Windows 365 Anträge betroffener Personen zur DSGVO und zum CCPA

2025-06-10

Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union räumt natürlichen Personen (in der Verordnung als betroffene Personen bezeichnet) das Recht ein, vom Arbeitgeber oder einer anderen Einrichtung oder Organisation (Datenverantwortlicher oder Verantwortlicher) erhobene personenbezogene Daten zu verwalten. Personenbezogene Daten sind in der DSGVO allgemein als Daten definiert, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die DSGVO gewährt betroffenen Personen bestimmte Rechte an ihren personenbezogenen Daten, z. B. das Recht auf Erhalt einer Kopie dieser personenbezogenen Daten, das Recht auf Korrektur der Daten, das Recht auf Einschränkung der Bearbeitung dieser Daten und das Recht auf Empfang dieser Daten in einem elektronischen Format, sodass sie an einen anderen Verantwortlichen übermittelt werden können. Ein von einer betroffenen Person formal gestellter Antrag an den Verantwortlichen, bestimmte Maßnahmen im Zusammenhang mit den personenbezogenen Daten der betroffenen Person zu ergreifen, wird als Antrag einer betroffenen Person bezeichnet.

In ähnlicher Weise bietet der California Consumer Privacy Act (CCPA) den kalifornischen Verbrauchern Datenschutzrechte und -pflichten, einschließlich von Rechten, die den Rechten von betroffenen Personen der DSGV entsprechen, wie z. B. das Recht auf Löschung, Zugriff und Empfang (Portabilität) der persönlichen Informationen. Der CCPA sieht auch bestimmte Offenlegungen, Schutz vor Diskriminierung bei der Wahl von Ausübungsrechten und "Opt-out/opt-in"-Anforderungen für bestimmte Datenübertragungen vor, die als "Verkäufe" klassifiziert sind. Dieses Dokument führt Sie zu Informationen zur Durchführung von Anträgen betroffener Personen (DSRs) im Rahmen der DSGVO und des CCPA unter Verwendung von Microsoft-Produkten und -Diensten.

In dem Leitfaden wird erläutert, wie unsere als Datenverantwortliche handelnden Kunden Microsoft-Produkte, -Dienste und -Verwaltungstools zum Suchen von und Reagieren auf personenbezogene Daten als Reaktion auf DSRs verwenden können. Dieser Leitfaden gilt insbesondere für die Suche nach, den Zugriff auf sowie die Verarbeitung von personenbezogenen Daten oder persönlichen Informationen, die sich in der Microsoft-Cloud befinden. Im Folgenden finden Sie eine kurze Übersicht über die Prozesse, die in diesem Leitfaden beschrieben werden:

Entdecken: Verwenden Sie Such- und Ermittlungstools, um Kundendaten leichter zu finden, die Gegenstand einer betroffenen Person sein könnten. Sobald Sie potenziell relevante Dokumente ermittelt haben, können Sie dem Antrag entsprechend eine oder mehrere der in den folgenden Schritten beschriebenen Aktionen ausführen. Alternativ können Sie feststellen, dass die Anforderung nicht den Richtlinien Ihrer organization für die Reaktion auf Anträge betroffener Personen entspricht.
Zugriff: Rufen Sie personenbezogene Daten ab, die sich in der Microsoft Cloud befinden, und erstellen Sie eine Kopie, die der betroffenen Person zur Verfügung gestellt werden kann, sofern dies beantragt wurde.
Berichtigung: Nehmen Sie gegebenenfalls Änderungen an den personenbezogenen Daten vor oder führen Sie andere Aktionen aus, die für die Daten angefordert werden.
Einschränkung: Schränken Sie die Verarbeitung von personenbezogenen Daten ein, indem Sie entweder die Lizenzen für verschiedene Onlinedienste entfernen oder die gewünschten Dienste, wenn möglich, deaktivieren. Sie können auch Daten aus der Microsoft Cloud entfernen und lokal oder an einem anderen Speicherort speichern.
Löschung: Entfernen Sie personenbezogene Daten, die sich in der Microsoft-Cloud befinden, dauerhaft.
Exportieren/Empfangen (Portierbarkeit): Stellen Sie der betroffenen Person eine elektronische Kopie (in einem maschinenlesbaren Format) von personenbezogenen Daten oder persönlichen Informationen zur Verfügung.

In jedem Abschnitt dieses Leitfadens werden die Prozesse beschrieben, die ein als Datenverantwortlicher handelndes Unternehmen nutzen kann, um auf einen Antrag einer betroffenen Person bezüglich ihrer personenbezogenen Daten in der Microsoft-Cloud zu reagieren.

Begrifflichkeiten

In der nachfolgenden Liste finden Sie Definitionen von Begriffen, die für diesen Leitfaden relevant sind.

