Die Europäische Kommission sieht sich Vorwürfen ausgesetzt, gegen geltendes EU-Datenschutzrecht verstoßen zu haben, indem sie Microsoft 365 nutzt. Das geht aus einer Untersuchung des Europäischen Datenschutzbeauftragten (EDSB) hervor.

Laut der Untersuchung verstößt die Nutzung der Microsoft-Programme spezifisch gegen mehrere Bestimmungen der Verordnung EU 2018/1725, die den Datenschutz innerhalb der EU-Organe, Einrichtungen und anderen Stellen regelt. Insbesondere wird kritisiert, dass die Programme die Klausel zur Übermittlung personenbezogener Daten außerhalb der Europäischen Union nicht einhalten, wie es in einer Pressemitteilung des EDSB heißt.

Die Europäische Kommission hat laut der Kritik des EDSB keine ausreichenden Maßnahmen ergriffen, um zu gewährleisten, dass personenbezogene Daten, die außerhalb der EU verarbeitet werden, denselben Datenschutzstandard genießen wie Daten, die innerhalb der EU bleiben.

Zudem wurde bemängelt, dass im Vertrag mit Microsoft nicht spezifiziert wurde, welche Arten personenbezogener Daten zu welchem Zweck erhoben werden. Als direkte Reaktion auf diese Feststellungen hat der EDSB angeordnet, dass ab dem 9. Dezember 2024 sämtliche Datenübermittlungen an Microsoft eingestellt werden müssen, die nicht den EU-Vorschriften entsprechen.

Darüber hinaus sollen alle relevanten Datenverarbeitungsvorgänge an die EU-Datenschutzverordnungen angepasst werden.

Wojciech Wiewiórowski von der EDSB hat betont, dass es in der Verantwortung der EU-Organe, -Einrichtungen und sonstigen Stellen liegt, für robuste Datenschutzgarantien und -maßnahmen bei jeder Verarbeitung personenbezogener Daten zu sorgen.

Das gilt insbesondere im Kontext von Cloud-basierten Diensten. Er fordert, dass die Europäische Kommission bis zum 9. Dezember die notwendigen Änderungen umsetzt und das beim EDSB nachweist.