Datenschutzinformationen für die Nutzung von Microsoft 365 und Microsoft Teams nach Art. 13 DS-GVO

Allgemeines

Bei der Nutzung von Microsoft 365 und Microsoft Teams werden personenbezogene Daten (im Folgenden auch „Daten“) verarbeitet, was teilweise im Hintergrund geschieht und nicht immer offensichtlich erkennbar ist.

Die Datenschutz-Grundverordnung (DS-GVO) enthält einige Vorgaben zur Verarbeitung dieser Daten. Wir sind z. B. nach Art. 13 DS-GVO verpflichtet, Ihnen bestimmte Informationen zur Verarbeitung Ihrer Daten mitzuteilen. Diese Datenschutzinformationen klären Sie daher darüber auf, welche Datenverarbeitungen wir im Rahmen der Durchführung eines Online-Meetings vornehmen.

Personenbezogene Daten sind alle Informationen, die sich auf eine natürliche Person beziehen. Dabei kommt es nicht darauf an, wer den Bezug herstellen kann. Es genügt, dass dies möglich ist. Beispiele für personenbezogene Daten sind Name, Anschrift, IP-Adresse, Bild- und Tonaufnahmen, E-Mail-Adresse, Telefonnummer.

Der Begriff der Verarbeitung umfasst alles von der Erhebung bis zur Löschung. Personenbezogene Daten können erhoben, organisiert, geordnet, gespeichert, angepasst, verändert, ausgelesen, abgefragt, verwendet, offengelegt, übermittelt oder bereitgestellt werden. Alle diese Vorgänge stellen eine Verarbeitung dar.

Verantwortlicher und Datenschutzbeauftragter

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten ist die cobra GmbH, Line-Eid-Straße 1, 78467 Konstanz (nachfolgend „Wir“ oder „cobra“), vertreten durch die Geschäftsleitung. Die Kontaktdaten des Verantwortlichen sind:

Telefon: +49 7531 8101 0
E-Mail: info@cobra.de

Wir haben einen externen Datenschutzbeauftragten bestellt. Dieser ist wie folgt zu erreichen: MORGENSTERN consecom GmbH, Johannesstraße 30, 67346 Speyer – E-Mail: datenschutz@cobra.de

Details zur Datenverarbeitung

Wir verfolgen mit der Nutzung von Microsoft 365 verschiedene Zwecke. Hauptsächlich geht es darum, die einfachere Zusammenarbeit innerhalb von cobra sowie mit Externen durch die Verwendung einer offenen und marktüblichen Plattform zu ermöglichen. Dabei werden Funktionen genutzt, um Inhalte zu erstellen und zu speichern, Termine zu planen und um zu kommunizieren. Um mit Externen einen ebenso effektiven Informationsaustausch zu erreichen, sollen auch diese als Gäste (ohne Microsoft 365 Konto in der cobra Umgebung) einzelne Funktionen von Microsoft 365 (z. B. Microsoft Teams Meetings) nutzen können. Auf diese Weise kann cobra Mitarbeiter und Externe vernetzen, Kundenveranstaltungen durchführen und Projekte gemeinsam bearbeiten, ohne am gleichen Ort sein zu müssen. Die Verarbeitung Ihrer personenbezogenen Daten dient daher der Abwicklung von Verträgen mit cobra, der Durchführung von Kundenveranstaltungen und der Zusammenarbeit in Projekten.

Die Freigabe von personenbezogenen Daten in der Cloud und die Nutzung von Cloud-Computing insgesamt dient dabei konkret den folgenden Zwecken: dauerhafte und ortsunabhängige Verfügbarkeit der Dokumente, Ermöglichung eines standortunabhängigen Arbeitens, Einbeziehung Dritter / Externer bei der Bearbeitung von Dokumenten und Daten, effizientere und schnellere Abläufe, vereinfachte Planung, Auslagerung der IT-Leistungen zur Einsparung eigener Ressourcen, reduzierter IT-Administrationsaufwand und Steigerung der Flexibilität. Der Dienst SharePoint wird dabei als Plattform für die Datenablage und den Datenaustausch zwischen den Mitarbeitern und ggf. Externen genutzt.

Mit der Nutzung von Teams werden insbesondere folgende Ziele verfolgt: vereinfachte und unkomplizierte Kommunikation zwischen den Mitarbeitern sowie mit Externen durch Übertragung von Meetings in Echtzeit und unmittelbarer Austausch im Chat, erleichterte und effizientere Gruppenarbeit, Flexibilität sowie orts- und zeitunabhängige Zusammenarbeit. Hierbei werden je nach Fall personenbezogene Daten wie Name und E-Mail-Adresse verarbeitet. Die Teilnahme kann als Gast erfolgen (mit Angabe bestimmter personenbezogener Daten).

