Datenschutzhinweise für Microsoft-Cloud-Dienste (Forms, OneDrive for Business, SharePoint)
Datenresidenz: Deutschland (Multi–Geo)
1. Verantwortlicher
BÜNDNIS 90/DIE GRÜNEN Baden-Württemberg
Königstraße 78, 70173 Stuttgart
E-Mail: landesverband@gruene-bw.de
Datenschutzbeauftragter:
SCO-CON:SULT – Rechtsanwalt Ziar Kabir
Hauptstraße 27, 53604 Bad Honnef
E-Mail: datenschutz@gruene-bw.de | Tel.: +49 2224 988290
2. Zwecke der Verarbeitung
Wir setzen Microsoft-365-Dienste ein für:
- Online-Umfragen und Feedback-Erhebungen (Microsoft Forms)
- Dateiablage, -freigaben und Zusammenarbeit (OneDrive for Business, SharePoint)
- Betriebssicherheit/IT-Security (Protokollierung, Missbrauchsvermeidung, Nachvollziehbarkeit)
3. Verarbeitete Datenkategorien
Je nach Nutzung werden insbesondere verarbeitet:
- Stammdaten/Accountdaten: Vorname, Nachname, E-Mail-Adresse, (optional) Telefon, Profilbild, Abteilung, Anzeigename/Nickname
- Inhaltsdaten: Umfrageantworten, Texteingaben, Datei-/Dokumenteninhalte, Versionen
- Metadaten/Protokolle: IP-Adresse, Geräte-/Browserinformationen, Datum/Uhrzeit, Thema/Beschreibung, Start-/Endzeiten, Freigabeparameter, Zugriffshistorie
- Nutzungs-/Kommunikationsdaten: Interaktionen in Formularen und auf SharePoint/OneDrive (Erstellen, Teilen, Ansichten)
Besondere Kategorien (Art. 9 DSGVO): Inhalte können ausnahmsweise sensible Angaben (z. B. politische Meinungen) enthalten. Solche Daten verarbeiten wir nur auf passender Rechtsgrundlage (siehe Ziff. 4) und mit geeigneten Garantien (Zugriffsbeschränkung, Need-to-know, Verschlüsselung).
4. Rechtsgrundlagen
Je nach Kontext stützen wir die Verarbeitung auf:
- Art. 6 Abs. 1 b DSGVO (Vertrag/vertragsähnlich), z. B. Deine Teilnahme an konkreten Umfragen/Projekten
- Art. 6 Abs. 1 f DSGVO (berechtigte Interessen): effiziente Zusammenarbeit, Dokumentation, IT-Sicherheit, Nachvollziehbarkeit
- Art. 6 Abs. 1 a DSGVO (Einwilligung): freiwillige/optionale Angaben, Veröffentlichungen, ggf. Archivierung/Veröffentlichung von Ergebnissen
- Art. 6 Abs. 1 c DSGVO (rechtliche Verpflichtung): gesetzliche Aufbewahrungsfristen
- § 26 BDSG (Beschäftigtendaten), sofern für Begründung/Durchführung/Beendigung des Beschäftigungsverhältnisses erforderlich
- Art. 9 Abs. 2 d DSGVO (rechtmäßige Tätigkeiten einer Partei mit geeigneten Garantien) oder Art. 9 Abs. 2 a DSGVO (Einwilligung), wenn besondere Kategorien betroffen sind
Eine erteilte Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen.
5. Rollen, Empfänger und Auftragsverarbeitung
- Für von uns bereitgestellte Formulare, SharePoint-Seiten und OneDrive-Freigaben sind wir Verantwortlicher.
- Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, ist Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage des Data Protection Addendum (DPA).
- Subauftragsverarbeiter von Microsoft (Liste): https://aka.ms/OnlineServicesSubprocessors
- Microsoft-DPA: https://aka.ms/DPA
Wichtig: Wenn Du eigene Microsoft-Konten/Consumer-Dienste außerhalb unserer Umgebung nutzt, ist Microsoft dafür eigener Verantwortlicher.
6. Datenstandort, Datenflüsse und Drittlandzugriffe (Multi–Geo „Deutschland“)
- Unsere Microsoft-365-Umgebung ist mit Multi–Geo so konfiguriert, dass Kundendaten (Inhaltsdaten) der in diesem Hinweis genannten Dienste ausschließlich in den deutschen Rechenzentrumsregionen (Berlin/Frankfurt) gespeichert und innerhalb Deutschlands repliziert werden.
- Es findet kein regulärer Transfer in Drittländer statt.
- Ausnahme Support: In eng begrenzten Fällen kann für Störungsbehebung/Support ein zugriffsbasierter Remote-Zugriff aus einem Drittland erforderlich sein. Solche Zugriffe sind durch EU-Standardvertragsklauseln (SCCs) und zusätzliche technische/organisatorische Maßnahmen abgesichert; die Datenhaltung in Deutschland bleibt hiervon unberührt.
