Datenschutzhinweise für Office 365 Anwendungen

Diese Informationen geben Ihnen einen Überblick über die Verarbeitung Ihrer personenbezogenen Daten, wenn Sie Office 365 Anwendungen (im Folgenden auch „O365 Anwendungen“), bereitgestellt durch die REWE digital GmbH, nutzen. Wir informieren Sie darüber, welche Daten wir bei der Nutzung von Ihnen erheben und wie wir sie verwenden. Außerdem klären wir Sie über Ihre Rechte nach geltendem Datenschutzrecht auf und teilen Ihnen mit, an wen Sie sich bei Fragen wenden können.

1. Verantwortliche Stelle

Die für die Datenverarbeitung verantwortliche Stelle ist die Gesellschaft, die in Ihrem Arbeitsvertrag als Arbeitgeber oder in Ihrem Vertrag zur Leistungserbringung als Auftraggeber genannt ist.

Fragen zur Verarbeitung Ihrer Daten können Sie jederzeit an den jeweiligen Datenschutzbeauftragten der verantwortlichen Gesellschaft richten. Eine Liste der Datenschutzbeauftragten finden Sie im Anhang A dieser Datenschutzhinweise.

2. Verarbeitete personenbezogene Daten

2.1 Anwendungsübergreifende Verarbeitung personenbezogener Daten in O365 Anwendungen

Im Rahmen der Nutzung von O365 Anwendungen werden anwendungsübergreifend folgende Daten erhoben und verarbeitet:

Account-Informationen

• Anmeldeinformationen (Nutzer-ID, E-Mail, Accounts, etc.)
• Personenstammdaten für Nutzer und Adressbuch (Name, E-Mail, Organisation, Telefonnummer, etc.)
• Berechtigungsinformationen für O365 Anwendungen
• Protokolldaten (IP-Adressen, Zugriffsdaten, Versionierungsinformationen von Dateien, etc.)
• ergänzte Angaben im persönlichen Profil (geschäftliche Kontaktdaten und Bild/Avatar ohne Personenbezug)

2.2 Anwendungsspezifische Verarbeitung personenbezogener Daten in O365 Anwendungen

Im Rahmen der Nutzung von O365 Anwendungen werden anwendungsspezifisch, zusätzlich zu den unter 2.1 genannten Daten, folgende Daten erhoben und verarbeitet:

Word, Excel, PowerPoint

▪ Erfassung der aktuell Bearbeitenden einer Datei (diese Information ist für alle aktuell Bearbeitenden sichtbar)

▪ Bearbeitungsposition und Änderung der aktuell Bearbeitenden (diese Information ist für alle aktuell Bearbeitenden sichtbar)

OneDrive for Business

▪ Eigene hochgeladene/synchronisierte Dateien (Dokumente, Bilder, Video, Audio, etc.)

▪ Inhaltliche Beiträge (Postings im Rahmen von News-Feeds, etc.)

SharePoint Online

▪ Eigene hochgeladene / synchronisierte Dateien (Dokumente, Bilder, Video, Audio, etc.)

▪ Inhaltliche Beiträge (Postings im Rahmen von News-Feeds, etc.)

Teams (Kanäle)

▪ Dateien (Chat, Ablage, Notizen, Dokumentation, etc.)

▪ Text (Chat, Newsfeed, Notizen, Dokumentation, etc.)

▪ Kalender-Informationen (inkl. Verknüpfung mit Teams-Meetings)

▪ Aufgaben (Inhalte, Verantwortlichkeiten, Fälligkeiten, etc.)

▪ Persönliche Kontakte & persönliche Kontaktgruppen

Teams-Meetings

▪ Audio- und Videokommunikation im Rahmen von Telefonaten und Konferenzen (ggf. inklusive Desktop-Sharing)

▪ Persönliche Hintergründe für Videokommunikation (Bilddateien)

▪ Chat (Text, Dateien, etc.)

▪ Telefonie-Historie (Getätigte Anrufe, Verpasste Anrufe, etc.)

