Zusammenarbeit an einem Dokument

Systemvoraussetzungen

LEXolution.DMS Pro ab Version 7.6​

OneDrive for Business​ (inclusive Azure Active Directory, zum Beispiel in Microsoft 365 enthalten)

• Pläne für OneDrive-Cloud-Speicher vergleichen | OneDrive-Preise (microsoft.com)

• Siehe Datenschutzhinweis

LEXolution.DMS-Anwendungsregistrierung in Azure Active Directory (AAD) im Tenant der Kanzlei​

• Siehe Installationshinweise

Datenschutzhinweis

Nutzung der Co-Autor-Funktion über Microsoft OneDrive 4 Business

LEXolution.DMS bietet die Möglichkeit Dokumente in die persönliche Microsoft OneDrive 4 Business Cloud hochzuladen und selbst interne als auch externe Co-Autoren für Dokumente zu bestimmen.

Die Übertragung der Daten aus Ihrem Netzwerk in die Microsoft OneDrive 4 Business Cloud erfolgt per TLS-Verschlüsselung gemäß der aktuellen technischen Richtlinie „BSI TR-02102-2”.

Vor der Nutzung dieser Funktion übermitteln Sie die Daten an Microsoft und somit wird Microsoft zu Ihrem Auftragsverarbeiter gemäß Artikel 28 EU-Datenschutzgrundverordnung (DSGVO). Als Verantwortlicher für die Daten ist es Ihre Pflicht, alle gesetzlichen Voraussetzungen vorab zu prüfen und die Konformität sicherzustellen.

Zu Ihrer Unterstützung haben wir für die Nutzung dieser Funktion eine allgemeine Anfrage bei der Landesdatenschutzbehörde Baden-Württemberg gestellt. Neben der Datenschutzvereinbarung und den aktuellen EU-Standardvertragsklauseln müssen auch noch die nationalen Gesetze aus dem Ursprungsland des Mutterkonzerns (USA -> Cloud Act, Patriot Act, FISA, etc.) beachtet werden.

Ebenso ist die Landesdatenschutzbehörde der Auffassung, dass beim Einsatz von Microsoft Office 365 durch Berufsgeheimnisträger eine Datenschutzfolgeabschätzung (DSFA) wie das Führen eines Verfahrensverzeichnisses notwendig sind.

Anfrage an die Landesdatenschutzbehörde Baden-Württemberg

Anfrage

Sehr geehrte Damen und Herren,

unser Unternehmen ist unter anderem Softwarehersteller für rechtsberatende Berufe und in diesem Zusammenhang prüfen wir aktuell eine mögliche Umsetzung von Kundenwünschen mit Bezug auf unsere Dokumentenmanagement-Software LEXolution.DMS.

Kundenwunsch:
Über unser Dokumentenmanagementsystem LEXolution.DMS soll der Rechtsanwalt die Möglichkeit haben ein Dokument in seinen persönlichen Bereich von „OneDrive for Business” (Teil von Office 365) zu laden und diese Funktionen nutzen zu können um weitere Bearbeiter für dieses Dokument freizugeben. Sobald das Dokument fertig gestellt ist soll es wieder in LEXolution.DMS übernommen und aktualisiert werden.

Mögliche technische Umsetzung:
Das ausgewählte Dokument wird in das Konto des Anwenders in einer verschlüsselten Übertragung (TLS) übermittelt. Die verschlüsselte Übertragung wird von uns als Softwarehersteller stehts auf einem aktuellen Stand der Technik gehalten. Sobald der Anwender diese Bearbeitung über sein persönliches OneDrive for Business schließen möchte wird das Dokument in unserem Programm wieder aktualisiert, eingecheckt und Online direkt gelöscht.

Hinwirkung auf den Datenschutz:
Unser Unternehmen informiert unseren Vertragspartner der Lizenznutzung (i. d. R. die Anwaltskanzlei) über die Datenschutzrelevanz dieser speziellen Funktion. Bei Nutzung dieser Funktion muss die Kanzlei sicherstellen das Office 365 DSGVO-konform einzusetzen und – nach unserer Auffassung – neben der Aufnahme in das Verarbeitungsverezeichnis und der Risikoeinschätzung auch eine Datenschutzfolgeabschätzung (DSFA) machen zu müssen.
Des Weiteren soll bei der Nutzung dieser Funktion auch ein Hinweis für den Anwender über die Datenschutzrelevanz dieser Funktion eingeblendet werden mit der Möglichkeit, diese Hinweis-Meldung künftig nicht mehr einblenden zu lassen.

