertrag sowie die Data Processing Terms (DPT) (S. 11 ff der OST in der Version vom Juli 2017) den Vertrag zur Auftragsverarbeitung. Gleichzeitig sieht die Erfüllung des Volumenlizenzvertrags die Erfüllung der Standardvertragsklauseln (Anhang 3 zu den OST in der Version vom Juli 2017, auf welchen in den DPT verwiesen wird) vor (vgl. S. 11 ff der OST in der Version vom Juli 2017). Das erschwert eine schnelle Übersicht aller Regelungen erheblich. Alle wichtigen Bestimmungen müssen also aus verschiedenen Passagen und Bestimmungen herausgelesen und vom Verantwortlichen erst zu einem Gesamtbild zusammengesetzt werden. Zudem gelten die DPT nur für bestimmte Online-Dienste.
Die Angaben zu den Verarbeitungsstandorten sind teilweise widersprüchlich:
Zum einen gibt Microsoft an, dass die Daten in den USA, aber eben auch in allen Ländern verarbeitet werden können, in welchen das Unternehmen einen Standort bzw. eine Tochtergesellschaft hat (vgl. S. 9 der OST in der Version vom Juli 2017). Zum anderen wird je nach Online-Dienst ein gesonderter Ort genannt, an denen die Daten physisch gespeichert werden, entweder begrenzt auf ein sog. „Geo“ (z.B. Europäische Union oder Vereinigtes Königreich), die USA, das Land, in dem der Kunde seinen Mandanten-Account bereitstellt oder den Dienst konfiguriert, wo er bereitgestellt werden soll (vgl. S. 12 der OST in der Version vom Juli 2017), wenn nicht bei dem jeweiligen Online-Dienst zusätzliche Standorte gelten. Gleichzeitig wird über die Webseite http://www.microsoft.com/online/legal/v2/?docid=25&langid=de-DE der Speicherort am Sitz des Microsoft-Kunden festgemacht, also z.B., wenn der Sitz in der Europäische Union ist, werden Daten in Irland, den Niederlanden, Österreich, Finnland und den USA gespeichert. Die Standortangaben begrenzen sich zudem auf das Land, genaue Adressen werden nicht bekannt gegeben.
Zusammen mit den Standorten der zahlreichen eingesetzten Auftragsverarbeiter, sämtlichen Microsoft-Gesellschaften und den Rechenzentren an unbestimmten Orten eröffnet sich zugleich ein sehr großes wie auch für den Verantwortlichen undurchsichtiges Gebiet, in dem eine Verarbeitung stattfinden kann.
Ein Einspruch gegen den Einsatz weiterer Auftragsverarbeiter ist faktisch nicht möglich:
Weiterhin ist auch beachtlich, dass mit Abschluss des Vertrags der Verantwortliche in den OST zustimmt, dass Microsoft weitere Auftragsverarbeiter einsetzen darf, ohne die eingesetzten Dienstleister zu benennen oder auf die Webseite zu verlinken, wo die Liste der Auftragsverarbeiter bereitgestellt wird.
Microsoft stellt spätestens 6 Monate vor Bestimmung eines neuen Auftragsverarbeiters eine Liste mit den konkreten Daten dieser weiteren Verarbeiter zur Verfügung. Allerdings kann ein Einspruch des Verantwortlichen gegen einen dieser Verarbeiter dann nur durch eine Kündigung des Dienstes, welcher durch den weiteren Auftragsverarbeiter umgesetzt werden soll, wirksam gemacht werden. Sollte dieser Dienst ein Teil einer größeren Anwendung sein, stellt die Teilkündigung dann sogar eine Kündigung der gesamten Anwendung dar.
Sofern der Dienst also noch weiter genutzt werden soll, ist faktisch ein wirksamer Einspruch gegen den weiteren Auftragsverarbeiter nicht möglich.
Ob diese Auslegung des Einspruchs des Verantwortlichen mit der DSGVO konform ist, ist doch wenigstens fraglich.
Das Schriftformerfordernis wird nicht gewahrt:
Mit Art. 28 Abs. 9 DSGVO ist ein Abschluss des Vertrags zur Auftragsverarbeitung in Schriftform nicht mehr zwingend. In den OST werden jedoch auch die Standardvertragsklauseln zum Bestandteil des Vertrages, um insbesondere die mit der Nutzung der Online-Dienste verbundene Datenübermittlung in Drittstaaten abzusichern. Die Standardvertragsklauseln sind aber nur wirksam, wenn sie, wie im Annex zum Beschluss der EU-Kommission vom 05.02.2010 (2010/87/EU) vorgegeben, verwendet und nicht verändert werden. Durch die Unterschriftsfelder und in den Anhängen durch den Satz "Dieser Anhang ist Bestandteil der Klauseln und muss von den Parteien ausgefüllt und unterzeichnet werden“ deutet vieles darauf hin, dass der Abschluss der Standardvertragsklauseln der Schriftform bedarf. Es bleibt also fraglich, ob Standardvertragsklauseln mit der aufgedruckten Unterschrift durch den Corporate Vice President von Microsoft und ohne Unterschrift des Microsoft-Kunden in letzter Konsequenz wirksam einbezogen werden können.
Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz