Microsoft 365 Nutzungsbedingungen der ECE und Datenschutzinformationen nach Art. 13 DSGVO

Präambel

Diese Nutzungsbedingungen regeln die verbindliche Nutzung von Microsoft 365 Anwendungen innerhalb der ECE Marketplaces GmbH & Co KG und konsolidierten Gesellschaften und informieren zugleich über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Bereitstellung und Nutzung dieser Anwendungen. Diese Nutzungsbedingungen gelten für alle Personen, denen durch eine ECE-Gesellschaft Microsoft 365 Anwendungen, ECE-Benutzerkonten, ECE-Endgeräte oder ECE-Speicherorte bereitgestellt oder zugänglich gemacht werden.

Microsoft 365 Anwendungen werden bei der ECE insbesondere zur geschäftlichen Kommunikation, Zusammenarbeit, Dateiablage, Termin- und Aufgabenorganisation, Durchführung von Online-Meetings, Projektarbeit, Dokumentation und, soweit freigegeben, zur Nutzung integrierter KI-Funktionen eingesetzt.

Die Nutzungsbedingungen unterscheiden ausdrücklich zwischen:

Teil A: verbindliche Nutzungsbedingungen für Microsoft 365
Teil B: Datenschutzinformationen nach Art. 13 DSGVO
Teil C: besonderen Regelungen für Teams-Meetings, Aufzeichnungen, Transkriptionen und KI-Funktionen
Teil D: Empfängern, Drittlandübermittlungen, Speicherdauern und Betroffenenrechten

Teil A enthält verbindliche Nutzungsregeln für die bereitgestellten Microsoft 365 Anwendungen, ECE-Benutzerkonten, ECE-Endgeräte und ECE-Speicherorte. Für Mitarbeitende der ECE-Gruppe gelten diese Nutzungsregeln als verbindliche Vorgabe für die Nutzung der von der ECE bereitgestellten Arbeitsmittel und konkretisieren die arbeitsvertraglichen Pflichten. Für externe Nutzer gelten diese Nutzungsregeln, soweit sie Bestandteil der vertraglichen Vereinbarung, der Beauftragung, einer Vertraulichkeitsvereinbarung, einer gesonderten Annahmeerklärung oder einer elektronischen Bestätigung bei Bereitstellung des Zugangs sind.

Die Teile B bis D enthalten Datenschutzinformationen. Sie informieren über die Verarbeitung personenbezogener Daten und begründen keine eigenständige Einwilligung.

Teil A

Verbindliche Nutzungsbedingungen für Microsoft 365

1. Anwendungsbereich

Diese Nutzungsregeln gelten für sämtliche durch die ECE bereitgestellten oder freigegebenen Microsoft 365 Anwendungen, insbesondere:

Microsoft Teams, einschließlich Chat, Telefonie und Meetings
Outlook und ECE-E-Mail-Konten
OneDrive for Business
SharePoint Online
Office Anwendungen, insbesondere Word, Excel, PowerPoint und OneNote
Forms, Planner, To Do und Lists
Microsoft 365 Copilot und sonstige in Microsoft 365 integrierte KI-Funktionen, soweit freigegeben
weitere durch die ECE freigegebene Microsoft 365 Anwendungen

Die Nutzung ist nur im Rahmen der eingeräumten Berechtigungen und für die jeweils freigegebenen Zwecke zulässig.

2. Ausschließlich geschäftliche Nutzung

Microsoft 365 Anwendungen, ECE-Benutzerkonten, ECE-Endgeräte und ECE-Speicherorte dürfen ausschließlich zu dienstlichen beziehungsweise geschäftlichen Zwecken im Rahmen der jeweiligen Tätigkeit für die ECE genutzt werden.

Eine private Nutzung ist nicht gestattet.

Dieses Verbot der privaten Nutzung gilt insbesondere für:

OneDrive
SharePoint
Teams
Outlook
ECE-E-Mail-Konten
lokal synchronisierte Microsoft 365 Ordner
ECE-Notebooks
ECE-Mobilgeräte
sonstige durch die ECE bereitgestellte Speicherorte und Anwendungen

Private Dateien, private Kommunikationsinhalte, Unterlagen zu Nebentätigkeiten, Drittmandaten, privaten Projekten, Ehrenämtern oder sonstigen privaten Vorhaben dürfen nicht in der ECE-Microsoft-365-Umgebung gespeichert, synchronisiert, versendet oder verarbeitet werden.

3. Vertraulichkeit und Verbindlichkeit von Kommunikation

Alle über Microsoft 365 verarbeiteten Inhalte sind grundsätzlich vertraulich zu behandeln. Sie dürfen nur im Rahmen der jeweiligen dienstlichen Aufgabe, der erteilten Berechtigungen und der geltenden ECE-Vorgaben verarbeitet werden.

Eine Weitergabe an unbefugte Dritte, eine Veröffentlichung oder eine Verarbeitung außerhalb freigegebener ECE-Systeme ist untersagt.

Über informelle Microsoft 365 Kommunikationskanäle, insbesondere Teams-Chats und Teams-Nachrichten, ausgetauschte Erklärungen begründen grundsätzlich keine rechtsverbindlichen Willenserklärungen, soweit nicht ausdrücklich etwas anderes vereinbart ist oder die Erklärung erkennbar von einer hierzu berechtigten Person mit Bindungswillen abgegeben wird.

E-Mails können je nach Inhalt und Absender rechtsverbindliche Erklärungen enthalten. Die allgemeinen Vertretungs- und Freigaberegelungen der ECE bleiben unberührt.

4. Umgang mit Dateien und Speicherorten

Dateien sind grundsätzlich in den dafür vorgesehenen dienstlichen Speicherorten abzulegen, insbesondere in freigegebenen SharePoint-Bereichen, Teams-Kanälen oder sonstigen Projekt- und Bereichsablagen.

OneDrive ist als dienstlicher Arbeitsbereich vorgesehen. Dauerhaft projekt-, team- oder unternehmensrelevante Unterlagen sind zeitnah in die zuständigen Unternehmens-, Projekt- oder Teamablagen zu überführen.

Sensible oder vertrauliche dienstliche Arbeitsentwürfe können innerhalb der dienstlichen OneDrive- oder Ablagestruktur gesondert gekennzeichnet werden, soweit dies zur Strukturierung der Arbeit erforderlich ist.

Bei Beendigung oder Unterbrechung eines Beschäftigungs-, Auftrags- oder Projektverhältnisses sowie bei längerfristiger Abwesenheit kann nach Maßgabe der hierfür geltenden internen Prozesse ein Zugriff auf dienstlich bereitgestellte M365-Speicherorte erforderlich sein, insbesondere zur Sicherung geschäftsrelevanter Unterlagen, zur Fortführung laufender Vorgänge, zur Erfüllung gesetzlicher Aufbewahrungspflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Der Zugriff ist auf das erforderliche Maß zu beschränken. Als „privat“, „persönlich“ oder vergleichbar gekennzeichnete Inhalte dürfen grundsätzlich nicht geöffnet oder inhaltlich gesichtet werden; insoweit gelten die gesonderten internen Freigabe- und Dokumentationsprozesse.

5. Exporte, Kopien, Screenshots und lokale Speicherung

Das Exportieren, Herunterladen, Kopieren, lokale Speichern, Drucken oder sonstige Übertragen von Inhalten aus Microsoft 365 ist nur zulässig, soweit dies zur konkreten dienstlichen Aufgabe erforderlich und durch die jeweiligen Berechtigungen beziehungsweise Freigaben gedeckt ist.

Untersagt ist insbesondere:

Übertragung dienstlicher Inhalte auf private Geräte
Hochladen dienstlicher Inhalte in private oder nicht freigegebene Cloud-Speicher
Weiterleitung dienstlicher Inhalte an private E-Mail-Konten
Eingabe dienstlicher Inhalte in nicht freigegebene KI-Dienste oder sonstige externe Onlinedienste
Anfertigung von Screenshots personenbezogener oder vertraulicher Inhalte ohne dienstliche Erforderlichkeit
Speicherung dienstlicher Inhalte außerhalb freigegebener ECE-Systeme

Bei jedem zulässigen Export oder Screenshot sind personenbezogene und vertrauliche Inhalte auf das erforderliche Maß zu beschränken.

6. Nutzung von KI-Funktionen

Soweit in Microsoft 365 KI-Funktionen, insbesondere Microsoft 365 Copilot, bereitgestellt und freigegeben sind, dürfen diese ausschließlich im Rahmen der ergänzenden ECE-internen KI-Vorgaben und der freigegebenen technischen Konfiguration genutzt werden.

Teil B

Datenschutzinformationen nach Art. 13 DSGVO

1. Verantwortliche Stelle

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit Microsoft 365 ist die jeweilige ECE-Gesellschaft, die das Beschäftigungsverhältnis, das Auftragsverhältnis oder die Geschäftsbeziehung mit der betroffenen Person eingegangen ist beziehungsweise der betroffenen Person Microsoft 365 Anwendungen, ein Benutzerkonto oder ein Endgerät bereitstellt.

Dies sind insbesondere:

ECE Group GmbH & Co. KG
ECE Marketplaces GmbH & Co. KG
GB Services GmbH
ECE Real Estate Partners G.m.b.H.
verbundene Tochter- und Beteiligungsgesellschaften

Gemeinsame Anschrift:

Heegbarg 30
22391 Hamburg
Deutschland

E-Mail: datenschutz@ece.com

Auf Anfrage teilt die ECE der betroffenen Person die im konkreten Fall verantwortliche Gesellschaft mit.

Soweit mehrere ECE-Gesellschaften gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden, sind sie gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Das Wesentliche einer entsprechenden Vereinbarung wird betroffenen Personen auf Anfrage zur Verfügung gestellt.

2. Datenschutzbeauftragter

Der Datenschutzbeauftragte ist erreichbar unter:

An den gemeinsamen Datenschutzbeauftragten der ECE-Gesellschaften
c/o ECE Marketplaces GmbH & Co. KG
Heegbarg 30
22391 Hamburg

E-Mail: datenschutz@ece.com

3. Zwecke der Verarbeitung

Die Verarbeitung personenbezogener Daten im Zusammenhang mit Microsoft 365 erfolgt insbesondere zu folgenden Zwecken:

Bereitstellung, Administration und Betrieb der Microsoft 365 Anwendungen einschließlich Benutzerkonto-, Berechtigungs- und Lizenzverwaltung
Authentifizierung, Multifaktor-Authentifizierung und Zugriffskontrolle
geschäftliche Kommunikation und Zusammenarbeit, einschließlich Chats, E-Mail, Telefonie und Videokonferenzen
Dateiablage, Dokumentenbearbeitung, Versionierung und Projektarbeit
Aufgaben-, Termin- und Wissensorganisation
Dokumentation geschäftlicher Vorgänge und Wissensmanagement
IT-Sicherheit, Missbrauchsprävention, Schadsoftware- und Phishing-Schutz, Störungsbehebung
Protokollierung sicherheitsrelevanter Ereignisse
Erfüllung gesetzlicher Aufbewahrungs-, Dokumentations- und Nachweispflichten
Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen
Sicherung geschäftsrelevanter Unterlagen im Offboarding und vergleichbaren Situationen
Aufklärung konkreter Verdachtsfälle von Pflichtverletzungen oder Sicherheitsvorfällen
Nutzung freigegebener KI-Funktionen zur Unterstützung der genannten Zwecke

4. Kategorien personenbezogener Daten

Im Rahmen der Nutzung von Microsoft 365 können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

4.1 Stammdaten und Benutzerprofil

Vor- und Nachname
Anzeigename
Benutzerkennung
dienstliche E-Mail-Adresse
dienstliche Telefon- und Mobilnummer, soweit hinterlegt
Firma
Bereich
Abteilung
Funktion
Vorgesetztenbeziehung
Gruppenmitgliedschaften
freiwillig hinterlegtes Profilbild

4.2 Authentifizierungs- und Zugriffsdaten

Anmeldezeitpunkte
Geräte- und Sitzungsinformationen
IP-Adresse
daraus abgeleitete grobe Standortinformationen, etwa Stadt- oder Länderebene
Multifaktor-Authentifizierungsereignisse
Protokolldaten zu Zugriffen, Erstellung, Änderung und Löschung von Inhalten

