Rechtskonformer Einsatz von MICROSOFT 365 & Copilot

Wo stehen wir bei Microsoft 365?

• USA Patriot Act + Cloud Act: laut Chefjustiziar muss Microsoft EU-Daten an USA ausliefern
• Kritik und Meinungsstand der Datenschutzbehörden
• Datenschutzbehörden fordern: Verbot von Microsoft 365
• Was tun? Ist Microsoft 365 noch einsetzbar? Oder zurück zu On-Premise, Hybrid-Lösung
• Rechtsprechung, insbesondere des EuGH, zu Microsoft 365
• Reaktionen auf Kritik und Lösungsansätze von Microsoft
• Microsoft-Verträge auf dem Prüfstand, insbesondere DPA, Online Service Terms usw. Welche Anpassungen sind erreichbar? Verhandlungstaktik mit Microsoft
• Welche Zusatzvereinbarungen sollten angestrebt werden → Mustervorlage für Zusatzvereinbarung
• Datenschutzhinweise für Microsoft 365 → Mustervorlage

Copilot: Integration und rechtskonformer Einsatz

• Microsoft 365-Prozesse mit Copilot und KI
• Verbot automatisierter Entscheidungen, Schufa-Urteil des EuGH
• Anforderungen der neuen KI-Verordnung: ist Copilot Hochrisiko-KI ?
• Training und Analyse mit internen Daten, E-Mails, Chats, Protokolle
• Copilot als generative Allzweck-KI: Urheberrecht und Datenschutz

Microsoft 365 im Arbeitsverhältnis

• Verhaltens- und Leistungskontrollen, Compliance-Kontrollen mit Microsoft 365 und Copilot
• Telemetrie- und Analysemaßnahmen (Viva Insights, Power BI usw.) zulässig einsetzen
• Mitbestimmung und Gestaltung einer Betriebsvereinbarung für Microsoft 365 → Mustervorlage enthalten

Integrierter Workshop: Erstellung einer KI-Richtlinie für den Copilot-Einsatz

Mit Mustervorlagen und Textbausteinen wird unter Anleitung des Referenten eine individuelle KI-Richtlinie für Copilot erstellt.

• KI-Kompetenz-Pflicht nach KI-VO
• über Risiken und Chancen informieren
• Welche Prompts sind zulässig?

Herausforderung internationaler Datentransfer

• EuGH Schrems II und M 365, Rechtslage in den USA
• Welche US-Gesetze gelten für Microsoft? Section 702 FISA, E.O. 12333 etc.
• Data Privacy Framework und Standardvertragsklauseln rechtssicher einsetzen
• Problem Support-Tickets und Subauftragnehmer: Lösung durch EU Data Boundary (EU Datengrenze)
• Fragenkatalog der Behörden, wie bereiten Sie sich optimal vor?
• Welche Einwilligungen können für M 365 genutzt werden? Transfer nach Art. 49 DSGVO Einwilligungen für Bilder, Private Nutzung, Compliance-Kontrollen usw.
• Einsatz von M 365 im Konzern, insbesondere Datentransfer im Konzern

Sicherheitskonzept von Microsoft 365

• Rechtsvorteile Verschlüsselungslösungen: Purview-Kundenschlüssel, Double Key Encryption, Bring your own Key etc.
• Customer Lockbox: Zugriffskontrolle durch Kunden-Genehmigung
• Conditional Access, Multi-Factor Authentication (MFA), Privileged Identity Management (PIM)
• Sicherheitsstandards für Microsoft 365
• Gapanalyse, Risikomatrix erstellen

Integrierter Workshop: Erstellung Datenschutzfolgenabschätzung (DSFA) für Microsoft 365, mit Transfer Impact Assessment (TIA)

Mit Mustervorlagen und Textbausteinen wird unter Anleitung des Referenten eine individuelle DSFA mit TIA für Microsoft 365 erstellt.

• Risikomindernde Zusatzmaßnahmen / Zusatzvereinbarungen / Verhältnismäßigkeitsprüfung
• Subauftragnehmer und Übertragungswege
• Speicherort und Supportzugriff
• Beteiligung DSB, Betriebsrat, Betroffene