Der IT-Sicherheitsblog

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hatte sich neben konkreter Kritik an Produkten der Fa. Microsoft (insb. Teams und Skype) auch zu der Auftragsverarbeitung in dem „Anhang zu den Datenschutzbestimmungen für Microsoft-Onlinedienste“ (Data Protection Addendum, DPA) geäußert. In der anschließenden Auseinandersetzung mit Microsoft wurde in einem Schreiben vom 27. Mai 2020 an die Fa. Microsoft von der BLnBDI unter anderem ein „Rechtswidriger Datenexport wegen unzulässig abgeänderter Standardvertragsklauseln“ statuiert. Dieses Schreiben kann bei FragDenStaat eingesehen werden.

Microsoft hat diese Kritik offensichtlich zum Anlass genommen, das DPA stillschweigend zu ändern. Jedenfalls ist die derzeit (1.7.2020) herunterladbare Version gegenüber der kritisierten Version zum Jahresbeginn verändert. Paulina Jopes hat die Änderungen in einer PDF-Datei dokumentiert.

<Update> Mittlerweile hat der Autor erfahren, dass der Hintergrund dieser Änderungen das Beheben eines Übersetzungproblems ist. Das DPA enstand in englischer Sprache und wurde dann von einem Übersetzungsbüro übersetzt. Dabei wurden die Standardsvertragsklauseln neu übersetzt und nicht etwa die amtliche Übersetzung der EU verwendet. Diese Übersetzungspanne wurde stillschweigend ausgebügelt. Die englische Version wurde Anfang Juni nicht geändert.</Update>

Es gibt gerade eine neue Version der „Bestimmungen für Onlinedienste“ mit Stand Juli 2020.

<2. Update>Microsoft hat am 6.7.2020 einen Blog-Beitrag zu "Datenschutz und Datensicherheit in Bildungseinrichtungen" veröffentlciht. Die Aussagen sind durchaus allgemein gültig. Auch der Europäische Datenschutzbeauftragte hat sich negativ zum Vertrag zwischen der EU und Microsoft geäußert.</2. Update>

<3. Update>Am 8.7.2020 hat Microsoft eine Stellungnahme zu den "Hinweisen für Berliner Verantwortliche zu Anbietern von Videokonferenz-Diensten" geäußert. Darin wird betont, dass es zu den Abweichungen von den Standardvertagsklauseln in den Jahren 2013/14 ein Konsultationsverfahren mit der Art. 29-Gruppe gab. Die Art. 29-Gruppe war mit den Abweichungen einverstanden. Hierbei ging es insbesondere um das Verfahren bei der Änderung von Unterauftragnehmern.</3. Update>

Vergleicht man die aktuelle Version der Anlage 2 des DPA mit den offiziellen Standardvertragsklausel der Europäischen Kommission, findet man nur noch marginale Unterschiede, die nicht mehr zu der Kritik berechtigen, dass Microsoft „die Standardvertragsklauseln negativ abgeändert hat“.

Am 3. Juli hat die BlnBDI eine "Kurzprüfung von Videokonferenzdiensten" vorgelegt. Danach werden 17 Videokonferenzanbieter rechtlich und fünf zusätzlich technisch nach einem Ampel-System bewertet. Rechtlich gibt es zehnmal Rot, zweimal Gelb und fünfmal Grün sowie technisch fünfmal Gelb. Manche Bewertungen erschließen sich dem Leser nicht. Warum "frei verfügbare Jitsi-Angebote" mit Gelb bewertet werden, wenn es doch zu den Verstößen heisst "in der Regel ja, da kein Auftragsverarbeitungsvertrag". Ist kein Auftragsverarbeitungsvertrag besser als einer mit Mängeln? Während die rechtlichen Mängel mehr oder weniger begründet werden, gibt es zu der technischen Prüfung praktisch keine Aussagen. Hier wurden bestimmt keine technischen Maßnahmen wie z.B. Verschlüsslungsprotokolle oder Passwortspeicherung geprüft.

Da Aufsichtsbehörden - völlig zu Recht - immer auf dem Stand der Technik bei den technisch-organisatorischen Maßnahmen bestehen, müsste eine Aufsichtsbehörde sich mal zum Stand der Technik bei Videokonferenzen äußern. Der Autor hat erhebliche Bedenken, dass Ende-zu-Ende-Verschlüsselung bei Videokonferenzen Stand der Technik ist. Nur wenige Anbieter (z.B. Apple FaceTime, Google Duo, Jitsi) bieten überhaupt Ende-zu-Ende-Verschlüsslung für kleine Gruppen an. Zoom hat Ende-zu-Ende-Verschlüsselung immerhin angekündigt. Eine Transportveschlüsselung mit guter, aktueller Verschlüsselung (z.B. TLS 1.2 oder TLS 1.3) zwischen den beteiligten Geräten (Clients und Server) kann dagegen als Stand der Technik angesehen werden.

Bleibt natürlich nach wie vor die Frage, ob die Verarbeitung der Daten zu eignen Zwecken durch Microsoft durch eine Auftragsverarbeitung geregelt werden sollte. Der Kern des Art. 28 Abs. 3 Lit. a DSGVO, dass personenbezogene Daten „nur auf dokumentierte Weisung des Verantwortlichen … verarbeitet“ werden dürfen, widerspricht der Verarbeitung zu eigenen Zwecken durch den Auftragsverarbeiter. Hier wäre sicherlich das Konzept der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO (siehe z.B. die Praxishilfe der GDD zu Details) tragfähiger. Der Auftraggeber verantwortet die Verarbeitung der Daten zu seinen Zwecken und Microsoft verantwortet die Verarbeitung der Daten zu den eigenen Zwecken. Dies bedarf natürlich auch einer vertraglichen Regelung, die inhaltlich einem Vertag zur Auftragsverarbeitung ähnelt. Den Teil zu den Zwecken der Verarbeitung würde es doppelt geben, da beide Vertragsparteien ihre jeweilige Verarbeitung festlegen.

Hierzu müsste Microsoft sehr deutlich und verständlich („in transparenter Form“) festlegen, was mit den personenbezogenen Daten im Verantwortungsbereich von Microsoft passiert. Ständige schleichende Veränderungen der Verarbeitung wären dann nicht möglich.

Würde man in dieser speziellen Konstellation die Auftragsverarbeitung und die gemeinsame Verantwortung verneinen, stünden zwei alleinig Verantwortliche nebeneinander. Dann käme als datenschutzrechtliches Instrument nur noch die Übermittlung der personenbezogenen Daten vom Kunden an Microsoft oder einen entsprechenden anderen Anbieter in Frage.

(Ich danke Stefan Hessel für den Hinweis auf das Dokument von Paulina Jopes.)