Informationspflichten

Informationen zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung von Microsoft 365 Produkten

Stand: 09.10.2026

Diese Informationen gelten für die Verarbeitung personenbezogener Daten bei der Nutzung der von uns bereitgestellten Microsoft-365-Dienste. Hierzu gehören insbesondere die Benutzer- und Zugriffsverwaltung über Microsoft Entra ID, Exchange Online und Outlook, Microsoft Teams, SharePoint Online, OneDrive, die Microsoft-365-Apps, Power Apps, Power Automate, Power BI, Microsoft Intune sowie Microsoft 365 Copilot. Die Informationen gelten für Mitarbeitende, externe Mitarbeitende, Geschäftspartner, Kunden und sonstige Personen, deren personenbezogene Daten im Rahmen der Nutzung dieser Dienste verarbeitet werden. Welche Daten konkret verarbeitet werden, hängt von dem jeweils eingesetzten Dienst und dessen Nutzung ab.

1. Verantwortlicher (Art. 13/14 Abs. 1 a) DSGVO)

Die Microsoft-365-Dienste werden zentral durch die GELSENWASSER AG bereitgestellt, administriert und betreut, jedoch von mehreren Gesellschaften genutzt, die jeweils als Verantwortliche im Sinne der datenschutzrechtlichen Bestimmungen auftreten. Die für die Verarbeitung personenbezogener Daten verantwortliche Gesellschaft ergibt sich aus dem jeweiligen Beschäftigungs-, Vertrags- oder sonstigen Rechtsverhältnis.

Die in dieser Information genannten Gesellschaften nutzen einen gemeinsamen Microsoft-365-Tenant. Die einzelnen Gesellschaften inklusive der GELSENWASSER AG entscheiden innerhalb dieses Rahmens jeweils selbst über die fachliche Nutzung der Microsoft-365-Dienste, insbesondere über die konkreten Verarbeitungszwecke, die Nutzung einzelner Funktionen sowie die Verarbeitung der im jeweiligen Beschäftigungs-, Vertrags- oder sonstigen Rechtsverhältnis anfallenden personenbezogenen Daten. Sie sind insoweit jeweils Verantwortliche im Sinne der DSGVO.

Soweit die GELSENWASSER AG personenbezogene Daten ausschließlich zur technischen Bereitstellung, Konfiguration, Administration oder Betreuung der Microsoft-365-Dienste für eine Gesellschaft verarbeitet, erfolgt dies im Auftrag und nach Weisung dieser Gesellschaft gemäß Art. 28 DSGVO. Die jeweilige datenschutzrechtliche Rolle richtet sich somit nach dem konkreten Verarbeitungsvorgang.

Der Zugriff auf personenbezogene Daten wird grundsätzlich durch Rollen- und Berechtigungskonzepte beschränkt. Abhängig vom eingesetzten Dienst und den vergebenen Berechtigungen können insbesondere Benutzerprofile, dienstliche Kontaktdaten, Anwesenheits- und Statusinformationen sowie freigegebene Inhalte aus Teams, SharePoint und OneDrive für berechtigte Nutzende anderer Gesellschaften innerhalb des gemeinsamen Tenants sichtbar sein.

Die nachfolgenden Informationen gelten für die folgenden Gesellschaften:

• GELSENWASSER AG
• GELSENWASSER Energienetze GmbH
• Chemiepark Bitterfeld-Wolfen GmbH
• Erenja AG & Co. KG 
• AWS GmbH
• Stadtwerke Holzminden GmbH
• Weserstadtwerke-Service GmbH
• Gas- und Wasserversorgung Höxter GmbH
• Wassergewinnung Essen GmbH
• Stadtentwässerung Höxter GmbH
• Westfälische Wasser- und Umweltanalytik GmbH

2. Kontaktdaten der Datenschutzbeauftragten (Art. 13/14 Abs. 1 b) DSGVO)

Unsere Datenschutzbeauftragte und ihr Team beantworten Ihnen gerne alle Fragen zum Datenschutz.

Sabine Bohlenz
Willy-Brandt-Allee 26
45891 Gelsenkirchen
Telefon: 0209 708-788
E-Mail: datenschutz@gelsenwasser.de

Alle Anfragen zur Wassergewinnung Essen GmbH senden Sie bitte an datenschutz@wg-essen.de.

3. Verarbeitungszwecke und Rechtsgrundlagen (Art. 13/14 Abs. 1 c) DSGVO)

Wir verarbeiten personenbezogene Daten zu den nachfolgend genannten Zwecken und auf Grundlage der jeweils einschlägigen Rechtsgrundlagen. Nachfolgend informieren wir zudem über die dabei verarbeiteten Datenkategorien und die Erforderlichkeit ihrer Bereitstellung.

Verarbeitungszwecke:

• Bereitstellung, Verwaltung und Absicherung von Benutzerkonten, Gruppen, Rollen und Berechtigungen,
• Authentifizierung der Nutzenden und Steuerung des Zugriffs auf IT-Systeme und Informationen,
• interne und externe Kommunikation über E-Mail, Kalender, Chat, Telefonie sowie Audio- und Videokonferenzen,
• Erstellung, Bearbeitung, Speicherung, gemeinsame Nutzung und Freigabe von Dateien und Dokumenten,
• Organisation und Durchführung von Besprechungen, Schulungen und sonstigen Online-Veranstaltungen,
• Aufzeichnung oder Transkription von Besprechungen, sofern dies im Einzelfall vorgesehen und rechtlich zulässig ist,
• Digitalisierung, Automatisierung und Dokumentation betrieblicher Arbeits- und Geschäftsprozesse,
• Auswertung und Darstellung betrieblicher Informationen und Berichte,
• Verwaltung und Absicherung dienstlicher Endgeräte,
• Gewährleistung der Informationssicherheit, insbesondere durch Protokollierung, Überwachung, Fehleranalyse sowie Erkennung und Untersuchung von Sicherheitsereignissen,
• Administration, Wartung, Support und Weiterentwicklung der eingesetzten Dienste,
• KI-gestützte Unterstützung bei der Erstellung, Bearbeitung, Zusammenfassung und Analyse von Inhalten, soweit Microsoft 365 Copilot eingesetzt wird.
Rechtsgrundlage der Verarbeitung:
• Soweit personenbezogene Daten von Mitarbeitenden verarbeitet werden, ist § 26 Abs. 1 Satz 1 BDSG die Rechtsgrundlage der Datenverarbeitung. Sollten im Zusammenhang mit der Nutzung von Microsoft-365-Diensten personenbezogene Daten nicht für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich, gleichwohl aber elementarer Bestandteil bei der Nutzung sein, so ist Art. 6 Abs. 1 lit. f) DSGVO (berechtigtes Interesse) die Rechtsgrundlage für die Datenverarbeitung.
• Im Übrigen ist die Rechtsgrundlage für die Datenverarbeitung bei der Durchführung von Online-Veranstaltungen Art. 6 Abs. 1 lit. b) DSGVO (Vertrag oder vorvertragliche Maßnahme), soweit die genannten Verarbeitungen im Rahmen von Vertragsbeziehungen durchgeführt werden.
• Soweit keine vertragliche Beziehung besteht, erfolgt die Verarbeitung gemäß Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Bereitstellung einer sicheren und leistungsfähigen IT-Infrastruktur, der effizienten internen und externen Kommunikation und Zusammenarbeit, der Digitalisierung betrieblicher Abläufe sowie dem Schutz der eingesetzten Systeme und Daten vor unbefugten Zugriffen und sonstigen Sicherheitsrisiken.
• Bei einer Aufzeichnung oder Transkription ist die Rechtmäßigkeit von einer Einwilligung im Sinne von Art. 6 Abs. 1 lit. a) DSGVO abgedeckt. Wenn wir Online-Veranstaltungen aufzeichnen oder transkribieren wollen, werden wir Ihnen das im Voraus transparent mitteilen und um Ihre Einwilligung bitten. Im Falle von Webinaren können wir für Zwecke der Aufzeichnung und Nachbereitung von Webinaren auch die gestellten Fragen von Webinar-Teilnehmenden verarbeiten. Jeder Teilnehmende kann wählen, ob er oder sie seine oder ihre Identität in Besprechungen mit aktivierter Transkription verbergen möchte. In der Sprecherangabe wird nur angezeigt, was gesagt wird (Siehe Microsoft „Hide your identity in meeting captions and transcripts in Microsoft Teams - Microsoft Support“).
• Aufzeichnungen und Transkriptionen sind nicht zulässig, wenn aufgrund des Gegenstands der Besprechung regelmäßig besonders schutzbedürftige, vertrauliche oder für die Beurteilung von Beschäftigten relevante personenbezogene Daten verarbeitet werden. Dies gilt insbesondere für, Mitarbeiter-, Zielvereinbarungs-, Beurteilungs-, Bewerbungs-, Gesundheits-, BEM- und Rückkehrgespräche sowie für Gespräche zu Vergütung, Leistung, Verhalten, arbeitsrechtlichen Maßnahmen oder sonstigen persönlichen Angelegenheiten.

Folgende personenbezogene Daten können Gegenstand der grundsätzlichen Verarbeitung sein:

• Benutzer-, Organisations- und Kontaktdaten
• Angaben zum Benutzer: Vorname, Nachname, Telefon (optional), E-Mail-Adresse, Profilbild (optional),
• Authentifizierungsdaten, Token und Anmeldeinformationen
• Rollen, Gruppen, Berechtigungen und Freigaben
• E-Mail-, Kalender-, Kontakt-, Chat- und Kanalinhalte
• Dateien, Dokumente, Metadaten und Bearbeitungshistorien
• Protokoll-, Diagnose-, Telemetrie-, Audit- und Sicherheitsdaten
• Geräte-ID, Betriebssystem, Compliance-Status, geschäftlich installierte Anwendungen, IP-Adresse, Standortinformationen, Geräte- und Browserdaten
• Eingaben und Ausgaben bei Copilot, einschließlich Prompts und einbezogener Arbeitsinhalte
Folgende personenbezogene Daten können Gegenstand der Verarbeitung bei Teams-Besprechungen sein:
• Meeting-Metadaten: Thema, Beschreibung, Teilnehmer-IP-Adressen, Browser-/Geräte-/Hardware-Informationen
• Bei Aufzeichnungen (optional): MP4-Datei aller Video-, Audio- und Präsentationsaufnahmen, M4A-Datei aller Audioaufnahmen, Textdatei des Online-Meeting-Chats.
• Bei Transkription (optional): Besprechungsaufzeichnungen inklusive Zeitstempel der Teilnehmenden.
• Bei Einwahl mit dem Telefon: Angabe zur eingehenden und ausgehenden Rufnummer, Ländername, Start- und Endzeit. Ggf. können weitere Verbindungsdaten, wie z.B. die IP-Adresse des Geräts, gespeichert werden.
• Text-, Audio- und Videodaten: Sie haben ggf. die Möglichkeit, in einer Online-Veranstaltung die Chat-, Fragen- oder Umfragenfunktionen zu nutzen. Insoweit werden die von Ihnen gemachten Texteingaben verarbeitet, um diese in der Online-Veranstaltung anzuzeigen und ggf. zu protokollieren. Um die Anzeige von Video und die Wiedergabe von Audio zu ermöglichen, werden entsprechend während der Dauer des Meetings die Daten vom Mikrofon Ihres Endgeräts sowie von einer etwaigen Videokamera des Endgeräts verarbeitet. Sie können die Kamera oder das Mikrofon jederzeit selbst abschalten bzw. stummstellen.
Bereitstellung personenbezogener Daten:
• Die Bereitstellung der für das Benutzerkonto, die Authentifizierung, die Kommunikation und die IT-Sicherheit erforderlichen personenbezogenen Daten ist für die Nutzung der jeweils bereitgestellten Microsoft-365-Dienste notwendig. Ohne die Bereitstellung dieser Daten können einzelne Dienste oder Funktionen nicht oder nur eingeschränkt genutzt werden. Darüberhinausgehende freiwillige Angaben sind als solche gekennzeichnet.

4. Empfänger und Kategorien von Empfängern (Art. 13/14 Abs. 1 e) DSGVO)

Personenbezogene Daten werden nur übermittelt oder zugänglich gemacht, soweit dies für die jeweils genannten Verarbeitungszwecke erforderlich ist, eine gesetzliche Verpflichtung besteht oder eine sonstige datenschutzrechtliche Erlaubnis vorliegt.

Empfänger oder Kategorien von Empfängern können insbesondere sein:

• Microsoft Ireland Operations Limited als Auftragsverarbeiter,
• von Microsoft eingesetzte Unterauftragsverarbeiter,
• der mit der Bereitstellung, Administration oder Betreuung der Microsoft-365-Dienste beauftragte IT-Dienstleister,
• intern zuständige Fachbereiche, Administratoren und Supportstellen,
• externe Teilnehmende, Gastnutzer oder sonstige Kommunikationspartner, soweit Inhalte bestimmungsgemäß mit ihnen geteilt oder an sie übermittelt werden,
• Behörden, Gerichte oder sonstige öffentliche Stellen, soweit eine gesetzliche Verpflichtung zur Übermittlung besteht.

Bei der Einbindung von Auftragsverarbeitern werden die datenschutzrechtlichen Anforderungen, insbesondere nach Art. 28 DSGVO, beachtet.

