Vorlesen

Richtlinie zur Nutzung von Microsoft 365 einschließlich Teams beim Landkreis Peine

Der Landkreis Peine setzt Microsoft 365 als cloudbasierte Anwendung für den internen Gebrauch ein. Beschäftigte (aus Gründen der besseren Lesbarkeit wird auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Selbstverständlich richten sich die Ausführungen an die Angehörigen aller Geschlechter) des Landkreis Peine haben je nach Aufgabenbereich Zugriff auf Office-Anwendungen wie Outlook, Word, Excel, PowerPoint sowie auf Datei- und Kollaborationsdienste wie OneDrive, Exchange Online, SharePoint Online, Microsoft Teams und weitere Anwendungen, die im Rahmen der Microsoft 365 E5-Lizenz enthalten sind. Dazu zählen insbesondere auch Zusatzanwendungen wie Planner, Forms, To Do, Intune, Windows Autopilot, Viva Engage, Power Platform (Power Automate, Power BI, Power Apps) sowie Sicherheits- und Compliance-Tools wie Microsoft Defender und Entra ID.

Bei der Nutzung der cloudbasierten Dienste von Microsoft 365 sind die geltenden Rechtsvorschriften zum Datenschutz und zur Datensicherheit sowie diese Richtlinie und die Dienstvereinbarung über den Einsatz von Microsoft 365 einzuhalten. Bei Unsicherheiten hinsichtlich der anzuwendenden Regelungen sind die Nutzer verpflichtet, Rücksprache mit ihrer beziehungsweise ihrem Vorgesetzten zu halten.

1. Grundsätzliche Regelungen für die Nutzung von Microsoft 365

a) Zweckbindung

Die Nutzung von Microsoft 365 ist ausschließlich zu dienstlichen Zwecken zulässig. Inhalte dürfen nur im Rahmen der dienstlichen Aufgabenerledigung verarbeitet werden. Eine private Nutzung sowie die Speicherung dienstlicher Inhalte auf privaten Geräten oder Cloud-Diensten ist unzulässig. Dies betrifft insbesondere Dokumente, Präsentationen oder Chatverläufe, die über Microsoft 365 bereitgestellt oder erstellt werden.

Personen, die nicht beim Landkreis Peine beschäftigt sind, können im Zuge der dienstlichen Kollaboration im Rahmen von Projekten, Aufträgen oder im Rahmen der Anbahnung oder Erfüllung von Vertragsverhältnissen als Gäste oder externe Teilnehmer eingeladen werden. Dabei sind die geltenden datenschutzrechtlichen Vorgaben einzuhalten.

b) Datenkategorien

Personal-, Gesundheits- und Sozialdaten sowie Daten mit Bezug zu Geschäftsaktivitäten in kritischen Drittländern (zum Beispiel Russische Föderation, Iran, Irak, Syrien, Afghanistan) dürfen grundsätzlich nicht in Microsoft 365 verarbeitet oder gespeichert werden. Eine Ausnahme gilt nur für temporäre, kontextbezogene Kommunikationsvorgänge ohne systematische Speicherung (zum Beispiel kurzzeitige Chat-Hinweise), nicht jedoch für dauerhafte Ablage. Jede Speicherung solcher Daten in Microsoft 365 bedarf einer gesonderten datenschutzrechtlichen Bewertung und Freigabe.

Jede Verwendung der Microsoft 365-Komponenten und Inhalte zu anderen Zwecken ist untersagt. Insbesondere ist eine Nutzung zu privaten Zwecken oder die Ablage dienstlicher Inhalte auf privaten Geräten oder Speicherlösungen untersagt.

c) Need-to-Know-Prinzip und Datensparsamkeit

Es gelten das Erforderlichkeitsprinzip und das Prinzip der Datensparsamkeit: Zugriff auf Inhalte darf nur denjenigen Personen gewährt werden, die diese zur Aufgabenerfüllung benötigen. Die darüber hinausgehende Weitergabe von Inhalten aus Microsoft 365-Komponenten bedarf der vorherigen und ausdrücklichen Zustimmung des jeweiligen Vorgesetzten und muss dokumentiert werden.