Alternativ kann für eine einmalige Teilnahme ein Link zum Meeting (Videokonferenz) zur Verfügung gestellt werden. Die Eröffnung eines Nutzerkontos oder die Eingabe personenbezogener Daten ist dabei nicht erforderlich. Sie können jedoch Ihren Namen eingeben. In jedem Fall werden Nutzungsdaten wie die IP-Adresse und – soweit aktiviert – Ihre Video- und Audiodaten verarbeitet.

Darüber hinaus verfügt Microsoft Teams über eine Zusatzfunktion, die das Aufzeichnen von Teams-Meetings ermöglicht. Die cobra GmbH verfolgt mit dieser Datenverarbeitung insbesondere folgende Zwecke: Nachvollziehung von Informationen aus Meetings und Dokumentation, Speicherung der Aufzeichnung zu Protokollzwecken. Findet eine Aufzeichnung statt, werden hierbei insbesondere Ihr Vor- und Nachname, Gesprächsinhalte sowie Bilddaten (Video, Audio) verarbeitet. Sie können die Datenverarbeitung jedoch einschränken.

Bevor eine Aufzeichnung stattfindet, werden Sie darüber benachrichtigt und gefragt, ob Ihr Mikrofon und Ihre Kamera in die Aufzeichnung einbezogen werden sollen. Sollten Sie Ihre Zustimmung nicht abgeben, wird Ihr Mikrofon und Video automatisch deaktiviert. Ihr Vor- und Nachname können jedoch noch weiterhin sichtbar sein. Sie können auch zu einem späteren Zeitpunkt des Meetings Ihre Zustimmung zur Aufzeichnung erteilen oder auch widerrufen. Nach Ablauf von 60 Tagen wird die Aufzeichnung automatisch in Microsoft Teams bzw. in OneDrive gelöscht. In Einzelfällen kann es sein, dass die Aufzeichnungen jedoch von cobra weiterhin für 30 Tage gespeichert werden bzw. berechtigten externen Parteien bereitgestellt werden.

Eine weitere genutzte Zusatzfunktion ist die Funktion der Transkription von Besprechungen in Zusammenhang mit Microsoft Copilot. Dies ermöglicht es Benutzern, während und nach einer Besprechung eine durchsuchbare, schriftliche Kopie des gesprochenen Texts einzusehen, die zusammen mit der Besprechungsaufzeichnung gespeichert wird. Auch eine KI-gestützte Zusammenfassung oder sonstige Aufbereitung der Inhalte ist möglich.

Die Verarbeitung Ihrer gesprochenen Inhalte zur Erstellung von Transkriptionen dient der Verbesserung der Nachvollziehbarkeit und Dokumentation von Besprechungsinhalten, sowie der Erleichterung des Zugriffs auf Besprechungsinhalte für Teilnehmer. Hierbei werden insbesondere Ihre gesprochenen Beiträge während der Besprechung verarbeitet, um die Transkription zu erstellen. Die resultierenden Textdateien werden – sofern vorhanden – zusammen mit den Besprechungsaufzeichnungen gespeichert und können von Teilnehmern der jeweiligen Besprechung eingesehen werden.

Bei der Nutzung von Microsoft 365 findet regelmäßig eine Übermittlung von Diagnosedaten an Microsoft statt, damit die Dienste insgesamt (fehlerfrei) bereitgestellt werden können. Da sämtliche Anwendungen cloudbasiert sind, werden diese durchgehend geprüft. Die Verarbeitung der Diagnosedaten dient auch der Verbesserung und Aktualisierung der Software durch das Einspielen von neuen Versionen. Schließlich dient die Verarbeitung auch dazu, die Sicherheit der Dienste und eine schnelle Fehlerbehebung durch Microsoft zu gewährleisten.

Die Zulässigkeit der dargestellten Datenverarbeitung richtet sich hauptsächlich nach Art. 6 Abs. 1 f) DS-GVO (Wahrung berechtigter Interessen). Die cobra GmbH möchte die Arbeit mit Vertragspartnern, Kunden, Interessenten und sonstigen Externen ortsunabhängig, effizient und flexibel gestalten, Arbeitsabläufe optimieren und die Digitalisierung vorantreiben. Auch die bessere Planung von Arbeitskapazitäten, die vereinfachte Kommunikation und die fehler- sowie unterbrechungsfreie Bereitstellung der Dienste stehen im Fokus von cobra. Beim Einsatz von Microsoft 365 werden also primär wirtschaftliche Interessen verfolgt.

Auch die Aufzeichnung und Transkription von Meetings stützen wir auf Art. 6 Abs. 1 f) DS-GVO, und zwar sowohl für Beschäftigte von cobra als auch für externe Teilnehmende. Unser berechtigtes Interesse besteht hierbei in der verlässlichen Dokumentation und Nachvollziehbarkeit von Besprechungsinhalten sowie darin, Inhalte auch Personen zugänglich zu machen, die nicht teilnehmen konnten. Bei der Abwägung mit Ihren Interessen berücksichtigen wir insbesondere, dass Aufzeichnungen nicht unbemerkt erfolgen können. Sie werden vor Beginn jeder Aufzeichnung informiert und entscheiden selbst, ob Ihr Mikrofon und Ihre Kamera in die Aufzeichnung einbezogen werden. Die hierfür in Microsoft Teams eingerichtete Zustimmungsabfrage dient der Transparenz und dem Schutz der Vertraulichkeit des gesprochenen Wortes. Sie stellt keine datenschutzrechtliche Einwilligung im Sinne von Art. 6 Abs. 1 a) DS-GVO dar. Gegen die Verarbeitung können Sie nach Maßgabe von Art. 21 DS-GVO Widerspruch einlegen (siehe „Ihre Rechte“).

Die Verarbeitung der Daten von Externen (wenn diese selbst Betroffene sind) kann zudem zur Vertragserfüllung auf Art. 6 Abs. 1 b) DS-GVO gestützt werden, soweit die Verarbeitung in Microsoft zur Kommunikation und Zusammenarbeit erforderlich ist.

Die erstmalige Speicherung Ihrer Daten erfolgt mit dem Versand der Einladung zur Mitarbeit in der Microsoft 365 Umgebung bzw. zur Teilnahme an einer Videokonferenz von cobra. Die Dauer richtet sich in erster Linie nach den gesetzlichen Aufbewahrungspflichten in Bezug auf bestimmte Dokumente und Vorgänge sowie nach dem berechtigten Interesse von cobra.

Die Microsoft Corporation selbst bewahrt die Daten für einen gewissen Zeitraum auf. Diese Aufbewahrungszeiten können Sie unter der folgenden URL einsehen: www.docs.microsoft.com/de-de/office365/enterprise/office-365-data-retention-deletion-and-destruction-overview.

Empfänger von Daten und Drittlandübermittlung

Ihre personenbezogenen Daten können im Rahmen der Nutzung von Microsoft 365 an verschiedene Empfänger weitergegeben oder von diesen eingesehen werden. Dazu gehören insbesondere sämtliche Mitarbeiter von cobra sowie die Microsoft Corporation.

Meeting-Aufzeichnungen von Kundenveranstaltungen werden in manchen Fällen einigen oder allen externen Beteiligten des Meetings für eine maximale Dauer von 30 Tagen zur Ansicht bereitgestellt.

Die cobra GmbH beabsichtigt nicht, Ihre personenbezogenen Daten an ein Drittland außerhalb der EU oder des EWR zu übermitteln. Auch unter Berücksichtigung der von Microsoft getroffenen Maßnahmen im Kontext der EU Data Boundary, kann nicht abschließend ausgeschlossen werden, dass Daten an die Microsoft Corporation in den USA gesendet und dort ausgewertet werden. Der Drittstaatentransfer ist ohne weitere Genehmigung zulässig, da es für den Datentransfer in die USA einen Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 Abs. 3 DS-GVO gibt, das EU-U.S. Data Privacy Framework. Die Microsoft Corporation hat sich nach dem Data Privacy Framework zertifiziert und damit verpflichtet, europäische Datenschutzgrundsätze einzuhalten. Weitere Informationen zum Data Privacy Framework sind hier zu finden.

Zusätzlich wurden mit Microsoft Standarddatenschutzklauseln gemäß Art. 46 Abs. 2 c) DS-GVO vereinbart. Informationen zu den Standarddatenschutzklauseln können Sie auf der Webseite der Europäischen Kommission abrufen: https://ec.europa.eu/info/index_de. Die von Microsoft abgeschlossenen Standarddatenschutzklauseln können Sie als registrierter Benutzer hier abrufen: https://servicetrust.microsoft.com/DocumentPage/d4e2c91a-1c8f-40f6-a1ae-432f5dc2d6f5.

Mehr Informationen zur Datenverarbeitung bei der Microsoft Corporation erhalten Sie zudem hier: https://www.microsoft.com/de-de/trust-center/privacy.

Ihre Rechte

Sie haben ein Recht auf Auskunft (Art. 15 DS-GVO), Berichtigung (Art. 16 DS-GVO), Löschung (Art. 17 DS-GVO), Einschränkung der Verarbeitung (Art. 18 DS-GVO) sowie auf Datenübertragung (Art. 20 DS-GVO).

Sofern Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 f) DS-GVO verarbeitet werden, haben Sie ein Widerspruchsrecht, soweit dafür Gründe vorliegen, die sich aus Ihrer besonderen Situation ergeben.

Sie können diese Rechte jederzeit ausüben. Das heißt allerdings nicht, dass sie auch erfüllt werden. Wir können Ihre Daten z. B. nicht löschen, wenn wir aufgrund gesetzlicher Vorschriften zur Speicherung verpflichtet sind.

Sofern Sie eine Einwilligung in die Verarbeitung Ihrer personenbezogenen Daten erteilt haben und diese widerrufen, bleibt die bis zum Zeitpunkt dieses Widerrufs erfolgte Verarbeitung hiervon unberührt.

Sie haben jederzeit das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren. Eine Übersicht der zuständigen Aufsichtsbehörden erhalten Sie, wenn Sie diesem Link folgen.