Einsatz von Microsoft Office 365 an Schulen wirklich unzulässig?

Der Hessische Beauftragte für Datenschutz und Informationssicherheit (HBDI) bezeichnet in einer Stellungnahme den Einsatz von Microsoft Office 365 Cloud (an Schulen) als unzulässig.

Diese Meldung ist in fünffacher Hinsicht spannend:

Manche externe Datenschutzbeauftragte sehen Ihre Felle davonschwimmen.

154 (!) einzelne Gesetze hat der Deutsche Bundestag etwas außerhalb der „Prime-Time“ um 01:30 Uhr Freitagmorgen beschlossen, um den Anforderungen der EU-Datenschutz-Grundverordnung schrittweise zu entsprechen. Dramatisch – könnte man meinen – wäre da nicht im nächsten Tagesordnungspunkt die mit Spannung erwartete Ferkelbetäubungssachkundeverordnung dran gewesen.

Aber zurück zum Thema: Eine Änderung des Bundesdatenschutzgesetzes (BDSG), welche bei den 154 Gesetzen dabei war, bestimmt, dass Unternehmen erst ab 20 Mitarbeitern verpflichtend einen Datenschutzbeauftragten benennen[1] müssen. Diese Änderung hat mehr Auswirkungen auf die Datenschutz-Branche als auf die Unternehmen selbst. Doch was sind nun die Auswirkungen für Unternehmen? Ich habe es mal in einer Übersicht zusammengefasst:

Datenschutzaufsichtsbehörden gehen gegen Betreiber von Fanpages vor

Etwas untergegangen ist eine Aussage des Präsidenten des Bayerischen Landesamtes für Datenschutzaufsicht, Thomas Kranig, auf der Jahreskonferenz der Wettbewerbszentrale.

Aus Sicht von Herr Kranig ist es "derzeit gar nicht möglich, eine Facebook-Fanpage DSGVO-konform zu betreiben". Und gleichzeitig kündigt er an, dass in einer konzentrierten Aktion fünf bis sechs Datenschutz-Aufsichtsbehörden Verfahren gegen Unternehmen eröffnen, die eine Facebook Fanpage betreiben.

Arbeit der Datenschutz-Aufsichtsbehörden

Nachdem der erste Teil der Darstellung der Arbeit von Datenschutz-Aufsichtsbehörden den Beginn des Berichts der Landesbeauftragten für Datenschutz und Informationsfreiheit von NRW vom 24.05.2019 thematisierte und der zweite Teil praxisnahe Beispiele der Arbeit zeigte, folgen nun die Aussagen der Behörde zu Datenschutz am Arbeitsplatz.
 
Der Teil des Berichts beginnt mit Aussagen zur Einführung einer digitalisierten Personalakten in der Landesverwaltung NRW. Die dort aufgeführten nicht-funktionalen Anforderungen an den Datenschutz und die Informationssicherheit sind rudimentär und kratzen lediglich an der Oberfläche. Inhaltliche Ergänzungen zu einem Einführungs- bzw. Migrationsprojekt eines Personalsystems sollten Projektleiter oder Sponsoren solcher Maßnahmen hier nicht erwarten.
 
Arbeit der Datenschutz-Aufsichtsbehörden

Nachdem der erste Blog-Artikel die allgemeine Arbeit der Datenschutz-Aufsichtsbehörde NRW auf Basis ihres Berichts vom 24.05.2019 thematisierte, geht es nun ans Eingemachte: Ab Seite 47 äußert sich die Behörde zu Internas ihrer Arbeit.
 
Abschnitt 4 des Berichts beginnt mit Aussagen zu Fahrerbewertungsportalen, bei denen das Verhalten von Privatpersonen im Internet bewertet werden (konnte). Ganze drei Jahre hat es gedauert, bis die Behörde die datenschutzkonforme Verarbeitung personenbezogener Daten auf dem entsprechenden Internetportal durchsetzen konnte. Übrigens wird das betroffene Portal selbst seitdem kaum noch genutzt, denn die Denunzierung von Fahrerinnen und Fahrern bietet sie nicht mehr als Funktionalität.