Datenschutz bei Microsoft 365 – Teil 2 Microsoft Forms

Was ist Microsoft Forms?

Microsoft Forms ist ein Tool zur Ausgestaltung und Auswertung von online Umfragen und zur Durchführung von Quizze. Personen des Unternehmens, oder auch externe Dritte, können über Links an einer Umfrage oder einem Quiz teilnehmen und die Fragen beantworten. Ebenso können die Inhalte in einer Webseite eingebettet werden.

Microsoft Forms stellt Formulare für Umfragen oder Quizze zur Verfügung, zur Vereinfachung wird im Folgenden von „Befragung“ gesprochen, wenn beide Formulare gemeint sind.

Welche Datenschutzrisiken bestehen beim Einsatz von Microsoft Forms?

Grundsätzlich ist der Einsatz von Microsoft Forms datenschutzrechtlich möglich, wenn es richtig angewendet wird. Beim Einsatz sind bestimmte Aspekte zu berücksichtigen. Von Microsoft ist es nicht vorgesehen, dass die Administratoren zentrale Einstellungen vornehmen, um eine datenschutzkonforme Ausgestaltung vorzugeben. Vielmehr trägt der Ersteller einer Befragung die Verantwortung, diese datenschutzkonform auszugestalten.

Wie bei allen Webumfragen bestehen dabei Datenschutzrisiken:

  • Es können Befragungen erfolgen, die die Identität des Ausfüllenden erfassen, deren Rechtmäßigkeit sicherzustellen ist.
  • Auch wenn Befragungen anonymisiert erfolgen, ist sicherzustellen, dass durch die Masse/Gesamtheit an Fragen oder Rückmeldungen keine Person identifizierbar ist und die Datenverarbeitung rechtmäßig erfolgt.

(z.B. ist bei einem geschätzten Bevölkerungsanteil von ca. 0,2%[1] die Wahrscheinlichkeit sehr hoch, die Person zu identifizieren, die sich als intersexuell bezeichnet, wenn das Geschlecht abgefragt wird. Dies gilt insbesondere bei einer Befragung innerhalb eines Unternehmens.)

  • Erfolgt eine Befragung innerhalb des Tenant (Kundenkonto des Unternehmens), so kann ohne Wissen der Beschäftigten der Name angemeldeter Microsoft 365 User erfasst werden.
  • Auch wenn keine Daten durch den Verantwortlichen/Tenant-Inhaber erfasst werden, werden Daten durch Microsoft beim Aufruf von Forms erfasst (z.B. IP-Adresse) und auch Cookies gesetzt. Derzeit bietet Microsoft kein Consent-Management am, das eine Einwilligung zum Setzen der Cookies einholt, wie das bei Webseiten mittlerweile gesetzliche Anforderung ist.

Hilfreiche organisatorische Regelungen für Microsoft Forms

Da es in der Verantwortung des einzelnen Anwenders liegt, Microsoft Forms ordnungsgemäß einzusetzen, sollten klare Richtlinien erstellt werden, wie Befragungen zu gestalten sind, um die Einhaltung der Datenschutzvorgaben sicher zu stellen. Wichtige Themen sollten dabei sein:

  • Dürfen Befragungen erfolgen, die die Identität des Ausfüllenden erfassen, oder sind grundsätzlich nur anonymisierte Befragungen erlaubt?
  • Werden personenbezogene Befragungen erlaubt, sollte eine Kontrolle durch eine weitere Person erfolgen. Zudem sollte grundsätzlich der Datenschutzbeauftragte über das Verfahren informiert und ggf. ein Eintrag im Verfahrensverzeichnis erfolgen.
  • Werden personenbezogene Befragungen durchgeführt, ist vorab zu klären, ob die Datenverarbeitung rechtmäßig ist.
  • Es sollten Regeln definiert werden, ab wann Befragungen als personenbezogen gelten. Insbesondere sind dabei der Teilnehmerkreis, die gestellten Fragen, die Anzahl der Antworten, und die Einstellung in MS-Form zu berücksichtigen.
  • Es sollten Regelungen getroffen werden, wie die Ausfüllenden über die Datenverarbeitung zu informieren sind. Empfehlenswert ist es, grundlegende Informationen im ersten Abschnitt einer Befragung anzugeben und ggf. auf detailliertere Informationspflichten auf der eigenen Webseite zu verweisen. Ebenso ist es zu empfehlen, bei der Versendung einer Einladung zu der Befragung auf die Informationspflichten hinzuweisen oder diese mit anzuhängen. In den Informationspflichten sollten zusätzlich zu den üblichen Angaben nach Art. 13 und 14 DS-GVO
    • ein Hinweis erfolgen, ob die Umfrage anonymisiert erfolgt,
    • ein Hinweis erfolgen, wie mit Angaben in Freitextfeldern umgegangen wird, wenn hier personenbezogene Angaben gemacht werden, obwohl diese nicht verlangt/abgefragt wurden,
    • Informationen zur Datenverarbeitung durch Microsoft zur Verfügung gestellt werden und
    • bei Umfragen innerhalb des Tenant, wie Beschäftigte sicherstellen können, dass auch anonyme Umfragen über sie anonym bleiben (z.B. dass sie sich vor Teilnahme aus dem Microsoft 365 Account ausloggen).
  • Microsoft erfasst in der Standardeinstellung bei Befragungen innerhalb des Tenant namentlich den Nutzer, der daran teilgenommen hat. Es sollten Anleitungen zur Verfügung gestellt werden, wie in den Einstellungen einer Befragung dies ausgeschaltet werden kann. Grundsätzlich sollte die Einstellung „Jeder mit dem Link kann antworten“ im Einsatz sein, damit diese Erfassung nicht erfolgt.

Zugleich stellt Microsoft in der Admin-Umgebung Berichte über die Nutzung von Microsoft Forms bereit. Hier werden Anzahl der erstellten Befragungen, Anzahl der Antworten angemeldeter Nutzer oder Anzahl anonymer Antworten, so wie Angaben zu den gesamten Benutzerzahlen (aufgeteilt in Designer und Antwortende) ausgegeben. Zudem werden Listen über die Nutzer zur Verfügung gestellt, wie viele Formulare diese erstellt und beantwortet haben.

Um zu verhindern, dass durch Administratoren eine Rückführung von Antworten möglich ist, sollte organisatorisch den eigenen Administratoren verboten werden, Umfragen zu erstellen, zu verwalten oder Zugriff auf Ergebnisse zu nehmen. Zudem sollten Beschäftigte darüber aufgeklärt und darauf hingewiesen werden, dass sie sich vor Teilnahme an der Befragung am besten von ihrem Microsoft-Account abmelden sollten.

  • Werden Quizze mit Microsoft Forms umgesetzt, können die Ergebnisse mit Bewertungen des Erstellers „gepostet“ werden und von den einzelnen Teilnehmern wieder eingesehen werden. Ohne zusätzlichen Passwortschutz ist dies nicht zu empfehlen.

Datenschutzfreundliche Voreinstellungen für Microsoft Forms

Wie oben erwähnt, können nur wenige Einstellungen getroffen werden, die eine datenschutzkonforme Nutzung von Microsoft Forms gewährleisten. Folgende Themen/Einstellungen sind dennoch zu empfehlen:

  1. Der Dienst „Forms“ sollte nicht allen Nutzer im Unternehmen frei zur Verfügung stehen. Beschäftigte könnten sonst beiläufig Befragungen erstellen, die nicht datenschutzkonform sind. Eine durchgängige Kontrolle und Überprüfung über alle Nutzer wird nur schwer umsetzbar sein.

Besonders Administratoren sollten keinen Zugriff auf Forms-Inhalte erhalten.

  1. In den Einstellungen zu Microsoft Forms im Admin-Center kann die standardmäßige namentliche Aufzeichnung von Personen aus der Organisation deaktiviert werden. Diese Einstellung ermöglich nur, dass die Standardeinstellungen bei neuen Befragungen die Namen nicht erfassen, jedoch kann dies durch die Ersteller der Befragung jederzeit geändert werden.
  2. Ebenso kann in den Einstellungen das Einbetten von Inhalten aus Bing oder YouTube deaktiviert werden. Inhalte werden dann nur als Link angezeigt. Da das Einbetten Daten an diese Dienste weitergibt und Cookies gesetzt werden können, aber kein Consent-Management besteht, sollte das Einbetten nicht erfolgen.
  3. Da für Microsoft Forms kein Consent-Management besteht, sollten die Inhalten auf der eigenen Webseite eingebettet und in das Consent-Management der Webseite eingebunden werden.
  4. Umfragenanreize wie Microsoft Rewards-Incentives sollten deaktiviert werden.

Sollten Sie noch Fragen zum Datenschutz, Microsoft 365 oder Microsoft Forms haben, wenden Sie sich gerne an uns. Schauen Sie demnächst gerne wieder vorbei für den nächsten Teil unserer Microsoft 365-Reihe

Autor: Michael Konitzer

Bild von Anemone123 auf Pixabay

[1] https://de.wikipedia.org/wiki/Intersexualität

No Comments

Post a Comment