Microsoft Windows 10 sendet täglich tausende "Diagnose-Daten" an US-amerikanische Server. Die deutschen Aufsichtsbehörden sehen das kritisch. Seit dem 07.11.2019 gibt es ein Prüfschema, um die Rechtmäßigkeit von Windows 10 zu beurteilen. Das Ergebnis ist wohl: Keine Chance. Was tun? Das Prüfschema befindet sich hier, die weitergehenden technischen Aspekte hier.
In den obigen Dokumenten geht es allein um die "Diagnose-Daten", die Windows 10 an Microsoft versendet ("Telemetrie"). Es geht nicht um die Cloud (z.B. OneDrive) und es geht auch nicht um temporäre Dateien, die ggf. personenbezogen sind und unbemerkt jahrelang gespeichert sind. Es geht auch nicht um die verschiedenen Apps (wie z.B. Cortana) und deren Umgang mit Daten. Auch das Verhalten aller anderen Anwendungssoftware (wie MS-Office und anderer Programme) wird nicht erwähnt.
Nein, es dreht sich (zunächst) alles nur um das Ergebnis der Studie der niederländischen Datenschutz-Aufsichtsbehörde vom Oktober 2017.
Machen wir es kurz: In den technischen Aspekten kommt das Gremium auf Seite 13 zu dem folgenden Ergebnis:
„Die Datenschutzaufsichtsbehörden [...] haben diese Problematik untersucht und sind zu dem Ergebnis gekommen, dass eine vollständige Übertragung mit systembasierten Abhilfemaßnahmen allein nicht verhindert werden kann. Auch Netzwerkbasierte Abhilfemaßnahmen scheinen nur über den Umweg, eine di-rekte Internetanbindung von Windows 10 Systemen zu unterbinden und den Internet-zugang (über Browser oder Fachanwendungen) über eine Virtualisierung- oder Terminallösung erfolgen zu lassen, noch erfolgversprechend.“
Insofern kann man sich das Prüfschema eigentlich sparen und überlegen, wie man für jeden Mit-arbeiter sein Windows 10 in einen "Container" packt, der jegliche ungewollte Telemetrie unterbindet.
Oder das Unternehmen sucht sich ein datenschutzfreundlicheres Betriebssystem. Jetzt wäre wohl die Zeit für Linux gekommen (vorausgesetzt, dass dort keine Telemetriedaten gibt). Wie man es auch immer dreht und wendet: Ein blinder Fleck im Datenschutz wurde nun offiziell adressiert. Der Geist ist aus der Flasche. Das Betriebssystem und die darin installierte Anwendungssoftware ist kein "Neutrum" mehr, sondern stellt in sich selbst möglicherweise eine Verarbeitung personenbezogener Daten dar.
Ein sehr ähnliches Problem kam im November 2018 mit MS Office 365 auf. Seitdem ist nicht ganz klar, ob Schulen in Hessen noch mit Office arbeiten dürfen. Natürlich sind auch alle anderen Betriebssysteme (wie z.B. iOS und Android) betroffen. Ebenso alle installierten Apps bzw. Anwendungsprogramme (Webbrowser, Bildbearbeitungsprogramme, Buchhaltungsprogramme, Customer-Management-Systeme, WhatsApp, ...).
Sie fragen sich, was Windows 10 so alles an Daten übermittelt? Nutzen Sie den "MS Diagnostic Data Viewer". Das ist recht interessant (in meinem Fall wurde immerhin der Hersteller und die Modellnummer meines PC gesendet). Die entsprechenden Einstellungen in Windows 10 können Sie vornehmen unter "Einstellungen | Datenschutz | Diagnose und Feedback". Hier können Sie immerhin die vollständige Datenübermittlung abschalten; außerdem lassen sich hier mit einem Mausklick alle Diagnosedaten löschen.
Jetzt ist Kreativität gefragt.
[Als Datenschützer fragt man sich: Welche Diagnose-Daten sind denn personenbezogen bzw. personenbeziehbar? Kann Microsoft letztlich sagen WELCHE Person da welche Daten gesendet hatte? Auf diese sehr wichtige Detailfrage gehen die Datenschutz-Aufsichtsbehörden nicht ein. Man bedenke: Die IP-Adresse der Rechner ist für ALLE Beschäftigten im Unternehmen identisch. Die Windows-Lizenz läuft auf den Unternehmens-Namen. Aus dem reinen Rechner-Name lässt sich meist keine Beschäftigten-Name ableiten. Warum also sollten die Diagnose-Daten als personenbezogenen gewertet werden? Es könnte von entscheidender Bedeutung sein, ob sich die Nutzer von Office 365 mit ihrer persönlichen E-Mail-Adresse bei Microsoft anmelden. Hierdurch kann ein Personenbezug entstehen. Daher vermeiden Sie besser die Anmeldung, sofern Sie die Microsoft-Cloud nicht nutzen; alternativ sollten Sie über "anonyme" E-Mail-Adressen nachdenken nach dem Muster "Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!".]
Apropos: Wenn nicht alle Diagnose-Daten abgeschaltet werden können, dann ist laut der Datenschutz-Konferenz eine Datenschutzfolgenabschätzung gemäß Artikel 35 durchzuführen. Und diese ist gemäß § 38 BDSG nur unter Einbeziehung eines betrieblichen Datenschutzbeauftragten möglich. Sie sind also nicht allein... wir helfen Ihnen gerne.
