Datenschutzinformationen im Zusammenhang mit der Nutzung von Microsoft 365
Einleitung: Datenschutz bei der Nutzung von Microsoft 365
Herzlich willkommen zu den Datenschutzinformationen für die Nutzung von Microsoft 365 bei der Magdeburger Mühlenwerke GmbH. Dieses Dokument soll Ihnen transparent und verständlich erklären, wie wir mit Ihren personenbezogenen Daten umgehen, wenn Sie unsere digitalen Arbeitswerkzeuge wie Microsoft Teams, Outlook, OneDrive, SharePoint, Word, Excel und weitere Anwendungen aus dem Microsoft 365-Paket nutzen.
Der Schutz Ihrer persönlichen Daten hat für uns höchste Priorität. Wir möchten, dass Sie sich sicher fühlen und genau wissen, welche Daten wir erheben, warum wir das tun und welche Rechte Sie in Bezug auf Ihre Daten haben. Diese Erklärung ergänzt unsere allgemeinen Datenschutzinformationen und gilt für alle Mitarbeiterinnen und Mitarbeiter sowie für externe Partner, die unsere Microsoft 365-Umgebung nutzen.
Wer ist für Ihre Daten verantwortlich?
Im Datenschutzrecht gibt es eine wichtige Unterscheidung zwischen dem „Verantwortlichen“ und dem „Auftragsverarbeiter“.
Die Magdeburger Mühlenwerke GmbH als Ihr Hauptansprechpartner (Verantwortlicher) Für alle Daten, die Sie im Rahmen Ihrer Arbeit erstellen und bearbeiten – also Ihre E-Mails, Dokumente, Chatnachrichten und Dateien – ist die Magdeburger Mühlenwerke GmbH, bei der Sie beschäftigt sind oder mit der Sie zusammenarbeiten, der rechtlich Verantwortliche. Das bedeutet: Wir legen fest, warum und wie diese Daten verarbeitet werden, um unsere geschäftlichen Ziele zu erreichen und Ihnen eine moderne Arbeitsumgebung zur Verfügung zu stellen.
Microsoft als unser technischer Dienstleister (Auftragsverarbeiter) Microsoft stellt uns die technische Infrastruktur und die Software (Microsoft 365) zur Verfügung. In dieser Rolle ist Microsoft unser Auftragsverarbeiter. Das Unternehmen handelt streng nach unseren Anweisungen und ist vertraglich dazu verpflichtet, Ihre Daten gemäß den geltenden, datenschutzrechtlichen Vorschriften und unseren Vorgaben zu schützen bzw. zu verarbeiten. Microsoft darf Ihre Arbeitsinhalte nicht für eigene Zwecke verwenden.
Eine wichtige Ausnahme: Microsofts Rolle bei der Dienstbereitstellung Für bestimmte technische Prozesse, die für den Betrieb, die Sicherheit und die Abrechnung der Microsoft 365-Dienste notwendig sind, agiert Microsoft als eigenständiger Verantwortlicher. Dies betrifft vor allem technische Protokolldaten (Servicedaten) und Diagnosedaten. Microsoft verarbeitet diese Daten für sogenannte „legitime Geschäftszwecke“ (legitimate business operations), wie die Betrugsbekämpfung, die Verbesserung der Dienstleistung oder die Erfüllung eigener rechtlicher Pflichten. Diese Trennung ist wichtig, da sie klarstellt, dass die Magdeburger Mühlenwerke GmbH die Kontrolle über Ihre Arbeitsinhalte hat, während Microsoft für die technische Bereitstellung des Dienstes verantwortlich ist. Die unklare Abgrenzung dieser Rollen ist ein häufiger Kritikpunkt von Datenschutzbehörden, weshalb wir hier auf maximale Transparenz setzen.
Welche Daten verarbeiten wir und warum? Ein Überblick
Bei der Nutzung von Microsoft 365 fallen verschiedene Arten von Daten an. Um Ihnen einen klaren Überblick zu geben, haben wir diese in Kategorien unterteilt. Die Verarbeitung dieser Daten dient hauptsächlich dazu, Ihnen Ihre Arbeit zu ermöglichen und unsere vertraglichen Pflichten aus dem Arbeitsverhältnis zu erfüllen (§ 26 BDSG) oder basiert auf unserem berechtigten Interesse an einem funktionierenden und sicheren IT-System (Art. 6 Abs. 1 lit. f DSGVO).