Weiterführende Infos (Microsoft):
- Datenstandorte/-residenz: https://www.microsoft.com/trust-center/privacy/data-location
- Trust Center (Sicherheit/Compliance): https://www.microsoft.com/trust-center
- DPA: https://aka.ms/DPA | Subprozessoren: https://aka.ms/OnlineServicesSubprocessors
7. Speicherdauer und Löschung
Wir speichern Deine personenbezogenen Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten dies verlangen.
- Microsoft Forms: Deine Umfrageergebnisse werden bis zur Abschlussauswertung und Dokumentation gespeichert und anschließend gelöscht oder anonymisiert.
- OneDrive for Business / SharePoint: Deine Dateien bleiben gespeichert, solange sie für die Zusammenarbeit benötigt werden oder gesetzliche Aufbewahrungsfristen bestehen. Nach Zweckfortfall erfolgt die Löschung oder – falls erforderlich – eine Archivierung mit strikter Zugriffsbeschränkung.
- Protokoll-/Sicherheitsdaten: Vorhaltung für einen begrenzten Zeitraum zur IT-Sicherheit/Nachvollziehbarkeit.
90 Tage
Eine automatisierte Anonymisierung wie bei manchen Meeting-Diensten erfolgt nicht; es gelten unsere organisatorischen Löschfristen.
8. Pflicht zur Bereitstellung der Daten
Für Deine Teilnahme an Umfragen oder für die Zusammenarbeit kann die Bereitstellung bestimmter Daten erforderlich sein. Ohne diese ist eine Nutzung u. U. nicht möglich. Optionale Angaben sind als solche gekennzeichnet.
9. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 f DSGVO.
Den Widerruf einer Einwilligung kannst Du jederzeit erklären (Art. 7 Abs. 3).
Bitte richte Deine Anfragen an landesverband@gruene-bw.de. Zur Identifikation können wir geeignete Nachweise anfordern.
10. Keine automatisierte Entscheidungsfindung
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.
11. Sicherheit
Wir setzen technische und organisatorische Maßnahmen ein, u. a. Rollen-/Berechtigungskonzepte, Verschlüsselung, Mehrfaktorauthentifizierung, Protokollierung, regelmäßige Zugriffs-Reviews und das Least-Privilege-Prinzip, um Deine personenbezogenen Daten zu schützen.
12. Aufsichtsbehörde (Beschwerderecht)
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
Tel.: +49 711 61 55 41-0 | Fax: -15
E-Mail: poststelle@lfdi.bwl.de
https://www.baden-wuerttemberg.datenschutz.de/der-landesbeauftragte-fuer-den-datenschutz-und-die-informationsfreiheit-baden-wuerttemberg/
13. Dienste-spezifische Hinweise
Microsoft Forms
Wir nutzen Microsoft Forms für Umfragen/Feedback.
- Datenarten: Deine Antworten/Inhalte, ggf. Kontakt-/Metadaten (siehe Ziff. 3).
- Datenresidenz: Speicherung Deiner Inhaltsdaten in Deutschland (Multi-Geo „Deutschland“).
- Hinweise von Microsoft zu Datenschutz/Compliance:
https://support.microsoft.com/office/datenschutz-und-compliance-9c1e3d75-1ae3-4587-adf6-616ed694e440 - Rollen: Für von uns bereitgestellte Formulare sind wir Verantwortlicher; Microsoft ist Auftragsverarbeiter. Wenn Du nicht mit einem von uns gehosteten Formular interagierst (z. B. eigene Konten/Consumer-Dienste), ist Microsoft eigener Verantwortlicher.
Microsoft OneDrive for Business
Wir nutzen OneDrive for Business für Dateiablage und Freigaben.
- Datenarten: Deine Dokumente/Dateien, Freigaben, Metadaten (siehe Ziff. 3).
- Datenresidenz: Speicherung und Replikation ausschließlich in Deutschland.
- Rollen: Wir sind Verantwortlicher, Microsoft ist Auftragsverarbeiter.
Microsoft SharePoint (Online)
Wir nutzen SharePoint (auch verbunden mit OneDrive) für Teamsites, Intranetseiten und gemeinsame Dokumentenablagen.
- Datenarten: Seiteninhalte, Deine Dokumente, Versionen, Freigaben, Metadaten.
- Datenresidenz: Speicherung und Replikation ausschließlich in Deutschland.
- Rollen: Wir sind Verantwortlicher, Microsoft ist Auftragsverarbeiter.
14. Weitergabe an Dritte
Eine Weitergabe Deiner personenbezogenen Daten an Dritte erfolgt nicht, sofern sie nicht zur Weitergabe bestimmt sind (z. B. durch Deine expliziten Freigaben/Veröffentlichungen) oder gesetzliche Verpflichtungen dies verlangen. Dienstleister erhalten Deine Daten nur im Rahmen einer Auftragsverarbeitung mit geeigneten Garantien.
15. Änderungen dieser Hinweise
Wir können diese Datenschutzhinweise anpassen, wenn sich Dienste, Rechtslage oder technische Rahmenbedingungen ändern. Es gilt die jeweils aktuelle Fassung.
