Datenschutz bei Microsoft 365 – Teil 2 Microsoft Forms

Was ist Microsoft Forms?

Microsoft Forms ist ein Tool zur Ausgestaltung und Auswertung von online Umfragen und zur Durchführung von Quizze. Personen des Unternehmens, oder auch externe Dritte, können über Links an einer Umfrage oder einem Quiz teilnehmen und die Fragen beantworten. Ebenso können die Inhalte in einer Webseite eingebettet werden.

Microsoft Forms stellt Formulare für Umfragen oder Quizze zur Verfügung, zur Vereinfachung wird im Folgenden von „Befragung“ gesprochen, wenn beide Formulare gemeint sind.

Welche Datenschutzrisiken bestehen beim Einsatz von Microsoft Forms?

Grundsätzlich ist der Einsatz von Microsoft Forms datenschutzrechtlich möglich, wenn es richtig angewendet wird. Beim Einsatz sind bestimmte Aspekte zu berücksichtigen. Von Microsoft ist es nicht vorgesehen, dass die Administratoren zentrale Einstellungen vornehmen, um eine datenschutzkonforme Ausgestaltung vorzugeben. Vielmehr trägt der Ersteller einer Befragung die Verantwortung, diese datenschutzkonform auszugestalten.

Wie bei allen Webumfragen bestehen dabei Datenschutzrisiken:

  • Es können Befragungen erfolgen, die die Identität des Ausfüllenden erfassen, deren Rechtmäßigkeit sicherzustellen ist.
  • Auch wenn Befragungen anonymisiert erfolgen, ist sicherzustellen, dass durch die Masse/Gesamtheit an Fragen oder Rückmeldungen keine Person identifizierbar ist und die Datenverarbeitung rechtmäßig erfolgt.

(z.B. ist bei einem geschätzten Bevölkerungsanteil von ca. 0,2%[1] die Wahrscheinlichkeit sehr hoch, die Person zu identifizieren, die sich als intersexuell bezeichnet, wenn das Geschlecht abgefragt wird. Dies gilt insbesondere bei einer Befragung innerhalb eines Unternehmens.)

  • Erfolgt eine Befragung innerhalb des Tenant (Kundenkonto des Unternehmens), so kann ohne Wissen der Beschäftigten der Name angemeldeter Microsoft 365 User erfasst werden.
  • Auch wenn keine Daten durch den Verantwortlichen/Tenant-Inhaber erfasst werden, werden Daten durch Microsoft beim Aufruf von Forms erfasst (z.B. IP-Adresse) und auch Cookies gesetzt. Derzeit bietet Microsoft kein Consent-Management am, das eine Einwilligung zum Setzen der Cookies einholt, wie das bei Webseiten mittlerweile gesetzliche Anforderung ist.

Hilfreiche organisatorische Regelungen für Microsoft Forms

Da es in der Verantwortung des einzelnen Anwenders liegt, Microsoft Forms ordnungsgemäß einzusetzen, sollten klare Richtlinien erstellt werden, wie Befragungen zu gestalten sind, um die Einhaltung der Datenschutzvorgaben sicher zu stellen. Wichtige Themen sollten dabei sein:

  • Dürfen Befragungen erfolgen, die die Identität des Ausfüllenden erfassen, oder sind grundsätzlich nur anonymisierte Befragungen erlaubt?
  • Werden personenbezogene Befragungen erlaubt, sollte eine Kontrolle durch eine weitere Person erfolgen. Zudem sollte grundsätzlich der Datenschutzbeauftragte über das Verfahren informiert und ggf. ein Eintrag im Verfahrensverzeichnis erfolgen.
  • Werden personenbezogene Befragungen durchgeführt, ist vorab zu klären, ob die Datenverarbeitung rechtmäßig ist.
  • Es sollten Regeln definiert werden, ab wann Befragungen als personenbezogen gelten. Insbesondere sind dabei der Teilnehmerkreis, die gestellten Fragen, die Anzahl der Antworten, und die Einstellung in MS-Form zu berücksichtigen.
  • Es sollten Regelungen getroffen werden, wie die Ausfüllenden über die Datenverarbeitung zu informieren sind. Empfehlenswert ist es, grundlegende Informationen im ersten Abschnitt einer Befragung anzugeben und ggf. auf detailliertere Informationspflichten auf der eigenen Webseite zu verweisen. Ebenso ist es zu empfehlen, bei der Versendung einer Einladung zu der Befragung auf die Informationspflichten hinzuweisen oder diese mit anzuhängen. In den Informationspflichten sollten zusätzlich zu den üblichen Angaben nach Art. 13 und 14 DS-GVO
    • ein Hinweis erfolgen, ob die Umfrage anonymisiert erfolgt,
    • ein Hinweis erfolgen, wie mit Angaben in Freitextfeldern umgegangen wird, wenn hier personenbezogene Angaben gemacht werden, obwohl diese nicht verlangt/abgefragt wurden,
    • Informationen zur Datenverarbeitung durch Microsoft zur Verfügung gestellt werden und
    • bei Umfragen innerhalb des Tenant, wie Beschäftigte sicherstellen können, dass auch anonyme Umfragen über sie anonym bleiben (z.B. dass sie sich vor Teilnahme aus dem Microsoft 365 Account ausloggen).
  • Microsoft erfasst in der Standardeinstellung bei Befragungen innerhalb des Tenant namentlich den Nutzer, der daran teilgenommen hat. Es sollten Anleitungen zur Verfügung gestellt werden, wie in den Einstellungen einer Befragung dies ausgeschaltet werden kann. Grundsätzlich sollte die Einstellung „Jeder mit dem Link kann antworten“ im Einsatz sein, damit diese Erfassung nicht erfolgt.

Zugleich stellt Microsoft in der Admin-Umgebung Berichte über die Nutzung von Microsoft Forms bereit. Hier werden Anzahl der erstellten Befragungen, Anzahl der Antworten angemeldeter Nutzer oder Anzahl anonymer Antworten, so wie Angaben zu den gesamten Benutzerzahlen (aufgeteilt in Designer und Antwortende) ausgegeben. Zudem werden Listen über die Nutzer zur Verfügung gestellt, wie viele Formulare diese erstellt und beantwortet haben.

Um zu verhindern, dass durch Administratoren eine Rückführung von Antworten möglich ist, sollte organisatorisch den eigenen Administratoren verboten werden, Umfragen zu erstellen, zu verwalten oder Zugriff auf Ergebnisse zu nehmen. Zudem sollten Beschäftigte darüber aufgeklärt und darauf hingewiesen werden, dass sie sich vor Teilnahme an der Befragung am besten von ihrem Microsoft-Account abmelden sollten.

  • Werden Quizze mit Microsoft Forms umgesetzt, können die Ergebnisse mit Bewertungen des Erstellers „gepostet“ werden und von den einzelnen Teilnehmern wieder eingesehen werden. Ohne zusätzlichen Passwortschutz ist dies nicht zu empfehlen.

Datenschutzfreundliche Voreinstellungen für Microsoft Forms

Wie oben erwähnt, können nur wenige Einstellungen getroffen werden, die eine datenschutzkonforme Nutzung von Microsoft Forms gewährleisten. Folgende Themen/Einstellungen sind dennoch zu empfehlen:

  1. Der Dienst „Forms“ sollte nicht allen Nutzer im Unternehmen frei zur Verfügung stehen. Beschäftigte könnten sonst beiläufig Befragungen erstellen, die nicht datenschutzkonform sind. Eine durchgängige Kontrolle und Überprüfung über alle Nutzer wird nur schwer umsetzbar sein.

Besonders Administratoren sollten keinen Zugriff auf Forms-Inhalte erhalten.

  1. In den Einstellungen zu Microsoft Forms im Admin-Center kann die standardmäßige namentliche Aufzeichnung von Personen aus der Organisation deaktiviert werden. Diese Einstellung ermöglich nur, dass die Standardeinstellungen bei neuen Befragungen die Namen nicht erfassen, jedoch kann dies durch die Ersteller der Befragung jederzeit geändert werden.
  2. Ebenso kann in den Einstellungen das Einbetten von Inhalten aus Bing oder YouTube deaktiviert werden. Inhalte werden dann nur als Link angezeigt. Da das Einbetten Daten an diese Dienste weitergibt und Cookies gesetzt werden können, aber kein Consent-Management besteht, sollte das Einbetten nicht erfolgen.
  3. Da für Microsoft Forms kein Consent-Management besteht, sollten die Inhalten auf der eigenen Webseite eingebettet und in das Consent-Management der Webseite eingebunden werden.
  4. Umfragenanreize wie Microsoft Rewards-Incentives sollten deaktiviert werden.