d) Vertraulichkeit

Für Inhalte, die über Microsoft 365 verarbeitet werden, gelten die geltenden Datenschutz- und Vertraulichkeitsbestimmungen. Nutzer sind verpflichtet, die geltenden Sicherheitsvorgaben des Landkreis Peine (zum Beispiel VPN-Nutzung, Passwörter, Geräteabsicherung) einzuhalten. Bei der Verarbeitung von Daten in der Microsoft-Cloud (beispielsweise in OneDrive oder OneNote) ist der sorgsame Umgang mit den dort enthalten Informationen zwingend notwendig, um die relevanten Aspekte des Datenschutzes und der Informationssicherheit abzubilden. Die Nutzer sind dabei verpflichtet gemäß dieser Richtlinie zu prüfen, ob und unter welchen Umständen Daten in der Cloud gespeichert werden dürfen.

e) Verarbeitung durch Microsoft

Microsoft wird im Rahmen der Nutzung von Microsoft 365 als Auftragsverarbeiter gemäß Artikel 28 DSGVO tätig. Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage eines mit dem Landkreis Peine abgeschlossenen Auftragsverarbeitungsvertrags (AVV), in dem Microsoft zur Einhaltung strenger technischer und organisatorischer Maßnahmen verpflichtet ist.

Die primäre Verarbeitung erfolgt innerhalb der von Microsoft bereitgestellten europäischen Rechenzentren („EU Data Boundary“). Sofern in Einzelfällen ein Zugriff aus Drittländern erfolgt (zum Beispiel im Rahmen von Remote-Supportleistungen), erfolgt dieser ausschließlich auf Basis der von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCCs) gemäß Artikel 46 Absatz 2 lit. c DSGVO.

Die Datenübertragung erfolgt verschlüsselt; auf personenbezogene Inhalte haben ausschließlich berechtigte Personen Zugriff.

Weitere Informationen zum Datenschutz bei Microsoft im Microsoft Trust Center

f) Geistiges Eigentum

Externe dürfen an Inhalten aus Microsoft 365-Komponenten keine Patent-, Marken- oder sonstigen Rechte für sich oder Dritte geltend machen oder beantragen, es sei denn, der Rechteinhaber hat sein vorheriges schriftliches Einverständnis erklärt oder eine Berechtigung ist in dem der Nutzung zugrunde liegenden Vertrag geregelt, zum Beispiel in einem Auftrags- oder Projektvertrag.

g) Nutzung von Microsoft Teams und Zusatzanwendungen

Die Nutzung von Microsoft Teams unterliegt denselben datenschutz- und sicherheitsrechtlichen Anforderungen wie die übrigen Microsoft 365-Komponenten. Dies gilt insbesondere für Chatinhalte, Dateiübertragungen, Videokonferenzen und die Nutzung von Funktionen wie Teams Phone oder Teams Rooms.

Auch Zusatzanwendungen (unter anderem Intune, Power BI, Planner, Bookings) sowie Dienste der Power Platform unterliegen der Zweckbindung, dem Prinzip der Datensparsamkeit und den Anforderungen an IT-Sicherheit und Datenschutz.

Die Verarbeitung besonders schutzwürdiger Daten (zum Beispiel besonderer Kategorien personenbezogener Daten nach Artikel 9 DSGVO) ist in diesen Anwendungen grundsätzlich unzulässig, es sei denn, sie erfolgt in gesondert freigegebenen, gesicherten Umgebungen.

h) Kommunikationsdienste (zum Beispiel Exchange Online, Outlook, Kalender, Aufgaben)

Die in Microsoft 365 enthaltenen Kommunikations- und Organisationsdienste – insbesondere Exchange Online einschließlich Outlook sowie die Kalender- und Aufgabenfunktionen – sind integraler Bestandteil der dienstlichen IT-Infrastruktur des Landkreis Peine. Für dessen Nutzung gelten uneingeschränkt die allgemeinen Grundsätze der Zweckbindung, Datensparsamkeit, Vertraulichkeit und des datenschutzkonformen Umgangs mit personenbezogenen Daten.

