Microsoft

Aaron Dinnage stellt eine hervorragende Übersicht zu den Diensten in Microsoft 365 bereit.

• https://m365maps.com/
• Microsoft 365 Education 

Allgemeine Hinweise und Informationen zum Microsoft Campus- und School-Vertrag

• Bei der Nutzung gelten die Geschäftsbedingungen für die Produkte und Onlinedienste, insbesondere die "Acceptable Use Policy" von Microsoft.
• Die Betriebssysteme sind immer nur Upgrades von sogenannten Qualifizierenden Betriebssystemen.
• Viele Einrichtungen sind dem Microsoft Campus- und School-Vertrag beigetreten mit einer Laufzeit bis 30. April 2021.
• Die Verwendung Produkte und Services aus diesem Vertrag unterliegt den Bestimmungen aus diesem Vertrag, einschließlich, aber nicht beschränkt auf Haftungsbeschränkungen, Ausschluss von Gewährleistungen sowie den Ausschluss von Rechtsmitteln und Ansprüchen.
• Die Nutzungsberechtigung ist auf den lizenzierten Zeitraum beschränkt.
• Wenn der Vertrag gekündigt wird oder wenn der Beitritt ausläuft und wir für die unter dem Beitritt bestellten Produkte keine unbeschränkten Lizenzen erwerben, müssen sämtliche Produkte, die unter diesem Vertrag genutzt werden, gelöscht werden, wenn der lizenzierte Zeitraum abläuft oder anderweitig vorzeitig gekündigt wird, je nachdem, welcher Zeitpunkt zuerst eintritt.
• Bei der Nutzung einiger Produkte und Onlinedienste können auch die Bestimmung des Servicevertrages gelten, ebenso weitere Datenschutzbestimmungen.

Es ist nicht Aufgabe der IT, des Rechenzentrums oder einzelner Personen, über den Einsatz von Microsoft 365 zu entscheiden. Vielmehr ist dies Aufgabe der Leitung der Hochschule, in Bayern etwa die Hochschulleitung.

Hochschul-Forums Digitalisierung

Die Aussage des Hochschul-Forums Digitalisierung zu Microsoft Teams lautet:

"Microsoft garantiert eine Speicherung auf in Deutschland stehenden Servern. Entsprechend bestehen keine Datenschutzbedenken."

Zu diese Einschätzung ist von Seiten der Stabsstelle anzumerken:

Die bestehenden (datenschutzrechtlichen) Risiken, werden bei dieser Aussage nicht berücksichtigt.

• Der Serverstandort ist für die datenschutzrechtliche Beurteilung nicht maßgeblich, wenn Support und Wartung für diese aus den USA / der ganzen Welt kommen.

Beispiele für die Risiken Public Cloud

• Die Daten werden von Microsoft auch für eigene Zwecke verarbeitet, wenn dies erforderlich ist zwecks Abrechnung- und Kontoverwaltung, Vergütung, interner Berichterstattung und Modellierung, Bekämpfung von Betrug, Cyberkriminalität oder Cyberangriffen, Verbesserung der Kernfunktionalität in Bezug auf Barrierefreiheit, Datenschutz oder Energieeffizienz sowie Finanzberichterstattung und Einhaltung gesetzlicher Verpflichtungen.
• Letzteres gilt für Ermittlungen durch Polizei und Geheimdienste etwa aus den USA, etwas beschränkt durch interne Vorgaben von Microsoft selbst. Solche Ermittlung sind jedoch extrem selten und werden Hochschulen kaum treffen.
• Mit dem Dienst wird vertraglich nur Ausfallsicherheit gewährleistet, d.h. die Nutzer müssen sich eigenverantwortlich um Backups und Archivierung kümmern.
• Daten aus Personalakten dürfen nicht in Office 365 abgelegt werden (z.B. Art. 108 Abs. 3 BayBG)
• Informationssicherheit für die Public Cloud Lösung ist formal durch das BSI C5 Testat auch für Bundesbehörden gegeben. Office 365 muss jedoch sicher konfiguriert werden, etwa Multi-Faktor-Login für alle administrativen Accounts.
• Vorzuziehen ist, dass eine Multi-Vendor-Strategie gewählt wird und auch eigene Lösungen angeboten werden, etwa jitsi-meet, RocketChat oder Nextcloud Talk in Ergänzung zu Lernplattformen.

Interne Prozesse

• Dienstvereinbarung
• Datenschutzdokumentation
• Datenschutzinformation
• Prüfung der Informationssicherheit
• Bereitstellen der notwendigen Ressourcen für die Administration 

Typische Gliederung

• Geltungsbereich
• Funktionsumfang
• Nutzungskonzept
• Datenschutz und Datensicherheit
• Informationssicherheit
• Protokollierung
• Löschung der Benutzerkonten
• Verhalts- und Leistungskontrolle
  => Verzichts auf diese (soweit nicht gesetzlich vorgeschrieben)
• Information und Schulung der Beschäftigten
• Beteiligung und Rechte des Personalrats
  => Festlegen, welche Rolle mit Lesendem Zugriff auf Office 365 für den Personalrat bereitgestellt wird.
• Schlussbestimmungen
• Anlage der zugelassen Dienste

Weitere Dokumente zur Entscheidungsfindung

• Interne Dokumentation zur Wirtschaftlichkeit
• Erwogene Alternativen

Beispielhafte Auswahl von Diensten

• Forms (Online Formulare)
• Planer für die Arbeitsorganisation
• Office Online (Word, PowerPoint, Excel, OneNote, usw. um online und kooperativ nutzen)
• Office Lens (zur Digitalisierung von Dokumenten)
• OneDrive Business
  Teilen eigener Dateien
• Stream (Interne Videoplattform)
• Sway (Alternative zu Prezi)
• Teams (Zusammenarbeit und Kommunikation)
• To Do (Aufgabenverwaltung)
• Whiteboard

Beispiel für nicht aktivere Dienste

• Dynamics
• Flow (wegen der Komplexität)
• MyAnalytics (Persönliche Nutzungsanalyse von Office 365)
• PowerApps
• Skype for Business (da Migration zu Teams)
• Video (da Migration zu Stream)
• Yammer (da im Kern auch über Teams abgebildet)

Microsofts eigene Dienstvereinbarungen zu ihren Diensten

• Allgemeine Informationen
• Auszug aus der Dienstvereinbarung

Microsoft Teams sollte für die Kommunikation mit einer Hausordnung oder Netiquette vorsehen.

Ein gutes Beispiel (auf Englisch) für eine Hausordnung kommt von Storyals.

Microsoft bietet zudem ein Erfolgs-Kit zur Einführung von Microsoft Teams an.

Inhalte der Hausordnung

1. Teams als Zentrum der Kommunikation
2. Rechtliches
   Teams ersetzt weder die ordnungsgemäße Aktenführung noch die Archivierung. Leider verhindert das Urheberrecht in Deutschland Gifs, Memes oder Sticker zu nutzen. Ferner ist Teams kein Ersatz für die Personalakte und steuerrechtlich relevante Unterlagen werden nicht in Teams abgelegt. Und auch mit Teams gilt deutsches Arbeitszeitrecht. 
3. Teams aktiv nutzen!
   Kommunikation mit Bild und Ton ist wichtig, insbesondere wenn man sich nicht direkt treffen kann.
4. Keine Silos bilden!
   Gruppenchats sind geeignet für nicht unmittelbar dienstliche Belange et
   Im Übrigen gehört die Kommunikation in die jeweiligen Teams.
5. Respektvoll kommunizieren!
6. Emoji-Bedeutungen festlegen.

Ein Beispiel könnte sein:

• Die Software und Dienste sind ausschließlich zu studentischen bzw. dienstlichen Zwecken oder für studentische oder dienstliche Projekte einzusetzen unter Beachtung der gesetzlichen Aufbewahrungsfristen und des Archivrechts.
• Sicherungen und Archivierung der Daten muss eigenverantwortlich durch die Nutzenden erfolgen.
• Der Einsatz zu privaten Zwecken ist in den Lizenzbestimmungen nicht vorgesehen. Es werden ausschließlich persönliche nicht übertragbare Lizenzen bereitgestellt.
• Soweit mit der Anwendung personenbezogene Daten Dritter verarbeiten werden, müssen die Vorschriften des Datenschutzes einhalten und die Erfüllung der Informationspflichten sicherstellt werden.
• Bestimmungen und Informationen sind bei Bestellungen über WebShop4All an durch die Bestellung begünstigten Personen weiterzugeben.
• Allgemein gilt: Unveröffentlichte personenbezogene Daten von Personen, die nicht Microsoft 365 bzw. Office 365 nutzen (Fall 1), die nicht im Bezug zu aufgabenbezogene Kommunikation stellen (Fall 2) dürften ebenso wenig wie Daten, die besonderer Geheimhaltung und hohem Schutzbedarf unterliegen (Fall 3), unverschlüsselt in das Speicherangebot des Dienstes übergeben werden.
• Beispiele für Fall 1 sind etwa Anwesenheitslisten oder Listen von Teilnehmenden einer Veranstaltung, für Fall 2 Mitteilungen von Kontaktinformationen oder Wissenswertem mit dienstlichem Bezug über fachlich zuständige oder Kontaktpersonen bei Dienstleistern und Kooperationspartnern, Kurs-/Veranstaltungsteilnehmer sowie für Fall 3 Krankmeldungen und Forschungsverträge mit Geheimhaltung.
• Werden Daten verschlüsselt gespeichert, muss der Schlüssel den Passwortvorgaben der Einrichtung entsprechen oder gleichwertig sicher sein. Das genutzte Verschlüsselungsverfahren hat der technischen Richtlinie BSI TR-02102-1 des Bundesamtes für Sicherheit in der Informationstechnik zu entsprechen.
• Microsoft stellt einige Funktionen seiner Dienste und Software als sogenannte „Optionale verbundene Erfahrungen bereit“. In diesem Fall ist sicherzustellen, dass diese Funktionen ausschließlich mit personenbezogenen Daten der Nutzenden erfolgt und die erforderlichen urheberrechtlichen Nutzungsrechte für eine Weitergabe der Werke an Microsoft bestehen.

User-Accounts

Es gibt viele Wege, die Accounts der Nutzer anzulegen

• Azure-AD Only
• ADFS-Shibboleth
• Hybrididentität in Azure Active Directory
• Manuelles Verwalten

Lizenzen

• Verwalten von Benutzerkonten, Lizenzen und Gruppen mit Office 365 PowerShell
• Manuelles Verwalten

Bayerische Hochschulen können Accounts in Azure-AD sowie Lizenzen auch über StudiSoft zuweisen lassen.

Verantwortliche und deren Datenschutzbeauftrage (neben dem Lizenznehmer)

Microsoft Ireland Operations Limited 

One Microsoft Place, South County Business Park, Leopardstown Dublin 18, Ireland, 

Microsoft Corporation  

One Microsoft Way Redmond, Washington 98052 

Datenschutz 

Themenseite mit FAQ und Kontaktmöglichkeiten von Microsoft 

Betroffenenrechte 

Allgemein 

Hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten stehen Ihnen als einer betroffenen Person die nachfolgend genannten Rechte gemäß Art. 15 ff. DSGVO zu: 

• Sie können Auskunft darüber verlangen, ob wir personenbezogene Daten von Ihnen verarbeiten. Ist dies der Fall, so haben Sie ein Recht auf Auskunft über diese personenbezogenen Daten sowie auf weitere mit der Verarbeitung zusammenhängende Informationen (Art. 15 DSGVO). Bitte beachten Sie, dass dieses Auskunftsrecht in bestimmten Fällen eingeschränkt oder ausgeschlossen sein kann (vgl. insbesondere Art. 10 BayDSG). 

• Für den Fall, dass personenbezogene Daten über Sie nicht (mehr) zutreffend oder unvollständig sind, können Sie eine Berichtigung und gegebenenfalls Vervollständigung dieser Daten verlangen (Art. 16 DSGVO). 

• Bei Vorliegen der gesetzlichen Voraussetzungen können Sie die Löschung Ihrer personenbezogenen Daten (Art. 17 DSGVO) oder die Einschränkung der Verarbeitung dieser Daten (Art. 18 DSGVO) verlangen. Das Recht auf Löschung nach Art. 17 Abs. 1 und 2 DSGVO besteht jedoch unter anderem dann nicht, wenn die Verarbeitung personenbezogener Daten erforderlich ist zur Wahrnehmung einer Aufgabe. Die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (Art. 17 Abs. 3 Buchst. b DSGVO). 

• Wenn Sie in die Verarbeitung eingewilligt haben oder ein Vertrag zur Datenverarbeitung besteht und die Datenverarbeitung mithilfe automatisierter Verfahren durchgeführt wird, steht Ihnen gegebenenfalls ein Recht auf Datenübertragbarkeit zu (Art. 20 DSGVO). 

• Sie haben das Recht, sich bei einer Aufsichtsbehörde im Sinn des Art. 51 DSGVO über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde für bayerische öffentliche Stellen ist der Bayerische Landesbeauftragte für den Datenschutz, Wagmüllerstraße 18, 80538 München. 

Über Ihr Widerrufsrecht und Ihr Widerspruchsrecht informieren wir Sie gesondert. 

Widerspruchsrecht 

Aus Gründen, die sich aus Ihrer besonderen Situation ergeben, können Sie der Verarbeitung Sie betreffender personenbezogener Daten durch uns zudem jederzeit widersprechen (Art. 21 DSGVO). Sofern die gesetzlichen Voraussetzungen vorliegen, verarbeiten wir in der Folge Ihre personenbezogenen Daten nicht mehr. 

Zweck

Einrichten und Betreiben von Arbeitsstätten, einschließlich Betreuung, Herstellersupport und kontinuierlichen Verbesserungen und statistischer Nutzungsanalysen 

Einschließlich Offenlegung für folgende Zwecke von Microsoft 

1. Abrechnung- und Kontoverwaltung 

2. Vergütung, 

3. Interne Berichterstattung und Modellierung 

4.  Bekämpfung von Betrug 

5. Cyberkriminalität oder Cyberangriffen 

6. Verbesserung der Kernfunktionalität in Bezug auf Barrierefreiheit, Datenschutz oder Energieeffizienz 

7. Finanzberichterstattung 

8. Einhaltung gesetzlicher Verpflichtungen 

Rechtsgrundlagen 

• Für die Universität und Personen, die in Kommunikation und Dokumenten identifizierbar sind Art. 6 Abs. 1 lit. e DSGVO i.V.m. Art. 4 BayDSG (insbesondere § 3a ArbStättV, Art. 13 BayBGG, Art. 11 Abs. 1 BayEGovG, § 13 Abs. 7 TMG, Art. 6 Abs, 1 BayDSG, Art. 10 Abs. 1 BayHSchG, Art. 7 BayHO, Art. 20a GG, Art. 3, 3a, 141 BayVerf) 

• Für die Personen, die Office 365 nutzen in der Rolle als

  • Beschäftigter zudem Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 4 BayDSG (§ 106 Gewerbeordnung)

  • Beamte zudem Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 4 BayDSG (Art. 33 Abs. 5 GG)

Rechtsgrundlagen für die Offenlegung an Microsoft (jenseits der Auftragsverarbeitung) 

• Für lizenzierte Personen Art. 6 Abs. 1 lit. b DSGVO sowie Art. 49 Abs. 1 lit c DSGVO (1. und 6.)

• Für vertraglich nicht erforderliche Zwecke, Art. 5 Abs. 1 S. 1 Nr. 2 BayDSG, Art. 49 Abs. 1 lit. d DSGVO (2.-5.,7.,8.) 

Datenkategorien 

1. Dokumente und Dateien 

2. Aufgaben und Lösungen  

3. Kommunikationsdaten 

4. Personenbezogene Basisdaten 

5. Authentifizierungsdaten 

6. Kontaktinformationen 

7. Profilierung 

8. Logfile mit Zugriffen 

9. System generierte Protokolldaten 

Kategorien von betroffenen Personen 

• Für Datenkategorien 1-9 Personen, die Office 365 nutzen oder administrieren 

• Für Datenkategorien 3, 8, 9 Personen, die in der Kommunikation und Dokumenten identifizierbar sind 

Empfänger  

• Microsoft Ireland Operations Limited, zwecks Auftragsverarbeitung und Vertragserfüllung  

• Microsoft Corporation, zwecks Auftragsverarbeitung und Vertragserfüllung und eigener Zwecke 

• Sowie deren Unterauftragsverarbeiter und Supportdienstleister 

Garantien für den Internationalen Datentransfer 

• Für die Hochschule
  Rückausnahmen Art. 49 Abs. 1 lit c DSGVO für Zwecke 1. und 6. 
  Rückaufnahmen Art. 49 Abs. 1 lit. d DSGVO für Zwecke 2.-5., 7., 8.

• Microsoft Corporation  
  Standarddatenschutzklauseln mit zusätzlichen Absicherungen für die Auftragsverarbeitung
  Bei der Verarbeitung für eigene Zwecke gilt die DSGVO unmittelbar für Microsoft.

• Unterauftragsverarbeiter 
  Standarddatenschutzklauseln 

Speicherdauer 

• 90 Tage nach Löschung des Accounts auf Verlangen oder nach Widerspruch (Datenkategorien 4-7) 

• 90 Tage nach Löschung der Inhaltsdaten, nach Wegfall der Erforderlichkeit (Datenkategorien 1-3) 

• 180 Tage (Datenkategorien 8, 9) 

Microsoft 365

Hochschulen treten in der Regel zum Jahrestag den Campus- und Schoolvertrag bei. Dieser ergänzt die Geschäftsbedingungen für die Produkte und Onlinedienste, den Service Level (SLA) und die Auftragsverarbeitung (Online Services Data Protection Addendum - DPA).

Die Verträge werden mit Microsoft Ireland Operations Limited geschlossen. Im Datenschutz beauftragt Microsoft Ireland Operations Limited dann Microsoft Corporation als Unterauftragsverarbeiter. Einige Verarbeitung erfolgen u.U. unmittelbar in der Verantwortung von Microsoft Corporation und Microsoft Ireland Operations Limited fungiert als datenschutzrechtlicher Vertreter von im Geltungsbereich des Europäischen Wirtschaftsraumes. Mit den nationalen Umsetzungen des Europäischen Kodex für die elektronische Kommunikation können sich weitere Änderungen in den Verantwortlichkeiten ergeben.

Azure

Azure unterliegt dem Online-Abonnement-Vertrag und den Azure Servives SLA setzt aber auf die gleiche Vereinbarungen zur Auftragsverarbeitung wie die Dienste rund um Microsoft 365.

Microsoft Store for Business

Dieser unterliegt separaten Bestimmungen seitens Microsofts.

Optional verbundene Dienste und Drittanbieter Addins

Diese unterliegen den Bestimmungen des jeweiligen Anbieters und werden regelmäßig nicht in der Rolle als Auftragsverarbeiter erbracht.

Allgemeines

• Überblick über die Sicherheitsportale zur Microsoft 365 Administration
• Microsoft 365-Sicherheitsdokumentation
• Microsoft-Ressourcen zum Thema Sicherheit
• Informationen zur Microsoft-Sicherheitsbewertung
• Microsoft über Sicherheitsprobleme benachrichtigen (Englisch)
• Transparenzberichte zu Behördenanfragen

Verfügbarkeit

Der Großteil der Dienste von Microsoft hat ein SLA von 99,9% pro Monat. Sollte das SLA nicht einhalten werden und in einem Monat etwa unter 99% fallen, gibt es Gutschriften. Da der Prozess nicht automatisiert ist, muss jede Einrichtung selbst die Verfügbarkeit überwachen.

Über den aktuellen Stand der Verfügbarkeit informiert Microsoft Administratorinnen und Administratoren im Admincenter und öffentlich auf Twitter (alternativer Zugriff über Nitter).

Zudem gibt es eine Statusseite für Microsoft 365 und Azure (letztere bietet auch Retrospektiven von Vorfällen).

Risikoeinschätzungen

• Evaluation eigener Risiken (Clients und Konfigurationen) mit Threat Explorer und Echtzeiterkennung
• Analyse von Risiken für Datenschutzfolgeabschätzungen
• Leitsätze für die Prüfung von IuK-Outsourcing

Compliance

Durch das BSI C5 Testat der Rechenzentren und Dienste von Microsoft werden die Compliancevorgaben für Bundesbehörden für externe Clouddienste erfüllt.

Über die Sicherheitszertifikate und Prüfberichte informiert Microsoft in einem Service Trust Portal.

Tipps

Die Sicherheitsmaßnahmen von Microsoft können auch für eigene Sicherheitszertifizierungen geerbt werden.

Dennoch gilt, die Einrichtung muss auch eigene Maßnahmen ergreifen, etwa die Sicherung administrativer Konten oder Backups.

Microsoft hat eine umfassende Strategie für die Barrierefreiheit in Produkten und Diensten.

Es gibt Bedienhilfen wie Sprachausgabe und Tastenkombinationen bei Office-Apps oder für Teams.

Konformitätsberichte zu den Produkten werden regelmäßig aktualisiert veröffentlicht.

Mit den Office-Anwendungen können Dokumente barrierefrei erstellt werden.

Grundsätzlich gilt, dass Sie Barrierefreiheit einfacher und besser durch die Nutzung von Formatvorlagen und Folienmaster erreichen können.

Informationen stellt Microsoft etwa bereit für

• Word
• PowerPoint
• Excel
• OneNote
• Outlook

Ebenso verfügen die Programme über eine Barrierefreiheitsprüfung für die erstellten Dokumente.

• Branding der Anmeldeseite von Office 365
• Banner und Farben für Corporate Design
• Anpassung des Hilfelinks beim Passwortzurücksetzen

• Hausmesse von Microsoft (englisch)
• Roadmap (englisch)
• Microsofts YouTube-Kanäle (englisch)
  • Microsoft 365 alternativ über Invidio
  • Microsoft Mechanics alternativ über Invidio

• Microsoft-Dokumentation
• Microsoft 365-Hilfecenter für Administratoren und IT-Experten
• Office-Dokumentation für Administratoren und IT-Spezialisten
• Microsoft 365 Education-Dokumentation