Mögliches Beispiel in einer Praxis:
Ein Anwalt prüft einen Vertrag, welcher als Dokument in unserer Software LEXolution.DMS abgelegt ist. Dieser Vertrag stellt der Anwalt über unsere Programmfunktion in sein OneDrive for Business und räumt weiteren Anwälten (von anderen Standorten der Kanzlei oder Anwälte anderer Kanzleien) ein Zugriffsrecht ein mit entsprechendem Link auf das Dokument. Nachdem die Vertragsprüfung abgeschlossen und das Dokument überarbeitet wurde holt sich der Anwalt die Änderungen in das LEXolution.DMS-Programm zurück (Betrieb der Software nur im internen Kanzleinetzwerk) und das Dokument wird im Anschluss im OneDrive for Business gelöscht.

Unsere Anfrage:
-       Haben wir bei der oben genannten Umsetzung als auch bei der beschriebenen Tätigkeit ausreichend auf die Einhaltung des Datenschutzes bei unserem Kunden hingewirkt?
-       Teilen Sie unsere Ansicht, dass von der Anwaltskanzlei (Lizenznehmer und Nutzer der Software) eine DSFA erstellt werden muss?

Antwort

TLS (Transport Layer Security) schützt wie der Name schon sagt ausschließlich den Transportweg. Den beteiligten Dienstleistern liegen die Daten aber grundsätzlich im Klartext vor, TLS schützt also nicht vor Zugriffen durch diese Dienstleister.
Der Stand der Technik bei TLS ist die technische Richtlinie BSI TR-02102-2 "Kryptographische Verfahren: Verwendung von Transport Layer Security (TLS)" des Bundesamts für Sicherheit in der Informationstechnik. Bei unserer letzten Prüfung hat Microsoft bei MS 365 die dortigen Vorgaben nicht eingehalten. Aber wie bereits dargestellt, schützt TLS zudem ausschließlich den Transport, nicht die Speicherung und weitere Verarbeitungen.

Nicht nur im Sinne des Datenschutzes sondern auch im Interesse der Mandanten Ihrer Kunden empfehlen wir zu prüfen, welche technischen und vor allem rechtlichen Möglichkeiten ausländische Stellen haben, um sowohl auf gespeicherte Daten als auch auf Kommunikationsdaten zuzugreifen. Dies ist nicht nur im Sinne des Datenschutzes sondern auch im Bereich Industriespionage und ähnlichem zum Schutz der Mandanten sehr relevant. Für die USA kommen beispielsweise folgende Rechtsgrundlagen für Zugriffe durch US-Behörden in Frage: US CLOUD Act, FISA Section 702, Presidential Policy Directive 28 (PPD-28), PATRIOT Act Section 215 oder Executive Order 12333.

Das Kultusministerium Baden-Württemberg hat in einem mit großem Personalaufwand durchgeführten Pilotprojekt mit Hilfe des LfDI und hochrangiger Vertreter von Microsoft untersucht, ob Microsoft 365 an Schulen eingesetzt werden kann. Das Ergebnis der Beratungen unseres Hauses und unsere Empfehlungen wurden vom Ministerium in der Zwischenzeit aufgrund einer Anfrage nach dem Informationsfreiheitsgesetz veröffentlicht:

https://www.baden-wuerttemberg.datenschutz.de/empfehlung-lfdi-online/
https://fragdenstaat.de/anfrage/neubewertung-des-lfdi-bezuglich-der-dsfa-von-microsoft-office-365-1/#nachricht-626585
https://fragdenstaat.de/anfrage/bewertungen-und-empfehlungen-des-lfdi-zu-office-365-an-schulen/#nachricht-639491

Darin können Sie ersehen, dass die Risiken bei einer Gesamtbetrachtung noch über das bereits geschilderte deutlich hinaus gehen.

