Auftragsverarbeitung

Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags […], der […] den Auftragsverarbeiter […] bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen […] festgelegt sind.

Art. 28 Abs. 3 DSGVO

Dieser Vertrag […] sieht insbesondere vor, dass der Auftragsverarbeiter […] die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen […] verarbeitet […] Art. 28 Abs. 3 Lit. a DSGVO

Die Verarbeitung durch Microsoft muss also durch den Verantwortlichen, also den Arbeitgeber, geregelt werden; der Auftragsverarbeiter darf Daten nur so verarbeiten, wie es vom Verantwortlichen belegbar angewiesen wurde. In der Praxis lässt Microsoft aber nur bestimmte, vorgegebene Weisungen zu: Der Kunde kann beispielsweise einstellen, dass Logdaten 90 oder 180 Tage, sechs Monate, ein Jahr oder zehn Jahre gespeichert bleiben, und die Anzahl der Versionen in SharePoint begrenzen – allerdings auf nicht weniger als 100 Versionen beziehungsweise 30 Tage. Eine Weisung außerhalb dieser vorgegebenen Optionen kann der Kunde nicht erteilen.

Microsoft argumentiert damit, ausschließlich gemäß Weisung zu verarbeiten. Die Weisungsmöglichkeit der Verantwortlichen ist durch das Produkt aber stark eingeschränkt: Formal mögen die Anforderungen von Art. 28 DSGVO damit erfüllt sein, tatsächlich kann der Verantwortliche aber nicht wirklich bestimmen, in welcher Art personenbezogene Daten verarbeitet werden.