Microsoft 365 und der Datenschutz: was zu tun ist

Ein Kunde schickt dir einen Datenschutz-Fragebogen. Darin steht die Frage, ob personenbezogene Daten mit Microsoft 365 verarbeitet werden. Werden sie — Outlook, Teams, die Dateien in SharePoint. Und dann liest du, die deutschen Aufsichtsbehörden hielten genau das für nicht nachweisbar datenschutzkonform.

Der Satz stimmt ungefähr, und er wird trotzdem meist falsch verstanden. Geprüft wurde nicht die Software. Geprüft wurde ein Vertrag. Und das Ergebnis richtet sich nicht nur an Microsoft, sondern an dich.

Was folgt, ist keine Empfehlung, Microsoft 365 abzuschalten. Es ist die Aufstellung dessen, was von einem Verantwortlichen erwartet wird — und ein nüchterner Blick darauf, welcher Teil davon in einem Betrieb ohne IT-Abteilung tatsächlich zu schaffen ist.

Geprüft wurde der Vertrag, nicht das Produkt

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder — kurz DSK — hat am 22. September 2020 eine Arbeitsgruppe eingesetzt, unter Federführung Brandenburgs und des Bayerischen Landesamts für Datenschutzaufsicht. In 14 mehrstündigen Videokonferenzen ging es mit Microsoft um den Datenschutznachtrag: den Standardvertrag zur Auftragsverarbeitung, den jeder Kunde mit dem Produkt bekommt.

Am 24. November 2022 stellte die DSK fest, dass der Nachweis, „Microsoft 365 datenschutzrechtskonform zu betreiben, auf der Grundlage des von Microsoft bereitgestellten Datenschutznachtrags vom 15. September 2022 nicht geführt werden kann". Solange die Transparenz über die Verarbeitung für Microsofts eigene Zwecke fehle und deren Rechtmäßigkeit nicht belegt sei, sei dieser Nachweis nicht zu erbringen.

Genauso wichtig ist, was die Arbeitsgruppe ausdrücklich nicht getan hat. Ihr eigener Bericht zählt es auf: keine eigenständigen technischen Untersuchungen, keine Prüfung der tatsächlich stattfindenden Datenflüsse, keine Prüfung einzelner Funktionalitäten, keine Prüfung der einzelnen Verarbeitungstätigkeiten. Untersucht wurden sechs vertragliche Mängel, die ein Arbeitskreis der DSK bereits 2020 aufgelistet hatte.

Der Kern der Kritik ist, was Microsoft für sich selbst tut

Die zentrale und wiederkehrende Frage der Gespräche war, in welchen Fällen Microsoft Auftragsverarbeiter ist und in welchen Verantwortlicher. Sie konnte nach dem Bericht nicht abschließend geklärt werden. Der Standardvertrag sieht vor, dass Microsoft personenbezogene Daten zu eigenen Geschäftszwecken verarbeitet — die Handreichung der Behörden nennt als Beispiele die Berechnung von Mitarbeiterprovisionen und die interne Berichterstattung.

Vier weitere Befunde stehen im Bericht:

• Weisungsbindung. Der Vertrag erlaubt Offenlegungen, die nicht auf Weisungen des Verantwortlichen beschränkt sind. Damit genügt die Weisungsbindung nach Bewertung der Arbeitsgruppe nicht den Mindestanforderungen des Artikels 28 Absatz 3 der DSGVO.
• Löschung. Die Ausgestaltung der Rückgabe- und Löschverpflichtung genügt „nicht in jedem Fall" den gesetzlichen Anforderungen.
• Unterauftragsverarbeiter. Das Benachrichtigungsverfahren wurde verbessert, die Muster-E-Mail teilt aber nur mit, dass Änderungen geplant sind — nicht, welche.
• Telemetrie- und Diagnosedaten. Sie werden nach Kenntnis der Arbeitsgruppe „in großem Umfang und grundsätzlich für eigennützige Zwecke" erhoben.

Die Behörden haben dir dazu eine Liste geschrieben

Sieben Aufsichtsbehörden haben eine Handreichung mit Stand 24. August 2023 veröffentlicht und am 22. September 2023 vorgestellt. Sie richtet sich an öffentliche und nicht-öffentliche Stellen und beschreibt, worauf eine Zusatzvereinbarung zum Standardvertrag hinwirken sollte.

Der ehrliche Teil zuerst: Vertragsänderungen liegen nicht in deiner Hand. Die Handreichung schreibt das selbst — sie hängen davon ab, dass Microsoft zustimmt. Für einen Betrieb mit acht Beschäftigten ist eine ausgehandelte Zusatzvereinbarung mit Microsoft Ireland kein realistischer Weg.

Brauchbar ist der zweite Teil: Maßnahmen, die unabhängig vom Vertrag wirken. Genannt werden unter anderem der Verzicht auf private Microsoft-Konten und auf BYOD im dienstlichen Bereich, die Beschränkung der Basiskontaktinformationen auf nicht personenbezogene Angaben wie Unternehmensadresse und Funktionspostfächer — Microsoft behält sich vor, diese an Dritte weiterzugeben —, die Prüfung eines Betriebs auf eigener Infrastruktur und das technische Unterbinden aller Verarbeitungen, für die keine Rechtsgrundlage besteht.

Ein Punkt der Liste verdient Widerspruch in der Umsetzung, nicht in der Sache: Die Behörden empfehlen dringend pseudonyme Mailadressen und Konten. In einem Handwerksbetrieb, dessen Adressen auf dem Firmenwagen stehen, ist das nicht durchzuhalten. Das Ziel dahinter bleibt trotzdem richtig — den Personenbezug der verarbeiteten Daten so klein wie möglich halten.

Die EU-Datengrenze ist echt, und sie hat Ausnahmen

Seit den Feststellungen von 2022 hat sich technisch etwas bewegt. Microsoft hat sich verpflichtet, Kundendaten und pseudonymisierte personenbezogene Daten für Microsoft 365, Azure, Dynamics 365 und die Power Platform innerhalb der EU und der EFTA zu speichern und zu verarbeiten. Für Microsoft 365 gilt das bei einem Registrierungsstandort in einem EU- oder EFTA-Land automatisch. Wer die Multi-Geo-Funktion erworben hat, fällt ausdrücklich heraus — auch wenn der Mandant in der EU geführt wird.

Microsoft benennt in derselben Dokumentation, was weiterhin hinausgeht:

• Sicherheitsvorgänge. Pseudonymisierte personenbezogene Daten und Professional-Services-Daten werden „in jede Azure Region weltweit" übertragen, in seltenen Fällen auch eingeschränkte Kundendaten.
• Beratungsleistungen. Deren Daten fallen nicht in den Geltungsbereich und liegen derzeit in US-Rechenzentren.
• Support. Titel von Supportfällen, an das Produktteam eskalierte Fälle und Voicemails können außerhalb gespeichert werden.
• Verzeichnisdaten. Eingeschränkte Daten aus Microsoft Entra — einschließlich Benutzername und E-Mail-Adresse — können außerhalb repliziert werden.
• Nicht enthalten sind lokale Software und Clientanwendungen, Dienste in der Vorschau und kostenlose Testversionen.

Der Weg in die USA ist erlaubt, aber unter Beobachtung

Seit dem Angemessenheitsbeschluss der Kommission vom 10. Juli 2023 dürfen personenbezogene Daten ohne zusätzliche Genehmigung an zertifizierte Organisationen in den USA übermittelt werden. Am 3. September 2025 hat das Gericht der Europäischen Union eine Klage auf Nichtigerklärung dieses Beschlusses abgewiesen (Rechtssache T-553/23) und bestätigt, dass die USA zum Zeitpunkt des Erlasses ein angemessenes Schutzniveau gewährleisteten.

Erledigt ist die Frage damit nicht. Gegen die Entscheidung ist innerhalb von zwei Monaten und zehn Tagen ein Rechtsmittel möglich, und die Kommission muss den Rechtsrahmen fortlaufend überwachen; ändert er sich, kann sie den Beschluss aussetzen, ändern oder aufheben. Zwei Vorgängerbeschlüsse hat der Gerichtshof in den Urteilen Schrems I und Schrems II gekippt. Für heute gilt aber: An dieser Stelle scheitert der Einsatz von Microsoft 365 nicht.

Was an einem Vormittag zu schaffen ist

1. Den Vertrag heraussuchen und ablegen. Der Datenschutznachtrag gehört zu den Vertragsunterlagen. Was darin stehen muss und wofür er überhaupt da ist, steht unter Auftragsverarbeitung: wer einen AVV braucht.
2. Den Mandanten prüfen. Land und Region des Mandanten stehen im Microsoft 365 Admin Center. Falls Multi-Geo lizenziert ist: Der Mandant liegt dann außerhalb der EU-Datengrenze.
3. Über die optionalen verbundenen Erfahrungen entscheiden. Gemeint sind Bing-gestützte Funktionen, Onlinebilder und -videos, die Wetterleiste in Outlook, „An Kindle senden" und der Office Store. Microsoft schreibt dazu, diese Dienste seien nicht durch die Lizenz deiner Organisation abgedeckt, sondern würden den Nutzern direkt lizenziert. Der Nutzer findet sie unter Datei › Konto › Kontodatenschutz › Einstellungen verwalten; für Administratoren gibt es dafür Richtlinieneinstellungen.
4. Die Meldungen über Unterauftragsverarbeiter umlenken auf ein Postfach, das jemand tatsächlich liest.
5. Microsoft 365 ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen. Die Handreichung schlägt sogar vor, das Verzeichnis in den Vertrag einzubeziehen. Wie es aufgebaut ist, steht unter Verzeichnis von Verarbeitungstätigkeiten.
6. Eigene Löschfristen festlegen, statt sich auf die des Anbieters zu verlassen — siehe Löschkonzept: was weg muss und wann.

Wo wirklich abzuraten ist

An einer Stelle wird der Bericht der Arbeitsgruppe deutlich: Eine Verwendung personenbezogener Daten der Nutzenden zu eigenen Zwecken des Anbieters schließt den Einsatz eines Auftragsverarbeiters im öffentlichen Bereich aus, insbesondere an Schulen. Der Grund ist rechtlich und nicht technisch — die Rechtsgrundlage des berechtigten Interesses steht Behörden nicht zur Verfügung.

Für einen Handwerks-, Handels- oder Gastronomiebetrieb gilt diese Sperre nicht. Wenn du aber eine Schule, eine Kommune oder einen Träger mit öffentlichem Auftrag mitbetreust, ist die Lage eine andere, und dort kann ein Betrieb auf eigener Infrastruktur die tragfähigere Antwort sein — etwa mit einem Arbeitsplatz auf Nextcloud.

Für alle anderen bleibt es bei der unaufgeregten Fassung: Microsoft 365 darf eingesetzt werden, die Nachweise dazu fehlen in den meisten Betrieben, und sechs Punkte davon lassen sich an einem Vormittag nachholen.

Die verbindliche Einordnung gehört nicht hierher. Ob dein konkreter Einsatz zulässig ist, welche Rechtsgrundlage du für welche Verarbeitung brauchst und ob eine Datenschutz-Folgenabschätzung nötig ist, beantwortet eine Anwältin oder ein Anwalt für IT- und Datenschutzrecht.