Informationen zum Datenschutz gem. Art. 13, 14 DSGVO für die Erstellung von Umfragen mit Forms

Sehr geehrte/r Beschäftigte, sehr geehrte/r Umfrageteilnehmer/in, 

in Zusammenhang mit der Erstellung von Umfragen, Feedback und Formularen unter Nutzung von Forms erheben wir Ihre personenbezogenen Daten.

Microsoft Forms ist ein Dienst von Microsoft Inc. mithilfe dessen Umfragen erstellt werden können, die anschließend innerhalb der Dienste von M365 verarbeitet werden. Dabei kann es sich je nach Gestaltung der Umfrage sowohl um Umfragen mit expliziter Angabe von personenbezogenen Daten handeln als auch um eine für Vitos anonyme Umfrage, bei denen wir keinerlei Rückschlüsse auf Sie als Person ziehen können. 

Der Schutz Ihrer personenbezogenen Daten ist uns sehr wichtig. Nach der DSGVO sind wir dazu verpflichtet, Sie über die Verarbeitung Ihrer personenbezogenen Daten sowie Ihre diesbezüglichen datenschutzrechtlichen Rechte zu informieren. 

Um ein hohes Datenschutzniveau zu gewährleisten, hat Vitos die Datenverarbeitung bei Microsoft im Rahmen der sog. EU Datengrenze (European Data Boundary) auf Deutschland eingeschränkt. Die EU-Datengrenze ist eine geografisch definierte Grenze, innerhalb derer sich Microsoft verpflichtet hat, Kundendaten und personenbezogene Daten für Microsoft 365 zu speichern und zu verarbeiten, vorbehaltlich begrenzter Umstände, unter denen Kundendaten und personenbezogene Daten weiterhin außerhalb der EU-Datengrenze übertragen werden. Dadurch wird das Risiko einer Drittlandübermittlung zu Microsoft in die USA erheblich reduziert. 
Für weitere Informationen zum EU Boundary https://www.microsoft.com/de-de/trust-center/privacy/european-data-boundary-eudb.
 

1. Wer ist für die Datenverarbeitung verantwortlich?

Microsoft Forms wird bei Vitos konzernübergreifend genutzt. Die Datenschutzhinweise gelten für alle Vitos Gesellschaften.

Verantwortliche Stelle ist die Vitos gGmbH, Akazienweg 10, 34117 Kassel, bzw. die Gesellschaft, in dessen Namen die Umfrage durchgeführt wird.

Datenschutzrechtliche verantwortlich ist diejenige Gesellschaft bzw. Einrichtung, die die Umfrage versendet, bzw. durch die Sie zu einer Umfrage eingeladen wurden. Die Kontaktdaten finden Sie auf unserer Homepage unter: https://www.vitos.de/legal-information/datenschutz/datenschutz-verantwortliche.

2. Wie lauten die Kontaktdaten der Datenschutzbeauftragten?

Bei Fragen zur Datenverarbeitung und zum Datenschutz können Sie sich an unsere Datenschutzbeauftragten der jeweiligen Gesellschaft wenden.

Die Kontaktdaten finden Sie auf unserer Homepage unter:

https://www.vitos.de/legal-information/datenschutz/datenschutz-beauftragte.

Übergeordnete Ansprechpartnerin für den Datenschutz im Konzern ist die Konzerndatenschutzbeauftragte, erreichbar unter datenschutz(at)vitos.de.

3. Für welche Zwecke und auf welcher Rechtsgrundlage werden Ihre personenbezogenen Daten verarbeitet?

Ihre personenbezogenen Daten werden in erster Linie erhoben, um eine effektive Erstellung und Durchführung von internen oder externen Umfragen und Abfragen zu verschiedenen Themen realisieren zu können.

Dies kann beispielsweise die Erhebung von Meinungen und Zufriedenheitsumfragen, die Bewertung von Dienstleistungen und unserem Angebot, die Verbesserung interner Prozesse oder die Ermittlung von Bedarfen und Wünschen der Befragten umfassen. 

Der Zweck der jeweiligen Umfrage wird aus dem jeweiligen Kontext bzw. Einladungstext zu Beginn der Umfrage erläutert.

 
Die Ergebnisse helfen dabei, fundierte Entscheidung zu treffen, die Qualität unserer Angebote zu optimieren und gezielt auf die Bedürfnisse unserer Zielgruppen oder Beschäftigter einzugehen. Alle erhobenen Daten werden für diesen Zweck genutzt und nicht anderweitig verarbeitet. 

Für Mitarbeitende erfolgt die Verarbeitung der personenbezogenen Daten auf § 26 Abs. 1 BDSG i.V.m. Art. 88 DSGVO sowie der geltenden Konzernbetriebsvereinbarung KBV M365 bzw. in allen anderen Fällen auf Basis einer freiwilligen Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO. Sofern ggf. sensible personenbezogene Daten abgefragt werden, erfolgt dies auf Grundlage der Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Im Übrigen erfolgt die Datenverarbeitung aufgrund des berechtigten Interesse von Vitos nach Art. 6 Abs. 1 lit. f DSGVO.

Microsoft verwendet Cookies, die auf dem genutzten Endgerät dem Browser zugeordnet und gespeichert werden. Rechtsgrundlage für die Verarbeitung ist § 25 Abs. 2 S. 2 TDDDG. Cookies werden von Microsoft genutzt, um die Beantwortung bzw. das Unterbrechen und Fortsetzen der Umfragen zu ermöglichen und um Mehrfachteilnahmen zu verhindern. Diese Daten werden nicht dem Umfrageteilnehmenden zugeordnet oder mit deren Antworten verknüpft. Dabei besteht das überwiegende berechtigte Interesse von Vitos in der Durchführung von Umfragen zur Prozess-optimierung, Organisation interner Abläufe., Freigabe von Kundendaten oder Mitarbeiterdaten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke.
 

4. Welche Kategorien personenbezogener Daten werden verarbeitet?

Zu oben genannten Zwecken werden bei der Nutzung von Microsoft Forms personenbezogene Daten von Ihnen verarbeitet.

Datenverarbeitung durch Vitos:

Zu Beginn der jeweiligen Umfrage wird immer aufgeführt, ob es sich um eine anonyme Umfrage handelt oder nicht.
Es werden folgende Daten verarbeitet:

Systemdaten: E-Mail-Adresse/Nutzername des Erstellers/Ausfüllenden (wenn nicht anonym).
Inhaltsdaten: Antworten im Formular (kann Name, Vorname, Antworten auf Fragen, Zeitstempel enthalten).
Optional: IP-Adresse (in bestimmten Szenarien/Einstellungen).

Bei einer nicht-anonymen Umfrage können Sie selbst entscheiden, welche personenbezogenen Daten wir von Ihnen erhalten, indem Sie entsprechende Freitextfelder ausfüllen bzw. vorgegebene Antwortmöglichkeiten auswählen. Bitte beachten Sie, dass eine Umfrage keinen geeigneten Raum für die Verarbeitung besonders vertraulicher Daten darstellt. Für die Übermittlung besonders vertraulicher Daten empfehlen wir die Nutzung des Postwegs.

Bei nicht-anonymen Umfragen ist es zudem dem Administrator möglich, ggf. Rückschlüsse auf den Befragten anhand von Benutzerkennungen vorzunehmen, sofern die Anfrage nicht vollständig anonym erfolgt.

Bei einer anonymen Umfrage erhalten wir selbst keine personenbezogenen Daten von Ihnen. Bitte beachten Sie, dass Sie in diesem Fall auch in den Freitextfeldern möglichst keine personenbezogenen Daten eingeben.

