Datenschutzerklärung

Mit dieser Datenschutzerklärung klären wir, die

Technische Universität München
Arcisstr. 21
80333 München

(nachfolgend: TUM), über die Datenverarbeitungsvorgänge im Zusammenhang mit dem Softwarepaket Microsoft 365 auf.

Microsoft 365 ist ein umfassendes Paket von Software-Anwendungen und Clouddiensten. Umfasst sind insbesondere die gängigen Microsoft Office-Produkte (Word, Excel, PowerPoint, OneNote, Outlook), Speicherlösungen wie SharePoint/OneDrive oder auch Kommunikationslösungen wie Microsoft Teams. Die Software eignet sich zur Erledigung von Büroarbeiten, als Kommunikations- und Organisationslösung sowie zur Datenspeicherung und zum Datenaustausch.
Diese Datenschutzerklärung wurde zuletzt am 6. Dezember 2023 aktualisiert.

Sämtliche Personenbezeichnungen gelten gleichermaßen für alle Geschlechter.

Übergreifende Informationen zur Datenverarbeitung

Bereitstellung und Nutzung von Microsoft 365 und damit zusammenhängende Datenverarbeitungen

In dieser Datenschutzerklärung gehen wir ausführlich auf die einzelnen Datenverarbeitungen im Zusammenhang mit der Bereitstellung und Nutzung von Microsoft 365 bei der TUM ein. Einleitend möchten wir dabei darstellen, welche Verarbeitungen die TUM übergeordnet im Zusammenhang mit Microsoft 365 vornimmt:

Verarbeitungskomplex 1

Die TUM stellt zum einen den technisch-organisatorischen Rahmen bereit, damit die Software durch Hochschulmitglieder (im Sinne von Art. 19 Abs. 1 des Bayerischen Hochschulinnovationsgesetzes [BayHIG]) genutzt werden kann. Hierzu gehört die Erstellung und Verwaltung der TUM-Microsoft-Accounts, die Erstellung von Nutzungsstatistiken zur bedarfsgerechten Lizenznutzung, die Überwachung der Nutzung zur Gewährleistung der IT-Sicherheit der TUM-Microsoft-365-Umgebung und -Accounts sowie die Übertragung nicht deaktivierbarer Diagnosedaten an Microsoft.

Verarbeitungskomplex 2

Daneben wird Microsoft 365 durch das wissenschaftliche bzw. das wissenschaftsunterstützende Hochschulpersonal der TUM (i.S.v. Art. 52 ff. BayHIG) bei der Erledigung seiner Aufgaben genutzt.

Verantwortlichkeit und Datenschutzbeauftragter

Verteilung der Verantwortlichkeiten

Grundsätzlich ist die TUM datenschutzrechtlich verantwortlich (im Sinne der DSGVO sowie aller anderen anwendbaren datenschutzrechtlichen Bestimmungen der EU) für die Datenverarbeitungen im Zusammenhang mit den im Abschnitt A.1 dieser Datenschutzerklärung beschriebenen Verarbeitungskomplexen 1 und 2.

Die TUM ist ausdrücklich nicht verantwortlich für die von den Studierenden mittels Microsoft-365-Anwendungen vorgenommene Verarbeitung personenbezogener Daten, bzw. die von Microsoft vorgenommene Verarbeitung von Daten der Studierenden außerhalb der Verarbeitungskomplexe 1 und 2. Solche Datenverarbeitungen erfolgen in der eigenen Verantwortung der Studierenden. Etwas anderes gilt nur dann, wenn die Studierenden personenbezogene Daten im Rahmen eines mit der Hochschule bestehenden Beschäftigungsverhältnisses (studentische Hilfskraft, wissenschaftliche Hilfskraft) zur Erfüllung der ihnen übertragenen Aufgaben verarbeiten.

Im Zusammenhang mit bestimmten Datenverarbeitungen ist Microsoft selbst datenschutzrechtlich verantwortlich. Mehr hierzu unten im Abschnitt C.

Kontaktdaten

Soweit wie in Abschnitt A.2.1 beschrieben, ist die für das Datenschutzrecht Verantwortliche im Zusammenhang mit Microsoft 365 („Verantwortliche", nachfolgend auch „wir", „uns" und „unser"):

Technische Universität München
Arcisstr. 21
80333 München
Telefon: 089/289-01
Telefax: 089/289-22000
poststelle@tum.de

Jede betroffene Person kann sich jederzeit bei allen Fragen und Anregungen zum Datenschutz auch direkt an unseren Datenschutzbeauftragten wenden. Diesen erreichen Sie unter folgender Anschrift: 

Der/Die Datenschutzbeauftragte der Technischen Universität München
Arcisstr. 21
80333 München
Telefon: 089/289-17052
E-Mail: beauftragter@datenschutz.tum.de

Grundsätze der Datenverarbeitung und Speicherdauer

Verarbeitete Daten

Im Rahmen der Bereitstellung und Nutzung von Microsoft 365 können folgende Kategorien von Daten verarbeitet werden:

1. Inhaltsdaten (z.B. Dateien, Aufgaben und Lösungen – soweit darin personenbezogene Daten enthalten sind)
2. Kommunikationsdaten (z.B. IP-Adresse, Chat-/Anrufverlauf)
3. Personenbezogene Basisdaten (z.B. Name, Vorname, Titel, Anrede, Status, Abteilung, Mitgliedschaft in TUMonline Gruppen, Volljährigkeit, ggf. Profilbild)
4. Authentifizierungsdaten (z.B. Benutzername, Kennwort oder PIN-Code, Sicherheitsfrage)
5. Kontaktinformationen (z.B. E-Mail-Adressen, Telefonnummern)
6. Im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfiles mit Zugriffen);
7. Geolocation (auf Stadt-Ebene)
8. Diagnosedaten (Diagnosedaten sind Daten, die Microsoft bei der Nutzung der Microsoft 365-Anwendungen selbst generiert. Diagnosedaten werden teilweise auch als Telemetriedaten bezeichnet. Microsoft weist darauf hin, dass Diagnosedaten personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO enthalten können; umfasst seien aber jedenfalls nicht Name, E-Mail-Adresse oder Dateiinhalte. Alle während der Verwendung von Microsoft 365-Anwendungen und Microsoft 365-Diensten gesammelten Diagnosedaten werden gemäß ISO/IEC 19944-1:2020, Abschnitt 8.3.3, pseudonymisiert. Mehr dazu im Abschnitt C)

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten

Personenbezogene Daten sind alle Daten, die auf Sie persönlich beziehbar sind, wie beispielsweise Ihre Anrede, Ihr Name, Ihre Anschrift, Ihre E-Mail-Adresse etc. Ihre personenbezogenen Daten werden von uns nur gemäß den Bestimmungen der EU‑Datenschutzgrundverordnung (DSGVO), des Bayerischen Datenschutzgesetzes (BayDSG) sowie anderer Bestimmungen des europäischen sowie des anwendbaren nationalen Datenschutzrechts erhoben und verarbeitet.

Die Verarbeitung erfolgt in erster Linie im Rahmen der Aufgabenerfüllung gemäß Art. 6 Abs. 1 lit. e, Abs. 2, 3 DSGVO i.V.m. Art. 4 Abs. 1 BayDSG. Die Datenverarbeitungen sind zur Bereitstellung, Aufrechterhaltung und Sicherheit einer modernen, cloudbasierten Kommunikations- und Kooperationsplattform erforderlich. Die Verarbeitung zu Zwecken der IT-Sicherheit erfolgt darüber hinaus vor dem Hintergrund von Art. 43 Bayrisches Digitalgesetz. Die Erhebung von Nutzungsstatistiken erfolgt u.a. auf Basis von Art. 6 Abs. 1 BayDSG bzw. Art. 7 Abs. 1 Bayerisches Hochschulinnovationsgesetz (BayHIG), Art. 7 Bayerische Haushaltsordnung (BayHO).