Datenverantwortlicher: Eine natürliche oder juristische Person, öffentliche Behörde, Agentur oder andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt. Sofern die Zwecke und Mittel der Verarbeitung durch das Recht der Union oder der Mitgliedstaaten bestimmt werden, können der Datenverantwortliche bzw. die spezifischen Kriterien für dessen Benennung durch das Recht der Union oder des Mitgliedstaats angegeben werden.
Personenbezogene Daten und betroffene Person: Alle Informationen über eine identifizierte oder identifizierbare natürliche Person ("betroffene Person"). Eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt, insbesondere durch Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
Verarbeiter: Eine natürliche oder juristische Person, öffentliche Behörde, Agentur oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Kundendaten: Alle Daten, einschließlich aller Text-, Sound-, Video- oder Bilddateien, die Microsoft vom Kunden oder im Auftrag des Kunden durch Nutzung von Enterprise-Diensten bereitgestellt werden. Kundendaten umfassen sowohl (1) identifizierbare Informationen von Endbenutzern (z. B. Benutzernamen und Kontaktinformationen in Microsoft Entra ID) als auch Kundeninhalte, die ein Kunde in bestimmte Dienste hochlädt oder in bestimmten Diensten erstellt (z. B. Kundeninhalte in einem Azure Storage-Konto, Kundeninhalte einer Azure SQL-Datenbank oder das VM-Image eines Kunden in Azure Virtual Machines).
Vom System generierte Protokolle: Von Microsoft generierte Protokolle und verbundene Daten, die Microsoft bei der Bereitstellung von Enterprise-Diensten für Benutzer unterstützen. Vom System generierte Protokolle enthalten in erster Linie pseudonymisierte Daten, z. B. eindeutige Bezeichner– in der Regel eine Zahl, die vom System generiert wird und die nicht allein eine einzelne Person identifizieren kann, sondern zur Bereitstellung der Unternehmensdienste für Benutzer verwendet wird. Vom System generierte Protokolle enthalten möglicherweise auch Informationen zur Identifikation über Endbenutzer, wie z. B. einen Benutzernamen.

Verwenden dieses Leitfadens

Dieser Leitfaden besteht aus zwei Teilen:

Teil 1: Reaktion auf Anträge betroffener Personen bezüglich Kundendaten: In Teil 1 dieses Leitfadens wird erläutert, wie Sie in Anwendungen, in denen Sie Daten erstellt haben, auf diese zugreifen, sie korrigieren, einschränken, löschen und exportieren können. Dieser Abschnitt enthält Informationen zum Ausführen von Anträgen betroffener Personen in Bezug auf Kundeninhalte und Informationen zur Identifizierung von Endbenutzern.
Teil 2: Reaktion auf Anträge betroffener Personen bezüglich vom System generierten Protokollen: Wenn Sie die Microsoft Enterprise-Dienste verwenden, generiert Microsoft einige Informationen, die als vom System generierte Protokolle bekannt sind, um den Dienst bereitzustellen. In Teil 2 dieses Leitfadens wird erläutert, wie Sie auf solche Daten in Azure zugreifen können und wie Sie diese löschen und exportieren können.

Grundlegendes zu Anträgen betroffener Personen für Microsoft Entra ID und Microsoft Windows 365

Wenn Sie Dienste für Unternehmenskunden in Betracht ziehen, muss die Ausführung von Anträgen betroffener Personen immer im Kontext eines bestimmten Microsoft Entra Mandanten verstanden werden. Insbesondere werden Anträge betroffener Personen immer innerhalb eines bestimmten Microsoft Entra Mandanten ausgeführt. Wenn ein Benutzer an mehreren Mandanten teilnimmt, ist es wichtig zu betonen, dass ein bestimmter Betroffener nur im Kontext des jeweiligen Mandanten ausgeführt wird, in dem die Anforderung empfangen wurde. Dieser Kontext ist wichtig zu verstehen, da es bedeutet, dass sich die Ausführung einer betroffenen Person durch einen Unternehmenskunden nicht auf die Daten eines benachbarten Unternehmenskunden auswirkt.

Gleiches gilt auch für Microsoft-Windows 365, die einem Unternehmenskunden zur Verfügung gestellt werden: Die Ausführung einer betroffenen Person für ein Windows 365 Konto, das einem Microsoft Entra Mandanten zugeordnet ist, bezieht sich nur auf Daten innerhalb des Mandanten. Darüber hinaus ist es wichtig, Folgendes zu verstehen, wenn sie Windows 365 Konten innerhalb eines Mandanten behandeln:

Wenn ein Windows 365 Benutzer ein Azure-Abonnement erstellt, wird das Abonnement so behandelt, als wäre es ein Microsoft Entra Mandant. Folglich sind Anträge betroffener Personen wie zuvor beschrieben innerhalb des Mandanten gültig.
Wenn ein azure-Abonnement, das über ein Windows 365-Konto erstellt wurde, gelöscht wird, wirkt sich dies nicht auf das tatsächliche Windows 365 Konto aus. Wie bereits erwähnt, sind dsRs, die innerhalb des Azure-Abonnements ausgeführt werden, auf den Bereich des Mandanten selbst beschränkt.

