Datenschutzerklärung – CHAOS (Lizenz-Optimierung & Dashboard)

Inhalt

1. Verantwortliche Stelle, Zweck und Ansprechpartner
2. Rechtsgrundlagen der Verarbeitung
3. Abgerufene und verarbeitete Daten
4. Verwendete Berechtigungen (Microsoft Graph)
5. Verwendungszweck und Zweckbindung
6. Speicherorte, Aufbewahrung und Löschung
7. Auftragsverarbeitung und Empfänger
8. Datenübermittlung in Drittländer
9. Rechte der betroffenen Personen
10. Technische und organisatorische Maßnahmen
11. Sicherheitsvorfälle und Meldepflichten
12. Dokumentation und Verzeichnis der Verarbeitungstätigkeiten
13. Änderungen dieser Datenschutzerklärung
14. Antworten auf aktuelle Datenschutzfragen (FAQ)

Versionsübersicht

1. Verantwortliche Stelle, Zweck und Ansprechpartner

Herausgeber der Anwendung CHAOS ist die CHAOS GmbH mit Sitz in Dechantskirchen. Die Gesellschaft hieß zuvor DRG Services GmbH und wurde im August 2026 umfirmiert; es handelt sich um dieselbe juristische Person (Firmenbuch FN 654219 m).

1.1 Zweck der Anwendung

Die Anwendung CHAOS dient der Microsoft-365-Lizenz-Optimierung und der Auswertung von Nutzungsdaten im Auftrag des Mandanten (Tenant-Betreiber). Sie ermittelt nutzungsbasierte Lizenz-Empfehlungen, stellt ein Dashboard bereit und kann optional mit Partner Center bzw. Reseller-Diensten (z. B. Xvantage) verbunden werden.

Konkrete Ziele sind:

• Ermittlung der pro Benutzer kostengünstigsten passenden Microsoft-365-Lizenz anhand tatsächlicher Nutzung,
• Bereitstellung eines zentralen Dashboards für Übersichten, Lizenzen, Empfehlungen und Nutzungsberichte,
• optionale Anbindung an Reseller-/Partner-Dienste zur Darstellung von Kunden und Abonnements,
• optional (Modul AI & Copilot): Nutzung, Kosten, Risiken und Einsparpotenziale von Microsoft 365 Copilot, Copilot Studio Agents, Copilot Credits und Azure-AI-Diensten.

1.2 Verantwortlichkeit

Die Verarbeitung der Beschäftigten- und Nutzungsdaten erfolgt im Auftrag des Mandanten.

CHAOS GmbH ist eigener Verantwortlicher nur für eigene Zwecke (z. B. Abrechnung, Login am CHAOS-Portal, Betrugsabwehr) – nicht für die Lizenz- und Nutzungsdaten der Beschäftigten des Kunden.

Zwei Vertragsschichten bei Microsoft Graph: Der Abruf aus dem Mandanten über Graph und die Administratorzustimmung der App unterliegen dem Microsoft-365-Vertrag des Kunden mit Microsoft (Microsoft-Kundenvertrag bzw. Microsoft Online Services Data Protection Addendum). Die anschließende Speicherung und Auswertung bei CHAOS unterliegt dem Auftragsverarbeitungsvertrag mit der CHAOS GmbH.

1.3 Ansprechpartner für Betroffenenanfragen

Betroffene Personen (Beschäftigte des Kunden) wenden sich zuerst an den Verantwortlichen (ihren Arbeitgeber / den Mandanten). CHAOS GmbH leitet Anfragen, die sie direkt erreicht, an den Verantwortlichen weiter. Kontakt CHAOS: chaos@chaos.ms.

2. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten durch CHAOS stützt sich auf die folgenden Rechtsgrundlagen der Datenschutz-Grundverordnung (DSGVO):

Soweit der Betreiber eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder eine gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) als Grundlage nutzt, ist dies vom Verantwortlichen zu dokumentieren. Es werden keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet.

3. Abgerufene und verarbeitete Daten

3.1 Microsoft Graph API

Über eine Azure-AD-App-Registrierung (Zertifikats-Authentifizierung) werden folgende Daten vom Microsoft Graph abgerufen:

Report-Typen im Detail: Die Reports enthalten je nach Endpunkt u. a. Benutzerkennung (UPN, User ID), Aktivitätszeiträume, Nutzungshäufigkeiten und Speichermetadaten (OneDrive-Konto, SharePoint-Site: Speicher, Dateizahlen, letzte Aktivität). Es werden keine Inhalte (E-Mail, Chat, SharePoint-/Extranet-Dokumente) abgerufen. SharePoint-Inhalte über Sites.Read.All / /sites werden nicht gelesen. Einzige Ausnahme ist der optionale Copilot-Interaktionsverlauf (Abschnitt 3.5); auch dort werden keine Texte gespeichert.

Report-Privacy: Für die Auslieferung der Reports mit Benutzernamen wird die Report-Privacy-Einstellung des Mandanten temporär angepasst (DisplayConcealedNames = false). Der ursprüngliche Zustand wird in ReportPrivacy_OriginalState.json gesichert und nach dem Lauf wiederhergestellt.

3.2 Partner Center API (optional)

Falls Umgebungsvariablen für das Partner Center gesetzt sind (PARTNER_CENTER_APP_ID, PARTNER_CENTER_SECRET, PARTNER_CENTER_TENANT_ID): Abruf von Preisdaten (z. B. EUR, Markt AT) für M365-SKUs. Es werden keine personenbezogenen Kundendaten aus dem Partner Center für die Lizenzlogik verwendet, sondern nur Preise für die Berechnung von Empfehlungen und Ersparnissen. Die Verarbeitung ist damit nicht personenbezogen im Sinne der DSGVO (soweit nur Preisdaten betroffen sind).

3.3 Webapp (Dashboard)

• Anmeldung: Benutzername und Passwort werden zur Authentifizierung verwendet (z. B. gegen eine lokale Benutzerliste). Es werden nur die für die Anzeige nötigen Session-Daten (z. B. Benutzername, Anzeigename, Tenant-Ordner, Tenant-ID) in der Session gehalten. Personenbezug: Ja (Dashboard-Nutzer).
• Angezeigte Daten: Alle im Dashboard angezeigten Daten stammen aus den lokal (im konfigurierten Output-Verzeichnis) abgelegten CSV-/JSON-Dateien. Es werden keine zusätzlichen Daten direkt von Microsoft oder Dritten abgerufen; die Webapp liest ausschließlich die zuvor von den Backend-Skripten erzeugten Artefakte.

3.4 Reseller-/Xvantage-Integration (optional)

Falls die Reseller- bzw. Xvantage-Anbindung genutzt wird:

• Anmeldung: Subscription Key, Basic-Benutzername und Basic-Passwort (in der Session gespeichert, bis zum Logout).
• Abgerufene Daten: Über die Xvantage-API werden Kundendaten (customers) und Abonnements (subscriptions) abgerufen – nur soweit für die Reseller-Funktionalität erforderlich. Diese Daten können personenbezogen sein (Kunden des Resellers).

3.5 AI & Copilot (optional, nur bei freigeschaltetem Modul)

Der Copilot-Interaktionsverlauf wird nur ausgewertet, wenn der Mandant die Berechtigung erteilt hat (Vollversion des Setup-Skripts, Schalter -CopilotIntelligence oder Grant-ChaosCopilotIntelligence.ps1). Ist im Mandanten der Betriebsrats-Modus aktiv, erfolgt die Auswertung erst nach Freigabe der Kategorie K6; während der Vorbereitung einer Betriebsvereinbarung findet keine Auswertung statt. Personenbezogene Ansichten (K3–K6) unterliegen den dort festgelegten Freigaben und werden protokolliert.

4. Verwendete Berechtigungen (Microsoft Graph)

Das Setup-Skript (<CustomerId>_CHAOS.ps1) kennt drei Betriebsmodi:

AiEnterpriseInteraction.Read.All wird in der Vollversion und mit -CopilotIntelligence beantragt (alternativ eigenständig über Grant-ChaosCopilotIntelligence.ps1). Prompt- und Antworttexte werden dabei nur flüchtig klassifiziert und nicht gespeichert (Abschnitt 3.5). Die Berechtigung kann jederzeit in Entra ID entzogen werden; die Auswertung endet dann mit dem nächsten Abruf. Power Platform, Dataverse (Rolle "CHAOS AI Reader") und Azure (Monitoring Reader, Cost Management Reader) für AI & Copilot werden separat über Grant-ChaosPowerPlatform.ps1 bzw. Grant-ChaosAzureRbac.ps1 erteilt.

Power BI (Tenant.Read.All) und Power Platform (lesen) bleiben in allen Modi, soweit die Service Principals im Mandanten existieren. Global Reader wird bei Least Privilege nicht zugewiesen.

5. Verwendungszweck und Zweckbindung

• Lizenz-Optimierung: Ermittlung der pro Benutzer günstigsten passenden Lizenz anhand tatsächlicher Nutzung (E-Mail, Teams, SharePoint, M365-Apps) und optional Hauptrechner-Info; Ausgabe von Empfehlungen (z. B. Recommendations.csv, Decision_Log.csv) und Einsparungen.
• Dashboard: Darstellung von Übersicht, Lizenzen, Empfehlungen, Nutzung und Tenant-Diensten auf Basis der lokal gespeicherten Ausgabe-Dateien.
• Berichte & Nachvollziehbarkeit: Report-CSVs und Optimierungs-Artefakte (z. B. Usage_Summary, Artifacts_Manifest) dienen der Nachvollziehbarkeit und optional weiteren Auswertungen.
• Reseller: Bei Nutzung der Reseller-Integration – Abruf von Kunden- und Abonnementdaten zur Anzeige und Steuerung im Reseller-Kontext.
• AI & Copilot (optional): Ermittlung ungenutzter Copilot-Lizenzen, vergeudeter Copilot Credits (z. B. wiederholte Fragen, Ausweichantworten von Agents), des günstigeren Abrechnungsmodells (Lizenz statt Credits, Credit-Packs), Kosten und Risiken von Agents und Azure-AI-Diensten. Die Auswertung dient der Kostenoptimierung und Sicherheit, nicht der Leistungs- oder Verhaltenskontrolle von Beschäftigten; Kennzahlen je Person werden nur im Rahmen der Freigaben des Betriebsrats-Modus angezeigt.

Es erfolgt keine Weitergabe der abgerufenen Daten an Dritte zu Werbe- oder Profilierungszwecken. Die Daten verbleiben im Einflussbereich des Betreibers (Output-Verzeichnis; ggf. Reseller-Backend nur mit den dort genutzten APIs). Eine Zweckänderung ohne erneute Rechtsgrundlage bzw. Information der Betroffenen soll unterbleiben.

Automatisierte Einzelentscheidungen / Profiling (Art. 22 DSGVO): CHAOS erzeugt Lizenz-Empfehlungen auf Basis von Nutzungsdaten und Regeln. Diese Empfehlungen dienen der Unterstützung der Entscheidung des Verantwortlichen; sie ersetzen nicht die finale Entscheidung über Lizenzzuweisungen. Es erfolgt keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung für die betroffene Person im Sinne des Art. 22 Abs. 1 DSGVO. Soweit dennoch Profiling stattfindet, ist dies vom Verantwortlichen zu dokumentieren und ggf. zu bewerten (inkl. Information der Betroffenen).

6. Speicherorte, Aufbewahrung und Löschung

6.1 Speicherorte

• Output-Verzeichnis: Konfigurierbar über OutputRoot in der Konfiguration (z. B. appsettings.json). Dort werden u. a. abgelegt:
• Tagesordner (JJJJ-MM-TT) mit Report-CSVs und Optimization-Ordner (Users_Raw.csv, Users_WithSkuNames.csv, Recommendations.csv, Decision_Log.csv, Frontline_Eligibility.csv, Users_WithPrimaryDevice.csv usw.),
• ReportPrivacy_OriginalState.json.
• Webapp: Session-Daten (Benutzer, Tenant-Zuordnung) nur während der Sitzung; keine dauerhafte Speicherung von Anmeldedaten in der App selbst (sofern nicht anders konfiguriert).
• Reseller: Xvantage-Zugangsdaten nur in der Session bis zum Logout.

Überblick typische Dateitypen und personenbezogener Gehalt:

Die SaaS-Daten liegen in Microsoft Azure, Region West Europe (EU) (Azure SQL, App Services). Der private Schlüssel der CHAOS_Service-App wird per HTTPS an die Ingest-API übertragen und mandantenbezogen in Azure SQL gespeichert; Zugriff haben nur CHAOS-Betriebsdienste und berechtigte Administratoren der CHAOS GmbH.

6.2 Aufbewahrungsdauer

Die Aufbewahrungsdauer der Dateien im Output-Verzeichnis unterliegt der Festlegung durch den Betreiber. Zu berücksichtigen sind:

• betriebliche Erfordernisse (z. B. Nachvollziehbarkeit von Empfehlungen),
• gesetzliche Aufbewahrungsfristen (z. B. steuer- oder handelsrechtlich),
• Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Daten sind nur so lange zu speichern, wie es für den Zweck erforderlich ist.

Empfohlen wird eine schriftliche Aufbewahrungs- und Löschrichtlinie (z. B. Löschung alter Tagesordner nach X Monaten), die der Betreiber festlegt und umsetzt.

AI & Copilot: Die Analysen werten jeweils die letzten 30 Tage aus. Kennzahlen aus dem Copilot-Interaktionsverlauf werden als Tagesaggregate gespeichert und unterliegen der im Portal konfigurierten Aufbewahrungsrichtlinie des Mandanten (Governance → Aufbewahrung). Prompt- und Antworttexte werden nicht gespeichert und können daher auch nicht nachträglich eingesehen werden.

6.3 Löschung und Anonymisierung

Nach Ablauf der Aufbewahrungsfrist oder bei Widerruf der Rechtsgrundlage sollten die betroffenen Daten gelöscht oder anonymisiert werden. Die technische Umsetzung (manuell, Skript, Berechtigungen) obliegt dem Betreiber. Sofern Löschanträge betroffener Personen vorliegen, sind diese innerhalb der gesetzlichen Fristen (in der Regel einen Monat, Art. 12 Abs. 3 DSGVO) umzusetzen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6.4 Vollständige Deaktivierung des CHAOS-Dienstes für einen Endkunden (Reseller)

Ein autorisierter Reseller (nach Anmeldung im Reseller-Portal) kann die CHAOS-Verknüpfung für einen Endkunden dauerhaft entfernen. Nach ausdrücklicher Bestätigung werden im CHAOS-Backend – soweit technisch umgesetzt – u. a. entfernt:

• gespeicherte Konfigurations- und Metadaten zu diesem Kunden/Mandanten (z. B. Snapshots, Einladungen, Tenant-Konfiguration),
• Dashboard-/Portal-Logindaten des Endkunden in der CHAOS-Datenbank,
• Auswertungsartefakte (z. B. in der Datenbank gespeicherte JSON/CSV-Artefakte) und der Ausgabeordner dieses Mandanten auf dem Server, soweit konfiguriert,
• tenantbezogene Zusatzdaten (z. B. License-Intelligence-Einträge), soweit vorhanden.

Hinweise: Eine erneute Nutzung von CHAOS erfordert danach eine neue Einrichtung (z. B. erneute Aktivierung und Ausführung des Setup-Skripts). Daten im Microsoft-365-Mandanten des Kunden (z. B. App-Registrierungen, Zertifikate) werden durch diese Löschung nicht automatisch entfernt; dies verbleibt in der Verantwortung des Kunden bzw. IT-Betriebs. Historische Daten, die bereits gelöscht wurden, können nicht wiederhergestellt werden.

7. Auftragsverarbeitung und Empfänger

• Kunde: Verantwortlicher für die Daten seiner Beschäftigten im Microsoft-365-Mandanten.
• CHAOS GmbH: Auftragsverarbeiter (Hersteller und SaaS-Betrieb). Früherer Name: DRG Services GmbH (Umfirmierung August 2026, dieselbe juristische Person).
• Reseller: Vertriebspartner; kein zweiter Betreiber der Graph-Pipeline. Typischer Zugriff nur auf Kundenstamm, Aktivierung und Abonnements, nicht auf die volle Nutzungsanalyse, sofern der Kunde das Dashboard nicht teilt.
• Microsoft Azure: Unterauftragsverarbeiter der CHAOS GmbH für Hosting (West Europe).
• Microsoft Graph / Microsoft 365: Der Abruf aus dem Mandanten unterliegt dem Microsoft-365-Vertrag des Kunden mit Microsoft. Was CHAOS danach speichert und auswertet, unterliegt dem AVV mit der CHAOS GmbH.
• Reseller-/Xvantage-Dienste: Nur Abonnement-/Bestelldaten, soweit der Kunde Commerce nutzt – keine Graph-Inhalte an Distributoren.
• Keine Weitergabe an Dritte zu Werbe- oder Profilierungszwecken.

8. Datenübermittlung in Drittländer

Die CHAOS-SaaS-Speicherung erfolgt in der EU (Azure West Europe). Durch Microsoft Graph / Microsoft 365 können Daten zusätzlich auf Microsoft-Infrastruktur verarbeitet werden; Zulässigkeit und Garantien richten sich nach den Verträgen zwischen Mandant und Microsoft sowie zwischen CHAOS GmbH und Microsoft Azure.

9. Rechte der betroffenen Personen

Betroffene Personen (z. B. Benutzer des Microsoft-365-Mandanten, Dashboard-Nutzer) haben die folgenden Rechte aus der DSGVO. Die Ausübung richtet sich an den Verantwortlichen (Mandant / Arbeitgeber). Die CHAOS GmbH verarbeitet die Daten als Auftragsverarbeiter.

Der Verantwortliche hat Anfragen in der Regel innerhalb eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO); bei komplexen oder mehreren Anfragen kann die Frist um bis zu zwei Monate verlängert werden. Die Ausübung der Rechte ist für die betroffene Person unentgeltlich; bei offensichtlich unbegründeten oder exzessiven Anfragen kann eine Gebühr oder Ablehnung in Betracht kommen (Art. 12 Abs. 5 DSGVO).

10. Technische und organisatorische Maßnahmen

Zur Gewährleistung eines angemessenen Schutzniveaus sollten folgende Maßnahmen beachtet werden:

10.1 Authentifizierung und Zugriff

• Authentifizierung gegenüber Microsoft Graph über Zertifikat (kein Passwort im Code).
• Konfiguration (TenantId, ClientId, Zertifikat, OutputRoot usw.) über Konfigurationsdateien bzw. Umgebungsvariablen; sensible Werte nicht in Versionskontrolle committen.
• Zugriff auf das Dashboard nur nach Anmeldung; Zugriff auf die Output-Dateien über Betriebssystem-Berechtigungen einschränken (nur berechtigte Benutzer/Gruppen).
• Prinzip der need-to-know-Zugriffskontrolle: Nur Personen mit betrieblicher Erfordernis sollen Zugriff auf personenbezogene Ausgabedateien haben.

10.2 Integrität und Vertraulichkeit

• Report-Privacy: Nach dem Lauf wird die Report-Privacy-Einstellung auf den in ReportPrivacy_OriginalState.json gesicherten Ausgangszustand zurückgesetzt.
• Empfohlen: Verschlüsselung während der Übertragung (z. B. HTTPS für die Webapp, TLS für API-Aufrufe); Verschlüsselung bei Speicherung (z. B. verschlüsselte Laufwerke oder Dateisysteme) gemäß Risikobewertung des Betreibers.

10.3 Verfügbarkeit und Belastbarkeit

• Regelmäßige Sicherung der Konfiguration und ggf. der Output-Daten gemäß betrieblicher Vorgaben; Prüfung der Wiederherstellbarkeit.
• Dokumentation der Abhängigkeiten (Microsoft Graph, optional Partner Center, Xvantage) und ggf. Ausfallkonzepte.

10.4 Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Prüfung der Berechtigungen der Azure-AD-App (keine überflüssigen Scopes).
• Überprüfung der Aufbewahrungsfristen und Löschroutinen im Output-Verzeichnis.
• Bei wesentlichen Änderungen an CHAOS (neue Datenkategorien, neue APIs): Anpassung dieser Datenschutzerklärung und ggf. des Verzeichnisses der Verarbeitungstätigkeiten.

10.5 Protokollierung und Nachvollziehbarkeit

• Zugriffs- und Nutzungsprotokolle (z. B. Anmeldungen am Dashboard, Zugriffe auf das Output-Verzeichnis) sollten gemäß betrieblicher und rechtlicher Anforderungen geführt und aufbewahrt werden; dabei sind Speicherbegrenzung und Zweckbindung zu beachten (z. B. keine übermäßige Dauer, Zugriff nur für Berechtigte).
• Sofern Logs personenbezogene Daten enthalten (z. B. Benutzernamen, IP-Adressen), sind sie in das Verzeichnis der Verarbeitungstätigkeiten aufzunehmen und die Aufbewahrungsdauer zu definieren.

11. Sicherheitsvorfälle und Meldepflichten

Bei einem Datenleck oder einer Verletzung der Sicherheit personenbezogener Daten, die voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, gelten für den Verantwortlichen:

• Meldung an die Aufsichtsbehörde (Art. 33 DSGVO): unverzüglich, möglichst innerhalb von 72 Stunden nach Bekanntwerden, sofern nicht nachgewiesen wird, dass die Verletzung voraussichtlich kein Risiko darstellt.
• Benachrichtigung der betroffenen Personen (Art. 34 DSGVO): ohne ungebührliche Verzögerung, wenn das Risiko für deren Rechte und Freiheiten voraussichtlich hoch ist; Ausnahmen gemäß Art. 34 Abs. 3 DSGVO möglich.

Die CHAOS GmbH und der Verantwortliche (Mandant) legen interne Verfahren für die Erkennung, Dokumentation und Meldung von Vorfällen fest. Empfohlene Schritte bei Verdacht auf eine Verletzung des Schutzes personenbezogener Daten:

1. Erkennung & Meldung: Verdacht oder Feststellung eines Vorfalls (z. B. unbefugter Zugriff, Verlust von Daten, Ransomware) wird an eine festgelegte Stelle (z. B. IT-Sicherheit, Datenschutzbeauftragter) gemeldet.
2. Dokumentation: Art des Vorfalls, betroffene Daten, Zeitraum, Anzahl betroffener Personen und erste Einschätzung des Risikos werden dokumentiert.
3. Meldung Aufsichtsbehörde: Prüfung, ob eine Meldung nach Art. 33 DSGVO erforderlich ist; bei Ja: Meldung möglichst innerhalb von 72 Stunden mit den in Art. 33 Abs. 3 genannten Angaben.
4. Benachrichtigung Betroffener: Prüfung, ob eine Benachrichtigung nach Art. 34 DSGVO erforderlich ist (hohes Risiko); bei Ja: Information ohne ungebührliche Verzögerung mit verständlichen Angaben zu Art der Verletzung und Empfehlungen.
5. Nachbereitung: Dokumentation der getroffenen Maßnahmen, ggf. Anpassung technischer/organisatorischer Maßnahmen zur Vermeidung künftiger Vorfälle.

Sofern CHAOS durch einen Dritten (z. B. Dienstleister) betrieben wird, ist vertraglich zu regeln, dass dieser den Verantwortlichen unverzüglich über Verletzungen informiert (Art. 28 Abs. 3 lit. f DSGVO).

11.1 DORA (nur Finanz- und Versicherungsunternehmen)

Soweit der Kunde ein Finanz- oder Versicherungsunternehmen im Sinne der Verordnung (EU) 2022/2554 (DORA) ist bzw. die DORA auf ihn anwendbar ist, gelten ergänzend die Regelungen des DORA-Addendums (DORA.md / Portal unter /legal/dora), insbesondere zur unverzüglichen Information bei IKT-bezogenen Vorfällen und zur Mitwirkung bei Meldepflichten des Kunden. Mit der Bestätigung von AGB, Datenschutzerklärung und AVV gilt das DORA-Addendum für solche Kunden als angenommen; einer gesonderten Unterschrift bedarf es nicht. Für andere Kunden findet das DORA-Addendum keine Anwendung. Die DSGVO-Meldepflichten nach Art. 33/34 bleiben unberührt.

12. Dokumentation und Verzeichnis der Verarbeitungstätigkeiten

Der Verantwortliche ist verpflichtet, ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) zu führen. Die in dieser Datenschutzerklärung beschriebenen Verarbeitungen (Zweck, Kategorien betroffener Personen und personenbezogener Daten, Empfänger, Speicherdauer, technische und organisatorische Maßnahmen, ggf. Drittländer) können als Grundlage für die Einträge zu CHAOS dienen. Die konkrete Ausgestaltung (Kontaktdaten des Verantwortlichen, Aufbewahrungsfristen, Rechtsgrundlagen je Verarbeitung) ist vom Betreiber zu ergänzen.

Sofern eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) erforderlich ist (z. B. bei hohem Risiko durch systematische Auswertung von Nutzungsdaten), obliegt diese dem Verantwortlichen.

13. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann bei Änderung der verarbeiteten Daten, der Berechtigungen, der Rechtsgrundlagen oder der Zwecke angepasst werden. Ein aktualisierter Stand sollte im Projekt (z. B. durch Aktualisierung des Dokuments im Hauptordner) abgelegt werden. Bei wesentlichen Änderungen sollten die betroffenen Stellen (z. B. betroffene Beschäftigte, ggf. Betriebsrat) informiert werden; soweit erforderlich, ist eine erneute Information oder Einwilligung der Betroffenen einzuholen.

Empfohlen wird, Änderungen mit Datum und Kurzbeschreibung zu versehen (z. B. in einer Versionsübersicht am Anfang des Dokuments).

14. Antworten auf aktuelle Datenschutzfragen (FAQ)

14.1 Wer trifft die Entscheidung, wie die erhobenen Daten verwendet werden?

Die Entscheidung trifft der Verantwortliche (Mandant). Die CHAOS GmbH verarbeitet Daten im Rahmen der beauftragten Leistung und ist dabei an die dokumentierten Zwecke und Weisungen des Verantwortlichen gebunden.

14.2 Wer entscheidet, welche Mittel im Hinblick auf die festgestellten Daten verwendet werden?

Die Mittel der Verarbeitung werden gemeinsam durch vertragliche und technische Festlegung bestimmt:

• Der Verantwortliche entscheidet, welche Verarbeitung für seine Zwecke erforderlich ist.
• Die CHAOS GmbH legt im Rahmen des Auftrags die technische Umsetzung fest, jedoch nur innerhalb der vertraglich und datenschutzrechtlich zulässigen Grenzen.

Bei typischer Auftragsverarbeitung gilt: Der Verantwortliche bestimmt Zweck und wesentliche Mittel; der Auftragsverarbeiter setzt technisch um.

14.3 Ist beabsichtigt, dass mit dem Kunden vertraglich vereinbart wird, auf welche Datenkategorien zugegriffen wird und welche Verarbeitungsvorgänge die CHAOS GmbH vornehmen darf?

Ja, das ist erforderlich und beabsichtigt. Es sollte vertraglich klar festgelegt werden:

• welche Datenkategorien verarbeitet werden duerfen (z. B. Benutzerstammdaten, Lizenzzuweisungen, Nutzungsmetadaten),
• welche Verarbeitungsvorgaenge erlaubt sind (Abruf, Analyse, Empfehlung, Anzeige, Protokollierung, Loeschung),
• welche Verarbeitung ausdruecklich ausgeschlossen ist.

Dies sollte im Leistungsvertrag und in einer Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO) dokumentiert werden.

14.4 Kann der Zugriff der CHAOS GmbH (technisch) eingeschränkt werden?

Ja. Der Zugriff kann technisch begrenzt werden, insbesondere durch:

• getrennte Service-Accounts und rollenbasierte Berechtigungen (Least Privilege),
• Beschraenkung der Graph-App-Berechtigungen auf notwendige Scopes,
• Tenant-/Mandanten-Trennung,
• Zugriffsschutz auf Output-Verzeichnisse (Dateisystemrechte),
• Netzwerk- und Admin-Zugriffsbegrenzung (z. B. Bastion, VPN, IP-Restriktion),
• Protokollierung und regelmaessige Berechtigungsreviews.

14.5 Ist sichergestellt, dass nur die unbedingt zur Leistungserbringung notwendigen Daten an die CHAOS GmbH offengelegt bzw. übermittelt werden?

Dies muss organisatorisch und technisch nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) sichergestellt werden. Zielbild:

• nur die fuer die Lizenzanalyse erforderlichen Felder und Zeitraeume abrufen,
• keine Inhaltsdaten (z. B. Mail- oder Chatinhalte); beim optionalen Copilot-Interaktionsverlauf werden Texte nur flüchtig klassifiziert und ausschließlich Kennzahlen gespeichert,
• optionalen Datenzugriff (z. B. Hauptrechner-Check) nur bei aktivierter Fachanforderung,
• regelmaessige Pruefung, ob Datenkategorien reduziert werden koennen.

14.6 Ist der Leistungsinhalt ohne Zugriff auf personenbezogene Daten (wie Benutzer, Nutzungsbereich, registrierte Geräte) überhaupt möglich?

Nur eingeschraenkt. Eine individuelle Lizenzoptimierung pro Benutzer ist ohne personenbezogene bzw. personenbeziehbare Daten in der Regel nicht belastbar moeglich. Ohne diese Daten waere hoechstens eine aggregierte, stark vereinfachte Mandantenbetrachtung moeglich, aber keine praezise nutzerbezogene Empfehlung.

Dieses Dokument dient der Transparenz über die in CHAOS abgerufenen Daten, die genutzten Berechtigungen und die Verwendungszwecke. Es ersetzt nicht die Prüfung durch einen Datenschutzbeauftragten oder die Anpassung an konkrete Verträge (z. B. AV-Vertrag zwischen Auftragsverarbeiter und Verantwortlichem).