Das Prüfschema zu Windows 10 im Detail
Das Ende 2019 veröffentlichte Prüfschema soll es nach Vorstellung der DSK den Verantwortlichen ermöglichen, eigenständig die Einhaltung der rechtlichen Vorgaben der Datenschutz-Grundverordnung (DSGVO) beim Einsatz von Windows 10 zu prüfen und dies auch zu dokumentieren. Da es sich bei Windows 10 um eine Produktfamilie handelt, welche zudem durch Updates dauerhaft verändert wird, könne man keine pauschale Aussage treffen. Vielmehr soll jeder Verantwortliche individuell sein Risiko anhand der eingesetzten Versionen und Funktionen bewerten. Einstellungen können ebenfalls nicht empfohlen werden, da es aktuell keine Konfigurationseinstellungen gibt, welche den Datenstrom zu Microsoft vollständig unterbinden.
Wer sich ein konkret umsetzbares Prüfschema von Seiten der Behörden erhofft hat, wird leider enttäuscht. Gerade weil die Übermittlung von Daten nicht vollständig unterbunden werden kann, soll nach den Vorstellungen der DSK jeder Verantwortliche anhand der übertragenen Daten prüfen, ob eine Rechtsgrundlage für die Datenübermittlung an Microsoft vorliegt. Darin liegt das größte Problem bei diesem Schema, welches auch die DSK so erkannt hat: „Da die Datenübertragung verschlüsselt stattfindet, liegen keine detaillierten Erkenntnisse über die Natur der übertragenen Daten von einer unabhängigen Stelle vor.“
Es ist für den Verantwortlichen also gar nicht möglich zu prüfen, welche Daten an Microsoft übermittelt werden. Damit hätte man das Prüfschema bereits beendet und Windows 10 attestieren können, dass ein datenschutzkonformer Einsatz aktuell nicht möglich ist. Schließlich müssen die übermittelten Daten bekannt sein, um das Vorhandensein einer Rechtsgrundlage zu prüfen.
Stattdessen führen die Behörden auf mehreren Seiten auf, durch welche Rechtsgrundlagen und Maßnahmen der Einsatz legitimiert werden kann. Zudem wird auf den Drittlandtransfer in die USA und die Probleme des EU-U.S. Privacy Shields verwiesen. Zuletzt wird zusammenfassend ein Überblick über die entsprechenden Prüfpunkte gegeben. Da die an Microsoft übertragenen Daten jedoch nicht bekannt sind, lässt sich denknotwendig nur wenig davon umsetzen.
Umsetzbare Punkte des Prüfschemas
Wer sich nun nicht Untätigkeit vorwerfen lassen möchte, der kann zumindest einige Punkte aus der Liste umsetzen. Diese legitimieren zwar nicht die Datenübermittlung, können jedoch einer ggfs. prüfenden Aufsichtsbehörde den guten Willen des Verantwortlichen zeigen:
- Es sollte im Verzeichnis von Verarbeitungstätigkeiten festgehalten werden, welche Verarbeitungstätigkeiten mithilfe von Windows 10 erfolgen.
- In der Anlage zum Prüfschema werden einige Möglichkeiten beschrieben, wie ein möglichst datensparsamer Einsatz ausgestaltet sein kann.
- Die DSK verweist auch noch auf eine Orientierungshilfe des Arbeitskreis Informationssicherheit der deutschen Forschungseinrichtungen (AKIF). Diese gibt eine bebilderte Anleitung, wie Windows 10 möglich datensparsam konfiguriert werden kann. Gleichzeitig müssen nach Updates diese Einstellungen überprüft werden, da sie in der Regel zurückgesetzt werden.
Fazit: Ein vollständig datenschutzkonformer Einsatz von Windows 10 ist derzeit nicht möglich
Da der Datenaustausch mit Microsoft im Betriebssystem nicht vollständig unterbunden werden kann und gleichzeitig keine Rechtsgrundlage existiert bzw. evaluiert werden kann, ist die datenschutzkonforme Nutzung von Windows 10 nicht möglich. Man müsste daher, um datenschutzkonform zu agieren, ein datensparsameres Betriebssystem einsetzen. Das wird zwar nicht explizit von der DSK empfohlen, jedoch lässt das Prüfschema keinen anderen Schluss zu. Das Ergebnis am Ende der Prüfung wird nahezu immer lauten, dass der Einsatz nicht datenschutzkonform ist und damit unterbunden werden müsste.
Es ist nicht ganz klar, was die DSK mit dem Prüfschema bezwecken möchte. Vermutlich soll Microsoft hier zum Handeln animiert werden. Es führt jedoch auch dazu, dass nahezu jeder Einsatz von Windows 10 einen Datenschutzverstoß darstellt. Durch das Umsetzen der beschriebenen Maßnahmen lässt sich der Verstoß zwar beschränken, jedoch nicht vollständig vermeiden.
Update vom 4. Februar 2020
Das bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in seinem Tätigkeitsbericht für das Jahr 2019 ebenfalls Stellung zu Windows 10 und Telemetriedaten genommen. Aufgrund einer vom BayLDA betriebenen Laboranalyse im Dezember 2019 konnte Windows 10 in der Enterprise-Version so konfiguriert werden, dass keinerlei unerlaubte Datenübermittlung an Microsoft erfolgt. Erstaunlich ist dabei, dass dies mit offiziell von Microsoft zur Verfügung gestellten Informationen und Tools möglich gewesen sein soll. Leider wird keine genauere Beschreibung gegeben, was genau durchgeführt und welche Einstellungen getroffen wurden, um alle Datenflüsse zu deaktivieren.
Für den Nutzer bedeutet dies: Windows 10 Enterprise und damit auch die Education-Version können in Version 1909 datenschutzkonform konfiguriert werden. Das BayLDA stellt jedoch auch klar, dass sich dieses Ergebnis zunächst noch im realen Einsatz von Windows 10 bei Unternehmen bestätigten muss. Hingegen ist Windows 10 Pro für den Einsatz in Unternehmen aus datenschutzrechtlicher Sicht nicht statthaft, da bei dieser Telemetriedaten zwar reduziert, jedoch nicht komplett abgeschaltet werden können.