Die Verarbeitung von Daten von Beschäftigten und Bediensteten wird gestützt auf Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 4 BayDSG (i.V.m. dem Arbeitsvertrag, einer Dienstvereinbarung bzw. § 106 Gewerbeordnung), Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 4 BayDSG (Art. 33 Abs. 5 GG) und Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 3a Abs. 1 ArbStättV.

Die Verarbeitung im Zusammenhang mit der Lehre wird gestützt auf Art. 6 Abs. 1 lit. e DSGVO i.V.m Art. 4 BayDSG (Art. 76 Abs. 2 BayHIG).
Ergänzende Informationen zu speziellen Datenverarbeitungen finden Sie in den nachfolgenden Abschnitten der Datenschutzerklärung.

Speicherung und Löschung der Daten

Personenbezogene Daten werden von uns grundsätzlich nur so lange gespeichert, wie es der konkrete Zweck der Speicherung verlangt. Fällt der Zweck der Speicherung weg, werden Ihre Daten gelöscht bzw. wird deren Verarbeitung eingeschränkt.
Darüber hinaus kann es aber sein, dass europäische Verordnungen, anwendbare nationale Gesetze oder sonstige Vorschriften eine längere Speicherung der von uns verarbeiteten Daten verlangen. Laufen diese Speicherfristen ab, löschen wir Ihre Daten oder schränken die Verarbeitung ein.
Im Übrigen gilt:

Datenkategorie: 1-2; Löschungsfrist: 30 Tage nach Löschung der Daten.

Datenkategorie: 3-5; Löschungsfrist:

Im Falle einer manuellen Deaktivierung Ihres Accounts (auf Verlangen oder nach Widerspruch): Löschung der Daten 30 Tage nach Deaktivierung.
Bei Beendigung der TUM-Mitgliedschaft wird der Microsoft-Account (im Zuge der Deaktivierung des TUM-Accounts) bei Beschäftigten nach 90 Tagen, bei Studierenden nach 120 Tagen gelöscht. Unmittelbar bei Beendigung erlischt die Nutzungsberechtigung.
Die endgültige Löschung der persönlichen Daten und Dateien in nutzerbasierten Speicherorten (z.B. OneDrive) erfolgt weitere 30 Tage später (insgesamt 120 Tage nach Austritt). Die Nutzenden haben noch vor der Beendigung der Nutzungsberechtigung selbst dafür Sorge zu tragen:

• Ihre persönlichen Dateien zu sichern,
• hierbei muss insbesondere auf OneNote Dateien geachtet werden, da diese nicht als Datei auf dem lokalen Gerät gespeichert werden können. Hier obliegt es den Nutzenden die Daten zu exportieren (z.B. als pdf Export).
• evtl. vorhandene Log-Ins anzupassen (z.B. bei Nutzung des Accounts bei Drittanbietern) bei Bedarf für eine weitere Nutzung von Microsoft-Diensten eine eigene Lizenz anzuschaffen.

Datenkategorie: 6-7; Löschungsfrist: 30 Tage.

Wenn Daten in gruppenbasierten Speicherorten gespeichert werden (z.B. ein Team mit mehreren Nutzenden in Microsoft Teams, eine öffentliche SharePoint-Seite mit mehreren Nutzenden), gilt: Die dort abgelegten Daten bleiben erhalten, solange weitere Nutzende dem Team bzw. der SharePoint-Seite zugeordnet sind. Des Weiteren gilt: Sofern ein Team in Microsoft Teams keine Nutzenden (mehr) enthält, wird es nach 30-37 Tagen gelöscht. Das Team und die Daten können 30 Tage wiederhergestellt werden und werden anschließend end-gültig gelöscht. Eigenständige SharePoint Seiten (keinem Team zugehörig) auf welche seit mehr als 90 Tagen nicht zugegriffen wurde und die kleiner als 1 MB sind, werden für 60 Tage gesperrt, anschließend sind sie für 30 Tage wiederherstellbar und dann endgültig gelöscht.

Empfänger von Daten

Für die Bereitstellung und den Betrieb von Microsoft 365 ist die Einbindung weiterer Datenempfänger erforderlich:
Mit Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown Dublin 18, Ireland (nachfolgend: Microsoft Irland) wurde ein Auftragsverarbeitungsvertrag geschlossen. Microsoft Irland darf die Daten entsprechend Art. 28 DSGVO nur auf unsere Weisung hin verarbeiten.

Microsoft Irland bindet bei der Leistungserbringung Unterauftragsverarbeiter ein: Liste der Unterauftragsverarbeiter. Insbesondere agiert als Unterauftragsverarbeiter die Muttergesellschaft Microsoft Corporation, One Microsoft Way Redmond, Washington 98052, USA. Diese erhält die Daten jedoch auch für eigene Zwecke und agiert dann als eigene Verantwortliche, siehe Abschnitt C.

 Außerdem bindet Microsoft Irland Supportdienstleister ein: Liste der Supportdienstleister.

Wir können darüber hinaus personenbezogene Daten gegenüber einem sonstigen Dritten offenlegen, wenn dies aufgrund eines Gesetzes oder Rechtsverfahrens notwendig ist. Außerdem können wir verpflichtet sein, Auskunft gegenüber einer Strafverfolgungsbehörde oder einer anderen Behörde zu erteilen. Ist eine Weiterleitung von Informationen für die Bereitstellung von Leistungen Ihnen gegenüber erforderlich oder erklären Sie Ihre Einwilligung, sind wir ebenfalls befugt, Daten weiterzugeben. 

Ihre Rechte

Soweit wir personenbezogene Daten von Ihnen verarbeiten, sind Sie „betroffene Person" im Sinne der DSGVO. Als betroffene Person stehen Ihnen, soweit die gesetzlichen Voraussetzungen vorliegen, die folgenden Rechte uns gegenüber zu:

Recht auf Auskunft bezüglich der Verarbeitung

Sie können jederzeit im Rahmen der gesetzlichen Bestimmungen von uns Auskunft darüber verlangen, ob personenbezogene Daten von uns verarbeitet werden. Ist dies der Fall, haben Sie das Recht, über den Umfang der Datenverarbeitung Auskunft zu verlangen (vgl. Art. 15 DSGVO). Bitte beachten Sie, dass das Recht auf Auskunft bei Vorliegen bestimmter rechtlicher Umstände eingeschränkt sein kann, etwa in den Fällen von Art. 10 BayDSG.

Recht auf Berichtigung

Sie haben ein Recht auf Berichtigung und/oder Vervollständigung Ihrer Daten gegenüber uns, sofern die Sie betreffenden verarbeiteten personenbezogenen Daten unrichtig oder unvollständig sind (vgl. Art. 16 DSGVO).

Recht auf Einschränkung der Verarbeitung

Liegen die Voraussetzungen hierfür vor, können Sie die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten verlangen (vgl. Art. 18 DSGVO).

Recht auf Löschung

Sie können von uns verlangen, dass die Sie betreffenden personenbezogenen Daten unverzüglich gelöscht werden, sofern die Voraussetzungen hierfür vorliegen. Das Recht auf Löschung besteht bspw. nicht, soweit die Verarbeitung erforderlich ist (vgl. Art. 17 DSGVO).

Recht auf Unterrichtung

Haben Sie das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung gegenüber uns geltend gemacht, sind wir verpflichtet, allen Empfängern, denen die Sie betreffenden personenbezogenen Daten offengelegt wurden, diese Berichtigung oder Löschung der Daten oder Einschränkung der Verarbeitung mitzuteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Wir unterrichten Sie über diese Empfänger, wenn Sie dies verlangen (vgl. Art. 19 DSGVO).

Recht auf Datenübertragbarkeit

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Außerdem haben Sie das Recht, diese Daten einem anderen Unternehmen ohne Behinderung durch uns zu übermitteln, sofern die Voraussetzungen hierfür vorliegen (vgl. Art. 20 DSGVO).

Widerspruchsrecht

Recht auf Widerruf der datenschutzrechtlichen Einwilligungserklärung

Sofern Sie eine datenschutzrechtliche Einwilligungserklärung abgegeben haben, können Sie diese jederzeit widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt (vgl. Art. 7 DSGVO).

Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem EU-Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes, zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen geltende Datenschutzgesetze verstößt.

Die für die TUM zuständige Datenschutz-Aufsichtsbehörde ist der Bayerische Landesbeauftragte für den Datenschutz.

Drittlandtransfer

Grundsätzlich werden die Daten aus Microsoft 365 in der Europäischen Union gespeichert. Die TUM hat die Einstellungen hinsichtlich der Datenspeicherorte in Microsoft 365 so vorgenommen, dass bei allen Auswahloptionen Europa als Speicherort gewählt wurde.
Hinzu kommt, dass Microsoft zum 1. Januar 2023 die sogenannte „EU-Data-Boundary" eingeführt hat. Mit der EU-Data-Boundary wird die Datenverarbeitung für die allermeisten Microsoft 365 Anwendungen nach Europa verlagert (lesen Sie hier mehr zum Zeitplan der Einführung und hier mehr zur EU-Datengrenze und den Ausnahmefällen).

Es kann nicht abschließend gewährleistet werden, dass sämtliche Datenverarbeitungen in der Europäischen Union erfolgen. In dem „Datenschutznachtrag zu den Produkten und Services von Microsoft" (kurz: Datenschutznachtrag) behält sich Microsoft eine weltweite Übermittlung von Daten (insbesondere in die USA, wo der Stammsitz von Microsoft ist) vor.

Soweit Daten in Drittländer außerhalb der Europäischen Union übermittelt werden, sind Rechtsgrundlage des Datentransfers in erster Linie die von der Europäischen Kommission erlassenen Standarddatenschutzklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. In Betracht kommen zudem Ausnahmen nach Art. 49 Abs. 1 S. 1 lit. a, b, c DSGVO. Darüber hinaus wurde von der EU-Kommission im Juli 2023 aufgrund des EU-U.S. Data Privacy Frameworks ein neuer Angemessenheitsbeschluss in Bezug auf die USA erlassen. Für alle US-Unternehmen, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, gilt seitdem ein angemessenes Datenschutzniveau als anerkannt gem. Art. 45 DSGVO. Die Microsoft Corporation ist entsprechend zertifiziert, weshalb US-Datentransfers an Microsoft-Gesellschaften und Unterauftragsverarbeiter über den Angemessenheitsbeschluss zusätzlich abgesichert sind.

Keine Pflicht zur Datenbereitstellung

Für Studierende gilt: Grundsätzlich sind Sie nicht verpflichtet, personenbezogene Daten bereitzustellen, denn die Nutzung von Microsoft 365 ist freiwillig. Sofern Sie jedoch Microsoft 365 nutzen möchten, ist damit eine gewisse Datenverarbeitung verbunden, über die wir in dieser Datenschutzerklärung aufklären.

Keine automatisierte Entscheidungsfindung bzw. Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 Abs. 1 und 4 DSGVO erfolgt im Zusammenhang mit der Bereitstellung von Microsoft 365 nicht.

Sicherheitsstandards

Microsoft 365 bietet angemessene physikalische, technische und administrative Sicherheitsstandards, um personenbezogene Daten vor Verlust, Missbrauch, Änderung oder Zerstörung zu schützen.

Hierzu gehört eine Verschlüsselung der in Microsoft 365 befindlichen Daten: Der Verschlüsselungsprozess codiert Ihre Daten von Klartext in chiffrierten Text. Im Gegensatz zu Klartext kann chiffrierter Text von Personen oder Computern ohne Schlüssel nicht gelesen und verarbeitet werden. Für die Entschlüsselung ist ein Schlüssel erforderlich, über den nur autorisierte Benutzer verfügen. Die Verschlüsselung trägt dazu bei, dass nur autorisierte Empfänger Ihre Inhalte entschlüsseln können. Microsoft unterscheidet bei der Verschlüsselung zwischen „ruhenden Daten" und „Daten während der Übertragung". Beispiele für ruhende Daten sind Dateien, die Sie in eine SharePoint-Bibliothek hochgeladen haben, Dokumente, die Sie in einer Teams-Besprechung hochgeladen haben, oder E-Mail-Nachrichten und Anlagen, die Sie in Ordnern in Ihrem Postfach gespeichert haben. Beispiele für Daten während der Übertragung sind E-Mail-Nachrichten, die gerade zugestellt werden, oder Unterhaltungen, die in einer Onlinebesprechung stattfinden. In Microsoft 365 werden immer Daten übertragen, wenn das Gerät von Nutzenden mit einem Microsoft-Server oder ein Microsoft-Server mit einem anderen Server kommuniziert. Microsoft wendet folgende Verschlüsselung an (mehr dazu hier):

• Ruhende Daten: BitLocker-Verschlüsselung in Microsoft-Rechenzentren. BitLocker kann auch auf Clientcomputern wie Windows-Computern und -Tablets verwendet werden; Distributed Key Manager (DKM) in Microsoft-Rechenzentren; Kundenschlüssel für Microsoft 365.
• Dateien während der Übertragung zwischen Benutzern (diese Dateien können Office-Dokumente oder SharePoint-Listenelemente enthalten, die von Benutzern gemeinsam genutzt werden): TLS (Transport Layer Security).
• Chats, Nachrichten und Dateien während der Übertragung zwischen Empfängern mithilfe von Microsoft Teams: Teams verwendet TLS und MTLS zum Verschlüsseln von Chatnachrichten. Der Mediendatenverkehr wird mit Secure RTP (SRTP) verschlüsselt. Teams verwendet FIPS-konforme Algorithmen (Federal Information Processing Standard) für den Austausch von Verschlüsselungsschlüsseln (mehr Informationen zur Verschlüsselung in Teams).

Daneben gibt es zahlreiche weitere Sicherheitsvorkehrungen: So werden etwa, wie unten im Abschnitt B.1.4 beschrieben, verdächtige Log-In-Aktivitäten zum Schutz der TUM-Microsoft-Accounts beobachtet und verhindert.
Weitere Informationen zur IT-Sicherheit bei Microsoft 365 gibt es hier: Microsoft 365 Sicherheitsdokumentation und im Anhang A zum Datenschutznachtrag von Microsoft (kurz DPA).

Änderung der Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, damit sie stets den jeweils aktuellen rechtlichen Anforderungen entspricht oder um Änderungen bei der Datenverarbeitung widerzuspiegeln. Ob sich etwas seit Ihrem letzten Besuch geändert hat, können Sie der Datumsangabe im ersten Absatz dieser Datenschutzerklärung entnehmen.

Spezifische Verarbeitungssituationen

Bereitstellung und Verwaltung von Microsoft 365 durch die TUM

Erstellung von TUM-Microsoft-365-Accounts

Wenn Sie Microsoft 365 nutzen möchten, wird ein entsprechendes TUM-Microsoft-Konto für Sie erstellt. Dieses ist Voraussetzung der Nutzung. Dafür werden bestehende Daten Ihres TUM-Accounts an Microsoft übertragen. Dies sind:

• Ihr Name
• Ihre E-Mail-Adresse (sowohl die ausgewählte @tum.de-Adresse, als auch die bevorzugte E-Mail-Adresse)
• Ihr Status (Anstellung/Studium/Gast)
• Ihre TUM-Kennung
• Ihre Abteilung
• Ihre Zugehörigkeit zu TUMonline Gruppen
• ob Sie volljährig sind (ja/nein)

Sie haben außerdem die Möglichkeit, in den Account-Einstellungen ein Profilfoto festzulegen, sofern Sie dies wünschen.
Ihr TUM-Microsoft-Profil ist grundsätzlich für alle Mitglieder und innerhalb von Microsoft Teams für eingeladene Gäste sichtbar, um Zusammenarbeit und Kommunikation zu ermöglichen.

