Sind Sie auf der Suche nach einem modernen, funktionsreichen Kommunikationssystem ohne großem Aufwand? Mit 3CX müssen Sie sich nicht länger Gedanken über eine komplexe und mühsame Verwaltung und Installation machen. Schnell und einfach können Sie das System einrichten, konfigurieren und entsprechende Benutzer verwalten.

Die Installation & Konfiguration mit 3CX ist völlig unkompliziert:

• vorkonfigurierte Templates für eine einfach Integration gängiger SIP-Trunk-Anbieter
• Plug & Play Interoperabilität von IP-Telefonen und Gateways für eine automatische Konfiguration
• erweiterte Sicherheitsfunktionen einschließlich automatischer Updates und globaler IP-Blacklist
• Einrichtung in der Cloud oder on-Premise mit Windows, Linux, per MiniPC oder Raspberry Pi
• einfache Migration jederzeit möglich dank integrierter Sicherung & Wiederherstellung
• Über die simple, benutzerfreundliche Verwaltungskonsole können Sie...
• Nebenstellen und DIDs erstellen, bearbeiten oder entfernen
• die Firmware Ihrer IP-Telefone upgraden
• IP-Telefone ferngesteuert erneut provisionieren und neu starten
• Updates für das System und SIP-Trunks mit einem einzigen Klick durchführen
• serverseitige CRM-Integrationen umsetzen

Mit 3CX ist die Bereitstellung Ihrer Telefonanlage unkompliziert und vor allem flexibel. Sie haben die Wahl, wo Sie Ihre Telefonanlage betreiben und behalten die volle Kontrolle über Ihre Daten - ob vor Ort, von 3CX gehostet oder in Ihrem eigenen privaten Cloud-Konto. 

Gehostet durch 3CX

• Verwaltung durch 3CX nimmt Ihnen jeden Aufwand ab
• automatische Versions-Upgrades und Sicherheits-Patches 
• Inklusive 24/7-Überwachung und tägliche Backups
• Eigene Cloud
• einfaches Einrichten Ihrer kostenlosen Cloud-Telefonanlage binnen weniger Minuten
• Auswahl unter einer Vielzahl etablierter Cloud-Anbieter wie Google, Microsoft Azure, Amazon Web Services, Amazon Lightsail und anderen
• kostenlose Standardlizenz
• Einrichtung vor Ort
• Einrichtung auf einer bestehenden Windows- oder Linux-Maschine
• Einrichtung per MiniPC oder Raspberry Pi
• Virtualisierung und Segregation mit Hyper-V, VMware oder KVM

Im Bereich VoIP-Sicherheit setzt 3CX maßgebende Standards. 3CX´s integrierte Sicherheitsfunktionen wurden zielgerichtet für den Schutz Ihres Telefonsystems vor Übergriffen entwickelt. 

• erhöhte Sicherheit bei der Webserver-Konfiguration
• automatisches Erkennen & Blacklisting von SIP-Angriffs-Tools
• globale IP-Blacklist, welche sich automatisch für teilnehmende Telefonanlagen aktualisiert
• Verschlüsselung des Verkehrs zu 3CX Apps via 3CXTunnel
• Verschlüsselung des Sprachverkehrs via SRTP
• automatisches Erstellen und Verwalten von SSL-Zertifikaten
• revolutionäre VoIP-Sicherheit mit A+ Rating durch SSL Labs
• automatische Ausfallsicherheit durch sofortige Datensicherung
• gesicherte Verschlüsselung zwischen Browser und Website durch HTTPS
• IP-basierte Zugriffsbeschränkung für 3CX-Verwaltungskonsole

3CX ermöglicht es Ihnen nicht nur, Ihre laufenden Telekommunikationskosten zu reduzieren, sondern auch erhebliche Kosten bei der Beschaffung, Erweiterung und Wartung Ihrer Telefonanlage zu sparen.