▪ Sprachaufzeichnungen für den Anrufbeantworter (inkl. Transkription)

▪ Persönliche Kontaktdaten für die Einladung von Teilnehmern zu Meetings (E-Mail-Adresse, Nutzername, etc.)

▪ Persönliche Kontaktdaten für das Anrufen von Teilnehmern (Telefonnummern, etc.)

Teams-Telefonie

▪ Kontaktdaten (wie z. B. Name, Vorname, Telefonnummer, Zeit und Dauer des Anrufs)

Outlook (E-Mail)

▪ Persönliche E-Mail-Kommunikation (gesendete E-Mails, empfangene E-Mails, Nachrichten & Anhänge, Ordnerstrukturen für Ablage, etc.)

▪ Persönliche Kalender-Informationen (inkl. Verknüpfung mit Teams-Meetings)

▪ Persönliche Aufgaben (Inhalte, Verantwortlichkeiten, Fälligkeiten)

▪ Persönliche Kontakte / Kontaktgruppe

Forms (Formulare/Umfragen)

▪ eigene erstellte Formulare / Umfragen

▪ Die ID der Rückmeldung (laufende Nummer), Startzeit und Fertigstellungszeit

▪ Sofern die Umfrage nicht anonym ist, zusätzlich: Name und E-Mail-Adresse

Systemlogdateien

▪ Anmeldeinformationen (User-ID, Anwendung, Anmeldezeitstempel)

3. Rechtsgrundlagen und Zwecke der Datenverarbeitung

Datenverarbeitung zur Erfüllung des Arbeitsverhältnisses

Wir verarbeiten Ihre personenbezogenen Daten (vgl. s. Punkt 2) gem. Art. 88 DSGVO i. V. m. den in nationalen Gesetzen spezifizierten Ausführungen zum Beschäftigungsverhältnis, wie z. B. für Deutschland in § 26 Abs. 1 S. 1 BDSG-neu niedergelegt, sofern diese für die Erfüllung des Arbeitsverhältnisses erforderlich sind. Die Nichtbereitstellung hätte in diesen Fällen zur Folge, dass die Aufgaben i. R. d. Arbeitsverhältnisses nicht (ausreichend) erfüllt werden könnten.

Die anwendungsübergreifend verarbeiteten, personenbezogenen Daten (vgl. s. Punkt 2.1) erheben und verarbeiten wir zur grundlegenden Bereitstellung der O365 Anwendungen, dem sicheren Betrieb der Lösung sowie für den Supportfall und der Fehlerbehebung.

Die anwendungsspezifischen verarbeiteten, personenbezogenen Daten (vgl. s. Punkt 2.2) dienen sowohl der persönlichen Verwaltung von geschäftlichen Informationen und Daten als auch der Zusammenarbeit und dem Austausch von geschäftlichen Informationen und Daten mit anderen Mitarbeitern und Geschäftspartnern.

Datenverarbeitung zur Erfüllung des Vertragsverhältnisses

Wir verarbeiten Ihre personenbezogenen Daten (vgl. s. Punkt 2) gem. Art. 6 Abs. 1 S. 1 lit. b) DSGVO, sofern diese im Rahmen von Vertragsverhältnissen erforderlich sind (Vertragserfüllung oder Durchführung vorvertraglicher Maßnahmen). Dies gilt insbesondere für alle personenbezogenen Daten im Rahmen von Vertragsverhältnissen, die abseits eines Beschäftigungsverhältnisses verarbeitet werden müssen, beispielsweise bei Verträgen mit Externen. Die Nichtbereitstellung hätte in diesen Fällen zur Folge, dass die Aufgaben i. R. d. Vertragsverhältnisses nicht (ausreichend) erfüllt werden könnten.

Die anwendungsübergreifend verarbeiteten personenbezogenen Daten (vgl. s. Punkt 2.1) erheben und verarbeiten wir zur grundlegenden Bereitstellung der O365 Anwendungen, dem sicheren Betrieb der Lösung sowie für den Supportfall und der Fehlerbehebung.

Die anwendungsspezifischen verarbeiteten personenbezogenen Daten (vgl. s. Punkt 2.2) dienen sowohl der persönlichen Verwaltung von geschäftlichen Informationen und Daten als auch der Zusammenarbeit und dem Austausch von geschäftlichen Informationen und Daten mit anderen Mitarbeitern und Geschäftspartnern.

Datenverarbeitung aufgrund berechtigten Interesses

Insofern wir Ihnen O365 Anwendungen weder zur Erfüllung eines Arbeitsverhältnisses noch zur Erfüllung eines Vertragsverhältnisses bereitstellen, verarbeiten wir Ihre personenbezogenen Daten (vgl. s. Punkt 2) im Rahmen unseres sogenannten berechtigten Interesses gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO. Unsere berechtigten Interessen liegen darin, unseren Mitarbeitern sowie teilweise externen Gesellschaften, die Nutzung O365 Anwendungen zur Vereinfachung und Optimierung Ihrer Aufgaben zu ermöglichen.

Die anwendungsübergreifend verarbeiteten personenbezogenen Daten (vgl. s. Punkt 2.1) erheben und verarbeiten wir zur grundlegenden Bereitstellung der O365 Anwendungen, dem sicheren Betrieb der Lösung sowie für den Supportfall und der Fehlerbehebung.

Die anwendungsspezifischen verarbeiteten personenbezogenen Daten (vgl. s. Punkt 2.2) dienen sowohl der persönlichen Verwaltung von geschäftlichen Informationen und Daten als auch der Zusammenarbeit und dem Austausch von geschäftlichen Informationen und Daten mit anderen Mitarbeitern und Geschäftspartnern.

Darüber hinaus kann die Nutzung von O365-Anwendungen in einzelnen Gesellschaften durch Betriebsvereinbarungen geregelt sein.

Gegen diese Verarbeitung steht jedem Betroffenen ein eigenes Widerspruchsrecht für die Zukunft zu. Der Widerspruch ist auf Gründe zu stützen, die sich aus Ihrer besonderen Situation ergeben, es sei denn, die berechtigten Interessen des Verantwortlichen überwiegen diese. Nach erfolgreichem Widerspruch werden die Daten gelöscht.

4. Datenempfänger & Datenverarbeitung außerhalb der EU

Der Betrieb der Produkte liegt bei Microsoft Ireland Operations Ltd., South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Es gilt die Datenschutzerklärung von Microsoft: https://privacy.microsoft.com/de-de/privacystatement. Grundsätzlich ist Microsoft Datenempfänger (= Nutzdaten).

Für alle REWE Group Gesellschaften (mit Ausnahme der REWE digital GmbH) tritt die REWE digital GmbH als Datenempfänger auf (= Nutzerstammdaten & Berechtigungen). Für alle selbstständigen Kaufleute der REWE Group ist die REWE Markt GmbH und in Folge die REWE digital GmbH Datenempfänger (= Nutzerstammdaten & Berechtigungen).

Ihre Daten werden von uns ausschließlich an Microsoft weitergegeben, welche uns bei der Datenverarbeitung im Rahmen einer Auftragsverarbeitung streng weisungsgebunden unterstützen. Von uns eingesetzte Dienstleister müssen besondere Vertraulichkeitsanforderungen erfüllen. Sie erhalten nur in dem Umfang und für den Zeitraum Zugang zu Ihren Daten, der für die Erfüllung der Aufgaben erforderlich ist.

Die Server von Microsoft befinden sich ausschließlich in der EU. Microsoft kann die Daten zum Zwecke von Support und Wartungstätigkeiten an die Microsoft Corporation in den USA übermitteln. Als geeignete Garantie für die Rechtmäßigkeit der Datenübermittlung hat Microsoft Ireland Operations Ltd. u. a. einen EU-Standardvertrag nach Art. 46 Abs. 2 lit. c DSGVO mit der Microsoft Corporation, One Microsoft Way, Redmond, WA 98056 USA, abgeschlossen.

5. Speicherdauer & Löschfristen

Account-Informationen

▪ Anmeldeinformationen (Nutzer-ID, E-Mail, Accounts, etc.)

▪ Personenstammdaten für Nutzer und Adressbuch (Name, E-Mail, Organisation, Telefonnummer, etc.)

▪ Berechtigungsinformationen für O365 Anwendungen ▪ Protokolldaten (IP-Adressen, Zugriffsdaten, Versionierungsinformationen von Dateien, etc.)

▪ ergänzte Angaben im persönlichen Profil (geschäftliche Kontaktdaten / Bild / Avatar ohne Personenbezug)

Rechtsgrundlage

• Art. 6 Abs. 1 S. 1 lit. b) DSGVO

• Art. 6 Abs. 1 S. 1 lit.b ) DSGVO, i. V. m. Art. 88 DSGVO, i. V. m. nationalen Gesetzen DE: § 26 Abs. 1 Satz 1 BDSG

• Art. 6 Abs. 1 S. 1 lit. f) DSGVO

Aufbewahrungsfristen:

Abweichend gelten diese nachfolgenden Aufbewahrungs- bzw. Löschfristen für bestimmte personenbezogene Daten in einzelnen Anwendungen.

Word, Excel, PowerPoint

• Erfassung der aktuellen Bearbeitenden einer Datei (Diese Information ist für alle aktuellen Bearbeitenden sichtbar)

• Bearbeitungsposition und Änderung der aktuellen Bearbeiter (Diese Information ist für alle aktuellen Bearbeiter sichtbar)

Rechtsgrundlage

Art. 6 Abs. 1 lit. f) DSGVO

Aufbewahrungsfristen:

OneDrive for Business

▪ eigene hochgeladene/synchronisierte Dateien (Dokumente, Bilder, Video, Audio, etc.)

▪ inhaltliche Beiträge (Postings im Rahmen von News-Feeds, etc.).

Rechtsgrundlage

Art. 6 Abs. 1 lit. f) DSGVO

Aufbewahrungsfrist:

SharePoint Online

▪ Eigene hochgeladene / synchronisierte Dateien (Dokumente, Bilder, Video, Audio, etc.)

▪ Inhaltliche Beiträge (Postings im Rahmen von News-Feeds, etc.)

Rechtsgrundlage

Art. 6 Abs. 1 lit. f) DSGVO

Aufbewahrungsfrist:

Teams (Kanäle)

▪ Dateien (Chat, Ablage, Notizen, Dokumentation, etc.)

▪ Text (Chat, Newsfeed, Notizen, Dokumentation, etc.)

▪ Kalender-Informationen (inkl. Verknüpfung mit Teams-Meetings)

▪ Aufgaben (Inhalte, Verantwortlichkeiten, Fälligkeiten, etc.)

▪ Persönliche Kontakte & persönliche Kontaktgruppen

Rechtsgrundlage 

Art. 6 Abs. 1 lit. f) DSGVO

Aufbewahrungsfrist:

Teams-Meetings

▪ Audio- und Videokommunikation im Rahmen von Telefonaten und Konferenzen (ggf. inklusive Desktop-Sharing)

▪ Persönliche Hintergründe für Videokommunikation (Bilddateien)

▪ Chat (Text, Dateien, etc.)

▪ Telefonie-Historie (Getätigte Anrufe, Verpasste Anrufe, etc.)

▪ Sprachaufzeichnungen für den Anrufbeantworter (inkl. Transkription)

▪ Persönliche Kontaktdaten für die Einladung von Teilnehmern zu Meetings (E-Mail-Adresse, Nutzername, etc.)

▪ Persönliche Kontaktdaten für das Anrufen von Teilnehmern (Telefonnummern, etc.)

Rechtsgrundlage       

 • Art. 6 Abs. 1 S. 1 lit. b) DSGVO

• Art. 6 Abs. 1 S. 1 lit.b ) DSGVO, i. V. m. Art. 88 DSGVO, i. V. m. nationalen Gesetzen DE: § 26 Abs. 1 Satz 1 BDSG

• Art. 6 Abs. 1 S. 1 lit a) DSGVO für die Aufzeichnung von Ton- und Bildaufnahmen

Aufbewahrungsfrist:

Outlook (E-Mail)

▪ Persönliche E-Mail-Kommunikation (Gesendete E-Mails, Empfangene E-Mails, Nachrichten & Anhänge, Ordnerstrukturen für Ablage, etc.)

▪ Persönliche Kalender-Informationen (inkl. Verknüpfung mit Teams-Meetings)

▪ Persönliche Aufgaben (Inhalte, Verantwortlichkeiten, Fälligkeiten)

▪ Persönliche Kontakte / Kontaktgruppe

Rechtsgrundlage

• Art. 6 Abs. 1 S. 1 lit. b) DSGVO

• Art. 6 Abs. 1 S. 1 lit.b ) DSGVO, i. V. m. Art. 88 DSGVO, i. V. m. nationalen Gesetzen DE: § 26 Abs. 1 Satz 1 BDSG

Aufbewahrungsfristen:

Forms (Formulare/Umfragen)

Bei der Einstellung anonym werden nur notwendige Protokolldaten verarbeitet. Die Einstellung personalisiert verarbeitet zusätzlich die Anmeldeinformationen.

▪ Umfragen durch eine Person

▪ Umfragen aus einem Teams-Kanal

Rechtsgrundlage

• Art. 6 Abs. 1 S. 1 lit. b) DSGVO

• Art. 6 Abs. 1 S. 1 lit.b ) DSGVO, i. V. m. Art. 88 DSGVO, i. V. m. nationalen Gesetzen DE: § 26 Abs. 1 Satz 1 BDSG

Aufbewahrungsfristen:

Systemlogdateien

Rechtsgrundlage

Art. 6 Abs. 1 lit. f) DSGVO

Aufbewahrungsfristen:

6. Automatisierte Entscheidungsfindung & Profiling

Mit Ihren personenbezogenen Daten findet weder eine automatisierte Entscheidungsfindung noch Profiling statt.

7. Rechte der betroffenen Person

Betroffene Personen haben das Recht auf Auskunft seitens des Verantwortlichen über die sie betreffenden personenbezogenen Daten sowie auf Berichtigung unrichtiger Daten oder auf Löschung, sofern einer der in Art. 17 DSGVO genannten Gründe vorliegt, z. B. wenn die Daten für die verfolgten Zwecke nicht mehr benötigt werden. Es besteht zudem das Recht auf Einschränkung der Verarbeitung, wenn eine der in Art. 18 DSGVO genannten Voraussetzungen vorliegt und in den Fällen des Art. 20 DSGVO das Recht auf Datenübertragbarkeit.

Werden Daten auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO erhoben (Datenverarbeitung zur Wahrung berechtigter Interessen), steht der betroffenen Person das Recht zu, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, es liegen nachweisbar zwingende schutzwürdige Gründe für die Verarbeitung vor, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht bei einer Aufsichtsbehörde

Jede betroffene Person hat außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden Daten gegen datenschutzrechtliche Bestimmungen verstößt. Das Beschwerderecht kann insbesondere bei einer Aufsichtsbehörde in dem Mitgliedstaat des Aufenthaltsorts der betroffenen Person oder des Orts des mutmaßlichen Verstoßes geltend gemacht werden.

Anhang A - Zuweisung DSB zu Gesellschaften / Geschäftsfeldern

Die nachfolgende Zuweisung von DSBs betrifft ausschließlich Gesellschaften der REWE Group, die ein Beteiligungsverhältnis von über 50% aufweisen und in denen die Bestellung eines Datenschutzbeauftragten gesetzlich notwendig oder freiwillig erfolgt ist.

Bei datenschutzbezogenen Fragen wenden Sie sich bitte an den für ihre Gesellschaft (Arbeitgeber bzw. Vertragspartner) zuständigen Datenschutzbeauftragten.

Eine Zuordnung der bestellten Datenschutzbeauftragten zu Gesellschaften / Geschäftsfelder der REWE Group kann der nachfolgenden Tabelle entnommen werden:

Die nachfolgende Zuweisung von DSBs betrifft ausschließlich Gesellschaften der REWE Group, die KEIN Beteiligungsverhältnis von über 50% aufweisen: