Zweckbindung

Personenbezogene Daten müssen […] für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden […]

Art. 5 Abs. 1 Lit. b DSGVO

Für jeden Vorgang der Verarbeitung personenbezogener Daten müssen im Voraus eindeutig legitime Zwecke bestimmt werden. M365 protokolliert jedoch sämtliche Aktivitäten der Anwenderinnen und Anwender lückenlos und bewahrt diese Daten typischerweise 180 Tage lang auf. Für jede dieser Protokollierungen müsste der Arbeitgeber im Voraus abschließend und konkret bestimmen, welchem Zweck sie dient – das geschieht in der Praxis oft nicht in der von der DSGVO verlangten Konkretheit. Microsoft argumentiert zwar zutreffend, dass es den Kunden überlassen bleibe, die jeweiligen Zwecke zu bestimmen. Werden aber gar keine Zwecke oder keine hinreichend konkreten Zwecke bestimmt, sind die Anforderungen der DSGVO nicht erfüllt, und die Nutzung von M365 erfolgte dann nicht in Übereinstimmung mit der Verordnung.

Wollte ein Kunde bestimmte Protokolldaten nicht nutzen, müsste er konsequenterweise die entsprechende Protokollierung abschalten. Das ist jedoch nur mit immens großem Aufwand und in den meisten Fällen überhaupt nicht möglich. In der Praxis muss ein Kunde deshalb häufig nach dem Motto „Ich habe eine tolle Lösung, jetzt fehlt nur noch das passende Problem“ nachträglich einen Zweck konstruieren, um eine bereits bestehende Protokollierung zu rechtfertigen.