IT und Recht, Cloud und mehr
Microsoft und deren Kunden in Deutschland sind von der DSGVO unmittelbar betroffen. Dazu gehören Themen wie Diagnose- und Telemetriedaten, sowie damit auch generell der Datentransfer in ein unsicheres Drittland die USA, die eine Nutzung von Microsoft 365 beeinflusst.
Nach Safe Harbor folgte Privacy Shield und nun das Trans-Atlantic Data Privacy Framework. Die ersten beiden Abkommen zwischen der EU Kommission und des US Handelsministeriums zur Regelung des Datentransfers von personenbezogenen Daten europäische Bürger in die USA wurden durch den EuGH in den Urteilen Schrems I und Schrems II jeweils vom Berichterstatter Prof. von Danwitz (Deutschland) gekippt. Nun wird es ein neues Abkommen geben, welches die Fehler der vorherigen nicht wiederholen soll und aktiv ein Schrems III verhindern.
In der vergangenen Woche hat sich wieder einiges rund um das Privay Shield getan, welches ich nun in diesem Blogbeitrag zusammenfasse. Es scheint wieder mehr Bewegung in die Thematik zu kommen und auch ein Ende von Privacy Shield scheint realistisch zu sein.
Ich bekam am Ende der letzten Woche eine Email von Yammer, in der die Verfügbarkeit der EU Standardvertragsklauseln für Yammer bestätigt wurden. Dies ist äußerst wichtig für den Einsatz dieser Plattform in Deutschland. Aber warum? Es handelt sich natürlich um eine datenschutzrechtliche Fragestellung, wie so oft in den letzten Monaten.
Yammer wird seit Anfang Mai 2015 in Microsofts Rechenzentren gehostet und ist ein reiner SaaS Dienst. Nun schauen wir uns dies etwas genauer an. Yammer wird in US Rechenzentren gehostet und damit laut EU-Kommission in einem unsicheren Drittland aus Gesichtspunkten des Datenschutzes her. Um den Datenschutz nun auf das europäische Niveau zu heben, müssen die EU Standardvertragsklauseln zwischen dem Kunden/Nutzer und dem Dienstanbieter vereinbart werden. Diese müssen 1 zu 1 mit den EU Modelclauses übernommen werden, nach einer Überprüfung mit dem Vergleichen-Tool von Word, kann ich dies für Yammer bestätigen.
Früher wurden Daten im rechtlichem Sinne in Yammer alleine über den Dienstvertrag und über die ehemalig gültige Safe Harbor Vereinbarung verarbeitet. Durch den Wegfall der Safe Harbor Regelungen war der datenschutzkonforme Einsatz von Yammer endgültig beendet worden, doch nun wurden die EU Standardvertragsklauseln abgeschlossen und einer Nutzung von Yammer steht fast nichts mehr im Wege. Zu bedenken bleibt nun auf der einen Seite die korrekte Konfiguration von Yammer und dass die EU Standardvertragsklauseln eventuell nochmal angepasst werden müssen, denn als Folge des Safe Harbor Urteils müssen diese bis zum 31.01.2016 geprüft und eventuell angepasst werden.
Konfiguration von Yammer
Empfohlen sind folgende Einstellungen:
Yammer Einsatz im Graubereich muss bevorzugt werden?
Ein höchstinteressante Unterhaltung hatte ich auf dem Technical Summit 2015 in Darmstadt zu Yammer. Eine der größten deutschen und internationalen Firmen setzt Yammer aktuell ein. Bei der Diskussion über Datenschutz, Datensicherheit und Schatten-IT, sind wir nach gut 2,5h Abwägung der widerstreitenden Interessen zum Entschluss gekommen: Yammer muss eingesetzt und geduldet werden, auch wenn es datenschutzrechtlich in einem Graubereich sein könnte (vor der Ankündigung der EU Modelclauses).
Was wäre die Alternative eines gut konfigurierbaren und aus Datensicherheitsgründen erstmal akzeptable Plattform – außer eventuell der Gedanke des Zugriffs von Geheimdiensten, aber ist es onPremise sicherer? – : Die User nutzen alternativ private Tools wie WhatsApp, Dropbox, GoogleDocs oder MegaUploads, TeamSpeak, Facebook-Gruppen oder Twitter. Alles dies ist aus Sicht eines Unternehmens schlechter, ein Verbot dieser Dienste nicht ausreichend, da unkontrollierbar, so die realistische Einschätzung. Also: geduldeter Yammer-Einsatz mit Aufklärung der Mitarbeiter und Kontrolle der Plattform durch des Unternehmens. (Berechtigung der Mitarbeiter über eine eigens eingerichteten Stelle: Berichtigung, Löschung, Sperrung und Änderung der Daten
Die Faktion der Grünen haben die Konsequenzen aus dem Safe Harbor Urteils des EuGH auf die Tagesordnung des Innenausschusses gesetzt!
“Tagesordnungspunkt 13 Antrag der Fraktion BÜNDNIS 90/DIE GRÜNEN Bericht über Konsequenzen aus der Entscheidung des EuGH zu Safe Harbor”
Die Sitzung findet statt am Mittwoch, dem 14. Oktober 2015, 10:00 Uhr im Paul-Löbe-Haus, Raum 2 300 10557 Berlin, Konrad-Adenauer-Str. 1
Die Artikel 29 Arbeitsgruppe reagierte direkt auf das Urteil des EuGH zum Ende von Safe Harbor und zur Stärkung der nationalen Datenschutzbehörden. In ihrer heutigen Pressemitteilung begrüßt die Artikel 29 Arbeitsgruppe der EU Kommission das Urteil des EuGH, welches eigentlich auch die Fehler dieser der EU Kommission beratenden Arbeitsgruppe bescheinigt.
Heimlich still und leise wurde ein neues Datenschutzabkommen zwischen der EU und den USA ausgehandelt. Nachdem das Safe Harbor Abkommen von den deutschen Landesdatenschutzbeauftragten auf ihrer letzten Konferenz in der jetzigen Form quasi beerdigt wurde, gibt es nun nach vierjährigen Verhandlungen ein neues Abkommen.
EU Justizkommissarin Frau Věra Jourová meldete nun den Abschluss der Verhandlungen und das Bestehen eines neuen Datenschutzabkommens mit dem Namen Umbrella am 08. September auf ihrem Blog.