Aktenrelevante Inhalte, insbesondere Schriftverkehr, verfahrensbezogene Informationen oder verwaltungsinterne Dokumente dürfen nicht dauerhaft im Exchange-Postfach gespeichert werden. Nach Abschluss der Bearbeitung sind diese Inhalte in das dafür vorgesehene Dokumentenmanagementsystem zu überführen. Die Fristen zur Überführung richten sich nach den jeweiligen internen Vorgaben zur Aktenführung. Die Nutzer sind verpflichtet, ihre Postfächer regelmäßig zu überprüfen und nicht mehr benötigte Inhalte zu löschen oder ordnungsgemäß zu archivieren.

Die Verwendung der mobilen Outlook-App ist ausschließlich unter Einhaltung der geltenden Sicherheitsvorgaben zulässig. Hierzu zählen insbesondere die Absicherung durch PIN oder biometrische Sperre, das Verbot der Synchronisation mit privaten Cloud-Diensten sowie die ausschließliche dienstliche Nutzung. Die Speicherung dienstlicher Daten auf privaten Endgeräten oder über nicht genehmigte Anwendungen ist unzulässig.

i) E-Mail-Verschlüsselung bei erhöhtem Schutzbedarf

Für E-Mails mit besonders schutzwürdigen Inhalten – insbesondere personenbezogenen Daten besonderer Kategorien (Artikel 9 DSGVO), Zahlungs- oder Vertragsdaten – ist eine Transportverschlüsselung (TLS) allein regelmäßig nicht ausreichend. In diesen Fällen sind ergänzende Schutzmaßnahmen zu treffen, etwa die Übermittlung von passwortgeschützten Dateianhängen mit separatem Passwortversand über einen anderen Kommunikationsweg. Mittelfristig prüft der Landkreis Peine den Einsatz weitergehender Verschlüsselungstechniken (zum Beispiel S/MIME, gesicherte Bürgerportale oder Outlook-Add-ins), abhängig von technischer Umsetzbarkeit und eingesetzter Lizenz.

j) Vertrauliche Kommunikation über Microsoft Teams

Die Nutzung von Microsoft Teams zur dienstlichen Kommunikation unterliegt denselben datenschutzrechtlichen Anforderungen wie die Kommunikation per E-Mail. Bei der Übermittlung besonders schutzwürdiger Inhalte – insbesondere personenbezogener Daten besonderer Kategorien (Artikel 9 DSGVO), vertraulichen Personalangelegenheiten, Finanz- oder Vertragsdaten – sind geeignete Schutzmaßnahmen zu ergreifen.

Insbesondere gilt:

Der Austausch personenbezogener Einzelinformationen (zum Beispiel zu Beschäftigten, Gesundheitsdaten, Vertragsdetails) darf nicht über Teams-Kanäle oder Gruppenchats erfolgen, sondern ausschließlich über abgestimmte, zugriffsgeschützte Einzelkommunikation oder geeignete Fachverfahren.
Die Aufnahme, Transkription oder automatische Analyse von Besprechungen ist nur bei Vorliegen einer eindeutigen Rechtsgrundlage oder ausdrücklichen Einwilligung aller Beteiligten zulässig.
Für besonders vertrauliche Gespräche ist – sofern technisch verfügbar – die Ende-zu-Ende-Verschlüsselung (E2EE) zu nutzen.
Die für Microsoft 365 geltenden Schutzmechanismen (zum Beispiel MDM, DLP, Sensitivity Labels, Zugriffskontrollen) sind auch bei der Nutzung von Teams verbindlich anzuwenden.
Die Nutzung von Microsoft Teams auf privaten oder nicht verwalteten Endgeräten ist unzulässig.