5. Übermittlung an ein Drittland oder eine internationale Organisation (Art. 13/14 Abs. 1 f) DSGVO)

Wir nutzen Microsoft 365 und die damit verbundenen Cloud-Dienste der Microsoft Ireland Operations Ltd. Grundsätzlich werden die im Rahmen der Nutzung verarbeiteten Daten innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) gespeichert und verarbeitet. Microsoft hat hierfür die sogenannte „EU Data Boundary“ eingeführt, die die Verarbeitung und Speicherung von Kundendaten, pseudonymisierten personenbezogenen Daten sowie bestimmter Supportdaten innerhalb der EU/EWR vorsieht.

In einzelnen, begrenzten Fällen kann jedoch ein Zugriff auf personenbezogene Daten aus Ländern außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums oder eine Übermittlung in solche Länder nicht vollständig ausgeschlossen werden. Dies kann insbesondere im Rahmen des technischen Supports, von Sicherheitsmaßnahmen oder bestimmter Dienstfunktionen erforderlich sein. Soweit personenbezogene Daten an in den USA ansässige Empfänger übermittelt werden, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO. In anderen Fällen stellt Microsoft geeignete Garantien gemäß Art. 46 ff. DSGVO bereit, insbesondere durch die von der Europäischen Kommission genehmigten Standardvertragsklauseln sowie ergänzende technische und organisatorische Schutzmaßnahmen.

6. Dauer der Speicherung und Kriterien für die Festlegung der Speicherdauer (Art. 13/14 Abs. 2 a) DSGVO)

Wir speichern Ihre personenbezogenen Daten zu den in Ziff. 3 angegebenen Zwecken. Wir löschen personenbezogene Daten grundsätzlich dann, wenn kein Erfordernis für eine weitere Speicherung besteht. Ferner werden Ihre Daten zur Erfüllung der gesetzlichen Aufbewahrungspflichten gespeichert.

- Benutzerkonten und Gruppen werden grundsätzlich 30 Tage nach ihrer Löschung inklusive sämtlicher Benutzerinformationen (z.B. Profilbild) endgültig gelöscht. Beim Ausscheiden eines Mitarbeitenden wird dessen Benutzerkonto deaktiviert. Zur Sicherstellung des Geschäftsbetriebs, erhält die vorgesetzte Person einen dokumentierten, zweckgebundenen und befristeten Zugriff auf die dienstlichen Inhalte des OneDrive-Kontos. Der Zugriff ist auf maximal 30 Tage begrenzt. Nach Ablauf dieser Frist wird der Zugriff automatisch entzogen und das OneDrive-Konto einschließlich der enthaltenen Daten gelöscht.
- Anmelde- und Auditprotokolle werden grundsätzlich für 30 Tage gespeichert, soweit keine längere Aufbewahrung zur Untersuchung eines Sicherheitsereignisses erforderlich ist.
- E-Mails, Kalender-, Aufgaben- und Kontaktelemente werden grundsätzlich zehn Jahre ab der letzten Änderung gespeichert, soweit keine abweichenden gesetzlichen oder fachlichen Löschfristen gelten.
- Teams-Chatnachrichten werden grundsätzlich nach drei Jahren gelöscht.
- Teams-Anruflisten werden grundsätzlich nach sechs Monaten gelöscht.
- Aufzeichnungen und Transkriptionen von Teams-Besprechungen werden grundsätzlich nach 120 Tagen automatisch gelöscht, sofern die Aufbewahrungsdauer nicht aufgrund eines berechtigten fachlichen Erfordernisses verlängert wird.
- Prompts und zugehörige Interaktionsdaten bei Microsoft 365 Copilot werden grundsätzlich für einen Monat gespeichert.
- Geräte- und Verwaltungsdaten in Microsoft Intune werden grundsätzlich 60 Tage nach Entfernung des Geräts oder Benutzerkontos gelöscht; Auditprotokolle können bis zu zwei Jahre gespeichert werden.
- Für Inhalte in SharePoint, OneDrive, Teams, Power Apps, Power Automate, Dataverse und Power BI richtet sich die Speicherdauer zusätzlich nach dem Zweck des jeweiligen Geschäftsprozesses sowie den dafür festgelegten fachlichen und gesetzlichen Aufbewahrungsfristen. Daten und Dokumente werden 30 Tage nachdem der Teams Kanal gelöscht wird automatisch gelöscht.

Eine längere Speicherung kann erfolgen, wenn und solange dies zur Erfüllung gesetzlicher Pflichten, zur Geltendmachung oder Abwehr von Rechtsansprüchen oder zur Untersuchung eines Sicherheitsvorfalls erforderlich ist.

7. Rechte der betroffenen Personen (Art. 13 Abs. 2 b)/Art. 14 Abs. 2 c) DSGVO)

Als betroffene Person haben Sie die folgenden Rechte gem. Art. 15 bis 22 DSGVO:

- Recht auf Auskunft zur Verarbeitung Ihrer personenbezogenen Daten (vgl. Art. 15 DSGVO),
- Recht auf Berichtigung Sie betreffender unrichtiger personenbezogener Daten und unter Berücksichtigung der Zwecke der Verarbeitung auf Vervollständigung unvollständiger personenbezogener Daten (vgl. Art. 16 DSGVO),
- Recht auf Löschung („Recht auf Vergessenwerden“) personenbezogener Daten, insbesondere wenn die Daten für die Zwecke, für die sie verarbeitet wurden, nicht mehr notwendig sind oder Sie eine Einwilligung widerrufen haben (vgl. Art. 17 DSGVO),
- Recht auf Einschränkung der Verarbeitung (Sperrung), insbesondere wenn die Richtigkeit der personenbezogenen Daten von Ihnen bestritten wird, und zwar für eine Dauer, die es uns ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen (vgl. Art. 18 DSGVO),
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch uns zu übermitteln, sofern die Verarbeitung auf einer Einwilligung oder auf einem Vertrag beruht und die Verarbeitung mithilfe automatisierter Verfahren erfolgt,
- Recht auf Widerspruch Soweit wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Legen Sie Widerspruch ein, werden wir Ihre personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
- Automatisierte Entscheidungen im Einzelfall einschließlich Profiling (Art.  22 DSGVO): Sie haben das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die Ihnen ge-genüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Dies gilt nicht, wenn die Entscheidung für den Abschluss oder die Erfüllung eines Vertrags zwischen Ihnen und uns erforderlich ist, aufgrund von gesetzlichen Vorschriften zulässig ist und diese Vorschriften angemessene Maßnahmen zur Wahrung Ihrer Rechte und Freiheiten sowie Ihrer berechtigten Interessen enthalten oder mit Ihrer ausdrücklichen Einwilligung erfolgt.

8. Widerruf von Einwilligungen (Art. 13 Abs. 2 c)/Art. 14 Abs. 2 d) DSGVO)

Beruht die Verarbeitung Ihrer Daten auf einer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit, der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung, wird durch den Widerruf nicht berührt.

9. Beschwerderecht (Art. 13 Abs. 2 d)/Art. 14 Abs. 2 e) DSGVO)

Ihnen steht ein Beschwerderecht bei der für uns zuständigen Aufsichtsbehörde zu. Die zuständige Aufsichtsbehörde ist die

Landesbeauftragte für Datenschutz und Informationsfreiheit
Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Telefon: 0211 38424-0
Telefax: 0211 38424-10
E-Mail: poststelle@ldi.nrw.de

Bei Beschwerden bezüglich des Chemiepark Bitterfeld-Wolfen GmbH wenden sie sich an die Landesbeauftragte für den Datenschutz des Landes Sachsen-Anhalt (Otto-von-Guericke-Straße 34a, 39104 Magdeburg, Tel: 0391 81803-0, Fax: 0391 81803-33, E-Mail: poststelle(at)lfd.sachsen-anhalt.de) bezüglich der Stadtwerke Holzminden GmbH an den Landesbeauftragten für den Datenschutz Niedersachsen (Prinzenstraße 5, 30159 Hannover, Telefon: 0511 1204500, Telefax: 0511 1204599, E-Mail: poststelle@lfd.niedersachsen.de)

10. Automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO)

Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 findet nicht statt.

11. Kategorien personenbezogener Daten, die im Rahmen einer Dritterhebung verarbeitet werden und Quellen (Art. 14 Abs. 1 d), Abs. 2 f) DSGVO)

Personenbezogene Daten werden grundsätzlich unmittelbar bei der betroffenen Person oder im Rahmen ihrer Nutzung der Microsoft-365-Dienste erhoben. Daneben können personenbezogene Daten aus internen Personal- und Organisationssystemen, Verzeichnisdiensten wie Microsoft Entra ID, angebundenen Fachanwendungen, dienstlich genutzten Endgeräten sowie von Kommunikations- und Geschäftspartnern übernommen werden. Hierzu können insbesondere Benutzer-, Organisations- und Kontaktdaten, Rollen und Berechtigungen, Geräte- und Anmeldedaten sowie Kommunikations- und Inhaltsdaten gehören. Welche Daten aus welcher Quelle stammen, hängt von dem jeweils eingesetzten Dienst und dem konkreten Verarbeitungszweck ab.