Datenschutz-Folgenabschätzung bei Microsoft 365 – nötig oder nicht?
![Wie in vielen anderen Fällen auch sind in bezug auf Microsoft 365 pauschale Aussagen zur Datenschutz-Folgenabschätzung nicht sinnvoll Wie in vielen anderen Fällen auch sind in bezug auf Microsoft 365 pauschale Aussagen zur Datenschutz-Folgenabschätzung nicht sinnvoll](https://www.datenschutz-praxis.de/wp-content/uploads/sites/2/2022/11/DSFA-MS365-iStock-Jean-Luc-Ichard-400x267.jpg)
Das klingt auf den ersten Blick plausibel. Doch muss jeder, der Microsoft 365 einsetzt, eine DSFA durchführen? Wir stellen häufige Aussagen rund um Microsoft 365 auf den Prüfstand.
Aussage 1: Eine DSFA ist bei Microsoft 365 immer Pflicht
Die Datenschutz-Grundverordnung (DSGVO) bestimmt gemäß Art. 35 Abs. 1, dass eine DSFA verpflichtend ist, wenn die Verarbeitung personenbezogener Daten wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. In der Regel besteht ein hohes Risiko
- bei einer systematischen und umfassenden Bewertung, insbesondere beim Profiling,
- bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 und 10 DSGVO oder
- bei einer systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche.
Beispiele für ein hohes Risiko
Diese Fallbeispiele sind keinesfalls abschließend. Die Art.-29-Datenschutzgruppe, der Vorläufer des Europäischen Datenschutzausschusses (EDSA), hat darüber hinaus neun Kriterien entwickelt, die für ein hohes Risiko sprechen. Ein hohes Risiko ist anzunehmen
- bei einer Verarbeitung vertraulicher oder höchst persönlicher Daten,
- bei schutzbe…