Die Sache ist doch relativ klar, denn Stefan Hessel weiß ganz genau, dass im Vertrag mit Microsoft (unter Verstoß gegen die DS-GVO durch den Kunden) steht, dass der Kunde Microsoft erlaubt, Daten (auch außerhalb der EU) weiterzugeben, wenn das rechtlich erforderlich sei. Im Vertrag steht auch drin, dass der Kunde Microsoft beauftragt, Daten in die USA und andere Länder zu übermitteln. Also lügt Stefan Hessel offensichtlich bewusst, WENN er behauptet, dass keine Drittlandsübermittlung stattfindet.

Aber der Witz ist: Stefan Hessel lügt gar nicht. Denn er behauptet gar nicht, dass keine Drittlandsübermittlung stattfindet. Er behauptet, sie findet nicht statt, WENN im Vertrag geregelt sei, dass sie nicht stattfinde. Aber im Vertrag steht das ja gar nicht drin, also führt er uns nur an der Nase herum.

Genauer:
Schauen wir uns den Auftragsverarbeitungsvertrag („Datenschutznachtrag für Produkte und Services von Microsoft“) mit Microsoft an. Da steht drin: „Microsoft wird verarbeitete Daten nicht offenlegen oder zugänglich machen, außer: […] (3) wie gesetzlich vorgeschrieben.
[…]
Microsoft wird verarbeitete Daten gegenüber Strafverfolgungsbehörden nur offenlegen bzw. den Zugriff darauf ermöglichen, wenn dies gesetzlich vorgeschrieben ist.
[…]
Wenn Microsoft aufgefordert wird, verarbeitete Daten an die Strafverfolgungsbehörden weiterzugeben oder diesen den Zugriff darauf einzuräumen, benachrichtigt Microsoft den Kunden unverzüglich und übermittelt eine Kopie der Anforderung, sofern dies nicht gesetzlich verboten ist.“

Mal abgesehen davon, dass sich dies nur auf die „verarbeiteten Daten“ (Begriffsdefinition lassen wir jetzt mal weg) bezieht und nicht auf alle „personenbezogenen Daten“ (die dem Schutz europäischen Rechts genießen) steht da ganz klar gar nicht das drin, was Stefan Hessel suggeriert. Denn es steht klar drin, dass Daten herausgegeben werden dürfen, wenn ein Gesetz das erfordert (ungeachtet des Staates in dem das Gesetz gilt). Das Widerspricht Artikel 48 DS-GVO.

Auch ansonsten steht im Vertrag klipp und klar drin, dass Drittlandsübermittlungen (konkret: in die USA „oder in jedes andere Land […] in dem Microsoft oder seine Unterauftragsverarbeiter tätig sind“) stattfinden:

„Kundendaten, Professional Services-Daten und personenbezogene Daten, die Microsoft im Auftrag des Kunden verarbeitet, dürfen nur gemäß den DPA-Bestimmungen und den nachstehend in diesem Abschnitt vorgesehenen Sicherheitsmaßnahmen an einen bestimmten geografischen Standort übermittelt und dort gespeichert und verarbeitet werden. Unter Berücksichtigung solcher Sicherheitsmaßnahmen beauftragt der Kunde Microsoft, Kundendaten, Professional Services-Daten und personenbezogene Daten in die Vereinigten Staaten von Amerika oder in jedes andere Land zu übermitteln, in dem Microsoft oder seine Unterauftragsverarbeiter tätig sind, und Kundendaten und personenbezogene Daten zur Bereitstellung der Produkte zu speichern und zu verarbeiten, ausgenommen wie an anderer Stelle in den DPA-Bestimmungen beschrieben.“

Also: Stefan Hessel lügt nicht, aber verwendet rhetorische Tricks: „Wenn XY, dann ABC“ – Aber XY ist gar nicht der Fall, ABC tritt gar nicht ein, also versucht er nur den Lesern einen Bären aufzubinden. Leider fällt heise schon wieder auf diesen billigen Trick herein.

#Teamdatenschutz #DSGVO #Datenschutz