Niederlande erreicht Vertragsänderungen

Microsoft steht unter Druck: Am Montag verkündete Microsofts oberste Datenschutzbeauftragte Julie Brill im Unternehmensblog ein zentrales Update der Microsoft-Datenschutzbestimmungen für die kommerziellen Cloud-Verträge bei Azure, Office 365, Dynamics und Intune.

Es spiegelt die Änderungen wider, die das niederländische Justiz- und Sicherheitsministerium mit Microsoft herausverhandelte. Eine Datenschutz-Folgenabschätzung im Auftrag der niederländischen Regierung war 2018 zu dem Schluss gekommen, dass Microsoft "systematisch und in großem Umfang Daten über die individuelle Nutzung von Word, Excel, Powerpoint und Outlook" sammle - rechtswidrig nach der DSGVO.

Microsoft übernimmt mehr Verantwortung

Neu ist, dass Microsoft die datenschutzrechtliche Verantwortung für die Datenverarbeitung, an der das Unternehmen beteiligt ist, in größerem Umfang als bisher übernimmt. Dazu gehören die Kontoführung, die Finanzberichterstattung, die Bekämpfung von Cyberangriffen auf Microsoft-Produkte und -Dienste und diverse gesetzliche Verpflichtungen. Diese neuen Vertragsbedingungen bietet Microsoft allen gewerblichen Kunden ab Anfang 2020 weltweit an.

Die Niederländer erreichten auch bereits, dass eine Reihe neuer Datenschutz-Tools eingeführt und Änderungen an Office 365 ProPlus vorgenommen wurden, um die Verwendung von Diagnosedaten transparenter zu gestalten. Eine Folgeanalyse zeigte im Juli 2019, dass weiterhin Probleme bestehen.

Verlängerung für Windows 7

Während die niederländischen Behörden die Datenschutzprobleme in den Vertragsverhandlungen direkt angingen, bewegt sich das deutsche Bundesinnenministerium bisher nur in Trippelschritten voran, indem es eine dreijährige Verlängerung der Konditionenverträge für Windows 7 erwirkte. Das erhöht den Veränderungsdruck auf Microsoft vergleichsweise moderat: Drei Jahre hat das Unternehmen nun Zeit, um in Sachen verschlüsselter Telemetriedaten und anderer Probleme nachzubessern. Der Verwaltung bleiben nun aber ebenfalls drei Jahre, einen Umstieg auf andere Lösungen vorzubereiten.

Doch was passiert, wenn es bis dahin keine Lösung gibt und die DSGVO-Zeitbombe hochgeht?