• Reduktion von Telefonrechnungen um bis zu 80 %
• Lizenzierung basierend auf Anzahl simultaner Anrufe statt Nebenstellen
• kostenfreie interne Anrufe zwischen Büros und Außenstellen
• kostenlose Anrufe an remote Mitarbeiter via Webclient und iOS/Android Apps
• Nutzung gängiger SIP-Trunks zur Reduktion von Gebühren für ausgehende Anrufe
• Reduktion von Reisekosten dank integrierter Webkonferenzen
• Verzicht auf teure 0800-Nummern dank WebRTC-Integration
• Verwendung internationaler DIDs & IP-Telefonie ermöglicht Kunden eine günstige Einwahl

3CX lässt Sie Ihre Nebenstelle überall hin mitnehmen. Dank Apps für Android und iOS, dem Webclient und Windows-Softphone sind Sie überall und jederzeit erreichbar. Und mit den Integrationen von 3CX Livechat und Facebook Messaging können Kunden Sie direkt über Ihre Website oder Ihre Facebook-Seite erreichen.

Laden Sie die 3CX Apps auf Ihrem Android/iOS-Gerät herunter

• Nutzen Sie Ihre Nebenstelle von überall her
• Profitieren Sie von kostenlosen VoIP-Anrufen über Ihr Smartphone
• Verlängern Sie Akkulaufzeiten durch Push-Benachrichtigungen
• Verknüpfen Sie alle Apps gleichzeitig durch SIP-Forking
• Verwenden Sie fortschrittlichste Android & iOS VoIP Apps auf dem UC-Markt
• Integrieren Sie Funktionalitäten wie Status, Webkonferenzen und Instant Messaging
• Benutzerfreundliche Web App
• multifunktionale Web App mit umfassenden UC-Features
• Anrufen direkt über den Browser oder per IP-Telefon und Smartphone
• Beantwortung eingehender Kundenanfragen via Live-Chat, Facebook und SMS auf einer Oberfläche
• integrierte WebRTC-Technologie für eine reduzierte Bandbreitennutzung
• integrierte Videokonferenzen mit einem Klick
• keinen Anruf mehr verpassen mit der Browsererweiterung für Chrome 
• Einfach zu nutzende Windows App
• Initiieren von Anrufen via IP-Telefon direkt über den Desktop im CTI-Modus
• Arbeiten von überall her 
• Status von Kollegen stets im Blick behalten
• Rezeptionisten-Ansicht, um Anrufe zu verwalten und einfach per Drag & Drop weiterzuleiten
• Tätigen von Anrufen direkt aus dem CRM sowie nahtlose Integration von MS Exchange, Microsoft Outlook oder internen Telefonverzeichnissen
• automatische Berichte zu Kunden- und Mitarbeiteraktivitäten
• Planen von Webkonferenzen und Starten von Ad-hoc-Meetings
• integriertes Wallboard und Q-Manager-Ansicht
• 3CX Live Chat: Kundenkommunikation auf nächster Ebene
• Kontaktaufnahme durch Kunden per Chat, Anruf oder Video direkt über Ihre Website
• völlig kostenfrei für Sie und Ihre Kunden - ohne weitere Abos oder Gebühren
• Verwaltung eingehender Nachrichten über den Webclient der Agenten
• einfaches Übertragen von Chats an andere Teammitglieder
• einfache Konfiguration in nur wenigen Schritten
• Integration von Facebook Messenger
• Integration der Facebook-Seite von Unternehmen und Weiterleitung aller eingehenden Nachrichten an den Webclient
• Beantwortung von Kundenanfragen durch Agenten auch ohne Zugriff auf Facebook 
• Weiterleitung und Zuweisung von Nachrichten an bestimmte Nebenstellen oder Warteschleifen
• Integration in wenigen Minuten durch simple 3-Schritt-Konfiguration
• Empfang & Versand von Business-SMS
• Versand und Empfang von Textnachrichten direkt über den Webclient und die Smartphone Apps
• Weiterleitung eingehender SMS an bestimmte Warteschleifen mit mehreren Agenten, damit keine Nachricht unbeantwortet bleibt
• persönliche Handynummer von Mitarbeitern bleibt vertraulich
• Weiterleitung von Nachrichten an die gleiche Chat-Oberfläche wie Livechat und Facebook
• Integrierte Videokonferenzen 
• kostenlos für bis zu 250 Teilnehmer
• unbeschränkte Anzahl an Nutzern für alle Editionen
• Initiierung von Konferenzen mit nur einem Klick
• Einwahl in Meetings per Telefon
• Bandbreitensteuerung und -kontrolle
• Fernsteuerung zum schnellen, einfachen Troubleshooting - Bildschirmfreigabe ohne zusätzliche Erweiterungen/Plugins
• Hochladen von PDFs im Vorfeld von Meetings
• einfaches Umfrage-Tool für unmittelbares Feedback