Grundsätzlich teilen wir Ihre Ansicht, dass beim Einsatz von MS 365 durch Berufsgeheimnisträger eine DSFA durchgeführt werden muss. Diese muss aber auch die Anforderungen an Artikel 35 DS-GVO einhalten, mir bekannte Muster haben große Mängel und beschränken sich darauf, die vorhandene Situation zu rechtfertigen. So ist es grundsätzlich auch u.a. notwendig, alle Verarbeitungen -- insbesondere solche, die Microsoft zu eigenen Zwecken durchführt -- zu untersuchen, alle Datenflüsse zu betrachten und Zugriffsmöglichkeiten (siehe oben) zu analysieren. Dafür ist es nötig konkret zu wissen, welche Verarbeitungen Microsoft durchführt. Ebenso ist eine Bewertung der Verträge notwendig, insbesondere, ob der jeweils konkrete Auftragsverarbeitungsvertrag die gesetzlichen Anforderungen erfüllt.

Installationshinweise

Registrierung im Azure AD

Integration im Azure AD konfigurieren

Berechtigungen im Azure AD konfigurieren

Client ID & Tenant ID merken

IDs in LEXolution.DMS hinterlegen

Nutzungshinweise

Co-authoring starten & beenden

Starten

Beim Starten der gemeinschaftlichen Bearbeitung wird das Dokument aus LEXolution.DMS heruntergeladen und in OneDrive4Business des startenden Anwenders hochgeladen.

Dort liegt es dann in einem eigenen Verzeichnis (\LEXolution.DMS Collaboration Storage). Anschließend wird automatisiert ein Sharing Link zu diesem Dokument in OneDrive4Business erzeugt und in LEXolution.DMS zum Dokument abgelegt. Außerdem wird das Dokument in LEXolution.DMS gesperrt.

Weitere Bearbeiter können jetzt der Bearbeitung beitreten, in dem sie das gesperrte Dokument in LEXolution.DMS doppelklicken. Dabei wird der gespeicherte Sharing Link für den weiteren Bearbeiter geöffnet.

Beenden

Nur der Anwender, der die gemeinschaftliche Bearbeitung gestartet hat und in dessen OneDrive4Business das Dokument liegt, kann das Dokument aus der gemeinschaftlichen Bearbeitung zurückholen und die gemeinschaftliche Bearbeitung beenden. Dabei wird das Dokument aus OneDrive4Business heruntergeladen und als neue Version in LEXolution.DMS hochgeladen.

Wenn nur ein Zwischenstand zurückgeholt werden soll, bleibt das Dokument in OneDrive4Business vorhanden und in LEXolution.DMS gesperrt. Zwischenstände können beliebig oft zurückgeholt werden.

Wenn das Dokument endgültig zurückgeholt werden soll, versucht LEXolution.DMS zu erkennen, ob es noch von weiteren Anwendern bearbeitet wird. Ist dies nicht der Fall, kann es direkt zurückgeholt, in LEXolution.DMS entsperrt und in OneDrive4Business gelöscht werden. Ist es allerdings noch in Bearbeitung, kann es zwar aus OneDrive4Business gelöscht werden, allerdings würde es direkt wieder erstellt werden, wenn es von den anderen Bearbeitern weiterhin bearbeitet wird. Alle Änderungen nach dem endgültigen Zurückholen können nicht nochmal automatisiert nach LEXolution.DMS zurückgeholt werden.

Weitere Bearbeiter einladen

Externe Anwender einladen

Dokumente können ebenfalls gemeinschaftlich mit externen Anwendern gemeinschaftlich bearbeitet werden. Microsoft beschreibt diese dafür nötigen Voraussetzungen hier: Zusammenarbeit mit Gästen an einem Dokument | Microsoft Learn.

Gemeinschaftliches Bearbeiten mit externen Anwendern muss im SharePoint Admin Center von Microsoft 365 explizit erlaubt werden.

Außerdem muss im Azure AD Tenant das Einladen von externen in den Tenant explizit erlaubt werden.

Bestimmten Personen Zugang geben per Code

Bei der Auswahl der Adressaten über „an bestimmte Personen” erhält der Empfänger folgende Mail:

Der Link dann nicht direkt zum Dokument, sondern zu einer gesonderten Code-Eingabe -Anforderung:

Der Code wird in einer separat erhaltenen Mail übermittelt:

Wenn der Anwender diesen dann (innerhalb von 15 Minuten) eingibt, kommt er zum Dokument: