Microsoft verstößt mit Office-Datensammlung gegen DSGVO

„ Microsoft sammelt und speichert personenbezogene Daten über das Verhalten einzelner Personen in großen Umfang ohne öffentliche Dokumentation.“ Zu diesem Ergebnis kommt eine Untersuchung der Privacy Company, die im Auftrag der niederländischen Regierung die Datensammlung von Microsofts Office-Anwendungen untersuchte. Mit seinen Office-Anwendungen verstoße Microsoft massenhaft gegen die europäische Datenschutzgrundverordnung, heißt es in dem Bericht des Datenschutz-Beratungsunternehmens weiter.

In den Niederlanden verwenden zahlreiche Behörden Microsoft Office-Software, meist sind Office 2016 und Office 365 (oder ältere Versionen) in Enterprise-Versionen auf den Rechnern der Behörden-Mitarbeitern installiert. Insgesamt sind rund 300.000 Arbeitsplätze in Ministerien, Ämtern und der Polizei mit der Microsoft-Software ausgestattet. Die Privacy Company wurde beauftragt eine Datenschutzfolgeabschätzung zu erstellen und machte dabei zahlreiche Datenschutzrisiken ausfindig.

Keine Möglichkeit der Überprüfung

Die Office-Software würde regelmäßig Telemetriedaten an Microsoft-Server in den USA schicken, schreiben die Berater. So würden etwa Informationen über Ereignisse in Word gesammelt, wenn etwa die Rücktaste mehrmals hintereinander verwendet worden sei. Erfasst und gespeichert würde aber auch die Nutzung von Connected Services, wie etwa den Übersetzungsdienst. Auf diese Weise könnten auch Inhalte an Microsoft gelangen. Insgesamt würden zwischen 23.000 und 25.000 Arten von Ereignissen an die Server von Microsoft in den USA gesendet, schreiben die Datenschutz-Berater. Eine Möglichkeit, die Inhalte des Diagnosedatenstroms zu überprüfen oder die Übermittlung auszuschalten, biete Microsoft nicht.

„Groß angelegte verdeckte Erhebung“

In dem Bericht ist von einer groß angelegten und verdeckten Erhebung personenbezogener Daten die Rede. Daten über die individuelle Nutzung von Word, Excel, PowerPoint und Outlook würden systematisch und im großem Umfang gesammelt.

Microsoft hat bereits auf die Kritik der Datenschutz-Berater reagiert. Laut heise.de wird gemeinsam mit dem niederländischen Justizministerium an einer Lösung gearbeitet. Erste Nachbesserungen wurden bereits angekündigt, so sollen etwa an Microsoft versandte Telemetrie-Daten mithilfe eines Tools angezeigt werden.