4.3 Kommunikations- und Inhaltsdaten

E-Mail-Inhalte
Chat- und Teams-Nachrichten
Dateien und Dokumente
geteilte Inhalte
Kommentare und Reaktionen
Besprechungsinhalte einschließlich Bildschirmfreigaben
Audio- und Videodaten, soweit aktiviert
Aufzeichnungen und Transkriptionen, soweit nach Teil C zulässig erstellt
Meetingnotizen
Eingaben in Forms, Lists oder vergleichbaren Anwendungen

4.4 Metadaten

Datum und Uhrzeit
Teilnehmerlisten
Meetingtitel
Sitzungsdauer
Versions- und Änderungshistorien
Datei- und Ordnerbezeichnungen
Speicherorte
sicherheitsrelevante Ereignisprotokolle

4.5 KI-bezogene Daten

Bei Nutzung freigegebener KI-Funktionen können insbesondere verarbeitet werden:

Eingaben und Prompts
Anfrageinhalte
zugrunde liegende Inhalte, auf die die nutzende Person berechtigt zugreifen darf
generierte Ausgaben
daraus abgeleitete Aufgaben oder Zusammenfassungen
Nutzungsmetadaten der KI-Funktionen

5. Rechtsgrundlagen

Die Verarbeitung erfolgt je nach Zweck auf Grundlage der folgenden Rechtsgrundlagen.

5.1 Beschäftigte

Soweit die Verarbeitung im Beschäftigungskontext erfolgt, stützt sich die ECE je nach Zweck auf Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO und Art. 6 Abs. 1 lit. f DSGVO, jeweils in Verbindung mit Art. 88 DSGVO und den einschlägigen Vorschriften des BDSG, insbesondere § 26 BDSG, soweit anwendbar.

Dies betrifft insbesondere die Bereitstellung von Arbeitsmitteln, interne Kommunikation, Zusammenarbeit, Aufgabenorganisation, Dokumentenbearbeitung, Zugriffs- und Berechtigungsverwaltung sowie die Sicherung geschäftsrelevanter Unterlagen.

5.2 Externe Personen und Geschäftspartner

Bei externen Personen, Dienstleistern, Beratern, Interimer, Freelancern und Geschäftspartnern erfolgt die Verarbeitung insbesondere auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit dies zur Durchführung des jeweiligen Vertrags oder vorvertraglicher Maßnahmen erforderlich ist, sowie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

5.3 Berechtigte Interessen

Berechtigte Interessen der ECE im Sinne von Art. 6 Abs. 1 lit. f DSGVO sind insbesondere:

effiziente unternehmensinterne und unternehmensübergreifende Kommunikation und Zusammenarbeit
Dokumentation und Nachvollziehbarkeit geschäftlicher Vorgänge
Aufrechterhaltung des Geschäftsbetriebs und der Geschäftskontinuität
Schutz der IT-Systeme, Missbrauchsprävention und Aufklärung von Sicherheitsvorfällen
Sicherung geschäftsrelevanter Unterlagen im Offboarding
Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen
Nutzung zeitgemäßer Arbeitsmittel einschließlich freigegebener KI-Funktionen zur Unterstützung und Effizienzsteigerung von Arbeitsprozessen

Die Interessenabwägung berücksichtigt die berechtigten Interessen, Grundrechte und Grundfreiheiten der betroffenen Personen. Schutzmaßnahmen sind insbesondere Zweckbindung, Erforderlichkeit, Zugriffsbeschränkungen, Dokumentation sowie das Verbot der Leistungs- und Verhaltenskontrolle.

5.4 Rechtliche Verpflichtungen

Soweit die Verarbeitung zur Erfüllung gesetzlicher Pflichten erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Dies betrifft insbesondere handels- und steuerrechtliche Aufbewahrungspflichten, gesetzliche Nachweispflichten, behördliche Auskunftsersuchen sowie Pflichten zur IT- und Informationssicherheit.

5.5 Einwilligung

Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO wird nur in besonderen Fällen eingeholt, insbesondere wenn eine Verarbeitung nicht auf eine der vorstehenden Rechtsgrundlagen gestützt werden kann oder wenn dies aufgrund der Eingriffsintensität, des Zwecks oder der konkreten Situation erforderlich ist.

Eine erteilte Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

6. Keine automatisierte Entscheidung im Einzelfall

Die ECE setzt im Rahmen der Nutzung von Microsoft 365 keine automatisierten Entscheidungen im Einzelfall einschließlich Profiling im Sinne von Art. 22 DSGVO ein, die gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie in vergleichbarer Weise erheblich beeinträchtigen.

Teil C

Teams-Meetings, Aufzeichnungen, Transkriptionen und KI-Funktionen

1. Allgemeine Teams-Nutzung

Microsoft Teams wird zur Durchführung von Online-Meetings, Telefonaten, Chats, Projektabstimmungen, Schulungen und zur kanalbasierten Zusammenarbeit eingesetzt.

Bei Teams-Meetings können insbesondere verarbeitet werden:

Name und Kontaktdaten
Teilnehmerliste
Meetingtitel
Datum, Uhrzeit und Dauer
Chatbeiträge
Audio- und Videodaten, soweit aktiviert
geteilte Inhalte
Bildschirmfreigaben
technische Verbindungsdaten

Teilnehmende entscheiden grundsätzlich selbst über die Aktivierung von Kamera und Mikrofon. Eine Teilnahme ohne Kamera ist im Regelfall möglich. Aus dem Meetingzweck kann sich im Einzelfall eine aktive Wortmeldung oder sonstige Beteiligung ergeben. Eine generelle Pflicht zur Aktivierung der Kamera besteht nicht.

2. Aufzeichnungen von Teams-Meetings

Heimliche Aufzeichnungen von Teams-Meetings, Telefonaten oder vergleichbaren Kommunikationsvorgängen sind untersagt. Sie können strafrechtliche, zivilrechtliche, arbeitsrechtliche oder vertragsrechtliche Konsequenzen haben.

Eine Aufzeichnung darf nur erfolgen, wenn die folgenden Voraussetzungen erfüllt sind:

Es besteht ein konkreter Aufzeichnungszweck, etwa Schulung, Dokumentation eines wesentlichen Projektmeilensteins, Barrierefreiheit, vertragliche oder gesetzliche Nachweispflicht, Protokollersatz in besonderen Fällen oder Rechtsverteidigung.
Die Teilnehmenden werden vor Beginn oder spätestens beim Start der Aufzeichnung transparent über Aufzeichnung, Zweck, Speicherort, Empfängerkreis und Speicherdauer informiert.
Der Aufzeichnungsumfang ist auf das Erforderliche begrenzt.
Die Aufzeichnung wird nur berechtigten Personen zugänglich gemacht.
Die Aufzeichnung wird gelöscht, sobald sie für den dokumentierten Zweck nicht mehr erforderlich ist, soweit keine gesetzlichen, vertraglichen oder rechtsverteidigenden Gründe entgegenstehen.

Die Rechtsgrundlage ist im Einzelfall zu bestimmen. In Betracht kommen insbesondere:

Art. 6 Abs. 1 lit. b DSGVO, soweit die Aufzeichnung zur Durchführung eines Vertrags erforderlich ist
Art. 6 Abs. 1 lit. c DSGVO, soweit eine gesetzliche Pflicht besteht
Art. 6 Abs. 1 lit. f DSGVO, soweit ein berechtigtes Interesse besteht und die Interessen, Grundrechte und Grundfreiheiten der Teilnehmenden nicht überwiegen
Art. 6 Abs. 1 lit. a DSGVO, soweit eine Einwilligung erforderlich ist

Die Interessenabwägung bei Aufzeichnungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO muss nachvollziehbar erfolgen und ist bei eingriffsintensiven oder wiederkehrenden Aufzeichnungsformaten zu dokumentieren.

In eingriffsintensiven Konstellationen, bei sensiblen Inhalten oder wenn keine hinreichende Erforderlichkeit auf Grundlage der vorstehenden Rechtsgrundlagen besteht, kann zusätzlich oder alternativ eine Einwilligung erforderlich sein.

Aufzeichnungen dürfen nicht zur Leistungs-, Verhaltens- oder Persönlichkeitsbewertung von Mitarbeitenden oder externen Personen ausgewertet werden. Eine Auswertung zu Zwecken jenseits des dokumentierten Aufzeichnungszwecks ist unzulässig.

3. Transkriptionen

Transkriptionen wandeln gesprochene Beiträge in durchsuchbaren Text um. Sie können insbesondere zur Protokollerstellung, zur Unterstützung von Teilnehmenden mit Hörbeeinträchtigung, zur Nachbereitung von Besprechungen oder zur Dokumentation von Aufgaben und Entscheidungen eingesetzt werden.

Für Transkriptionen gelten die Grundsätze der Transparenz, Zweckbindung, Erforderlichkeit, Zugriffsbeschränkung und Löschung. Aufgrund der dauerhaften und durchsuchbaren Textform ist vor der Nutzung besonders zu prüfen, ob die Transkription für den jeweiligen Zweck erforderlich ist.

Teilnehmende sind vor Beginn oder spätestens beim Start der Transkription transparent zu informieren.

Transkriptionen dürfen nicht zur Leistungs-, Verhaltens- oder Persönlichkeitsbewertung von Mitarbeitenden oder externen Personen verwendet werden.

Transkriptionen, die zur Protokollerstellung erstellt wurden, sind nach Erstellung und Freigabe des Protokolls zeitnah zu löschen, soweit keine gesetzlichen, vertraglichen oder rechtsverteidigenden Gründe für eine längere Speicherung bestehen.

4. KI-Funktionen in Microsoft 365, insbesondere Copilot

KI-Funktionen werden nur in der durch die ECE technisch und organisatorisch freigegebenen Konfiguration bereitgestellt.

Vor produktiver Einführung KI-bezogener Funktionen mit erheblichem Risiko für die Rechte und Freiheiten betroffener Personen prüft die ECE, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Soweit erforderlich, wird eine solche Datenschutz-Folgenabschätzung durchgeführt und bei wesentlichen Änderungen aktualisiert.

Freigegebene KI-Funktionen können insbesondere eingesetzt werden zur:

Zusammenfassung von Dokumenten und Meetings
Strukturierung von Inhalten
Erstellung von Aufgabenlisten
Suche und Aufbereitung vorhandener Informationen
Formulierungshilfe
Übersetzung
Unterstützung bei der Vorbereitung und Nachbereitung von Arbeitsvorgängen

KI-Funktionen dürfen nicht verwendet werden für:

automatisierte Entscheidungen im Sinne von Art. 22 DSGVO
Leistungs-, Verhaltens- oder Persönlichkeitsbewertungen
Erstellung von Persönlichkeits- oder Verhaltensprofilen
Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ohne ausdrückliche Freigabe
Eingaben in nicht freigegebene öffentliche oder private KI-Systeme

KI-Funktionen wie Copilot können auf Inhalte zugreifen, auf die die nutzende Person nach den jeweils eingeräumten Berechtigungen Zugriff hat. Deshalb sind Berechtigungen in SharePoint, OneDrive und Teams besonders sorgfältig zu verwalten. Übermäßige Berechtigungen sind zu vermeiden und bei Feststellung zu korrigieren.

KI-generierte Ergebnisse können fehlerhaft, unvollständig oder verzerrt sein. Sie sind vor jeder Verwendung fachlich zu prüfen. Die Verantwortung verbleibt bei der nutzenden Person.

5. Transparenz und Teilnahmeoptionen

Beim Start einer Aufzeichnung, Transkription oder KI-gestützten Meetingfunktion werden Teilnehmende technisch und, soweit erforderlich, organisatorisch informiert.

Externe Teilnehmende sollen mit der Meetingeinladung oder spätestens vor Beginn der betreffenden Funktion einen Hinweis auf die einschlägigen Datenschutzinformationen erhalten.

Teilnehmende können grundsätzlich beeinflussen:

ob sie ihre Kamera aktivieren
ob sie ihr Mikrofon aktivieren
welche Inhalte sie im Chat teilen
ob sie ihren Bildschirm teilen
welche Dokumente sie hochladen

Je nach Zweck des Meetings kann eine aktive Beteiligung erforderlich sein. Soweit möglich und angemessen, sind weniger eingriffsintensive Alternativen zu berücksichtigen.

