Datenschutzerklärung für Skype for Business

Darum ist Skype for Business datenschutzrechtlich relevant

Skype for Business speichert die Profildaten von Unternehmen, wenn sie einen Account anlegen. Dabei speichert es Details wie

• den Unternehmensnamen,
• den Unternehmenssitz,
• die E-Mail-Adresse und die
•  Telefonnummer.

Darüber hinaus erhebt Skype for Business die Daten der Telefon- und Videokonferenz-Teilnehmer. Dazu zählen unter anderem

• Usernamen,
• IP-Adressen und
• E-Mail-Adressen.

Daneben speichert Skype Gesprächsinhalte, eingegebene Nachrichten und versendete Dateien. Welche Daten die Anwendung genau erhebt, hängt von der konkreten Nutzung ab. Grundsätzlich erhält Microsoft jedoch einen umfassenden Einblick in den Datenverkehr zwischen den Gesprächsteilnehmern. Dabei handelt es sich zum Teil um personenbezogene Daten. Zudem sendet Skype alle gesammelten Daten an Server, die in den USA stehen. Unternehmen haben daher besondere Datenschutzpflichten.

Skype for Business datenschutzkonform verwenden

Damit Unternehmen Skype for Business datenschutzkonform verwenden, müssen sie diese Anforderungen erfüllen:

Vertrag zur Auftragsverarbeitung abschließen

Bevor Unternehmen personenbezogene Daten von Gesprächsteilnehmern an Skype weitergeben, müssen sie mit dem Anbieter einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Diese Pflicht schreibt Art. 28 DSGVO vor. Unternehmen können diesen bei Skype online abrufen. Sie sollten darauf achten, dass der Vertrag aufführt,

• welche Daten Skype speichert,
• wie lange es diese Daten speichern will,
• warum Skype die Daten speichert und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen, die mit Skype for Business einen AV-Vertrag geschlossen haben, müssen das in ihrer Datenschutzerklärung angeben. Dabei müssen sie erklären,

• warum sie welche Nutzerdaten sammeln und speichern,
• wie lange sie die Daten speichern wollen,
• welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. c DSGVO) und
• dass User der Datenerhebung und Datenspeicherung jederzeit widersprechen können.

Datenschutzfreundliche Einstellungen wählen

Damit Unternehmen Skype for Business datenschutzkonform verwenden, sollten sie die Einstellungen der Anwendung so konfigurieren, dass diese möglichst wenige Daten der Gesprächsteilnehmer sammelt. Dazu sollten sie beispielsweise das Verhalten der Gesprächsteilnehmer nur dann tracken (wie z. B. über Klicks an bestimmten Stellen oder die Aufzeichnung des Gesprächs), wenn dies

• einem erlaubten Zweck dient (nicht der Überwachung),
• geeignet ist, diesen Zweck zu erfüllen und
• erforderlich ist, diesen Zweck zu erfüllen.

Die Aufzeichnung eines Gesprächs kann zum Beispiel dann datenschutzrechtlich konform sein, wenn Unternehmen die genauen Inhalte später noch einmal benötigen. Nicht notwendig und datenschutzkonform ist eine Aufzeichnung beispielsweise, wenn Unternehmen nur einzelne Inhalte eines Gesprächs noch einmal benötigen. Denn: Sie könnten diese während des Gesprächs notieren. Speichern Unternehmen Daten aus einem Call oder einer Konferenz ab, dürfen sie diese nur so lange aufbewahren, wie sie diese auch tatsächlich brauchen. Das heißt: Sie sollten die Daten möglichst schnell wieder löschen.

Standardvertragsklauseln

Microsoft hat seinen Sitz in den USA. Es speichert seinen Daten daher auch auf Servern in den USA. Um Userdaten datenschutzkonform in ein Drittland außerhalb der EU weitergeben zu können, benötigen Unternehmen eine Rechtsgrundlage. Diese besteht derzeit in Form von EU-Standardvertragsklauseln. Unternehmen müssen diese mit Microsoft abschließen. Zusätzlich müssen sie eine Risikoabschätzung durchführen. Das bedeutet: Sie müssen prüfen und dokumentieren,

• welche Daten sie über Skype an Microsoft weitergeben,
• welche Gesetze zum Datenschutz in den USA gelten und
• ob Microsoft Maßnahmen ergreift, um Nutzerdaten zu schützen.

Rechtsprechung zu Skype for Business

Zu Skype for Business liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Unternehmen sollten jedoch sicherstellen, dass sie mit Microsoft einen AV-Vertrag schließen. Denn: Datenschutzbehörden haben bereits Bußgelder für fehlende AV-Verträge ausgesprochen:

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Fußball-Bundesligaclub VfB Stuttgart gab Daten seiner Vereinsmitglieder an Dienstleister weiter, um diese weisungsgebunden verarbeiten zu lassen. Dafür schloss er jedoch keinen AV-Vertrag mit den Dritten. Diesen hätte der Club jedoch benötigt, um die Verantwortung für die Daten festzuhalten. Die Datenschutzbehörde Baden-Württemberg sprach daher im März 2021 eine Strafe in Höhe von 300.000 Euro aus.

Datenschutzbehörde Hamburg zum AV-Vertrag

Ein deutsches Versandunternehmen arbeitete mit einem spanischen Postdienstleister zusammen. In diesem Rahmen gab es personenbezogene Daten an den Dienstleister weiter. Dafür schlossen die beiden Parteien jedoch keine Vereinbarung für die Auftragsverarbeitung. Die Datenschutzbehörde Hamburg kam daher im Dezember 2018 zu dem Schluss: Das Versandunternehmen muss 5.000 Euro Strafe zahlen.