2. Regelungen zur Informationssicherheit

a) Datensicherheit

Die internen Vorgaben des Landkreis Peine zur Datensicherheit gelten für die Nutzung von Microsoft 365-Komponenten vollumfänglich. Der Zugang Unbefugter zu den vom Landkreis Peine bereitgestellten Microsoft 365-Komponenten und den damit verarbeiteten (und gespeicherten) Daten ist zu unterbinden. Zugänge sind auch bei kurzer Abwesenheit zu sperren, Computer bei längerer Abwesenheit herunterzufahren.

b) Passwörter

Passwörter (und PINs) dürfen nicht an unbefugte Personen weitergegeben werden, das heißt an Personen, für die kein Zugang zu Microsoft 365-Komponenten erforderlich ist, um ein Projekt, einen Auftrag oder eine geschäftliche Vertragsbeziehung zu erfüllen. Passwörter sind unter Berücksichtigung des Stands der Technik sicher zu wählen und geheim zu halten. Passwörter zum Zugang zu Microsoft 365-Komponenten dürfen nicht für andere Zwecke mehrfach genutzt werden. Passwörter sollten regelmäßig geändert und mit Mehr-Faktor-Authentifizierung kombiniert werden, soweit technisch vorgesehen.

c) Schutz vor Spam und Viren, Protokollierung und Kontrolle

E-Mails und andere Daten mit Verdacht auf Schadcode, Viren oder Spam werden nach Ermessen des Landkreis Peine in Quarantäne genommen oder zentral und automatisiert gelöscht.

Zur Systemadministration, das heißt insbesondere zur Analyse und Beseitigung von Systemproblemen, zur Sicherstellung der IT-, Betriebs- und Informationssicherheit und zur Wartungsunterstützung, sind personenbezogene Auswertungen von Daten möglich, die bei der Nutzung der Microsoft 365-Komponenten anfallen. Dies gilt auch für die Abwehr von Cyberangriffen. In bestimmten Fällen ist auch eine forensische Untersuchung der genutzten Hardware möglich. Daten des Betriebssystems, betriebssystemnaher Komponenten, Verkehrsdaten aus Internetdiensten und werkzeugbezogene Daten können zu diesen Zwecken protokolliert werden. Hinsichtlich des Umfangs und der Voraussetzungen eines solchen Zugriffs gelten die Bestimmungen der Dienstvereinbarung über den Einsatz von Microsoft 365.

d) Meldepflichten

Anhaltspunkte für Datenschutzverletzungen, sicherheitsrelevante Vorfälle (zum Beispiel unbefugte Datenzugriffe) oder technische Sicherheitslücken sind unverzüglich an die zuständige Stelle des Landkreis Peine zu melden.

3. Nutzung mobiler Office-Applikationen

Die mobile Nutzung von Microsoft 365-Anwendungen über mobile Endgeräte wie Smartphones und Tablets ist ausschließlich zu dienstlichen Zwecken und im jeweils erlaubten Umfang zulässig. Bei der Nutzung sind die geltenden Rechtsvorschriften zu Datenschutz und Datensicherheit sowie die sonstigen Regelungen und Vorgaben des Landkreis Peine sowie diese Richtlinie und die Dienstvereinbarung über den Einsatz von Microsoft 365 einzuhalten. Insbesondere sind die besonderen Sicherheitsvorgaben (zum Beispiel Nutzung über VPN) einzuhalten.

Die Regelungen dieses Abschnitts gelten gleichermaßen für alle mobilen Microsoft 365-Komponenten, einschließlich - aber nicht beschränkt auf - Outlook Mobile, Teams, OneDrive, Word Mobile, Excel Mobile sowie die über die mobile Oberfläche nutzbaren Zusatzanwendungen wie Planner, To Do, Forms, Bookings, Power Automate, Viva Engage und Intune. Insbesondere sind auch bei der mobilen Nutzung dieser Anwendungen alle Vorgaben zur Zugriffssicherung, Datenvertraulichkeit und Gerätesicherheit strikt zu beachten.

Die Speicherung dienstlicher Daten auf nicht freigegebenen oder privaten Geräten sowie die Synchronisation mit privaten Cloud-Diensten ist - unabhängig von der verwendeten Microsoft 365-App - untersagt. Die Weitergabe eines mobilen Endgeräts, das Office-Anwendungen des Landkreis Peine enthält, an Dritte ist - auch vorübergehend - nicht zulässig.

Mobile Endgeräte dürfen nicht unbeaufsichtigt an frei zugänglichen Orten zurückgelassen werden. Die PIN- oder Passwort-Eingabe sowie deren Aktivierung bei Nichtbenutzung des mobilen Geräts ist einzuschalten. Dienstliche Daten des Landkreis Peine, insbesondere Adressbücher und E-Mails, dürfen ohne ausdrückliche vorherige Zustimmung nicht bei sonstigen Drittanbietern gespeichert oder über sonstige Clouds synchronisiert werden.

Bei Geräteverlust ist der Landkreis Peine unverzüglich zu informieren. Dies gilt auch dann, wenn unklar ist, ob ein Risiko besteht, dass Zugangsdaten oder Daten des Landkreis Peine an Unbefugte gelangen können. Nach Möglichkeit ist ein Fernlöschen durchzuführen und eine Diebstahl-/Verlustanzeige aufzugeben.

Auch wenn Mitarbeiter außerhalb von Räumlichkeiten des Landkreis Peine tätig sind, bleiben sie Teil des Landkreis Peine. Dies bedeutet, dass alle vertraglichen Weisungsrechte bestehen bleiben und insbesondere alle dienstlichen Daten, Informationen und Unterlagen, auf die Mitarbeiter mobil Zugriff haben, ausschließlich im Hoheitsbereich des Landkreis Peine verbleiben. Allen Mitarbeitern ist es daher untersagt, dienstliche Daten, Informationen oder Unterlagen, insbesondere personenbezogene und sonstige vertrauliche Daten, an Dritte weiterzugeben, sie Dritten zur Kenntnis gelangen zu lassen, sie auf eigenen Speichermedien abzuspeichern, unbefugt zu kopieren oder zu anderen als dienstlichen Zwecken zu verwenden.

Insbesondere ist es verboten,

Dritten Passwörter oder sonstige Zugangsmöglichkeiten zu den mobilen Office-Anwendungen mitzuteilen oder zugänglich zu machen,
Dritten Zugriff auf mobile Office-Anwendungen und/oder dienstliche Unterlagen zu gewähren,
dienstliche Daten auf anderen Speichermedien als den vom Landkreis Peine zugelassenen Medien zu speichern. Verboten ist somit insbesondere die Speicherung von dienstlichen Daten auf nicht genehmigten oder privaten Endgeräten (zum Beispiel Smartphones, USB-Sticks, Laptops),
dienstliche Daten mit privaten Geräten zu verarbeiten; dazu gehört auch der Abruf des dienstlichen E-Mail-Accounts mit einem privaten Computer, Smartphone oder ähnliches,
Sicherheitsmaßnahmen zu deaktivieren oder zu umgehen oder sonstige technische Veränderungen an den durch die vom Landkreis Peine zur Verfügung gestellten Geräten vorzunehmen. Software darf nur durch die Fachdienst EDV installiert werden.

4. Microsoft Teams und Videokonferenzen

Auch bei dem vom Landkreis Peine genutzten Videokonferenzsystem Microsoft Teams handelt es sich um einen Cloud-Service, für den die oben angeführten Regelungen gelten. Es sind darüber hinaus die nachfolgend beschriebenen zusätzlichen Anforderungen einzuhalten.