Datenverarbeitung durch Microsoft:

Durch Microsoft werden während der Nutzung einer Umfrage von Microsoft Forms immer verschiedene (technische) Daten von Ihnen erhoben. Falls Sie dies nicht wollen, bitten wir Sie, nicht an der Umfrage teilzunehmen.

Zu den verarbeiteten Daten gehören unter anderem:

• IP-Adresse, Datum und Uhrzeit der Teilnahme, Fortschritt innerhalb der Umfrage, etc.
• Bei allen Vitos Mitarbeitenden sowie bei Externen sofern sie selbst einen M365 Account besitzen:
  • Ihr Benutzername und Accountinformationen, z.B. Identifikationsmerkmale (Informationen zu Ihrer Person, die Sie als Nutzer, Absender, Empfänger von Daten innerhalb der M365 Umgebung kennzeichnen)
  • Für die Authentifizierung und den Lizenzgebrauch erforderliche Daten (in den M365-Anwendungen werden sämtliche Nutzeraktivitäten, wie z.B. Zeitpunkt des Zugriffs, Datum, Art des Zugriffs, etc. verarbeitet)
• Es findet außerdem eine Übermittlung von Diagnosedaten an Microsoft statt, damit die Dienste insgesamt (fehlerfrei) bereitgestellt werden können. Da sämtliche Anwendungen cloudbasiert sind, werden diese durchgehend geprüft. Die Verarbeitung der Diagnosedaten dient auch der Verbesserung und Aktualisierung der Software durch das Einspielen von neuen Versionen. Schließlich dient die Verarbeitung auch dazu, die Sicherheit der Dienste und eine schnelle Fehlerbehebung durch Microsoft zu gewährleisten.

5. Wer erhält Ihre Daten?

Ihre personenbezogenen Daten können im Rahmen der Nutzung von M365 an verschiedene Empfänger weitergegeben oder von diesen eingesehen werden. Dazu gehören insbesondere die Stelle, die die Umfrage veranlasst hat und Vitos IT-Administratoren sowie die Microsoft Corporation. Die Speicherung der Daten und Ergebnisse erfolgt in der Regel in Microsoft Sharepoint, sofern diese nicht anderweitig durch den Umfrageersteller abgespeichert werden.

An die Microsoft Corporation werden regelmäßig Diagnosedaten gesendet und dort ausgewertet.

6. Wie lange werden Ihre Daten gespeichert?

Die Speicherung Ihrer Daten erfolgt, sobald Sie an einer Microsoft Forms Umfrage teilnehmen. Die Dauer der Speicherung richtet sich in erster Linie nach den gesetzlichen Aufbewahrungspflichten in Bezug auf bestimmte Dokumente und Vorgänge sowie nach dem berechtigten Interesse von uns. Die allgemeine Aufbewahrungsfrist beträgt 3 Jahre, sofern die Umfrage und Ergebnisse nicht vorher gelöscht werden.

Falls Ihre personenbezogenen Daten auf Grundlage einer Einwilligung von Ihnen verarbeitet werden, haben Sie das Recht, die Einwilligung jederzeit mit Wirkung für die Zukunft uns gegenüber zu widerrufen. Ihre personenbezogenen Daten werden in diesem Fall direkt oder nach dem Ablauf etwaiger gesetzlicher Aufbewahrungsfristen gelöscht.

Die Microsoft Corporation selbst bewahrt die Daten für einen gewissen Zeitraum auf. Diese Aufbewahrungszeiten können Sie unter der folgenden URL einsehen: https://learn.microsoft.com/de-de/compliance/assurance/assurance-data-retention-deletion-and-destruction-overview

7. Aus welchen Quellen stammen Ihre personenbezogenen Daten?

Die Quelle der von Ihnen verarbeiteten Daten sind Sie selbst. Im Falle von Mitarbeitenden erfolgt zudem die Übertragung von Accountdaten aus dem Entra-ID.

8. Wieso müssen Sie Ihre personenbezogenen Daten bereitstellen und welche Konsequenzen ergeben sich aus der Nicht-Bereitstellung?

Sofern Sie Ihre Daten nicht bereitstellen, können Sie nicht an den Microsoft Forms Umfragen teilnehmen. Die Umfragen sind jedoch ausdrücklich freiwillig und eine Nichtteilnahme hat keine Konsequenzen.

9. Übermittlung Ihrer Daten in ein Drittland?

Wir beabsichtigen grundsätzlich nicht, Ihre personenbezogenen Daten an ein Drittland außerhalb der EU oder des EWR zu übermitteln. Im Rahmen der Teilnahme an einer Umfrage kann dies aber durchaus vorkommen, insbesondere, wenn Sie sich selbst in einem solchen Land befinden.

Auch werden regelmäßig Diagnosedaten an die Microsoft Corporation gesendet und dort ausgewertet. Diese werden zwar in datenschutzrechtlich als sicher anerkannten Ländern gespeichert. Aufgrund des sogenannten „Cloud Acts“ und des „Foreign Intelligence Surveillance Acts“ kann aber nicht ausgeschlossen werden, dass US-Behörden Zugriff auf diese Daten erhalten. Sofern eine Datenübermittlung in die USA stattfindet, wurden mit Microsoft entsprechende Standardvertragsklauseln inkl. Zusatzvereinbarungen vereinbart.

10. Welche Datenschutzrechte haben Sie?

Sie haben bei Vorliegen der gesetzlichen Voraussetzungen die folgenden Rechte:

Werden Ihre personenbezogenen Daten verarbeitet, so haben Sie das Recht, Auskunft über die zu Ihrer Person gespeicherten Daten zu erhalten (Art. 15 DSGVO). Sollten unrichtige personenbezogene Daten verarbeitet werden, steht Ihnen ein Recht auf Berichtigung zu (Art. 16 DSGVO).  Liegen die gesetzlichen Voraussetzungen vor, so können Sie die Löschung oder Einschränkung der Verarbeitung verlangen (Art. 17 und 18 DSGVO). Ferner steht Ihnen ein Recht auf Datenübertragbarkeit zu (Art. 20 DSGVO). 

Widerspruchsrecht gem. Art. 21 DSGVO

Soweit die Verarbeitung Ihre personenbezogenen Daten nach Art. 6 Abs. 1 lit. f DSGVO zur Wahrung berechtigter Interessen erfolgt, haben Sie gemäß Art. 21 DSGVO das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung dieser Daten einzulegen. Wir verarbeiten diese personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen.

Diese müssen Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung muss der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dienen.

Darüber hinaus besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten nicht rechtmäßig erfolgt. Das Beschwerderecht besteht unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs.

Die für uns zuständige Aufsichtsbehörde: Der Hessische Beauftragte für den Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden

Sofern die Verarbeitung von Daten auf Grundlage Ihrer Einwilligung erfolgt, sind Sie nach Art. 7 DSGVO berechtigt, die Einwilligung in die Verwendung Ihrer personenbezogenen Daten jederzeit zu widerrufen. Bitte beachten Sie, dass der Widerruf erst für die Zukunft wirkt. Verarbeitungen, die vor dem Widerruf erfolgt sind, sind davon nicht betroffen. Bitte beachten Sie zudem, dass wir bestimmte Daten für die Erfüllung gesetzlicher Vorgaben ggf. für einen bestimmten Zeitraum aufbewahren müssen.

Zur Ausübung Ihrer Rechte können Sie sich an unsere/n Datenschutzbeauftragte/n wenden.

11. Sonderfall automatisierte Entscheidungsfindung oder Profiling

Wir verarbeiten Ihre Daten nicht mit dem Ziel, bestimmte persönliche Aspekte automatisiert zu bewerten, noch nutzen wir vollautomatisierte automatische Entscheidungsfindung gem. Art. 22 DSGVO.