Am 25. März 2024 veröffentlichte der Europäische Datenschutzbeauftragte (EDSB) seine endgültige Entscheidung in einem Fall, der sich mit der Nutzung von Microsoft 365 durch die Europäische Kommission befasste, was gegen die Datenschutzbestimmungen für EU-Institutionen und -Einrichtungen (Verordnung) (EU) 2018/1725 verstiess. Diese Entscheidung erfolgte nach einer gründlichen Untersuchung und folgte der ersten Pressemitteilung zur Entscheidung, die am 11. März 2024 veröffentlicht wurde.

Der EDSB erteilte der Kommission einen Verweis und verhängte folgende Korrekturmassnahmen, darunter die Forderung, dass die Kommission:

• Ab dem 9. Dezember 2024 alle Datenströme aus der Nutzung von Microsoft 365 an Microsoft und seine verbundenen Unternehmen und Unterauftragsverarbeiter ausserhalb der EU/des EWR aussetzen soll, sofern sie nicht von einer Angemessenheitsentscheidung abgedeckt sind;
• Bis zum 9. Dezember 2024 die Verarbeitungsvorgänge, die sich aus der Nutzung von Microsoft 365 ergeben, in Einklang mit der Verordnung bringen soll;
• Durch vertragliche Bestimmungen sicherstellen soll, dass personenbezogene Daten nur für explizite und festgelegte
...