Es dürfen ausschließlich die vom Landkreis Peine freigegebenen Videokonferenzsysteme für eigene Einladungen genutzt werden. Passiv, das heißt wenn eine Einladung von extern erfolgt, dürfen auch weitere Systeme verwendet werden. Die Teilnahme erfolgt in diesem Fall über den Web-Browser. Ausnahmen bedürfen einer begründeten Einzelfallentscheidung durch die IT in Abstimmung mit dem Datenschutzbeauftragten.

Eine Freigabe und Nutzung weiterer Systeme erfolgt in Abwägung von Notwendigkeit, Aufwand und Sicherheit der Anwendung auf begründeten Antrag durch die IT.

Die eigeninitiierte Nutzung – insbesondere das Erstellen eines Benutzerkontos sowie die Installation von Fremdsoftware zur Nutzung – ist nicht gestattet. Ebenso untersagt ist die Nutzung von Terminplanungen, Video- und Tonaufzeichnungen sowie Datentransfer bei nicht freigegebenen Videokonferenzsystemen.

Personal- und Gesundheitsdaten, Sozialdaten und Daten mit Bezug zu Geschäftsaktivitäten in kritischen Drittländern (zum Beispiel Russische Föderation, Iran, Irak, Syrien, Afghanistan etc.) dürfen nicht dauerhaft in Microsoft Teams gespeichert werden. Nicht erfasst von diesem Verbot sind einzelne, kontextbezogene Chatverläufe ohne systematische Speicherung. Gleiches gilt für die Bereitstellung von Agenden, Protokollen und Hintergrundinformationen. Bei Einsatz von erweiterten Teams-Funktionen (zum Beispiel Teams Rooms, Teams Phone) ist sicherzustellen, dass Geräteeinstellungen, Diagnosedatenübermittlung und Zugriffskontrollen datenschutzkonform konfiguriert sind. Physische Sicherungen und zentrale Geräteverwaltung sind verbindlich.

Aufzeichnungen von Besprechungen dürfen nur nach vorheriger Zustimmung aller Teilnehmenden erfolgen. Der Zweck, die Speicherdauer und die Zugriffsrechte sind zu dokumentieren. Ohne ausdrückliche Regelung sind Aufnahmen nach spätestens 12 Monaten zu löschen.

5. Transparenz

Die Konfiguration der Teamräume stellt sicher, dass alle Mitglieder - sowohl Beschäftigte des Landkreis Peine als auch externe Teilnehmer - gegenseitig sichtbar sind. Heimliche oder verdeckte Teilnahmen, insbesondere bei Telefon- oder Videokonferenzen, sind unzulässig. Es ist untersagt, persönliche Zugangsdaten an Dritte weiterzugeben oder diesen unbefugten Zugriff auf Teamräume zu ermöglichen. Die verwendeten Videokonferenzsysteme sind so eingestellt, dass Teilnehmer erkennen können, welche Audio- oder Videodaten übertragen, aufgezeichnet oder gespeichert werden.

6. Kamerafunktion

Beschäftigte des Landkreis Peine sind grundsätzlich nicht verpflichtet, während der Teilnahme an Videokonferenzen die Kamerafunktion zu verwenden. Dies kann auch nicht durch Externe gefordert werden.

7. Aufzeichnungen einer Videokonferenz

Bild- und Tonaufzeichnungen (auch Snapshots) dürfen nur mit Zustimmung der beteiligten Teilnehmer vorgenommen werden. Die Zweckbestimmung sowie die Zustimmung der Teilnehmer zur Aufnahme werden innerhalb der Aufzeichnung dokumentiert. Jeder Teilnehmer hat das Recht, eine Kopie der Aufzeichnung zu erhalten, sofern datenschutzrechtlich zulässig. Zwischen den Teilnehmern wird Einvernehmen über die Verwendung im Rahmen der Zweckbestimmung gespeicherter Video- und Audiodaten hergestellt. Gibt es keine diesbezügliche Vereinbarung, werden die Daten unmittelbar nach der Konferenz gelöscht.

Wird eine Aufzeichnung über den Zweck der Qualitätsverbesserung hinaus verändert, müssen alle in der endgültigen Fassung identifizierbaren Beteiligten ihre Zustimmung zu dieser Fassung und einer ggf. geänderten Zweckbestimmung der Aufzeichnung geben.

Sofern nicht im Rahmen der Zweckbestimmung der Aufzeichnung eine Löschfrist festgelegt wurde, sind die Aufzeichnung und alle Kopien nach Fortfall des jeweiligen Zweckes, spätestens 12 Monate nach Aufzeichnungsende zu löschen, es sei denn, eine längere Aufbewahrung ist zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich. Externe werden dem Landkreis Peine die Löschung eigener, zulässiger Aufzeichnungen auf Anforderung bestätigen.

Die Bereitstellung von Video- und Ton-Aufzeichnungen an Personen außerhalb einer Teams-Konferenz bedarf der dokumentierten Zustimmung der Teilnehmer der Aufzeichnung.

8. Ergänzende organisatorische Anforderungen bei der Nutzung von Microsoft Teams

Ergänzend zu den datenschutzrechtlichen und sicherheitsrelevanten Vorgaben des Landkreis Peine für die Nutzung von Microsoft Teams gelten die folgenden organisatorischen Maßnahmen zur

Gewährleistung eines datenschutzkonformen Einsatzes:

Audio- und Videoaufzeichnungen von Microsoft Teams-Besprechungen sind nur zulässig, wenn alle Teilnehmenden vorab ausdrücklich zugestimmt haben. Die Aufnahme ist im Konferenzfenster visuell zu kennzeichnen. Der Zweck der Aufzeichnung sowie die geplante Speicherdauer sind zu dokumentieren.
Die Verantwortung für die Verwaltung von Zugriffsrechten in Microsoft Teams liegt bei den jeweils benannten Administratorinnen und Administratoren. Der Landkreis Peine stellt durch geeignete organisatorische und/oder technische Maßnahmen sicher, dass ein Verlust der Zugriffskontrolle - etwa durch das Ausscheiden einer zuständigen Person - vermieden wird.
Einladungen an externe Teilnehmende müssen einen Hinweis auf die Verarbeitung personenbezogener Daten im Rahmen von Microsoft Teams enthalten. Die Teilnahme erfolgt freiwillig und setzt eine informierte Einwilligung gemäß Artikel 6 Absatz 1 lit. a DSGVO voraus. Alternativ können, je nach Kontext, auch Artikel 6 Absatz 1 lit. b (Vertragserfüllung), lit. e (Wahrnehmung einer Aufgabe im öffentlichen Interesse) oder lit. f (berechtigtes Interesse) DSGVO als Rechtsgrundlage in Betracht kommen.
Die Nutzung von Funktionen wie Live-Transkriptionen, automatisierten Mitschriften und Chatprotokollen ist auf die zwingend erforderlichen Anwendungsfälle zu beschränken. Eine Aktivierung darf nur erfolgen, wenn eine geeignete Rechtsgrundlage besteht und die Teilnehmenden vorab transparent informiert wurden.
Die verantwortlichen Administratorinnen und Administratoren prüfen die vergebenen Zugriffsrechte in regelmäßigen Abständen und passen diese bei Bedarf an.
Der Einsatz von Drittanbieter-Apps, Add-ins oder Konnektoren in M365 – insbesondere in Microsoft Teams, Outlook, SharePoint oder Power Platform – ist nur nach ausdrücklicher Genehmigung durch die IT-Abteilung und in Abstimmung mit dem Datenschutzbeauftragten und dem Personalrat zulässig. Eine zentrale Steuerung erfolgt über ein Whitelist-Verfahren. Unautorisierte Anwendungen werden technisch blockiert.

