Was macht Microsoft Bookings?
Microsoft Bookings ist ein Planungstool, mit dem Unternehmen Termine für Besprechungen und Meetings organisieren, verwalten und nachverfolgen können. User sehen in dem Tool, wann Unternehmen freie Slots zur Verfügung haben. Sie können dann einen Termin wählen und diesen über die Angabe ihrer Daten buchen. Sie erhalten daraufhin eine Bestätigungs-Mail und eine Kalendereinladung. Was müssen Unternehmen datenschutzrechtlich beachten, wenn sie Microsoft Bookings verwenden?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Warum ist Microsoft Bookings datenschutzrechtlich relevant?
Buchen Nutzer über Microsoft Bookings einen Termin ein, erheben Unternehmen von ihnen personenbezogene Daten wie Namen und E-Mail-Adresse. Sie geben diese automatisch an die Server von Microsoft in den USA weiter. Dafür müssen sie Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG (ehemals TTDSG)) beachten.
Microsoft Bookings datenschutzkonform verwenden
Um Microsoft Bookings datenschutzkonform einzusetzen, müssen Unternehmen diese gesetzlichen Anforderungen erfüllen:
Nutzer-Einwilligung in Cookies einholen
Um die personenbezogenen Daten der User zu erheben, verwendet Microsoft Bookings Cookies. Dafür benötigen Seitenbetreiber die Erlaubnis der Nutzer. Sie können diese über einen Cookie Banner einholen. Damit der Banner dem deutschen Datenschutz entspricht, sollten Unternehmen auf ein Cookie Consent Tool setzen. Dies holt rechtssicher eine aktive Einwilligung der Nutzer ein.
Vertrag zur Auftragsverarbeitung abschließen
Unternehmen sammeln über Microsoft Bookings personenbezogene Daten und geben diese zur weisungsgebundenen Verarbeitung an den Anbieter in den USA weiter. Dafür müssen sie mit Microsoft einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Das schreibt Artikel 28 DSGVO vor. Der Vertrag sollte bestimmen,
- welche Nutzerdaten Seitenbetreiber an Microsoft weitergeben,
- wie lange Microsoft die Daten speichert,
- warum Microsoft die Daten speichert und
- welche Rechte und Pflichten die Verantwortlichen haben.
Datenschutzerklärung aktualisieren
Immer wenn Unternehmen personenbezogene Daten verarbeiten und an Dritte weiterreichen, müssen sie das in ihrer Datenschutzerklärung erwähnen. Für Microsoft Bookings gilt daher: Unternehmen müssen in ihrer Datenschutzerklärung informieren,
- warum sie personenbezogene Daten über das Tool sammeln,
- wie lange sie die Daten speichern,
- welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO) und
- dass User der Datenerhebung und Datenspeicherung jederzeit widersprechen können.
Um Nutzern einen ausführlicheren Einblick in die Verarbeitung ihrer Daten bei Microsoft zu geben, sollten Unternehmen auch auf die Datenschutzbestimmungen und Nutzungsbestimmungen von Microsoft Bookings hinweisen.
Standardvertragsklauseln prüfen
Microsoft nutzt Standardvertragsklauseln, um Nutzerdaten von der EU in die USA zu versenden. Unternehmen müssen diese Klauseln mit Microsoft abschließen. Zusätzlich haben sie die Pflicht, eine Risikoabschätzung vorzunehmen. Diese legt offen, wie die Datenübertragung in die USA abläuft. Sie dokumentiert,
- welche Art von Daten Unternehmen an Microsoft in den USA weitergeben,
- welche Rechtsvorschriften in den USA gelten und
- ob Microsoft weitere Schritte unternimmt, um die über das Tool erhobenen Daten zu schützen.
Rechtsprechung zu Microsoft Bookings
Bisher liegt – soweit ersichtlich – keine Rechtsprechung zu Microsoft Bookings vor. Für den Einsatz des Tools sind jedoch diese Urteile relevant:
Europäischer Gerichtshof zum Privacy Shield
Der Privacy Shield ist unwirksam. Das stellte der Europäische Gerichtshof (EuGH) im Juli 2020 fest. Um personenbezogene Daten in die USA zu verschicken, benötigen Unternehmen seitdem eine andere rechtliche Grundlage. Der Grund für das Urteil des EuGH: Europäische Nutzer können nicht gegen US-amerikanische Unternehmen vorgehen, sollten diese ihre Daten missbrauchen. Und: Die USA verwendet Überwachungsprogramme, die nicht auf das zwingend erforderliche Maß beschränkt sind.
Europäischer Gerichtshof zur Verwendung von Cookies
Tracking Cookies sind stets einwilligungsbedürftig. Dabei ist es unerheblich, ob die Cookies personenbezogene Daten erheben oder nicht. Zu diesem Ergebnis kam der Europäische Gerichtshof (EuGH) im Oktober 2019 (Az. C-673/17).
Bundesgerichtshof zur Verwendung von Cookies
Damit Unternehmen Tracking Cookies verwenden dürfen, benötigen sie die Erlaubnis der Nutzer. Wenn sie diese einholen, dürfen sie das Häkchen in der Checkbox für das Einverständnis nicht vormarkieren. Zu diesem Schluss kam der Bundesgerichtshof (BGH) im Mai 2020 (I ZR 7/16).
Datenschutzbehörde Hamburg zum AV-Vertrag
Geben Unternehmen Nutzerdaten an Dritte zur weisungsgebundenen Verarbeitung weiter, müssen sie mit diesen einen AV-Vertrag schließen. Das schreibt die DSGVO vor. Ein deutsches Versandunternehmen hatte zwar personenbezogene Daten an einen spanischen Postdienstleister weitergereicht, mit diesem aber keinen AV-Vertrag geschlossen. Das bestrafte die Datenschutzbehörde Hamburg im Dezember 2018 mit einem Bußgeld von 5.000 Euro zuzüglich Gebühren von 250 Euro.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Um mehrere tausend Mitgliederdaten weisungsgebunden verarbeiten zu lassen, hatte der Fußballclub VfB Stuttgart verschiedene Dienstleister beauftragt. Er hatte es jedoch versäumt, mit diesen einen AV-Vertrag zu schließen. Das wertete die Datenschutzbehörde Baden-Württemberg als Verstoß gegen die DSGVO. Sie sprach daher im März 2021 eine Strafe von 300.000 Euro gegen den Verein aus.