Sollten Sie noch Fragen zum Datenschutz, Microsoft 365 oder Microsoft Forms haben, wenden Sie sich gerne an uns. Schauen Sie demnächst gerne wieder vorbei für den nächsten Teil unserer Microsoft 365-Reihe

Sie benötigen professionelle Unterstützung zum Thema Datenschutz bei Microsoft 365? Lassen Sie sich jetzt von erfahrenen Datenschutzexperten bei ENSECUR beraten!
Zur Office 365 Datenschutz Beratung

Links zu weiteren Beiträgen der Reihe:

Teil 1: Grundlagen
Teil 3: Microsoft Teams
Teil 4: Delve, MyAnalytics und Produktivitätsbewertung
Teil 5: Compliance
Teil 6: Yammer
Teil 7: OneDrive
Teil 8: Office Online – Word, Excel, PowerPoint, OneNote
Teil 9: Exchange
Teil 10: Intune
Teil 11: Admin Center

Link zu unserem White Paper Microsoft 365

Autor: MK

Bild von Anemone123 auf Pixabay

8 Antworten auf „Datenschutz bei Microsoft 365 – Teil 2 Microsoft Forms“

Als Einkäufer stelle ich mir die Frage, ob es mit Forms möglich ist „Preisabfragen“ per Forms zu erstellen, die von den Lieferanten ausgefüllt werden.

Wie wird sichergestellt, das die sensiblen Angaben nicht eingesehen werden können?

Vielen Dank für Ihre Frage! MS Forms ist ein Umfrage und Quiz Tool. Es ist nicht vorgesehen, dass Einzelabfragen wie in einem Webformular erfolgen. Alle eingehenden Antworten werden unter einem erstellten Umfrageformular zusammengeführt. Wenn Sie zu einem vergleichbaren Produkt eine Umfrage aufsetzen, ist es denkbar, dass Sie die gesetzlichen Vorgaben zur Zweckbindung und zur Trennungskontrolle einhalten können. Grundsätzlich stellt sich noch die Frage, inwiefern Einkaufsabfragen bei Lieferanten überhaupt personenbezogene Daten sind. Das hängt konkret davon ab, welche Daten Sie erheben.
Auf die Umfrageergebnisse in MS Forms hat grundsätzlich erst einmal nur der Ersteller der Umfrage Zugriff. Der Ersteller kann andere Mitglieder des MS-365 Tenant berechtigen, auf die Umfrage zuzugreifen. Dritte erhalten keinen Zugang.
Der Schutzbedarf der Daten hängt von den verarbeiteten Daten ab. Sprechen Sie sicherheitshalber mit Ihrem Datenschutz- und Informationssicherheitsbeauftragten, um zu prüfen, ob MS Forms für Ihre Zwecke geeignet ist.

Zunächst vielen Dank für diese sehr informative Übersicht!

Ich habe eine Rückfrage zu diesem Absatz:
„Auch wenn keine Daten durch den Verantwortlichen/Tenant-Inhaber erfasst werden, werden Daten durch Microsoft beim Aufruf von Forms erfasst (z.B. IP-Adresse) und auch Cookies gesetzt. Derzeit bietet Microsoft kein Consent-Management am, das eine Einwilligung zum Setzen der Cookies einholt, wie das bei Webseiten mittlerweile gesetzliche Anforderung ist.“

Ist damit nicht der Einsatz von Forms in Deutschland grundsätzlich sehr bedenklich, oder reicht dann es für den Ersteller einer Umfrage aus, den Nutzer vorab auf das von Microsoft unterlassene Consent-Management hinzuweisen?

Vielen Dank und liebe Grüße!

Herzlichen Dank für die Frage!
Das Setzen eines Cookies bedarf nach Urteil des EuGH und des BGH einer Einwilligung, wenn diese nicht zwingend technisch erforderlich sind. Die Einwilligung kann dabei auf unterschiedliche Weise eingeholt werden. Wenn Ihre Webseite ein Consent-Management hat, könnten Sie die Umfrage auf Ihrer Webseite einbetten und die Einwilligung über den Consent-Manager abdecken.
Wie Sie vorgeschlagen haben, ist auch die Vorabinformation der Nutzer mit dem Hinweis, dass Sie beim Aufrufen des Links dem Setzen der Cookies zustimmen, eine denkbare Lösung. Jedoch müssen Einwilligungen nachweisbar sein und durch eine bestätigende Handlung erfolgen. Das müsste bei Ausgestaltung des Prozesses beachtet werden.