9. Besondere technische Maßnahmen zur Datensicherheit

Supportzugriffe durch Microsoft erfolgen - soweit verfügbar - ausschließlich über die Funktion „Customer Lockbox“ und bedürfen einer dokumentierten Freigabe durch eine autorisierte Person. Der Einsatz von Supportdienstleistungen aus Drittstaaten außerhalb des Europäischen Wirtschaftsraums ist grundsätzlich ausgeschlossen.

Die Konfiguration der Lockbox-Protokollierung ist regelmäßig zu überprüfen. Darüber hinaus gelten besondere Anforderungen an Analysefunktionen und datenverarbeitende Zusatzdienste. Der Einsatz von Microsoft Viva Insights, Microsoft Places oder vergleichbaren Diensten ist nur zulässig, wenn zuvor eine Datenschutz-Folgenabschätzung durchgeführt und die ausdrückliche Zustimmung des Personalrats dokumentiert wurde.

10. Einsatz von Microsoft Copilot

Für den Einsatz von Microsoft Copilot für Microsoft 365 gelten die Regelungen der Dienstvereinbarung über den Einsatz von Microsoft Copilot für Microsoft 365 (Produktivbetrieb) sowie die hierzu erlassene Richtlinie zur Nutzung von Copilot. Soweit diese speziellere Regelungen enthalten, gehen sie dieser Richtlinie vor.

Copilot darf nur von ausdrücklich berechtigten Beschäftigten verwendet werden. Die generierten Inhalte dürfen nicht als alleinige Entscheidungsgrundlage verwendet werden; eine rechtserhebliche Nutzung ohne menschliche Prüfung ist ausgeschlossen. Der Zugriff auf Daten durch Copilot richtet sich nach den jeweils vergebenen Berechtigungen. Die Nutzung von Transkriptions- und Analysefunktionen in Microsoft Teams unterliegt besonderen Sorgfaltsanforderungen und erfolgt unter Beachtung der geltenden mitbestimmungs- und datenschutzrechtlichen Vorgaben.

11. Verarbeitung sensibler Daten und Datenflüsse in Drittländer

Die dauerhafte Speicherung besonders sensibler personenbezogener Daten – etwa Gesundheits-, Sozial- und Personaldaten im Sinne von Artikel 9 DSGVO – innerhalb von Microsoft 365 ist unzulässig (vergleiche auch Ziffer 1b). Solche Daten sind ausschließlich in speziell abgesicherten Fachverfahren zu verarbeiten. Einzelne Kommunikationsvorgänge (zum Beispiel im Rahmen von E-Mails oder Videokonferenzen) sind zulässig, sofern keine systematische oder dauerhafte Speicherung erfolgt.

12. Mobile Nutzung

Die Nutzung von Microsoft 365 über mobile Endgeräte ist nur auf dienstlich verwalteten und durch ein Mobile Device Management (MDM) beziehungsweise Mobile Application Management (MAM) abgesicherten Geräten zulässig. Der Einsatz privater Microsoft-Konten (zum Beispiel Outlook.com, OneDrive Personal) auf diesen Geräten ist zu unterbinden. Die Einbindung privater Konten ist systemweit untersagt; dies gilt auch für mobile Apps wie OneDrive Mobile, Teams Mobile oder Word Mobile.

Für den Einsatz der Outlook Mobile App ist die vollständige Implementierung der erweiterten Schutzmechanismen – insbesondere Conditional Access, App Protection Policies, Sensitivity Labels und Information Protection – erforderlich.

Die Nutzung mobiler Office-Apps (zum Beispiel Word Mobile, Excel Mobile, OneDrive Mobile) ist datenschutzrechtlich zulässig, sofern die allgemeinen technischen und organisatorischen Schutzmaßnahmen wirksam umgesetzt werden. Sofern betrieblich vertretbar, kann die Nutzung durch interne Vorgaben eingeschränkt werden. Die Übermittlung von Diagnosedaten ist auf das erforderliche Mindestmaß zu begrenzen.