Information zur Datenverarbeitung im Rahmen der M365-Nutzung (z.B. Onlinemeetings via Teams, SharePoint-Online etc.)

Sie nutzen eine Anwendung unserer M365-Umgebung bzw. haben eine Einladung zur Nutzung (z.B. SharePoint-Online, Microsoft Teams) von uns erhalten. Hiermit informieren wir Sie über die Verarbeitung Ihrer personenbezogenen Daten und die Ihnen nach dem Datenschutzrecht zustehenden Rechte. Bei Fragen können Sie sich gerne an uns wenden.

1) Wer ist Verantwortlicher und wer ist Datenschutzbeauftragter?
Caritasverband für die Diözese Osnabrück e.V.
Knappsbrink 58, 49080 Osnabrück

Sie erreichen uns über:
Dieter Müller, Leitung Stabstelle Digitalisierung
Tel. 0541 34978-0, E-Mail: dieter.mueller@caritas-os.de

Unseren betrieblichen Datenschutzbeauftragten erreichen Sie über:
Markus Meitsch, betrieblicher Datenschutzbeauftragter
Caritasverband für die Diözese Osnabrück e.V.
Knappsbrink 58, 49080 Osnabrück | E-Mail: datenschutz@caritas-os.de

2) Welche Datenkategorien nutzen wir und woher stammen diese?
Bei der M365-Nutzung, z.B. im Rahmen von Online-Meetings über Teams werden insbesondere folgende Kategorien personenbezogener Daten verarbeitet:

Angaben zu Nutzerinnen und Nutzern (z.B. Vorname, Name, E-Mail-Adresse,  ggf. optionales Profilfoto, Dienstgeber/Einrichtung/Anschrift, Tätigkeit/Team/Arbeitsbereich, Telefonnummer),

Meeting-Metadaten / Protokolldaten (z.B. Meeting-ID, IP-Adresse, Datum/Uhrzeit/Dauer der Meeting-Teilnahme, genutzte Hardware, Betriebssystem, Ort/Zeitzone/Spracheinstellungen, Aktivitäten im Meeting wie z.B. Teilnahme/Verlassen, Nutzugsdaten, Fehlerberichte/Absturzdaten),

Text-, Chat-, Audio-, Videodaten (z.B. Dokumente inkl. Bearbeitungsverlauf  und -kommentaren, Inhalte der Kommunikation, physische Merkmale wie z.B.  Geschlecht, besondere Merkmale wie Haut-, Haar- und Augenfarbe, Statur im Rahmen von Videokonferenzen, ggf. Video- oder Tonaufzeichnungen bzw. 
Transkription, Bildschirm-/Dokumentenfreigabe, Einladungen zu Besprechungen).

Ihre Daten werden in der Regel direkt bei Ihnen im Rahmen der Anmeldung eines Benutzerkontos bzw. bei Einwahl in ein Onlinemeeting erhoben. Der Umfang der verarbeiteten Daten hängt auch davon ab, welche Angaben Sie im Rahmen der Teilnahme an einem Onlinemeeting bzw. der M365-Nutzung machen. Für die Audio- und Videoübertragung ist der Zugriff auf Ihr Mikrofon bzw. Ihre Kamera erforderlich, diese können Sie jederzeit selbst ein- bzw. ausschalten. Die Audio- und Videodaten sowie die Inhalte der Kommunikation können 
ggf. auch Angaben zu besonderen Kategorien personenbezogener Daten (z.B. ethnische Herkunft, Gesundheitsdaten) enthalten. Sofern Audio-/Videoaufzeichnungen bzw. Transkripte erstellt werden sollen, wird dies vorab transparent mitgeteilt und eine entsprechende Einwilligung eingeholt.