Teil D

Empfänger, Drittlandübermittlungen, Speicherdauern und Betroffenenrechte

1. Empfänger

Empfänger personenbezogener Daten können sein:

berechtigte interne Stellen der ECE nach dem Need-to-know-Prinzip
andere ECE-Gesellschaften, soweit für die jeweilige Aufgabe erforderlich
Microsoft Ireland Operations Limited als Auftragsverarbeiterin sowie verbundene Microsoft-Gesellschaften, soweit erforderlich
weitere durch die ECE beauftragte IT-Dienstleister auf Grundlage einer Auftragsverarbeitungsvereinbarung
externe Geschäftspartner, soweit für die Zusammenarbeit erforderlich
Berater, Rechtsanwälte und Wirtschaftsprüfer, soweit erforderlich
zuständige Behörden und Gerichte, soweit eine gesetzliche Pflicht besteht oder dies zur Wahrung berechtigter Interessen erforderlich ist

2. Drittlandübermittlungen

Microsoft 365 wird nach Möglichkeit in Rechenzentren innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums betrieben. Es kann jedoch nicht in allen Verarbeitungssituationen ausgeschlossen werden, dass Microsoft oder mit Microsoft verbundene Unternehmen außerhalb der EU beziehungsweise des EWR auf personenbezogene Daten zugreifen, insbesondere zur Erbringung von Support, zur Sicherheitsüberwachung oder zur Bereitstellung bestimmter Funktionen.

Soweit Übermittlungen in Drittländer erfolgen, werden die gesetzlichen Voraussetzungen beachtet. In Betracht kommen insbesondere:

Angemessenheitsbeschlüsse der Europäischen Kommission
EU-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist und das Framework anwendbar ist
Standardvertragsklauseln der Europäischen Kommission
ergänzende Schutzmaßnahmen, insbesondere Verschlüsselung, Zugriffsbeschränkungen, Protokollierung und zusätzliche Freigabeprozesse, soweit verfügbar und konfiguriert

Die ECE bewertet Drittlandübermittlungen im Rahmen der jeweils geltenden Datenschutz- und Risikobewertungen und aktualisiert diese bei wesentlichen Änderungen.

3. Speicherdauern

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorschreiben.

Die konkreten Speicherfristen richten sich nach den jeweils geltenden Retention-Policies, Löschkonzepten, gesetzlichen Aufbewahrungspflichten und technischen Systemeinstellungen.

Es gelten insbesondere folgende Grundsätze:

Anmelde-, Authentifizierungs-, Audit- und Aktivitätsprotokolle werden nach Maßgabe der jeweils geltenden Sicherheits- und Retention-Vorgaben gespeichert.
Teams-Chatverläufe und sonstige Kommunikationsinhalte werden nach Maßgabe der jeweils geltenden M365-Retention-Policies gespeichert und gelöscht.
Aufzeichnungen von Teams-Meetings werden gelöscht, sobald sie für den dokumentierten Zweck nicht mehr erforderlich sind.
Transkriptionen zur Protokollerstellung werden nach Erstellung und Freigabe des Protokolls zeitnah gelöscht, soweit keine gesetzlichen, vertraglichen oder rechtsverteidigenden Gründe entgegenstehen.
E-Mails und sonstige geschäftliche Korrespondenz werden nach Maßgabe gesetzlicher Aufbewahrungspflichten und der internen Aufbewahrungs- und Löschkonzepte gespeichert.
Daten aus Offboarding-Zugriffen werden nur so lange gespeichert, wie dies für Sicherung, Überführung, Dokumentation oder Rechtsverteidigung erforderlich ist.
Dokumentationen von Offboarding-Zugriffen werden nach Maßgabe der einschlägigen Dokumentations- und Verjährungsfristen gespeichert.

Längere Aufbewahrungen erfolgen ausschließlich, soweit gesetzliche Aufbewahrungspflichten, konkrete Sicherheitsvorfälle, laufende oder konkret zu erwartende Verfahren oder berechtigte Interessen an der Rechtsverteidigung dies rechtfertigen.

4. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

Auskunft, Art. 15 DSGVO
Berichtigung, Art. 16 DSGVO
Löschung, Art. 17 DSGVO
Einschränkung der Verarbeitung, Art. 18 DSGVO
Datenübertragbarkeit, Art. 20 DSGVO
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft, Art. 7 Abs. 3 DSGVO
Widerspruch, Art. 21 DSGVO
Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, hat die betroffene Person das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen. Die ECE verarbeitet die Daten dann nicht mehr, es sei denn, sie kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Anfragen sind zu richten an:
datenschutz@ece.com
5. Beschwerderecht
Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Stand: 07.05.2026