Anträge betroffener Personen für Intune im Rahmen der DSGVO und des CCPA

Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union räumt natürlichen Personen (in der Verordnung als betroffene Personen bezeichnet) das Recht ein, vom Arbeitgeber oder einer anderen Einrichtung oder Organisation (Datenverantwortlicher oder Verantwortlicher) erhobene personenbezogene Daten zu verwalten. Personenbezogene Daten sind in der DSGVO allgemein als Daten definiert, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die DSGVO gewährt betroffenen Personen bestimmte Rechte an ihren personenbezogenen Daten, z. B. das Recht auf Erhalt einer Kopie dieser personenbezogenen Daten, das Recht auf Korrektur der Daten, das Recht auf Einschränkung der Bearbeitung dieser Daten und das Recht auf Empfang dieser Daten in einem elektronischen Format, sodass sie an einen anderen Verantwortlichen übermittelt werden können. Ein von einer betroffenen Person formal gestellter Antrag an den Verantwortlichen, bestimmte Maßnahmen im Zusammenhang mit den personenbezogenen Daten der betroffenen Person zu ergreifen, wird als Antrag einer betroffenen Person bezeichnet.

In ähnlicher Weise bietet der California Consumer Privacy Act (CCPA) den kalifornischen Verbrauchern Datenschutzrechte und -pflichten, einschließlich von Rechten, die den Rechten von betroffenen Personen der DSGV entsprechen, wie z. B. das Recht auf Löschung, Zugriff und Empfang (Portabilität) der persönlichen Informationen. Das CCPA ermöglicht außerdem bestimmte Offenlegungen, Schutz vor Diskriminierung bei der Wahl von Ausübungsrechten und Deaktivierungs-/Aktivierungsanforderungen für bestimmte Datentransfers, die als "Verkäufe" eingestuft werden. Die Definition von "Verkäufe" umfasst die Freigabe von Daten für eine angemessene Gegenleistung. Weitere Informationen zum CCPA finden Sie im "California Consumer Privacy Act und in den häufig gestellten Fragen zum California Consumer Privacy Act.

In dem Leitfaden wird erläutert, wie unsere als Datenverantwortliche handelnden Kunden Microsoft-Produkte, -Dienste und -Verwaltungstools zum Suchen von und Reagieren auf personenbezogene Daten als Reaktion auf DSRs verwenden können. Dieser Leitfaden gilt insbesondere für die Suche nach, den Zugriff auf sowie die Verarbeitung von personenbezogenen Daten oder persönlichen Informationen, die sich in der Microsoft-Cloud befinden. Im Folgenden finden Sie eine kurze Übersicht über die Prozesse, die in diesem Leitfaden beschrieben werden:

• Erkennung: Sie können Kundendaten, die ggf. Gegenstand eines Antrags einer betroffenen Person sind, mithilfe von Such- und Ermittlungstools finden. Sobald Sie potenziell relevante Dokumente ermittelt haben, können Sie dem Antrag entsprechend eine oder mehrere der in den folgenden Schritten beschriebenen Aktionen ausführen. Möglicherweise stellen Sie jedoch fest, dass der Antrag nicht den Vorgaben Ihrer Organisation für die Reaktion auf Anträge betroffener Personen entspricht.
• Zugriff: Rufen Sie personenbezogene Daten ab, die sich in der Microsoft Cloud befinden, und erstellen Sie eine Kopie, die der betroffenen Person zur Verfügung gestellt werden kann, sofern dies beantragt wurde.
• Berichtigung: Nehmen Sie gegebenenfalls Änderungen an den personenbezogenen Daten vor oder führen Sie andere Aktionen aus, die für die Daten angefordert werden.
• Einschränkung: Schränken Sie die Verarbeitung von personenbezogenen Daten ein, indem Sie entweder die Lizenzen für verschiedene Onlinedienste entfernen oder die gewünschten Dienste, wenn möglich, deaktivieren. Sie können auch Daten aus der Microsoft Cloud entfernen und lokal oder an einem anderen Speicherort speichern.
• Löschung: Entfernen Sie personenbezogene Daten, die sich in der Microsoft-Cloud befinden, dauerhaft.
• Exportieren/Empfangen (Portierbarkeit): Stellen Sie der betroffenen Person eine elektronische Kopie (in einem maschinenlesbaren Format) von personenbezogenen Daten oder persönlichen Informationen zur Verfügung. Personenbezogene Informationen gemäß CCPA sind alle Informationen, die eine identifizierte oder identifizierbare Person betreffen. Es wird nicht zwischen privaten, öffentlichen oder beruflichen Rollen einer Person unterschieden. Der definierte Begriff "persönliche Informationen" entspricht in etwa dem Begriff "persönliche Daten" unter der DSGVO. Allerdings umfasst das CCPA auch Familien- und Haushaltsdaten. Weitere Informationen zum CCPA finden Sie im "California Consumer Privacy Act und in den häufig gestellten Fragen zum California Consumer Privacy Act.