3) Für welche Zwecke und auf welcher Rechtsgrundlage werden Ihre personenbezogenen Daten verarbeitet?
Wir verarbeiten Ihre personenbezogenen Daten nur soweit eine Rechtsvorschrift dies erlaubt oder vorschreibt, also aufgrund der Bestimmungen des Gesetzes über den Kirchlichen Datenschutz (KDG) sowie ggf. weiterer maßgeblicher staatlicher und kirchlicher Gesetze. Dabei werden wir die Verarbeitung u.a. auf folgende Rechtsgrundlagen stützen:

Durchführung von Online-Meetings / Kollaboration / Nutzung einer M365-Anwendung: Sofern Sie im Rahmen eines Beschäftigungsverhältnisses an einem Onlinemeeting teilnehmen bzw. eine M365-Anwendung nutzen, ist § 53 Abs. 1 KDG die Rechtsgrundlage für die Datenverarbeitung. Erfolgt die Teilnahme im Rahmen eines Vertragsverhältnisses mit Ihnen, erfolgt dies auf Grundlage des § 6 Abs. 1 lit. c KDG bzw. im Falle Ihrer Einwilligung im Rahmen *des § 6 Abs. 1 lit. b bzw. § 11 Abs. 2 lit. a KDG. Zu-dem bilden § 6 Abs. 1 lit. f 
und g KDG weitere Rechtsgrundlagen, sofern das Online-Meeting im kirchlichen Interesse bzw. die effektive Durchführung von Online-Meetings in unserem berechtigten Interesse liegt.

Sicherer Betrieb von IT-Systemen: Die Verarbeitung z.B. von Protokolldaten erfolgt aufgrund unseres berechtigten Interesses zum sicheren Betrieb von ITSystemen und zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Rahmen des § 6 Abs. 1 lit. g KDG. Zudem erfolgt sie zur Umsetzung der §§ 26/27 KDG sowie § 6 KDG-DVO (u.a. technische und organisatorische Maßnahmen, Sicherheit der Verarbeitung) auf Basis des § 6 Abs. 1 lit. d KDG.

Sofern eine der o.g. Verarbeitungen auf einer von Ihnen erteilten Einwilligung beruht, haben Sie das Recht Ihre Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Zeitpunkt des Widerrufs bleibt davon unberührt. Dafür können Sie uns unter den o.g. Kontaktdaten erreichen.

4) Sind Sie verpflichtet, Ihre Daten bereitzustellen?
Die Erhebung und Verarbeitung personenbezogener Daten ist Voraussetzung für die Nutzung einer Microsoft-365-Anwendung (z.B. SharePoint-Online, Microsoft Teams).

5) Wer bekommt Ihre Daten?
Innerhalb unseres Rechtsträgers erhalten nur die Personen und Stellen Ihre personenbezogenen Daten, die diese im Rahmen ihrer rechtmäßigen Aufgabenerfüllung benötigen. Wir bedienen uns zur Erfüllung unserer vertraglichen und gesetzlichen Pflichten zum Teil spezialisierter externer Dienstleister, die Daten in unserem Auftrag und auf unsere Weisung hin verarbeiten. Hierzu gehören z.B. IT-Dienstleister. Bei jeder Übermittlung Ihrer personenbezogenen Daten an externe Empfänger, die diese Daten in unserem Auftrag verarbeiten  („Auftragsverarbeiter“), werden wir vertraglich sicherstellen, dass Ihre Daten im Einklang mit den anwendbaren datenschutzrechtlichen Vorschriften verarbeitet werden.
Im Rahmen der Zusammenarbeit mit Mitgliedseinrichtungen innerhalb unserer M365-Umgebung können Profilinformationen (z.B. dienstliche Kontaktdaten, optionales Profilfoto, freie bzw. geblockte Zeiten und Erreichbarkeiten entsprechend Ihrer Freigabeeinstellungen) zur Unterstützung der Zusammenarbeit 
ausgetauscht werden, sofern Sie ein dienstliches M-365-Konto unserer Einrichtung nutzen. Darüber hinaus können personenbezogene Daten an weitere Empfänger („Dritte“) übermittelt werden, soweit dies etwa zur Erfüllung gesetzlicher Pflichten erforderlich ist. Sofern nicht eine Rechtsvorschrift die Übermittlung zulässt oder vorschreibt oder die Daten nur anonymisiert übermittelt werden, bedarf eine Weitergabe immer Ihrer Einwilligung.

6) Werden meine Daten in ein Drittland übermittelt?
Es erfolgt grundsätzlich keine Übermittlung personenbezogener Daten außerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) in sogenannte „Drittländer“. So beschränken wir etwa bei der Nutzung von Microsoft-Diensten unseren Speicherort auf Rechenzentren innerhalb der EU („EU-Datengrenze“). Ist z.B. zur Abwehr von IT-Sicherheitsbedrohungen eine Verarbeitung auch außerhalb der EU-Datengrenze erforderlich, so geschieht dies entsprechend den Regeln des KDG (Kapitel 5). Microsoft unterfällt aufgrund der Zertifizierung nach dem EU-US-Data-Privacy-Framework dem Angemessenheitsbeschluss der Europäischen Kommission. Weiterhin wurden zwischen Microsoft Ireland und der Microsoft Corporation EU-Standardvertragsklauseln vereinbart, um diese Übertragungen zusätzlich abzusichern. Weitere 
Informationen finden Sie unter: https://learn.microsoft.com/de-de/privacy/eudb/eu-data-boundary-learn

7) Welche Datenschutzrechte können Sie als betroffene Person geltend machen?
Sie können nach den Vorschriften des KDG eine Reihe von Betroffenenrechten geltend machen. Dazu können Sie uns über die in Ziffer 1 bekanntgegebenen Kontaktdaten erreichen. Im Rahmen der datenschutzrechtlichen Zulässigkeit können Sie Auskunft über die zu Ihrer Person von uns verarbeiteten Daten verlangen (§ 17 KDG), die Berichtigung von unrichtigen Sie betreffenden personenbezogenen Daten verlangen (§ 18 KDG), die Löschung Ihrer Daten verlangen (§ 19 KDG), die Herausgabe der Sie betreffenden Daten verlangen 
(„Recht auf Datenübertragbarkeit“ § 22 KDG), der Verarbeitung Ihrer Daten widersprechen (§ 23 KDG), eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (§ 8 KDG) sowie Ihr Recht auf Beschwerde bei der Datenschutzaufsicht wahrnehmen, wenn Sie der Ansicht sind, dass eine Verarbeitung gegen geltendes Datenschutzrecht verstößt (§ 48 KDG). Die zuständige Aufsichtsbehörde ist die Katholische Datenschutzaufsicht Nord, Unser Lieben Frauen Kirchhof 20, 28195 Bremen. Die Regelungen des KDG finden Sie unter 
https://www.kdsa-nord.de. 

8) Wie lange werden meine Daten gespeichert?
Ihre Daten werden von uns im Einklang mit den datenschutzrechtlichen Anforderungen gespeichert, solange wir Ihre Daten für die jeweiligen Zwecke benötigen. Die Anmeldeprotokolle werden standardmäßig nach 60 Tagen automatisiert gelöscht, die Standardverfallszeit von Gesprächsaufzeichnungen beträgt 120 Tage. Die Audit-Logs über Pureview sind maximal 180 Tage verfügbar. Für die Aufbewahrung von Zahlungsbelegen im Zusammenhang mit dem Vertragsverhältnis gilt eine Frist von acht bzw. zehn Jahren nach der letzten Zahlung (§ 257 HGB). Sofern kein zulässiger Zweck für die weitere Speicherung mehr besteht, werden Ihre Daten datenschutzgerecht gelöscht.

9) Inwieweit finden automatisierte Einzelfallentscheidungen oder Profiling statt?
Wir nutzen keine rein automatisierten Verarbeitungsprozesse zur Herbeiführung einer Entscheidung oder Profiling im Rahmen der Verarbeitung Ihrer personenbezogenen Daten.