Über die Präsenzanzeige (etwa in Outlook oder Teams) können andere Microsoft Nutzende sehen, ob Sie aktuell in Microsoft 365 aktiv sind. Dies dient dazu, die Kontaktaufnahme zu verbessern (insbesondere bei Beschäftigten). Sie können den Status selbstständig anpassen.

Kein Einsatz von Education Analytics bzw. Viva-Insights-Diensten

Microsoft 365 beinhaltet in dem für Bildungsinstitutionen verfügbaren Lizenzpaket standardmäßig Analysedienste wie „Education Analytics" (einschließlich „Education Insights" bei Microsoft Teams), „Productivity Score (Adoption Score)" oder „Viva Insights". Die TUM hat diese Dienste bzw. Funktionen so weit wie möglich deaktiviert und/oder setzt sie nicht ein.

Es findet ausdrücklich keine Leistungs- und/oder Verhaltenskontrolle statt; alle dahingehenden Funktionen von Microsoft 365 wurden deaktiviert bzw. werden nicht genutzt.

Auch die Funktion „School Data Sync", welche einen Datenaustausch zwischen eventuell vorhandenen Student Information Systems (SIS) und Microsoft 365 ermöglicht, ist deaktiviert.

Kein Einsatz von Delve und Bing-Features

Die im Zusammenhang mit Microsofts Suchmaschine Bing stehenden Funktionen/Erweiterungen „Microsoft Search in Bing", „Microsoft Search in Bing Extension", „Microsoft Search in Bing Shortcut", „Microsoft Search in Bing for Work or School" wurden deaktiviert.
Darüber hinaus wurde der Microsoft-Dienst Delve deaktiviert, der erfasste Nutzerinteraktionen mit Microsoft 365 visualisiert (z.B. welche Dokumente wurden besonders oft bearbeitet, welche Personen in der Organisation sind ggf. interessant für den Nutzer). Auch die dazugehörigen Funktionen „Elementerkenntnisse" und „People Insights" wurden deaktiviert.

Erstellung von Nutzungsstatistiken

Zur bedarfsgerechten Planung und Steuerung der benötigten Microsoft-Lizenzen findet eine Erhebung und Auswertung von Nutzungsstatistiken statt. Hierbei geht es darum, zu ermitteln, auf welche Art und Weise welche Funktionen von Microsoft 365 genutzt werden, um ggf. die Lizenzausstattung anzupassen.
Hierfür werden folgende Daten erhoben:

• Benutzername
• Datum und Uhrzeit
• Anmeldung an Applikation (z.B. Microsoft Teams)
• IP-Adresse
• Geolocation (auf Stadt-Ebene)
• Browser/Mobile Applikation/Desktop-Client

Die Auswertung dieser Daten erfolgt allein pseudonymisiert (und aggregiert, sprich es wird nicht das Verhalten von einzelnen Nutzenden ausgewertet, sondern nur von Nutzergruppen). Eine Individualisierung der Ergebnisse ist dann nicht mehr möglich.
Die Daten werden für 90 Tage gespeichert und anschließend gelöscht.

Office Add-In-Store

Über den Office Add-In-Store können die Funktionen von Microsoft 365-Anwendungen erweitert werden. Die Add-Ins können auch mit Inhalten von Office-Dokumenten interagieren. Im Wesentlichen handelt es sich dabei um in Office eingebettete Webanwendungen. Es wird dabei eine Verbindung zu Servern von Drittanbietern aufgebaut, so dass diese Drittanbieter Ihre über die Erweiterung bekanntgegebenen Daten ebenfalls verarbeiten.
Derzeit ist die Nutzung einer bestimmten Auswahl an Office-Add-Ins zugelassen, welche auf Freigegebene Anwendungen M365 dokumentiert ist. Werden Add-Ins von Beschäftigten ohne Genehmigung eingesetzt, haften die jeweiligen Nutzenden für Schäden, die durch die Installation und Nutzung der Add-Ins entstehen. Eine Verantwortlichkeit der TUM für darüber erfolgte Datenverarbeitungen besteht in einem solchen Fall nicht.

Customer Lockbox

Die TUM hat die sog. „Customer Lockbox" aktiviert (Lockbox-requests). Dies bewirkt, dass Microsoft-Support-Mitarbeiter nur nach vorheriger Zustimmung von Administratoren auf Microsoft-Instanzen der TUM Zugriff haben. Das sorgt für eine größere Datensicherheit gegenüber Microsoft.

Gewährleistung der IT-Sicherheit der TUM-Microsoft-365-Umgebung und -Accounts

Neben den in B.1.4 genannten Daten werden die nachfolgenden Daten zusätzlich zum Zwecke der Überwachung der System- und Accountsicherheit verarbeitet:

• Geräteinformationen (Gerätenamen, Browser, Betriebssystem, Verknüpfungstyp)
• Datum der ersten und letzten Aktivität des Rechners
• Ggf. Anwesenheitsstatus (abhängig von genutztem Dienst)

Die Verarbeitung dient bspw. dazu, ungewöhnliche Anmeldeereignisse zu registrieren (bspw. wenn sich Nutzende um 12 Uhr aus München einloggen und 15 Minuten später eine Anmeldung aus Bangkok im gleichen Account erfolgt) und dadurch die Gesamtsicherheit im Sinne der Nutzenden zu erhöhen.

Sicherung von Bitlocker-Keys

Soweit Sie Ihr privates Gerät mit der „Bitlocker"-Funktion von Microsoft verschlüsselt haben, erlaubt Microsoft 365 den BitLocker-Wiederherstellungsschlüssel in der TUM-Microsoft-Instanz zu hinterlegen. Diese Funktion wird von der TUM jedoch nicht aktiv verwaltet; sie kann schlicht nicht deaktiviert werden. Die TUM rät davon ab, diese Funktion zu nutzen und weist ausdrücklich darauf hin, dass sie keine Gewähr für die Bereithaltung und Herausgabe der dort hinterlegten Schlüssel übernimmt. Nutzende sollten die Schlüssel an einem anderen vertrauenswürdigen Ort sichern.

Im Übrigen gilt: Technisch bedingt können die Schlüssel nur für die Dauer des Bestehens eines TUM-Microsoft-365-Accounts in der TUM-Microsoft-Instanz hinterlegt werden. Die Sicherung erfolgt nur auf Ihr aktives Hinwirken hin und wird von der TUM nicht automatisiert vorgenommen (mehr dazu und wie sie eine ungewollte Hinterlegung verhindern können finden Sie hier: Sichern des Bitlocker Wiederherstellungsschlüssels). Sollte es zu einer Datenverarbeitung kommen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO.

Mit der BitLocker-Geräteverschlüsselung kann die gesamte Festplatte eines Windows-Geräts verschlüsselt werden. Dies dient dazu, die Daten bei einem Abhandenkommen des Endgeräts vor fremdem Zugriff zu schützen. Um sich nicht selbst „digital auszusperren", ist es wichtig, die sog. Encryption-Keys sicher zu speichern. Mehr dazu hier: bitlocker-device-encryption-overview-windows-10.

Datensicherung und Backup

Zur Erhöhung der IT-Sicherheit und Arbeitsfähigkeit im Falle von Datenverlusten wird von bestimmten in Microsoft 365 gespeicherten Daten (die in OneDrive/SharePoint/Exchange und Teams hinterlegt sind) ein Backup angelegt. Das Backup wird vom Leibniz-Rechenzentrum (LRZ) der Bayerischen Akademie der Wissenschaften, Boltzmannstraße 1, 85748 Garching bei München unter Zuhilfenahme der Software „Veeam" erzeugt. Mit dem LRZ wurde ein Auftragsverarbeitungsvertrag geschlossen, so dass das LRZ die Daten nur auf Weisung der TUM und unter Wahrung der erforderlichen Vertraulichkeit verarbeiten darf.

Die Backups sind verschlüsselt und ein Zugriff auf die in den Backups gespeicherten Daten ist nur für wenige berechtigte Administratoren möglich. Auf die Backups wird zudem nur zurückgegriffen, sofern es im TUM-Microsoft-Tenant einen Datenverlust geben sollte. Für die Backups wurde für Mitarbeitende eine Speicherdauer von 90 Tagen für Mitarbeitende und 60 Tage für Studierende nach Löschung der Originaldaten im TUM-Microsoft-Tenant festgelegt.|

Self-Service-App

Die TUM hat eine sog. Self-Service-App entwickelt, die in Microsoft Teams integriert ist und allen Nutzenden zur Verfügung steht. Um die Self-Service-App nutzen zu können, müssen die Nutzenden zu Beginn einmalig eine Berechtigung zum Zugriff auf die im Nutzerprofil gespeicherten Daten sowie für den SharePoint erteilen.
Über die App werden bestimmte Administrationsaufgaben realisiert. Die Nutzenden können über Formulareingaben Anträge stellen, die entweder automatisiert bearbeitet werden oder an den zuständigen TUM-Administrator weitergeleitet werden.
Folgende Funktionen umfasst die Self-Service-App:

• Beantragung eines Gastzugangs für Dritte

Hierfür muss insbesondere die E-Mail-Adresse des Gastaccounts eingetragen werden. Bei bestimmten E-Mail-Adressen (insbesondere anderer Hochschulen) findet eine automatische Antragsbewilligung statt. Bei anderen werden Gastaccounts erst nach vorheriger Prüfung durch einen TUM-Administrator freigeschaltet.

• Ein Team in Microsoft Teams anlegen
• Einen Antrag stellen auf Einrichtung
  • eines Zugangs zu einem persönlichen Microsoft Planner Plan;
  • einer eigenen Sharepoint-Seite;
  • einer Microsoft Forms Lizenz.
• einer Azure-Subscription.

Die im Rahmen der Self-Service-App eingetragenen Daten werden automatisiert (mittels Microsoft Power Automate) verarbeitet und für eine Dauer von 30 Tagen zum Zweck der Fehlerbehebung gespeichert.

Datenverarbeitungen im Zusammenhang mit einzelnen Produkten von Microsoft 365

Von der TUM werden den Hochschulmitgliedern im Rahmen von Microsoft 365 folgende Softwareprogramme zur Verfügung gestellt:

• Microsoft Office (Word, Excel, PowerPoint, OneNote, Outlook, Access, Publisher) als Desktop-Anwendung (Microsoft 365 Apps for Enterprise, Microsoft Office Client – nicht für Gäste)
• Microsoft Office als Webversion
• Microsoft Office als Mobilversion (Word, Excel, PowerPoint)
• Microsoft Teams
• Microsoft OneDrive
• Microsoft SharePoint
• Microsoft Lists
• Microsoft Planner
• Microsoft Whiteboard
• Microsoft Forms (auf Anfrage und nach Freigabe)

Ein eingeschränkter Kreis von Beschäftigten hat zudem Zugriff auf nachfolgende Anwendungen.

• PowerBI

Auf die damit zusammenhängenden, datenschutzrechtlich relevanten Datenverarbeitungen wird nachfolgend genauer eingegangen. Bitte beachten Sie, dass in einigen Fällen nicht sämtliche Funktionen der jeweiligen Softwareprogramme angeboten bzw. unterstützt werden.

Microsoft Office als Desktop-Anwendung

Dienstbeschreibung: Es handelt sich hierbei um die bekannten Office-Anwendungen, die im Zusammenhang mit Microsoft 365 genutzt werden können. Obwohl es sich bei Microsoft 365 um einen cloudbasierten Dienst handelt, werden diese Microsoft 365-Apps nicht in der Cloud ausgeführt. Stattdessen laden Nutzende die Apps aus dem Microsoft 365-Portal herunter und installieren sie auf ihrem lokalen Computer, um sie dort auszuführen.
Nutzende können „Verbundene Erfahrungen" in Office nutzen. Dabei handelt es sich um cloudbasierte Funktionen, mit denen erweiterte Office-Features bereitgestellt werden. Werden Verbundene Erfahrungen genutzt, werden Nutzerdaten (auch Inhaltsdaten) an Microsoft übermittelt, um die jeweils gewünschte Funktion bereitstellen zu können. Dazu gehören etwa Datenanalysen in Excel, Umwandlung von Daten aus einem Bild in Text oder der Übersetzer. Die vollständige Liste von Verbundenen Erfahrungen in Office finden Sie hier .
Hinweis: Die TUM hat „Optionale Verbundene Erfahrungen" (soweit bei Microsoft möglich) aus Datenschutz- bzw. Sicherheitsgründen standardmäßig deaktiviert, so dass diese Funktionen nicht bereit stehen. Eine Aktivierung setzt die vorherige Einwilligung der Nutzenden voraus; in dem Fall ist die Nutzung einer bestimmten Auswahl an Office-Add-Ins möglich, welche auf Freigegebene Anwendungen M365   dokumentiert ist. Die Nutzung weiterer, von der TUM nicht freigegebener Add-Ins und optionaler verbundener Erfahrungen ist Beschäftigten untersagt. Im Übrigen gilt, dass die TUM für damit im Zusammenhang stehende Datenverarbeitungen nicht verantwortlich ist und von der Nutzung solcher optionaler verbundener Erfahrungen abrät.

Verarbeitete Daten:

• Inhaltsdaten;
• Daten im Zusammenhang mit der Nutzung von Verbundenen Erfahrungen;
• nicht deaktivierbare Diagnosedaten.

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen.

Zweck der Datenverarbeitung: Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Erledigung von Bürotätigkeiten; Erstellung von Schriftstücken, Tabellen, Präsentationen; Terminplanung; E-Mail-Kommunikation.

Getroffene Maßnahmen:

• Die Übermittlung von Diagnosedaten wurde (soweit bei Microsoft möglich) deaktiviert. Im Übrigen siehe Abschnitt C.
• Optionale Verbundene Erfahrungen wurden (soweit bei Microsoft möglich) deaktiviert.

Hilfreiche Ressourcen:Richtlinieneinstellungen für Office für das Web; Wesentliche Dienste für Office | Microsoft Learn; Für Office erforderliche Diagnosedaten | Microsoft Learn; Optionale Diagnosedaten für Office | Microsoft Learn; Verwendung des Office-Diagnosedaten-Viewers (Microsoft Support-Eintrag)
Sie können sich außerdem die Datenschutzoptionen in Office anzeigen lassen, um diese anzupassen. Mehr dazu finden Sie hier: Anzeigen der Datenschutzoptionen in Microsoft Office.

Microsoft Office als Webversion ("Office für das Web")

Dienstbeschreibung: Office für das Web (früher Office Web-Apps) öffnet Word-, Excel-, OneNote- und PowerPoint-Dokumente in Ihrem Webbrowser. Es handelt sich damit um den Browser-Counterpart zur klassischen Desktop-Version der Office-Softwareprogramme. Anders als bei Office als Desktop-Version werden hier sämtliche Inhalte an Microsoft-Server gesendet, um dort verarbeitet und gespeichert zu werden. Eine ausführliche Dienstbeschreibung – auch für die einzelnen Softwareprogramme (inklusive verfügbarer Funktionen) finden Sie hier.

Verarbeitete Daten:

• Inhaltsdaten;
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfiles mit Zugriffen);
• Daten im Zusammenhang mit der Nutzung von Verbundenen Erfahrungen;
• nicht deaktivierbare Diagnosedaten.

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen.

Zweck der Datenverarbeitung: Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Erledigung von Bürotätigkeiten; Erstellung von Schriftstücken, Tabellen, Präsentationen; Terminplanung; E-Mail-Kommunikation

Getroffene Maßnahmen:

• Die Übermittlung von Diagnosedaten wurde (soweit bei Microsoft möglich) deaktiviert. Im Übrigen siehe Abschnitt C.
• Optionale Verbundene Erfahrungen wurden (soweit bei Microsoft möglich) deaktiviert.
• Session-Timeout festgelegt: Nutzende, die länger als 3 Stunden inaktiv sind, werden automatisch aus den Office für das Web-Applikationen abgemeldet.

Hilfreiche Ressourcen:Richtlinieneinstellungen für Office für das Web; Wesentliche Dienste für Office ; Für Office erforderliche Diagnosedaten ; Optionale Diagnosedaten für Office ; Verwendung des Office-Diagnosedaten-Viewers (Microsoft Support-Eintrag)

Microsoft Office als Mobilversion

Dienstbeschreibung: 
Mit Microsoft Office als Mobilversion können Sie die bekannten Office-Anwendungen Word, Excel und PowerPoint auf Ihren iOS- und Android-Geräten nutzen. Weitere Informationen erhalten Sie hier.
Hierfür müssen Sie die entsprechenden Anwendungen aus den jeweiligen App-Stores von Google bzw. Apple herunterladen. In diesem Zusammenhang kommt es ebenfalls zu einer Datenverarbeitung, für die die jeweiligen App-Store-Betreiber verantwortlich sind (Datenschutzerklärung Apple-App Store, Google Datenschutzerklärung).
Verarbeitete Daten:

• Inhaltsdaten;
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfiles mit Zugriffen);
• Daten im Zusammenhang mit der Nutzung von Verbundenen Erfahrungen;
• nicht deaktivierbare Diagnosedaten.

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen.

Zweck der Datenverarbeitung: Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Erledigung von Bürotätigkeiten; Erstellung von Schriftstücken, Tabellen, Präsentationen; Terminplanung; E-Mail-Kommunikation

Getroffene Maßnahmen:

• Die Übermittlung von Diagnosedaten wurde (soweit bei Microsoft möglich) deaktiviert. Im Übrigen siehe Abschnitt C.
• Optionale Verbundene Erfahrungen wurden (soweit bei Microsoft möglich) deaktiviert.

Hilfreiche Ressourcen:Wesentliche Dienste für Office ; Für Office erforderliche Diagnosedaten ; Optionale Diagnosedaten für Office ; Verwendung des Office-Diagnosedaten-Viewers (Microsoft Support-Eintrag)

Microsoft Teams

Dienstbeschreibung:Microsoft Teams ist eine Kommunikations- und Kooperationsplattform. Der Dienst ermöglicht insbesondere Chats, Anrufe, Videoanrufe und Dateiaustausch zwischen Einzelpersonen oder Gruppen.

Verarbeitete Daten:

• Inhalte (Besprechungen, Chats, Voicemails, freigegebene Dateien, Aufzeichnungen und Transkriptionen);
• Account-Profildaten;
• Anrufverlauf;
• Daten zur Anrufqualität (steht den Systemadministratoren zur Verfügung, um Probleme im Zusammenhang mit schlechter Anrufqualität und der Nutzung des Dienstes zu diagnostizieren);
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfiles mit Zugriffen);
• Daten im Zusammenhang mit der Nutzung von Verbundenen Erfahrungen;
• nicht deaktivierbare Diagnosedaten, insb. Erforderliche Dienstdaten (v.a. für wesentliche Dienste)

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen;
• Externe, die in die Kommunikation einbezogen werden.

Zweck der Datenverarbeitung:Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Vorlesungen, Seminare, Veranstaltungen, Interpersonelle Kommunikation.

Getroffene Maßnahmen:

• Operator Connect (Telefonanbindung an Teams) ist deaktiviert.
• Keine Integration von Drittdiensten als Clouddatei-Speicheroptionen (z.B. DropBox, Google Cloud).
• Aufzeichnung können grundsätzlich nur durch Meeting-Organisatoren vorgenommen werden, d.h. in der Regel nur von Beschäftigten der TUM. Aufzeichnungen werden nach 30 Tagen im Microsoft 365 gelöscht.
• Anonyme Personen dürfen keine Besprechung starten, können aber einem Meeting (nach Einladung) beitreten.
• Live-Transkription (Untertitel) kann nur durch Meeting-Organisatoren oder Co-Organisatoren aktiviert werden.
• Drittanbieter-Apps sind teilweise deaktiviert.
• Nur aus Whitelist-Domains können Gäste zugelassen werden (sprich erst nach vorheriger Freischaltung durch die IT-Abteilung).
• Externe Teilnehmer werden stets in einen Wartebereich geladen und sind dann vom Meeting-Organisator freizugeben.
• Die Übermittlung von Diagnosedaten wurde (soweit bei Microsoft möglich) deaktiviert. Im Übrigen siehe Abschnitt C.
• Optionale Verbundene Erfahrungen wurden (soweit bei Microsoft möglich) deaktiviert. Soweit sie bei Ihnen durch die IT-Administration nicht deaktiviert werden konnten, können Sie dies selbstständig in Microsoft Teams tun unter „Einstellungen  Datenschutz". Mehr dazu hier: Übersicht über die optionalen verbundenen Erfahrungen in Microsoft Teams.
• „Meeting Insights" wurde deaktiviert.

Hilfreiche Ressourcen:Datenschutzerklärung von Microsoft für Teams; Erforderliche mobile Diagnosedaten für Microsoft Teams; Erforderliche Desktop-Diagnosedaten für Microsoft Teams; Übersicht über die optionalen verbundenen Erfahrungen in Microsoft Teams.

Microsoft OneDrive

Dienstbeschreibung:OneDrive ist ein Onlinespeicherplatz in der Cloud. Mit ihm können Sie Dateien über mehrere Geräte hinweg synchronisieren und mit anderen teilen. Eine Datenübertragung in die Cloud ist sowohl per Desktop-/Mobil-Anwendung als auch per Browser möglich.
Sie können Dateien – zur Erhöhung der Datensicherheit – vor dem Upload selbst verschlüsseln (bspw. mit Software wie Boxcryptor). Ein Zugriff durch Dritte ist dann nur nach Eingabe eines Schlüssels möglich. Die Kooperationsfunktionen von Microsoft 365 sind in diesem Fall nicht nutzbar.
Weitere Informationen zu OneDrive erhalten Sie hier. Wie OneDrive Ihre Daten schützt und was Sie selbst für einen besseren Schutz tun können, wird hier beschrieben: So schützt OneDrive Ihre Daten in der Cloud

Verarbeitete Daten:

• Inhaltsdaten;
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfiles mit Zugriffen);
• nicht deaktivierbare Diagnosedaten.

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen.

Zweck der Datenverarbeitung: Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Arbeiten in der Cloud: Speichern und Öffnen von Dateien im persönlichen OneDrive, Einrichten und Verwalten der persönlichen Verzeichnisstruktur; Kollaboration: Freigabe von Dateien und Ordnern, gemeinsame Bearbeitung von Dokumenten; Optional die Synchronisation von Ordnern mit einem persönlichen Endgerät.

Getroffene Maßnahmen:

• Die Übermittlung von Diagnosedaten wurde (soweit bei Microsoft möglich) deaktiviert. Im Übrigen siehe hierzu Abschnitt C.
• Jemand der einen Link zu einer Datei/einem Ordner erhält, kann die Datei/den Ordner nicht teilen (nur den Link weitergeben). Sofern der Link nur für bestimmte Nutzende freigegeben wurde, ist eine Weiterverbreitung damit unterbunden.
• Links die mit Personen außerhalb der TUM geteilt werden, laufen automatisch nach 56 Tagen ab.
• Gäste müssen sich mit demselben Account einloggen, an den eine Freigabe erfolgt ist.
• Gäste können nur Dateien, die sie selbst hochgeladen haben, teilen.
• Bei bestimmten Gruppen wird eine 2-Faktor-Authentifizierung forciert.

Hilfreiche Ressourcen: OneDrive Hilfe und Learning.

Microsoft SharePoint

Dienstbeschreibung: SharePoint ist ein cloudbasierter Dienst, in dem Inhalte gespeichert, strukturiert und freigegeben werden können. SharePoint funktioniert über (Web-)Seiten und Inhalte, die erstellt und geteilt werden. 
SharePoint ist eng mit OneDrive und Teams verknüpft. So gelten etwa die Speicherplatzbegrenzungen aus OneDrive auch für Sharepoint. Die Sharepoint Online Plattform ist weiterhin der technische Unterbau für die Anwendungen OneDrive (persönliche MySite) und Teams (Team-Sites). Eine ausführliche Dienstbeschreibung finden Sie hier.

Verarbeitete Daten:

• Inhaltsdaten;
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfiles mit Zugriffen);
• nicht deaktivierbare Diagnosedaten.

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen.

Zweck der Datenverarbeitung:Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Arbeiten in der Cloud und Kollaboration.

Getroffene Maßnahmen: Die bei OneDrive genannten Maßnahmen gelten entsprechend. Die einzige Besonderheit ist, dass laut Microsoft bei SharePoint keine Diagnosedaten erhoben werden, so dass dementsprechend auch keine Deaktivierung/Einschränkung stattfinden konnte.

Hilfreiche Ressourcen: SharePoint Hilfe und Learning.

Microsoft Lists

Dienstbeschreibung: Microsoft Lists ist eine Cloud-Anwendung zum gemeinsam erstellen, verfolgen und teilen von Listen (zur strukturierten Arbeit mit Daten). Die Anwendung kann in Microsoft Teams integriert werden (Microsoft Lists App in Teams). Fokus der Anwendung ist es, gemeinsam mit anderen an Listen (z.B. im Rahmen des Projektmanagements) zu arbeiten. Hierfür können Listenersteller die Dokumente anderen Benutzern freigeben. Außerdem gibt es eine Kommentar- und eine Chat-Funktion, mit der berechtigte Nutzende Anmerkungen zu Listenelementen machen können. Eine ausführliche Vorstellung aller Funktionen findet sich hier.

Verarbeitete Daten:

• Inhaltsdaten;
• Kommunikationsdaten;
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfiles mit Zugriffen);
• nicht deaktivierbare Diagnosedaten.

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen.

Zweck der Datenverarbeitung: Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Arbeiten in der Cloud und Kollaboration.

Hilfreiche Ressourcen: Hilfe & Lernen zu Microsoft Listen - Microsoft-Support

Microsoft Planner

Dienstbeschreibung: Microsoft Planer ist eine Cloud-Anwendung, mit der man Pläne erstellen, Aufgaben organisieren und zuweisen, Dateien teilen und sich über den aktuellen Status informieren lassen kann. Die Anwendung kann sowohl in Teams integriert werden (Tasks-App) als auch in Sharepoint (Planner-Webpart und Vollseiten-App). Mit der Outlook-Kalendersynchronisierung in Microsoft Planner wird es Nutzenden ermöglicht, ihren Planner-Terminplan in Outlook anzuzeigen.
Mehr Informationen erhalten Sie hier.

Verarbeitete Daten:

• Inhaltsdaten;
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfile mit Zugriffen);
• nicht deaktivierbare Diagnosedaten.

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen.

Zweck der Datenverarbeitung: Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Arbeiten in der Cloud und Kollaboration, Aufgabenplanung und -steuerung.

Getroffene Maßnahmen: Die Option „Zulassen, dass Planner-Benutzer deren Pläne und zugewiesene Aufgaben in Outlook oder anderen Kalendern mittels iCalendar-Feed veröffentlichen können" wurde deaktiviert.

Microsoft Whiteboard

Dienstbeschreibung: Microsoft Whiteboard ist eine Cloud-Anwendung, mit der man an einem für Stift-, Touch- und Tastatureingabe entwickelten Freihandzeichenbereich gemeinsam Ideen entwickeln und zusammenarbeiten kann. Weitere Informationen erhalten Sie hier.

Verarbeitete Daten:

• Inhaltsdaten;
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfile mit Zugriffen);
• Daten im Zusammenhang mit der Nutzung von Verbundenen Erfahrungen;
• nicht deaktivierbare Diagnosedaten (eine Übersicht der Diagnosedatenereignisse finden Sie hier).

Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• in Inhaltsdaten benannte oder identifizierbare Personen.

Zweck der Datenverarbeitung: Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Arbeiten in der Cloud und Kollaboration.

Getroffene Maßnahmen:

• Die Übermittlung von Diagnosedaten wurde (soweit bei Microsoft möglich) deaktiviert. Im Übrigen siehe Abschnitt C.
• Optionale Verbundene Erfahrungen (etwa Feedback senden, Bing-Bildersuche, Link einfügen, Video einfügen) wurden (soweit bei Microsoft möglich) deaktiviert. Sollten diese Funktionen Ihnen dennoch angezeigt werden, können Sie sie unter Einstellungen  Datenschutz und Sicherheit deaktivieren.
• Die gemeinsame Nutzung von älteren Whiteboards über Surface Hub wurde deaktiviert.

Microsoft Forms

Dienstbeschreibung: Microsoft Forms ist eine Cloud-Anwendung, mit der man Umfragen, Quizze und Abstimmungen erstellen kann. Wenn Sie ein Quiz, eine Umfrage oder Abstimmung (nachfolgend zusammengefasst: Formular) erstellen, können Sie andere dazu einladen, über einen Webbrowser darauf zu antworten, auch auf mobilen Geräten. Als Autor eines Formulars kann man sich die Ergebnisse in Echtzeit anzeigen lassen. Mehr Informationen erhalten Sie hier.
Hinweis: Die Anwendung ist nur auf Anforderung und nach Freischaltung durch die IT-Abteilung verfügbar.
Verarbeitete Daten: 
Folgende personenbezogene Daten können Gegenstand der Verarbeitung sein:

• Kommunikationsdaten;
• Authentifizierungsdaten;
• Inhalt der Antworten (der Umfang der verarbeiteten Daten hängt davon ab, welche Angaben Sie bei der Teilnahme an einer Abstimmung oder Umfrage in Forms machen, insbesondere dann, wenn Fragestellungen „offen" formuliert sind);
• Datum und Uhrzeit der Öffnung des Fragebogens;
• Datum und Uhrzeit der Absendung der Antwort;
• im System generierte Nutzungsdaten/Protokolldaten (z.B. Logfiles mit Zugriffen);
• nicht deaktivierbare Diagnosedaten.

Die Antworten auf ein Formular gehen an den Formular-Inhaber (sprich diejenige Person, die das Formular erschaffen hat und verwaltet).
Microsoft Forms kann so eingestellt werden, dass Benutzer außerhalb der TUM auf Ihre Umfrage oder Ihren Test antworten können. In diesem Fall übermitteln diese externen Benutzer ihre Antworten anonym (es sei denn sie geben ihren Namen im Formular selbst an).
Wenn Sie an einer Umfrage teilnehmen, während Sie mit Ihrem TUM-Microsoft-Account angemeldet sind, ist es theoretisch möglich, dass der Umstand Ihrer Teilnahme sowie die Information darüber, welche Fragen Sie beantwortet haben, IT-Administratoren im Rahmen von Berichten zugänglich wird. Eine dahingehende Auswertung erfolgt jedoch nicht. Auch ist es den IT-Administratoren unter keinen Umständen möglich zu sehen, wie Sie einzelne Fragen beantwortet haben.
Soweit ein Formular über eine Internetseite von Microsoft (z.B. www.office.com) abgerufen wird und Microsoft in diesem Zusammenhang personenbezogene Daten verarbeitet (z.B. IP-Adresse) bzw. Cookies einsetzt, ist Microsoft für diese Website-Datenverarbeitung selbst verantwortlich. Zur Datenschutzerklärung von Microsoft.
Betroffene Personen:

• Mitglieder der TUM, die Microsoft 365 nutzen;
• Externe Benutzer, soweit sie an Umfragen teilnehmen.

Zweck der Datenverarbeitung: Bereitstellung von Microsoft 365; Hilfsmittel für die Lehre, Forschung und Verwaltung, insbesondere: Erstellung und Auswertung von Umfragen, Abstimmungen und Tests.

Getroffene Maßnahmen:

• Nutzung von Microsoft Forms nur nach vorheriger Freischaltung;
• die standardmäßige namentliche Aufzeichnung von Personen wurde deaktiviert (Hinweis: Dies führt nur dazu, dass die Standardeinstellung so gesetzt wird, dass teilnehmende angemeldete Microsoft-Nutzer nicht namentlich erfasst werden. Die Einstellung kann vom Umfragen-Ersteller verändert werden, wovon die TUM jedoch in jedem Fall abrät. Beschäftigten ist eine Änderung dieser Standardeinstellung untersagt.);
• das Einbetten von Dritt-Inhalten (wie Bing oder YouTube) wurde deaktiviert;
• um Umfrageanreize (wie Microsoft Rewards-Incentives) zu unterbinden, wurde das sog. Account Linking unterbunden.

Power BI, PowerAutomate, Project, Visio

Es handelt sich bei diesen Anwendungen um Automatisierungs- und Projektmanagement-Tools, die nur einem eingeschränkten Kreis von Beschäftigten zur Verfügung stehen.
Außerdem wurden sog. „Konnektoren" (https://learn.microsoft.com/de-de/connectors/connectors), die nicht von Microsoft stammen, deaktiviert.
Es werden hierbei grundsätzlich nur im System generierte Nutzungsdaten/Protokolldaten und nicht deaktivierbare Diagnosedaten verarbeitet. Darüber hinaus gilt:
Sowohl bei Microsoft Project als auch bei Microsoft Visio (als Bestandteil des Office-Pakets) werden zusätzlich Daten im Zusammenhang mit der Nutzung von Verbundenen Erfahrungen verarbeitet. Optionale Verbundene Erfahrungen wurden (soweit bei Microsoft möglich) deaktiviert. Soweit sie bei Ihnen durch die IT-Administration nicht deaktiviert werden konnten, können Sie dies selbstständig tun unter „Einstellungen  Datenschutz". Mehr dazu hier: Übersicht der optionalen verbundenen Erfahrungen in Office.

Eigene Verantwortlichkeit von Microsoft

Microsoft verarbeitet einige Daten in eigener Verantwortlichkeit. Hierüber klärt Microsoft in seinem Datenschutznachtrag auf.
Verantwortliche Stelle ist insofern

Microsoft Corporation
One Microsoft Way Redmond
Washington 98052, USA

mit 

Microsoft Ireland Operations Limited
One Microsoft Place
South County Business Park
Leopardstown Dublin 18, Irland

als EU-Vertreter.

Es geht in diesem Zusammenhang insbesondere um Diagnosedaten, die Microsoft in der Software bzw. in seinen Systemen selbst generiert. Diese beziehen sich auf Metadaten der Nutzung und niemals auf Inhaltsdaten (etwa Texte oder Bilder).
Die Übertragung von Diagnosedaten wurde, soweit wie dies die Microsoft-Einstellungsoptionen zulassen, unterbunden. Da die Diagnosedaten im Zusammenhang mit den lokalen Installationen der Desktop-Software von Microsoft 365 erhoben werden, kann die TUM die Diagnosedateneinstellungen auf privaten Geräten (die nicht von der TUM verwaltet werden) nicht beeinflussen. Hier sind alle Nutzenden selbst gehalten, die entsprechenden Einstellungen vorzunehmen.

Die Erhebung mancher Daten lässt sich darüber hinaus nicht durch die TUM deaktivieren. Hierzu gehören in erster Linie die sog. „erforderlichen Dienstdaten". Erforderliche Dienstdaten sind von erforderlichen oder optionalen Diagnosedaten zu trennen, die sich auf Informationen zur Verwendung der auf Ihrem Gerät ausgeführten Office-Software beziehen (und von uns so weit wie möglich deaktiviert wurden). Daher wirken sich die Datenschutzeinstellungen, die die TUM für erforderliche oder optionale Diagnosedaten ausgewählt hat, nicht darauf aus, ob erforderliche Dienstdaten an Microsoft gesendet werden. Erforderliche Dienstdaten werden auch für die wesentlichen Dienste von Office gesammelt und an Microsoft gesendet, z. B. der Lizenzierungsdienst, der bestätigt, dass Sie eine ordnungsgemäße Lizenz zur Verwendung von Office besitzen. Diese Gruppe von Diensten ist für die Funktionsweise von Office laut Microsoft wesentlich und kann daher nicht deaktiviert werden. Die Daten für wesentliche Dienste werden bei Verwendung von Office immer an Microsoft gesendet und dort verarbeitet – unabhängig davon, wie andere Einstellungen im Zusammenhang mit Datenschutz konfiguriert wurden.
Für die verarbeiteten Daten gilt: Microsoft erstellt mit ihnen laut dem Datenschutznachtrag in erster Linie Statistiken für folgende, Microsoft-eigene Zwecke: Abrechnungs- und Kontoverwaltung; Vergütung wie etwa Berechnung von Mitarbeiterprovisionen und Partner-Incentives; Interne Berichterstattung und Geschäftsmodellierung wie etwa Prognose, Umsatz, Kapazitätsplanung und Produktstrategie; und Finanzberichterstattung. Unter keinen Umständen werden die Daten für folgende Zwecke verwendet: (a) Benutzerprofilerstellung, (b) Werbung oder ähnliche kommerzielle Zwecke oder (c) alle anderen Zwecke, mit Ausnahme der zuvor in diesem Abschnitt genannten Zwecke.

Rechtsgrundlage für die Bereitstellung der Daten an Microsoft ist Art. 4 Abs. 1 BayDSG in Verbindung mit Art. 6 Abs. 1 lit. e DSGVO bzw. Art. 5 Abs. 1 S. 1 Nr. 2 BayDSG. Da die Übertragung der genannten Daten zu den genannten Zwecken beim Einsatz von Microsoft 365 nicht deaktiviert werden kann und damit zwingend ist, ist sie Voraussetzung und Bestandteil des Dienstes Microsoft 365. Die Bereitstellung des Dienstes dient der Aufgabenerfüllung im Sinne einer zeitgemäßen, etablierten und effizienten Softwareplattform.
Wenn Sie sehen möchten, welche Diagnosedaten an Microsoft gesendet werden, verwenden Sie den Diagnosedaten-Viewer, den Sie aus dem Microsoft Store kostenlos herunterladen und installieren können. Weitere Informationen finden Sie unter Verwenden des Diagnosedaten-Viewers mit Office.
Weitere Informationen finden sich im Datenschutznachtrag im Abschnitt „Verarbeitung für Geschäftstätigkeiten, die durch die Bereitstellung der Produkte und Services an den Kunden veranlasst sind" und „Verarbeitung personenbezogener Daten; DSGVO". Es wird insoweit auch auf die Datenschutzhinweise von Microsoft verwiesen.