In jedem Abschnitt dieses Leitfadens werden die Prozesse beschrieben, die ein als Datenverantwortlicher handelndes Unternehmen nutzen kann, um auf einen Antrag einer betroffenen Person bezüglich ihrer personenbezogenen Daten in der Microsoft-Cloud zu reagieren.

Begrifflichkeiten

In der nachfolgenden Liste finden Sie Definitionen von Begriffen, die für diesen Leitfaden relevant sind.

• Datenverantwortlicher: Eine natürliche oder juristische Person, öffentliche Behörde, Agentur oder andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt. Sofern die Zwecke und Mittel der Verarbeitung durch das Recht der Union oder der Mitgliedstaaten bestimmt werden, können der Datenverantwortliche bzw. die spezifischen Kriterien für dessen Benennung durch das Recht der Union oder des Mitgliedstaats angegeben werden.
• Personenbezogene Daten und betroffene Person: Alle Informationen über eine identifizierte oder identifizierbare natürliche Person ("betroffene Person"). Eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt, insbesondere durch Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
• Verarbeiter: Eine natürliche oder juristische Person, öffentliche Behörde, Agentur oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• Kundendaten: Alle Daten, einschließlich aller Text-, Sound-, Video- oder Bilddateien, die Microsoft vom Kunden oder im Auftrag des Kunden durch Nutzung von Enterprise-Diensten bereitgestellt werden. Kundendaten umfassen sowohl (1) identifizierbare Informationen von Endbenutzern (z. B. Benutzernamen und Kontaktinformationen in Microsoft Entra ID) als auch Kundeninhalte, die ein Kunde in bestimmte Dienste hochlädt oder in bestimmten Diensten erstellt (z. B. Kundeninhalte in einem Azure Storage-Konto, Kundeninhalte einer Azure SQL-Datenbank oder vm-Image eines Kunden in Azure Virtual Machines).
• Vom System generierte Protokolle: Von Microsoft generierte Protokolle und verbundene Daten, die Microsoft bei der Bereitstellung von Enterprise-Diensten für Benutzer unterstützen. Vom System generierte Protokolle enthalten in erster Linie pseudonymisierte Daten, z. B. eindeutige Bezeichner – in der Regel eine vom System generierte Zahl, die von sich aus eine Einzelperson nicht identifizieren kann, aber dazu verwendet wird, die Enterprise-Dienste für Benutzer bereitzustellen. Vom System generierte Protokolle enthalten möglicherweise auch Informationen zur Identifikation über Endbenutzer, wie z. B. einen Benutzernamen.

Verwenden dieses Leitfadens

Dieser Leitfaden besteht aus zwei Teilen:

• Teil 1: Reaktion auf Anträge betroffener Personen bezüglich Kundendaten: In Teil 1 dieses Leitfadens wird erläutert, wie Sie in Anwendungen, in denen Sie Daten erstellt haben, auf diese zugreifen, sie korrigieren, einschränken, löschen und exportieren können. Dieser Abschnitt enthält Informationen zum Ausführen von Anträgen betroffener Personen in Bezug auf Kundeninhalte und Informationen zur Identifizierung von Endbenutzern.
• Teil 2: Reaktion auf Anträge betroffener Personen bezüglich vom System generierten Protokollen: Wenn Sie die Microsoft Enterprise-Dienste verwenden, generiert Microsoft einige Informationen, die als vom System generierte Protokolle bekannt sind, um den Dienst bereitzustellen. In Teil 2 dieses Leitfadens wird erläutert, wie Sie auf solche Daten in Azure zugreifen können und wie Sie diese löschen und exportieren können.

Grundlegendes zu Anträgen betroffener Personen für Microsoft Entra ID und Microsoft Intune

Bei der Betrachtung von Diensten für Unternehmenskunden muss die Ausführung von Anträgen betroffener Personen immer im Kontext eines bestimmten Microsoft Entra-Mandanten verstanden werden. Insbesondere werden Anträge betroffener Personen immer innerhalb eines bestimmten Microsoft Entra-Mandanten ausgeführt. Wenn ein Benutzer an mehreren Mandanten teilnimmt, ist es wichtig zu betonen, dass ein bestimmter Betroffener nur im Kontext des jeweiligen Mandanten ausgeführt wird, in dem die Anforderung empfangen wurde. Dieser Kontext ist wichtig zu verstehen, da es bedeutet, dass sich die Ausführung einer betroffenen Person durch einen Unternehmenskunden nicht auf die Daten eines benachbarten Unternehmenskunden auswirkt.