Teil 1: Leitfaden zu Anträgen betroffener Personen bezüglich Kundendaten

Ausführen von Anträgen betroffener Personen bezüglich Kundendaten

Microsoft bietet die Möglichkeit, auf bestimmte Kundendaten über die Azure-Portal und auch direkt über bereits vorhandene ApIs (Application Programming Interfaces) oder Benutzeroberflächen (User Interfaces, UIs) für bestimmte Dienste (auch als Produkterfahrungen bezeichnet) zuzugreifen, zu löschen und zu exportieren. Details zu diesen Produkterfahrungen finden Sie in der jeweiligen Referenzdokumentation des entsprechenden Dienstes.

Wichtig

Dienste, die produktinterne DSRs unterstützen, müssen direkt über die API oder die Benutzeroberfläche unter Beschreibung zutreffender CRUD („create, read, update, delete“)-Operationen angesprochen werden. Windows 365 kann die direkte Verwendung von Anwendungsprogrammierschnittstellen (APPLICATION Programming Interfaces, APIs) für Anträge betroffener Personen nicht vollständig unterstützen, sodass Anforderungen durch Öffnen einer Supportanfrage übermittelt werden müssen (siehe Anweisungen unten). Folglich muss die Ausführung von Anträgen betroffener Personen innerhalb eines bestimmten Diensts zusätzlich zur Ausführung einer betroffenen Person innerhalb der Azure-Portal erfolgen, um ein vollständiges Ersuchen an eine bestimmte betroffene Person zu erfüllen. Weitere Details finden Sie in der Referenzdokumentation der einzelnen Dienste.

Schritt 1: Ermittlung

Der erste Schritt bei der Reaktion auf einen Antrag einer betroffenen Person besteht darin, die personenbezogenen Daten zu finden, die Gegenstand des Antrags sind. Dieser erste Schritt – das Suchen und Überprüfen der fraglichen personenbezogenen Daten – hilft Ihnen, festzustellen, ob ein antragstellender Betroffener die Anforderungen Ihrer organization erfüllt, um einen antragstellenden Antrag einer betroffenen Person zu berücksichtigen oder abzulehnen. Nachdem Sie beispielsweise die fraglichen personenbezogenen Daten gefunden und überprüft haben, könnten Sie feststellen, dass die Anforderung die Anforderungen Ihrer organization nicht erfüllt, da dies die Rechte und Freiheiten anderer beeinträchtigen kann.

Bei anforderungen betroffener Personen, die speziell für Windows 365 Benutzerdaten gelten, müssen Mandantenadministratoren eine Microsoft-Supportanfrage erstellen, um Unterstützung bei der Suche nach den personenbezogenen Daten zu erhalten, die Gegenstand der betroffenen Person sind. Es wird empfohlen, die Anweisungen zu Ihrer Windows 365 Abonnementebene zu befolgen.

Windows 365 Business

Der Zugriff auf Hilfe und Support wird über das Microsoft Admin Center bereitgestellt. So öffnen Sie eine Supportanfrage für einen Antrag einer betroffenen Person:

Wählen Sie das Hilfesymbol im Microsoft Admin Center-Banner aus, oder wählen Sie unten rechts auf der Microsoft Admin Center-Seite Hilfe & Support aus.
Geben Sie im Suchfeld "Data Subject Request" oder "DSR" ein, und wählen Sie dann die Schaltfläche Support kontaktieren aus.
Geben Sie die erforderlichen Informationen in der Online-Serviceanfrage ein, und wählen Sie dann Kontakt mit mir aufnehmen aus.

Anweisungen dazu, wie Sie Hilfe erhalten und ein Supportticket öffnen, finden Sie unter Anfordern von Support für Microsoft 365 Business. Der Support ist im Rahmen Ihres Windows 365-Abonnements enthalten.

Windows 365 Enterprise

Der Zugriff auf Hilfe und Support wird über Microsoft Endpoint Manager bereitgestellt. So öffnen Sie eine Supportanfrage für einen Antrag einer betroffenen Person:

Wechseln Sie zu Problembehandlung + Support auf einem anderen Knoten im Admin Center, und wählen Sie Hilfe und Support aus, um eine Vollbilddarstellung von Hilfe und Support zu öffnen.
Wählen Sie Windows 365 aus.
Geben Sie im Suchfeld "Anfrage einer betroffenen Person" oder "DSR" ein, und klicken Sie dann auf die Schaltfläche Support kontaktieren .
Geben Sie die erforderlichen Informationen in der Online-Serviceanfrage ein, und wählen Sie dann Kontakt mit mir aufnehmen aus.

Anweisungen dazu, wie Sie Hilfe erhalten und ein Supportticket öffnen, finden Sie unter Anfordern von Support in Microsoft Endpoint Manager. Der Support ist im Rahmen Ihres Windows 365-Abonnements enthalten.

Schritt 2: Zugriff

Nachdem Sie Kundendaten gefunden haben, die personenbezogene Daten enthalten, die potenziell auf einen Antrag einer betroffenen Person reagieren, liegt es an Ihnen und Ihrem organization zu entscheiden, welche Daten der betroffenen Person zur Verfügung gestellt werden sollen. Sie können ihnen eine Kopie des tatsächlichen Dokuments, eine entsprechend bearbeitete Version oder einen Screenshot der Teile bereitstellen, die Sie für geeignet halten, zu teilen. Für jede dieser Antworten auf eine Zugriffsanforderung müssen Sie eine Kopie des Dokuments oder eines anderen Elements abrufen, das die reaktionsfähigen Daten enthält.

Wenn Sie der betroffenen Person eine Kopie zur Verfügung stellen, müssen Sie möglicherweise persönliche Informationen zu anderen betroffenen Personen und vertrauliche Informationen entfernen oder bearbeiten.

Schritt 3: Berichtigung

Wenn eine betroffene Person Sie aufgefordert hat, die personenbezogenen Daten, die sich in den Daten Ihrer organization befinden, zu berichtigen, müssen Sie und Ihre organization bestimmen, ob es angemessen ist, die Anfrage zu berücksichtigen. Das Berichtigen der Daten kann aktionen wie das Bearbeiten, Bearbeiten oder Entfernen personenbezogener Daten aus einem Dokument oder einem anderen Typ oder Element umfassen.

Als Datenverarbeiter bietet Microsoft nicht die Möglichkeit, vom System generierte Protokolle zu korrigieren, da sie sachliche Aktivitäten widerspiegeln und eine historische Aufzeichnung von Ereignissen innerhalb von Microsoft-Diensten darstellen. In Bezug auf Windows 365 können Administratoren keine geräte- oder appspezifischen Informationen aktualisieren. Wenn ein Endbenutzer personenbezogene Daten korrigieren möchte (z. B. den Gerätenamen), muss dies direkt auf dem Gerät stattfinden. Solche Änderungen werden synchronisiert, wenn sie das nächste Mal eine Verbindung mit Windows 365 herstellen.

Schritt 4: Einschränkung

Betroffene Personen können verlangen, dass Sie die Verarbeitung ihrer personenbezogenen Daten einschränken. Wir stellen sowohl die Azure-Portal als auch bereits vorhandene ApIs (Application Programming Interfaces) oder User Interfaces (UIs) bereit. Diese Schnittstellen bieten dem Mandantenadministrator des Unternehmenskunden die Möglichkeit, solche Anträge betroffener Personen durch eine Kombination aus Exportieren und Löschen der Daten zu verwalten.

Schritt 5: Löschung

Das "Recht auf Löschung" durch das Entfernen von personenbezogenen Daten aus den Kundendaten eines Unternehmens ist ein zentraler Schutz in der DSGVO. Beim Entfernen von personenbezogenen Daten werden alle personenbezogenen Daten und vom System generierten Protokolle, einschließlich der Überwachungsprotokollinformationen, entfernt. Windows 365 standardmäßig die Standardmethode von Microsoft Endpoint Manager zum Überwachen, Exportieren oder Löschen personenbezogener Daten.

Teil 2: Vom System generierte Protokolle

Überwachungsprotokolle bieten Mandantenadministratoren einen Datensatz der Aktivitäten, die eine Änderung in Microsoft Windows 365 generieren. Überwachungsprotokoll sind für viele Verwaltungsaktivitäten verfügbar und erstellen, aktualisieren (bearbeiten), löschen und weisen Aktionen zu. Remotetasks, die Überwachungsereignisse generieren, können ebenfalls überprüft werden. Diese Überwachungsprotokolle können personenbezogene Daten enthalten. Administratoren können Überwachungsprotokolle nicht löschen. Weitere Informationen finden Sie unter Überwachen personenbezogener Daten.

Wenn Sie Hilfe beim Ausführen eines Überwachungsprotokolls benötigen, befolgen Sie die Anweisungen in Teil 1 oben.