Mit den 3CX PRO- und Enterprise-Editionen erhalten Sie ohne zusätzliche Kosten Zugang zu einem umfangreichen Paket aus Callcenter-Funktionalitäten. Steigern Sie Ihren Vertrieb, erhöhen Sie Ihre Produktivität und bieten Sie exzellenten Support mit 3CX’s Contact-Center-Technologie. 

• Callcenter-Berichte zu Mitarbeiteraktivität, Team-Warteschleifen, SLAs und mehr
• Warteschleifen-Strategien & Echtzeit-Statistiken – Rundlauf, Zuweisung an drei Agenten gleichzeitig und mehr
• Optionen zum Aufschalten, Mithören und Flüstern für Gespräche
• CRM-Integration mit gängigen CRMs – Salesforce, Office 365, Freshdesk und mehr
• 3CX CRM-API für die Entwicklung Ihrer eigenen CRM-Integration
• Livechat zur Kommunikation mit Ihren Website-Besuchern und für Echtzeit-Support 

Am 3. Juli 2020 veröffentlichte die Berliner Datenschutzaufsichtsbehörde BlnBDI (Berliner Beauftragte für Datenschutz und Informationsfreiheit) eine Stellungnahme zur Nutzung der bekanntesten Videokonferenzdienste. Das Ergebnis ist auf den ersten Blick deutlich und legt nahe, dass diese Dienste aus datenschutzrechtlicher Sicht nicht rechtskonform eingesetzt werden können. Wir werfen einen längeren Blick auf das Dokument und erläutern die Ergebnisse für den Dienst Teams von Microsoft näher.

ACHTUNG: Dieser Beitrag beschreibt lediglich ausgewählte Aspekte der Veröffentlichung und stellt u.a. die Ansicht der Behörde oder von Microsoft dar. Er ersetzt keine Rechtsberatung im Einzelfall. Wenn Sie in Ihrem Unternehmen Teams oder einen der anderen erwähnten Dienste betreiben, stimmen Sie sich bitte mit Ihrem Datenschutzbeauftragten ab oder nehmen Sie unsere Angebote zur Beratung im Datenschutz in Anspruch.

Kurzfassung: Wir fassen die Inhalte der Stellungnahme und die wichtigsten in ihr dargestellten Mängel bei Microsoft Teams zusammen und erläutern Microsofts Antworten dazu.

Hier finden Sie den Bericht der Aufsichtsbehörde zum Nachlesen.

Bei der Kurzprüfung wurde nicht die gesamte SaaS-Infrastruktur oder gar die gesamte Datenverarbeitung geprüft, der Schwerpunkt lag auf der Bewertung der Rechtskonformität der von den Anbietern angebotenen Auftragsverarbeitungsverträge. Diese selektive Prüfung hat somit einen wesentlichen Teil der im Datenschutzkontext geforderten Regelungen im Fokus. 

Was ist ein Auftragsverarbeitungsvertrag und war um spielt das hier eine Rolle? 

Die Auftragsverarbeitung ist in Art. 28 DSGVO geregelt: Sie ist bezeichnet Verarbeitungen von personenbezogenen Daten durch einen Dienstleister im Auftrag des Verantwortlichen. Im vorliegenden Fall ist ein Unternehmen, das Teams einsetzt, der Verantwortliche. Microsoft hingegen ist der Auftragsverarbeiter, da es die Infrastruktur und die Dienste zur Verfügung stellt, in denen Daten z.B. erfasst, gespeichert oder gelöscht werden. Der Auftragsverarbeiter handelt  immer nur im Auftrag des Verantwortlichen und darf dabei keine „eigenen Zwecke“ verfolgen, also die Daten nicht selber weiterverwenden. 

Die inhaltlichen Anforderungen an einen sog. „AV-Vertrag“ regelt Art. 28 DSGVO: Der Vertrag klärt Befugnisse und Weisungen sowie Gegenstand und Zweck der Verarbeitung. AV-Verträge sorgen auch dafür, dass Unternehmen eine gewisse Sicherheit bei der Weitergabe von Daten haben. Falls der Auftragsverarbeiter einen Datenschutzverstoss begeht, kann so jedenfalls nachgewiesen werden, dass die Verantwortung in seinem Aufgabenbereich lag. Gesamtverantwortlich bleibt allerdings immer der Verantwortliche selber.

Bei den geprüften AV-Verträgen handelt es sich immer um Verträge, die vom Anbieter an den Nutzer übermittelt werden, bei Microsoft z.B. im Rahmen des veröffentlichten „Anhangs zu den Datenschutzbestimmungen für Microsoft-Onlinedienste“, den sog. DPAs, die ein Unternehmen per Nutzung akzeptiert. 

Insgesamt wurden 17 Dienste von der BLnBDI geprüft, darunter so bekannte wie Zoom, Google Meet, GoToMeeting, Cisco WebEX oder Microsoft Teams. 

In einer Gesamtübersicht werden symbolische Ampeln in rot, gelb und grün als Ergebnis der Prüfung vergeben - von 17 geprüften Diensten erhalten 10 „rot“, darunter auch sämtliche oben genannten Anbieter. Es erstaunt nicht besonders, dass die mit „grün“ bewerteten Dienste fast ausschließlich europäische Anbieter sind.

Alleine schon durch die Fehler in den AV-Verträgen ist lt. Ansicht der Aufsichtsbehörde eine rechtskonforme Nutzung der Dienste nicht mehr möglich. 

Die Anmerkungen zu Teams beginnen in der Stellungnahme mit der Aufzählung der Kritikpunkte: 

• Anbieter behält sich die Verarbeitung von Auftragsdaten zu eigenen Zwecken vor,
• Mängel im AV-Vertrag, viele Unklarheiten und Widersprüche,
• Unzulässige Datenexporte,
• Anbieter hat veröffentlichten AV-Vertrag ohne Kennzeichnung umfangreich nachträglich geändert,
• Version vom 3.1.2020 (lt. Metadaten) enthält unzulässige Einschränkungen des Weisungsrechts.

Wenn man diese Punkte zusammenfasst, kommt man zu drei Hauptmängeln, auf die wir im Folgenden näher eingehen: 

a) Die Verarbeitung der Daten erfolgt auch „zu eigenen Zwecken“ von Microsoft,

b) Die Anforderungen an einen Auftragsverarbeitungsvertrag werden nicht vollständig erfüllt,

c) Vertragsdokumente werden nach Abschluss ohne Information geändert.

a) Verarbeitung zu eigenen Zwecken: 

Die Behörde bemängelt in Ihrer Stellungnahme, dass Microsoft sich im AV-Vertrag die Nutzung der verarbeiteten Auftragsdaten zu eigenen Zwecken vorbehält. Abgesehen davon, dass das dem grundsätzlichen Sinn der Auftragsverarbeitung widerspreche, sieht die Behörde auch keine Rechtsgrundlage, nach der diese Vereinnahmung der Daten zulässig wäre. Es wird damit außerdem der Anwendungsbereich von Art. 26 DSGVO eröffnet, die sog. „gemeinsamen Verantwortlichkeit" oder "Joint Controllership“. Hierfür müsse eine eigene vertragliche Regelung getroffen werden, die jedoch im Vertragswerk nicht enthalten sei. Somit könne der Verantwortliche seiner Rechenschaftspflicht dem Betroffenen gegenüber nicht mehr nachkommen, da die Datenverarbeitung auf Microsoft-Seite nicht nachvollziehbar wäre. 

b) Mängel im AV-Vertrag:

Weiter werden formale und inhaltliche Mängel im Vertrag aufgezählt: Die Microsoft-DPA enthalte an vielen Stellen Regelungen, die den gesetzlichen Mindestanforderungen widersprächen.

So gäbe es z.B. im Abschnitt „Datenschutzbestimmungen – Verarbeitung personenbezogener Daten; DSGVO“ einen Verweis auf die Anlage 3, die dann auch Inhalte aus den Art. 28, 32 und 33 DS-GVO wiedergibt. Für den Verantwortlichen bliebe völlig unklar, ob und welche diese Regeln nun für Microsoft verpflichtend seien: Die des Anhangs oder die des eigentlichen Vertrags - es ergibt sich eine Art „Zirkelbezug“.  

An einer anderen Stelle werde die Weisungsbefugnis des Verantwortlichen eingeschränkt oder die Pflicht von Microsoft zur Meldung von Datenpannen auf „billiges Ermessen“ seitens des Verarbeiters abgestellt - sprich: Nur wenn Microsoft der Meinung ist, dass es sich um eine Panne handelt, muss gemeldet werden. Das widerspräche aber den Regelungen der DSGVO. 

Es sei ausserdem im Vertrag vereinbart, dass eine Rückgabe oder Löschung der Daten nach Zweckwegfall nur auf Wunsch des Verantwortlichen vorgesehen ist und nicht automatisch. 

Die Behörde bemängelt ferner, das im Punkt „Datensicherheit – Prüfung der Einhaltung“ Einschränkungen und Abwandlungen der sog. Standardvertragsklauseln (SCC) der EU-Kommision vorgenommen würden, obwohl der Grundsatz der Nutzung dieser Regelungen eben die Unveränderlichkeit und die Nicht-Einschränkbarkeit sei. Standardvertragsklauseln sollen den Export von Daten in sog. Drittländer regeln, die nicht im Geltungsbereich der DSGVO liegen und keine, der DSGVO angemessenen und von der EU-Kommission anerkannten Garantien für den Datenschutz bieten. Wenn nun die Standardvertragsklauseln unwirksam wären, könnte sie den Datenexport nicht mehr rechtfertigen. Microsoft weist zwar außerdem auf die Selbstzertifizierung nach dem US-EU-Privacy Schild hin, diese Garantie gilt aber nur für die USA, nicht alle anderen Drittländer, in die Daten exportiert werden. 

All diese Mängel würden es dem Verantwortlichen unmöglich machen, so die Aufsichtsbehörde, „seiner Rechenschaftspflicht nach Art. 5 Abs. 2 i. V. m. Art. 5 Abs. 1 lit. a DSGVO nachzukommen“.

c) Vertragsdokumente werden nach Abschluss ohne Information geändert:

Die Behörde bemängelt außerdem, dass Microsoft den „Anhang zu den Datenschutzbestimmungen für Microsoft-Onlinedienste (Deutsch, Januar 2020)“ (folgend: „DPA“) ohne Kennzeichnung nachträglich umfangreich geändert hätte. Anhand der Metadaten liesse sich feststellen, dass es ein Dokument gäbe, dass am 3.1.2020 erstellt wurde und ein Dokument, das am 9.6.2020 erstellt wurde. Die Bezeichnung der Dokumente sei gleich, das von Microsoft im Internet veröffentlichte Vertragsdokument wurde stillschweigend ersetzt. In der Versionsübersicht („Verdeutlichungen und Zusammenfassung der Änderungen“) stehe ausdrücklich „Keine“, obwohl weite Teile geändert wurden. Der überwiegende Teil der Änderungen sei „rein sprachlicher Art“. Insbesondere würde in der Version vom 9.6.2020 die Anlage Standardvertragsklauseln, die ursprünglich sehr umfangreiche Abweichungen vom Wortlaut der genehmigten Standardvertragsklauseln enthielt, im Wesentlichen dem genehmigten Text ange- passt. Allerdings gibt es auch relevante inhaltliche Änderungen. Die meisten Änderungen seien „positiv zu bewerten“. Dennoch bliebe das wichtigste Grundproblem des Vertrags besehen, dass er eben an vielen Stellen unklar und widersprüchlich sei. 

Die Behörde sagt in ihrem Bericht: „Wir weisen darauf hin, dass wir angesichts der nachträglichen nicht dokumentierten Änderung des veröffentlichten Auftragsverarbeitungsvertrags durch Microsoft bei Prüfungen beabsichtigen, auch die Einhaltung der Form des Auftragsverarbeitungsvertrags gemäß Art. 28 Abs. 9 DS-GVO und die entsprechende Nachweisbarkeit (Art. 5 Abs. 2 DS-GVO) zu prüfen.“ 

Das ist eine klare Ansage an alle Verantwortlichen, denn letztlich sind sie es, die für die Datenverarbeitung und die vereinbarten vertraglichen Regelungen haften.

Wichtig ist es zu verstehen, dass diese Kritik von einer einzelnen Landes-Aufsichtsbehörde geübt wird. Folglich richten sich die Hinweise erst einmal nur an „Berliner Verantwortliche“. Wie die Aufsichtsbehörden anderer Länder damit umgehen werden, ist offen. Es gibt bisher, unseres Wissens nach, kein Bußgeld gegen einen Betreiber von Teams, außerdem fehlt eine klare Rechtsprechung dazu. Es ist aber davon auszugehen, dass die Situation sich laufend verändern wird. 

Microsoft hat bereits ausführlich zu allen Punkten Stellung genommen und legt dar, warum aus ihrer Sicht die Kritik nicht gerechtfertigt sei. Die komplette Stellungnahme findet man hier. Darin wird unter anderem gesagt: 

Die Verarbeitung zu eigenen Zwecken wird von Microsoft als „legitime Geschäftstätigkeit“ gesehen und auch so beschrieben. Es gehe vor allem um die mit der Erbringung der Services in Verbindung stehenden Tätigkeiten wie z.B.nutzungsbasierte Rechnungsstellung, Kapazitätsplanung und Bekämpfung von Cyberkriminalität. Eine Nutzung für Benutzerprofilerstellung, Werbung oder ähnliche kommerzielle Zwecke sei vertraglich jedoch immer ausgeschlossen. Microsoft sieht sich hier, da es keine gemeinsame Entscheidung über Zwecke und Mittel der Verarbeitung gäbe, nicht als gemeinsam sondern als alleinig Verantwortlicher. dadurch wäre eine Regelung zur „Joint Controllership“ nach Art. 26 DSGVO jedenfalls nicht notwendig, die Kritik der Aufsichtsbehörde sei ungerechtfertigt. 