Das gleiche gilt auch für Microsoft Intune, das einem Unternehmenskunden zur Verfügung gestellt wird: Die Ausführung einer betroffenen Person für ein Intune-Konto, das einem Microsoft Entra-Mandanten zugeordnet ist, bezieht sich nur auf Daten innerhalb des Mandanten. Darüber hinaus ist es wichtig, Folgendes zu verstehen, wenn Intune-Konten innerhalb eines Mandanten verarbeitet werden:

• Wenn ein Intune-Benutzer ein Azure-Abonnement erstellt, wird das Abonnement so behandelt, als wäre es ein Microsoft Entra-Mandant. Folglich sind Anträge betroffener Personen wie zuvor beschrieben innerhalb des Mandanten gültig.
• Wenn ein über ein Intune-Konto erstelltes Azure-Abonnement gelöscht wird, wirkt sich dies nicht auf das tatsächliche Intune-Konto aus. Wie bereits erwähnt, sind dsRs, die innerhalb des Azure-Abonnements ausgeführt werden, auf den Bereich des Mandanten selbst beschränkt.

Anträge betroffener Personen für ein Intune-Konto selbst außerhalb eines bestimmten Mandanten werden über das Datenschutz-Dashboard für Verbraucher ausgeführt. Weitere Informationen finden Sie im Leitfaden zu Anforderungen betroffener Windows-Personen.

Teil 1: Leitfaden zu Anträgen betroffener Personen bezüglich Kundendaten

Ausführen von Anträgen betroffener Personen bezüglich Kundendaten

Microsoft bietet die Möglichkeit, auf bestimmte Kundendaten über das Azure-Portal und auch direkt über bereits vorhandene ApIs (Application Programming Interfaces) oder Benutzeroberflächen (User Interfaces, UIs) für bestimmte Dienste (auch als produktinterne Erfahrungen bezeichnet) zuzugreifen, zu löschen und zu exportieren. Details zu diesen Produkterfahrungen finden Sie in der jeweiligen Referenzdokumentation des entsprechenden Dienstes.

Wichtig

Dienste, die produktinterne DSRs unterstützen, müssen direkt über die API oder die Benutzeroberfläche unter Beschreibung zutreffender CRUD („create, read, update, delete“)-Operationen angesprochen werden. Folglich muss die Ausführung von DSRs innerhalb eines bestimmten Diensts zusätzlich zur Ausführung eines DSR innerhalb des Azure-Portals durchgeführt werden, um eine Anforderung für einen gegebenes Datensubjekt vollständig auszuführen. Weitere Details finden Sie in der Referenzdokumentation der einzelnen Dienste.

Schritt 1: Ermittlung

Der erste Schritt bei der Reaktion auf einen Antrag einer betroffenen Person besteht darin, die personenbezogenen Daten zu finden, die Gegenstand des Antrags sind. Dieser erste Schritt – das Suchen und Überprüfen der fraglichen personenbezogenen Daten – hilft Ihnen dabei, festzustellen, ob ein antragstellender Betroffener die Anforderungen Ihrer Organisation für die Berücksichtigung oder Ablehnung einer betroffenen Person erfüllt. So könnten Sie beispielsweise nach dem Suchen und Überprüfen der betroffenen personenbezogenen Daten zu dem Schluss kommen, dass der Antrag nicht die Anforderungen Ihrer Organisation erfüllt, da er sich auf die Rechte und Freiheiten anderer auswirken kann.

Nachdem Sie die Daten gefunden haben, können Sie die bestimmte Aktion ausführen, die im Rahmen eines Antrags einer betroffenen Person angefordert wurde. Ausführliche Informationen finden Sie in den folgenden Ressourcen:

• Datenerfassung
• Datenspeicherung und -verarbeitung
• Anzeige von personenbezogenen Daten

Schritt 2: Zugriff

Nachdem Sie Kundendaten gefunden haben, die persönliche Daten enthalten, die potenziell für DSR in Frage kommen können, müssen Sie und Ihre Organisation entscheiden, welche Daten dem Datensubjekt zur Verfügung gestellt werden sollen. Sie können ihnen eine Kopie des tatsächlichen Dokuments, eine entsprechend redigierte Version oder einen Screenshot der Teile bereitstellen, die Sie für die Freigabe als angemessen erachtet haben. Sie müssen für jede dieser Antworten auf eine Zugriffsanforderung eine Kopie des Dokuments oder eines anderen Elements abrufen, das die infrage kommenden Daten enthält.

Wenn Sie der betroffenen Person eine Kopie zur Verfügung stellen, müssen Sie personenbezogene Daten zu anderen betroffenen Personen und sämtliche vertraulichen Informationen möglicherweise entfernen oder schwärzen.

Im Folgenden wird erläutert, wie Sie eine Kopie der Daten als Reaktion auf einen Antrag einer betroffenen Person erhalten können.

Microsoft Entra-ID

Microsoft stellt sowohl ein Portal als auch produktinterne Erfahrungen bereit, über die der Mandantenadministrator des Unternehmenskunden Zugriffsanträge betroffener Personen verwalten kann. Zugriffsanträge betroffener Personen ermöglichen den Zugriff auf die personenbezogenen Daten des Benutzers, einschließlich: (a) Informationen zur Identifizierung eines Endbenutzers und (b) vom System generierte Protokolle.

Dienstspezifische Schnittstellen

Microsoft Intune bietet die Möglichkeit, Kundendaten direkt über Benutzeroberflächen (UIs) oder bereits vorhandene Anwendungsprogrammierschnittstellen (APIs) zu ermitteln.

Schritt 3: Berichtigung

Wenn eine betroffene Person Sie gebeten hat, personenbezogene Daten zu berichtigen, die sich unter den Daten Ihres Unternehmens befinden, werden Sie und Ihr Unternehmen bestimmen müssen, ob dem Antrag Folge zu leisten ist. Die Berichtigung der Daten kann Maßnahmen wie das Bearbeiten, Schwärzen oder Entfernen von personenbezogenen Daten aus einem Dokument oder anderen Elementen umfassen.

Als Datenverarbeiter bietet Microsoft nicht die Möglichkeit, vom System generierte Protokolle zu korrigieren, da sie sachliche Aktivitäten widerspiegeln und eine historische Aufzeichnung von Ereignissen innerhalb von Microsoft-Diensten darstellen. In Bezug auf Intune können Administratoren keine geräte- oder appspezifischen Informationen aktualisieren. Wenn ein Endbenutzer personenbezogene Daten korrigieren möchte (z. B. den Gerätenamen), muss dies direkt auf dem Gerät stattfinden. Solche Änderungen werden bei der nächsten Verbindung mit Intune synchronisiert.

Schritt 4: Einschränkung

Die betroffenen Personen verlangen möglicherweise, die Verarbeitung ihrer persönlichen Daten einzuschränken. Wir stellen sowohl das Azure-Portal als auch bereits vorhandene APIs (Anwendungsprogrammierungsschnittstellen) oder Benutzeroberflächen (UIs) bereit. Diese Schnittstellen bieten dem Mandantenadministrator des Unternehmenskunden die Möglichkeit, solche Anträge betroffener Personen durch eine Kombination aus Exportieren und Löschen der Daten zu verwalten. Weitere Einzelheiten finden Sie unter Verarbeitung personenbezogener Daten.

Schritt 5: Löschung

Das "Recht auf Löschung" durch das Entfernen von personenbezogenen Daten aus den Kundendaten eines Unternehmens ist ein zentraler Schutz in der DSGVO. Beim Entfernen von personenbezogenen Daten werden alle personenbezogenen Daten und vom System generierten Protokolle, einschließlich der Überwachungsprotokollinformationen, entfernt. Weitere Informationen finden Sie unter Löschen personenbezogener Endbenutzerdaten.

Teil 2: Vom System generierte Protokolle

Überwachungsprotokolle stellen Mandantenadministratoren einen Datensatz von Aktivitäten zur Verfügung, die eine Änderung in Microsoft Intune bewirken. Überwachungsprotokoll sind für viele Verwaltungsaktivitäten verfügbar und erstellen, aktualisieren (bearbeiten), löschen und weisen Aktionen zu. Remotetasks, die Überwachungsereignisse generieren, können ebenfalls überprüft werden. Diese Überwachungsprotokolle können personenbezogene Daten von Benutzern enthalten, deren Geräte in Intune registriert sind. Administratoren können Überwachungsprotokolle nicht löschen. Weitere Informationen finden Sie unter Überwachen personenbezogener Daten.

Benachrichtigung über Probleme beim Exportieren oder Löschen

Wenn beim Exportieren oder Löschen von Daten aus dem Azure-Portal Probleme auftreten, wechseln Sie zum Blatt Hilfe und Support im Azure-Portal, und übermitteln Sie unter Abonnementverwaltung > Datenschutz- und Complianceanforderungen für das Blatt "Abonnements > Datenschutz" und DSGVO-Anforderungen ein neues Ticket.

Weitere Informationen

• Microsoft Trust Center