Guten Tag,
sehr hilfreicher Artikel, finde ich.

Ich habe folgende Frage:
„Zudem sollten Beschäftigte darüber aufgeklärt und darauf hingewiesen werden, dass sie sich vor Teilnahme an der Befragung am besten von ihrem Microsoft-Account abmelden sollten.“
Ich verstehe nicht, wie das gehen soll. Wir haben nur dann Zugriff auf die Arbeitsdaten und in dem Fall das Email-Konto, wenn man angemeldet ist.
Ohne Anmeldung kein Zugriff auf den Outlook und zugesandten Forms-Link.
Oder wie ist das gemeint?
Gruß E. Schlechte

Guten Tag Herr/Frau Schlechte,

Grundproblem bei der Verwendung von MS Forms ist die Frage, wie anonym eine Umfrage tatsächlich sein soll. Anonymisierte Daten bestehen bspw. nach dem Positionspapier des BfDI erst dann, wenn eine Re-Identifizierung nur mit unverhältnismäßigem Aufwand an Zeit, Kosten und Arbeitskraft erfolgen kann.

Ist ein User im Browser in MS 365 angemeldet und ruft eine Umfrage auf, wird sein Zugriff protokolliert. Erfolgt ein Abgleich, wann ein Formular ausgefüllt wurde mit den Überwachungsprotokollen, kann es möglich sein, die Person zu re-identifizieren, auch wenn man für die Umfrage keine personalisierte Formularerfassung eingestellt hat.

Damit diese Verknüpfung nicht stattfindet, empfiehlt es sich, dass die Beschäftigten sich von MS 365 im Browser abmelden und dann teilnehmen, um eine Re-Identifizierung nach Möglichkeit zu unterbinden. Natürlich haben Sie Recht, dass beim Abmelden auch E-Mails im Outlook-Online mit dem Link zur Umfrage nicht mehr zur Verfügung stehen. Jedoch spricht nichts dagegen, den Link vor Abmeldung von MS 365 zu kopieren und danach aufzurufen, wenn sich der Beschäftigte vor einer Re-Identifizierung schützen möchte.
Die Entscheidung, ob die Beschäftigten die Abmeldung vornehmen, überlassen wir gerne den Beschäftigten. Denn die Zusammenführung der Überwachungsprotokolle mit den Umfrageergebnissen sollte regelmäßig eine unzulässige Zweckentfremdung der Daten darstellen. Wie in unserem Beitrag beschrieben, empfehlen wir, dass Administratoren keinen Zugang zu Umfragen erhalten sollten, um eine unzulässige Datenverwendung organisatorisch zu unterbinden. Solange sich die Administratoren daran halten, sollte eine Zusammenfügung und Re-Identifizierung nicht möglich sein und es ist eine Vertrauensfrage der Beschäftigten, ob sie davon ausgehen, dass sich die Administratoren an diese Regelungen halten. Eine tatsächliche Anonymisierung ist es gegebenenfalls aber nicht.

Mit besten Grüßen
ENSECUR

Sehr geehrte Damen und Herren,

nach Erstellung einer Umfrage, gibt Microsoft Forms unten in der Fußzeile eine Anmerkung bezüglich des Datenschutzes an.

Zit.
Dieser Inhalt wird vom Besitzer des Formulars erstellt. Die von Ihnen übermittelten Daten werden an den Formularbesitzer gesendet. Microsoft ist nicht für die Datenschutz- oder Sicherheitspraktiken seiner Kunden, einschließlich derer dieses Formularbesitzers, verantwortlich. Geben Sie niemals Ihr Kennwort heraus.
Unterstützt von Microsoft Forms
| Der Besitzer dieses Formulars hat keine Datenschutzerklärung zur Verfügung gestellt, in der er erklärt, wie Ihre Antwortdaten verwenden werden. Geben Sie keine persönlichen oder vertraulichen Informationen an.

Wie können wir eine Datenschutzerklärung hinterlegen?

Mit freundlichen Grüßen

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert