1. Rechtsgrundlage für die Datenverarbeitung

Die Verarbeitung personenbezogener Daten im Rahmen der Microsoft 365 Nutzung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Durchführung vertraglicher oder vorvertraglicher Maßnahmen sowie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Wahrung berechtigter Interessen an einer effizienten, sicheren und modernen digitalen Kommunikation.

2. Verantwortlichkeit

Verantwortlich für die Datenverarbeitung ist die AGRAVIS Raiffeisen AG, Industrieweg 110, 48155 Münster,

3. Datenschutzbeauftragter

2B Advice GmbH, Joseph-Schumpeter-Allee 25, 53227 Bonn,

4. Verarbeitung personenbezogener Daten und Kategorien von personenbezogenen Daten im Rahmen der Nutzung von Microsoft 365

Im Rahmen der Nutzung von Microsoft 365 werden im Detail folgende Datenkategorien verarbeitet und gespeichert:

• Für die Identifizierung Ihrer Person insbesondere als Nutzer, Absender, Empfänger von Daten bzw. Informationen erforderliche Stammdaten (insbesondere Name, Vorname, geschäftliche Adresse, dienstliche Kontaktdaten wie Telefonnummer und E-Mailadresse). Diese Informationen sind in Ihrem Profil, aber insbesondere auch in Outlook für Sie und andere Mitglieder und Gäste der Organisation jederzeit sichtbar. Weitere Daten (wie z. B. ein von Ihnen eingepflegtes Ihre Person betreffendes Profilbild) sind ebenfalls in Ihrem Profil jederzeit für Sie und andere einsehbar und bzw. durch Sie änderbar.
• Aktivitäten als Nutzer in Microsoft 365 (z.B. Datei geöffnet, Link erstellt).
• IP-Adressen, mit denen der Zugriff auf die Anwendungen von Microsoft 365 erfolgt.
• Benutzername (Zugangsdaten zu den Microsoft 365 Anwendungen), Daten im Rahmen der sog. Multifaktor-Authentifizierung (z. B. optional die (private) Handynummer).
• Daten im Rahmen der Authentifizierung und des Rechtegebrauchs (Speicherung sämtlicher Nutzaktivitäten, wie z.B. Zeitpunkt des Zugriffs, Datum, Art des Zugriffs, Angabe zu den Daten/Dateien/Dokumenten auf die zugegriffen wurde und sämtliche Aktivitäten im Zusammenhang mit dem Zugriff (z. B. Anlegen, Ändern, Löschen eines Dokuments, Einrichten eines Teams (und von Kanälen in Teams), Anfertigen von Notizen im Notizbuch, Start eines Chats, Antworten im Chat).
• Sofern bei der Nutzung von Microsoft Teams Sprachprofile erstellt werden (z. B. zur personalisierten Spracherkennung oder für Transkriptionsfunktionen), erfolgt dies auf freiwilliger Basis und ggf. auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a und ggf. Art. 9 Abs. 2 lit. a DSGVO. Die Erstellung solcher Sprachprofile umfasst akustische Merkmale, die für die Verbesserung der Sprachdienste genutzt werden.

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet im Rahmen der Nutzung nicht statt.

5. Allgemeine Informationen zum Einsatz von Microsoft 365 bei der
AGRAVIS Raiffeisen AG und deren Konzerngesellschaften sowie zum Verarbeitungszweck

Microsoft 365 ist eine Organisationseinheiten übergreifende Produktivitäts-, Kollaborations- und Austauschplattform für einzelne User, Teams, Communities und Netzwerke.

Es wird zur Kommunikation mit Internen und Externen und dem Austausch von Informationen, Wissen, Dateien/Dokumenten jeglichen in Microsoft 365 verwendeten Formaten verwendet. Dateien/Dokumente gleich welcher Rechtsqualität (z.B. interne vorbereitende Notizen, Vermerke, Präsentationen, Analysen, Vorbereitung von Vertragstexten) werden angelegt, weiter – ggf. gemeinsam mit anderen berechtigten Nutzern/Teams/Gruppen – bearbeitet, versendet und elektronisch archiviert/abgespeichert.

Die im Rahmen der Nutzung von Microsoft 365 gespeicherten personenbezogenen Daten werden für folgende Zwecke verarbeitet:

• Eindeutige Identifizierung der Nutzer, insbesondere für andere Mitarbeiterinnen und Mitarbeiter, zur Erleichterung der zielgerichteten Kommunikation und des Austauschs insbesondere mit Beschäftigten (klare Identifizierung der Absender und Empfänger von E-Mails, Einrichtung von Teams/Gruppen, Freigaben von Dokumenten).
• Logische Zugriffskontrolle und Möglichkeit der Rückverfolgung, um Fälle von Datenmissbrauch/Angriffe bzw. Zugriffe von unberechtigten Dritten im Verdachtsfall entgegenwirken und aufklären zu können; hierzu werden Benutzername und Daten aus der Multifaktor-Authentifizierung sowie Protokolle von Usertätigkeiten gespeichert; der Zugriff auf diese Daten ist nur einem engen Berechtigtenkreis nach einem abgestimmten Verfahren möglich.
• Speicherung von Dokumenten zur Erfüllung von Dokumentationspflichten.

6. Spezielle Informationen zu einzelnen Microsoft 365 Anwendungen

Nutzung der elektronischen Kommunikation (insbesondere Outlook und Teams):

Auch wenn die nachfolgenden Informationen Ihnen vorliegen bzw. Sie auf diese zugreifen können und diese damit nicht der Auskunftspflicht unterliegen, führen wir aufgrund der vielfältigen Informationen die wichtigsten verarbeiteten Datenkategorien, insbesondere im Rahmen der Nutzung der elektronischen Kommunikation auf:

• Betreff oder Titel (Betreff einer E-Mail, eines Chats oder Titel einer Datei).
• Absender oder erstellt von (Absender oder Ersteller einer E-Mail, eines Chats oder einer Datei).
• Empfänger in Zeile "An" (Empfänger einer E-Mail oder eines Chats).
• Empfänger in Zeile "Cc" und „bcc“ (Kopie-Empfänger und sog. „Blindcopy“ einer E-Mail).
• Datum/Uhrzeit des Versands (Datum/Uhrzeit, zu dem/zu der die E-Mail gesendet wurde).
• Typ (Elementtyp, bei E-Mails z.B. „Nachricht“).
• Empfangen oder erstellt (Datum/Uhrzeit, zu dem/zu der die E-Mail empfangen bzw. die Datei erstellt wurde).
• Geändert am (Datum/Uhrzeit, zu dem/zu der die E-Mail bzw. die Datei geändert wurde).
• Kalendereinträge, Kalenderfreigaben.
• Vom Nutzer selbst eingepflegte Kontaktdaten.

7. Auftragsverarbeitung, Datenübermittlungen – Datenspeicherung innerhalb der Europäischen Union

Die Verarbeitung der personenbezogenen Daten im Rahmen der Nutzung der von der Organisation eingesetzten Microsoft 365 Anwendungen erfolgt als Auftragsverarbeitung. Dies bedeutet, dass Microsoft als so genannter Auftragsverarbeiter den Weisungen der AGRAVIS Raiffeisen AG im Hinblick auf die Verarbeitung der Daten vollständig unterliegt und diese durch Microsoft nicht zu eigenen Zwecken und / oder Zwecken Dritter genutzt werden dürfen.

Ergänzend möchten wir darauf hinweisen, dass die Speicherung der Daten, die im Rahmen der Nutzung von Microsoft 365 Anwendungen anfallen, ausschließlich auf Servern innerhalb der Europäischen Union erfolgt.

8. Speicherdauer

Nach Beendigung der Zusammenarbeit werden alle im Rahmen der Nutzung von Microsoft 365 angefallenen personenbezogenen Daten für weitere 93 Tage gespeichert; sämtliche Dokumente und Kommunikationsverläufe, die der Dokumentationspflicht unterliegen, werden bis zur jeweiligen Zweckerfüllung gespeichert.

Vom System generierte Protokolle bzw. Logfiles, die u.U. Login-Daten oder IP-Adressen enthalten, werden systembedingt nach vorgegebenen Konfigurationen erstellt und gelöscht. Es sei denn, wir sind ausnahmsweise aufgrund gesetzlicher Vorschriften oder behördlicher Anordnungen zu einer längeren Speicherung verpflichtet oder wir sind ausnahmsweise zu einer längeren Speicherdauer berechtigt (z. B. weil die Daten erforderlich sind, weil Ansprüche gegen uns geltend gemacht werden).

9. Betroffenenrechte

Als betroffene Person stehen Ihnen gemäß Art. 15 ff. DSGVO insbesondere folgende Rechte zu:

• Recht auf Auskunft über die verarbeiteten personenbezogenen Daten
• Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• sowie ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde

Münster, März 2026