Datenkategorie
Einfache Beschreibung
Beispiele
Inhaltsdaten (Customer Data)
Dies sind die Daten, die Sie selbst erstellen, bearbeiten und austauschen. Sie sind der „Inhalt“ Ihrer Arbeit. Die Magdeburger Mühlenwerke GmbH ist für diese Daten verantwortlich.
E-Mails und Anhänge in Outlook, Dokumente in Word, Excel, PowerPoint, Dateien in SharePoint & OneDrive, Chatnachrichten, geteilte Dateien und Aufzeichnungen von Besprechungen in Teams.
Stammdaten (Account Data)
Informationen, die zur Verwaltung Ihres Benutzerkontos und zur Identifikation innerhalb der Magdeburger Mühlenwerke GmbH benötigt werden.
Ihr Name, Ihre dienstliche E-Mail-Adresse, Telefonnummer, Abteilung, Ihr Passwort (verschlüsselt), Ihr Profilbild (optional).
Servicedaten (Service-generated Data)
Daten, die automatisch bei der Nutzung der Dienste anfallen. Sie beschreiben, wie und wann die Dienste genutzt werden, und sind wichtig für die Sicherheit und Nachvollziehbarkeit.
Protokolldaten (z. B. wer hat wann auf welche Datei zugegriffen), IP-Adressen, Informationen zu genutzten Geräten, Metadaten von Meetings (Teilnehmer, Dauer, Thema).
Diagnosedaten (Diagnostic Data)
Technische Daten, die Microsoft sammelt, um die Dienste sicher, aktuell und funktionsfähig zu halten. Wir haben die Übermittlung auf das notwendige Minimum („erforderliche Diagnosedaten“) beschränkt.
Fehlerberichte bei einem Programmabsturz, Leistungsdaten (z. B. wie lange das Speichern einer Datei dauert), Informationen über die Gerätekonfiguration zur Fehleranalyse.
Der Speicherort Ihrer Daten: Die „EU-Datengrenze“ von Microsoft
Wir legen großen Wert darauf, dass Ihre Daten innerhalb der Europäischen Union (EU) bleiben. Aus diesem Grund nutzen wir die von Microsoft angebotene EU-Datengrenze (EU Data Boundary).
Dies ist die vertragliche Zusage von Microsoft, die meisten Ihrer Daten – insbesondere Ihre Inhaltsdaten wie E-Mails und Dokumente – ausschließlich in Rechenzentren innerhalb der EU oder der Europäischen Freihandelsassoziation (EFTA) zu speichern und zu verarbeiten.
In welchen Ausnahmefällen können Daten die EU verlassen?
Absolute Datenspeicherung ausschließlich in der EU ist in einer global vernetzten Cloud-Umgebung technisch nicht immer zu 100 % möglich. Für die Aufrechterhaltung der globalen Sicherheit und Funktionalität der Dienste gibt es wenige, streng kontrollierte Ausnahmen, in denen Daten die EU-Datengrenze verlassen können.
Transparenz ist uns hier besonders wichtig, weshalb wir diese Ausnahmen klar benennen:
Globale Cybersicherheit Um Angriffe auf die Cloud-Infrastruktur weltweit erkennen und abwehren zu können, werden sicherheitsrelevante Daten (z. B. anonymisierte Informationen über Angriffsmuster oder schädliche E-Mails) global verarbeitet. Dies dient dem Schutz aller Nutzer, einschließlich uns.
Technischer Support
In seltenen Fällen, wenn ein schwerwiegendes technisches Problem nur von einem hochspezialisierten Team gelöst werden kann, das außerhalb der EU sitzt, kann ein zeitlich begrenzter und protokollierter Fernzugriff auf Systeme notwendig sein. Dieser Zugriff erfolgt über gesicherte Verbindungen und wird von uns zusätzlich über eine Funktion namens „Customer Lockbox“ kontrolliert (siehe Abschnitt „Wie wir Ihre Daten schützen“).
Bestimmte Dienste und ältere Versionen Einige wenige, hochspezialisierte oder ältere Microsoft-Dienste sind technisch noch nicht vollständig in die EU-Datengrenze integriert. Microsoft arbeitet daran, diese Lücken zu schließen. Eine aktuelle Übersicht über betroffene Dienste stellt Microsoft transparent zur Verfügung.
Für alle diese Fälle stellt Microsoft sicher, dass durch zusätzliche Maßnahmen wie Verschlüsselung und strenge vertragliche Regelungen (Standardvertragsklauseln) ein hohes Datenschutzniveau gewährleistet wird, das den Anforderungen der DSGVO entspricht. Das Unternehmen verfügt über eine Zertifizierung nach dem „EU-US Data Privacy Framework“ (DPF). Der DPF ist ein Übereinkommen zwischen der Europäischen Union und den USA, der die Einhaltung europäischer Datenschutzstandards bei Datenverarbeitungen in den USA gewährleisten soll. Jedes nach dem DPF zertifizierte Unternehmen verpflichtet sich, diese Datenschutzstandards einzuhalten.
Weitergabe von Daten an Dritte: Microsofts Unterauftragnehmer
Microsoft ist ein globales Unternehmen und arbeitet mit spezialisierten Partnerfirmen, sogenannten Unterauftragnehmern (Subprocessors), zusammen, um bestimmte Teildienste zu erbringen. Das können beispielsweise lokale Telekommunikationsanbieter für die Einwahl in Telefonkonferenzen oder spezialisierte Firmen für den Betrieb von Rechenzentren sein.
Microsoft bleibt jedoch für die Sicherheit Ihrer Daten voll verantwortlich. Alle Unterauftragnehmer werden sorgfältig geprüft und vertraglich dazu verpflichtet, dieselben strengen Datenschutz- und Sicherheitsstandards einzuhalten, die auch für Microsoft gelten.
Wie wir Ihre Daten schützen: Sicherheitsmaßnahmen von Microsoft und der Magdeburger Mühlenwerke GmbH
Der Schutz Ihrer Daten vor unbefugtem Zugriff, Verlust oder Missbrauch hat oberste Priorität. Dafür sorgen umfassende technische und organisatorische Maßnahmen (TOMs) sowohl auf Seiten von Microsoft als auch bei uns in der Magdeburger Mühlenwerke GmbH.
Sicherheitsmaßnahmen von Microsoft
Verschlüsselung Ihre Daten sind mehrfach geschützt. Sie werden sowohl während der Übertragung über das Internet als auch bei der Speicherung in den Rechenzentren (z. B. mit AES-256 Bit-Verschlüsselung) stark verschlüsselt. Das bedeutet, dass sie ohne den passenden Schlüssel unlesbar sind.
Strenge Zugriffskontrolle Standardmäßig hat kein Microsoft-Mitarbeiter Zugriff auf Ihre Inhaltsdaten. Nur in absolut notwendigen Supportfällen kann ein zeitlich begrenzter und streng protokollierter Zugriff nach einem mehrstufigen Genehmigungsverfahren („Just-in-Time Access“) erfolgen.
Customer Lockbox (Zusätzliche Kontrolle durch die Magdeburger Mühlenwerke GmbH) Wir haben die Funktion „Customer Lockbox“ aktiviert. Falls ein Microsoft-Techniker im Rahmen einer Supportanfrage auf unsere Inhaltsdaten zugreifen müsste, erhalten wir eine Anfrage. Nur wenn ein autorisierter Administrator der Magdeburger Mühlenwerke GmbH diesen Zugriff explizit genehmigt, erhält der Techniker den temporären Zugang. Ohne unsere Zustimmung geschieht nichts. Jeder dieser Vorgänge wird lückenlos protokolliert (dokumentiert).
Sicherheit der Rechenzentren Die physische Sicherheit der Rechenzentren wird durch mehrstufige Barrieren gewährleistet, darunter Zäune, Sicherheitspersonal, Videoüberwachung, biometrische Zugangskontrollen und gesicherte Server-Racks.
Regelmäßige Überprüfungen Die Einhaltung dieser Sicherheitsstandards wird regelmäßig von unabhängigen externen Prüfern (z. B. nach ISO 27001) kontrolliert und zertifiziert. Die Berichte sind im Microsoft Trust Center einsehbar.
Zusätzliche Maßnahmen der Magdeburger Mühlenwerke GmbH
Wir haben unsere Microsoft 365-Umgebung so konfiguriert, dass der Datenschutz weiter gestärkt wird. Dazu gehören unter anderem:
Deaktivierung der Übermittlung von optionalen Diagnosedaten und Telemetriedaten.
Deaktivierung von „verbundenen Erfahrungen“, die unnötige Daten an Microsoft senden.
Deaktivierung der standardmäßigen LinkedIn-Integration in den Profilen.
Anweisung an alle Nutzer, für die Bearbeitung sensibler Daten bevorzugt die installierten Desktop-Anwendungen (z. B. Word, Excel) statt der Web-Versionen zu nutzen.
Wie lange werden Ihre Daten aufbewahrt?
Wir folgen dem Grundsatz der Datensparsamkeit (Speicherbegrenzung) und speichern Ihre personenbezogenen Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder wie es gesetzliche Aufbewahrungsfristen vorschreiben.
Während Ihrer Anstellung Ihre Daten in Ihrem Microsoft 365-Konto bleiben für die Dauer Ihres Beschäftigungsverhältnisses gespeichert, um Ihnen die Arbeit zu ermöglichen.
Nach Beendigung des Arbeitsverhältnisses Wenn Sie das Unternehmen verlassen, wird Ihr Konto deaktiviert. Um eine ordnungsgemäße Übergabe Ihrer Arbeitsergebnisse zu gewährleisten und eventuelle rechtliche Ansprüche zu klären, werden Ihre Daten für einen Zeitraum von 90 Tagen aufbewahrt. Nach Ablauf dieser Frist wird die endgültige Löschung der Daten eingeleitet, die innerhalb weiterer 90 Tage abgeschlossen ist. Insgesamt werden Ihre Daten also spätestens 180 Tage nach Ihrem Austritt unwiederbringlich gelöscht.
Gesetzliche Aufbewahrungspflichten Bestimmte geschäftsrelevante Dokumente (z. B. Rechnungen, Verträge, Bilanzen, Buchungsrelevante Informationen und Belge), die auch in Ihrem Postfach oder auf SharePoint gespeichert sein können, unterliegen gesetzlichen Aufbewahrungsfristen (z. B. aus dem Handels- oder Steuerrecht). Solche Daten müssen wir auch nach Ihrem Austritt für die Dauer der gesetzlichen Frist (in der Regel 6 - 10 Jahre) archivieren.
Ihre Rechte als Nutzer Sie haben die Kontrolle
Ihre Rechte
Die Datenschutz-Grundverordnung (DSGVO) gibt Ihnen umfassende Rechte in Bezug auf Ihre personenbezogenen Daten. Sie haben jederzeit die Möglichkeit, diese Rechte wahrzunehmen.
Recht auf Auskunft (Art. 15 DSGVO) Sie können jederzeit eine Auskunft darüber verlangen, welche Daten wir über Sie in Microsoft 365 gespeichert haben.
Recht auf Berichtigung (Art. 16 DSGVO) Sollten Ihre Daten fehlerhaft sein (z. B. ein veralteter Name oder eine falsche Telefonnummer), können Sie deren Korrektur verlangen.
Recht auf Löschung (Art. 17 DSGVO) Sie können die Löschung Ihrer Daten verlangen, sofern wir diese nicht mehr für die Erfüllung unserer vertraglichen oder gesetzlichen Pflichten benötigen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) Unter bestimmten Voraussetzungen können Sie verlangen, dass wir Ihre Daten zwar weiterhin speichern, aber nicht mehr aktiv nutzen.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO) Sie haben das Recht, die Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
Widerspruchsrecht (Art. 21 DSGVO) Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, der Verarbeitung Ihrer Daten widersprechen, sofern diese auf unserem berechtigten Interesse beruht.
Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe. Kontaktdaten der Aufsichtsbehörde:
Landesbeauftragter für den Datenschutz Sachsen-Anhalt
Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.