Zu den Mängeln im AV-Vertrag sagt Microsoft, dass sehr wohl alle formalen und inhaltlichen Ansprüche des Art.28 erfüllt würden, man aber bei der Gestaltung darauf Rücksicht nehmen musste, dass diese DPA nicht nur auf die DSGVO fokussiert sei sondern auf alle internationalen Kunden abgestimmt sei, „wodurch gegebenenfalls auch weitere vertragliche Regelungen geboten sind“. Soll wohl heißen: Es ist alles drin, was drin sein muss - enthält aber auch Regelungen für andere Märkte. Tatsächlich schweigt sich der Art. 28 DSGVO zum konkreten Aufbau eines AV-Vertrags aus, es wird nur der Mindestinhalt festgelegt. Es ist daher durchaus anzunehmen, dass der Microsoft AV-Vertrag alle notwendigen Inhalte enthält, der Aufbau aber unstrukturiert ist und daher zumindest Mängel in der Übersichtlichkeit birgt. Ggfs. könnte daraus ein Verstoß gegen das, der gesamten DSGVO zugrundeliegende Gebot der Transparenz abgeleitet werden. 

Auch die Anpassungen an den Standardvertragsklauseln werden erläutert und es wird klargestellt, dass es eine klare Vorrangsregelung zugunsten der SCC gäbe, die in Anlage 2 dokumentiert ist. Microsoft habe bereits in den Jahren 2013/14 (SCCs sind kein Teil der DSGVO) klare Vereinbarungen mit der Artikel-29 Gruppe (einem Vorgänger des europ. Datenschutzausschusses) getroffen, die die Regelungen der Klausel 10 der SCC (in der Controller-Processor-Variante) aufgreift, wonach ausdrücklich erlaubt ist, zusätzliche geschäftsbezogene Klauseln aufzunehmen, solange sie nicht im Widerspruch zum eigentlichen Vertrag stehen. 

Die Änderungen der Vertragsdokumente nach Abschluss ohne Information räumt Microsoft ein und entschuldigt sich dafür. Grund für die verschiedenen Versionen sollen vorangegangene Hinweise der Berliner Aufsichtsbehörde und diverser Kunden auf Übersetzungsfehler aus der englischen Version gewesen sein. Mit den Anpassungen wären jedoch keine inhaltlichen Veränderungen beabsichtigt gewesen. Als Vergleich solle ggfs. die nicht veränderte, englische Originalversion herangezogen werden. 

Nachtrag vom 14. Juli 2020: Microsoft hat mittlerweile eine aktualisierte Version der DPA online gestellt, in der bereits einige Punkte korrigiert wurden. 

Aus unserer Sicht gibt es erstmal kein Ergebnis. Es bleibt aber abzuwarten, wie sich andere Aufsichtsbehörden zu diesem Thema positionieren. Klar ist, dass es nachvollziehbare Regeln für die Verarbeitung von Daten im Auftrag geben muss und die zugehörigen Vertragswerke nachvollziehbar und vor allem rechtskonform sein müssen. Es wird nicht das Ziel der Aufsichtsbehörden sein, Teams „zu verbieten“, aber es ist richtig und wichtig, dass auf Klärung gedrängt wird. Datenschutz ist momentan vor allem ein europäisches Thema, die Umsetzung ist oft schwierig, aber eben deshalb nicht weniger verbindlich. 

Wer heute Teams einsetzt, sollte die Berichterstattung aufmerksam verfolgen. Die Berliner Aufsichtsbehörde hat klargemacht, dass sie vor allem die Verantwortlichen in die Pflicht nimmt und bei Prüfungen auch Form und Nachweisbarkeit der Auftragsverarbeitung prüfen wird. Das geschieht immer beim Verantwortlichen, also bei dem Unternehmen, dass Teams einsetzt und sich im verpflichtend zu klärenden Vertragsverhältnis zum Auftragsverarbeiter Microsoft auf deren Verträge verläßt. Unwissenheit schützt in dem Fall vor Strafe nicht. 

Jedes Unternehmen, das nicht genau weiß, ob die abzuschließenden Verträge mit Auftragsverarbeitern korrekt und vollständig erledigt sind, sollte sich spätestens jetzt mit seinem Datenschutzbeauftragten dazu austauschen. 

Wir sind gespannt und halten Sie auf dem Laufenden.