Microsoft 365: DSGVO-konformer Einsatz im Unternehmen

Microsoft 365 bündelt Cloud-Dienste wie Exchange Online, Teams, SharePoint, OneDrive und die bekannten Office-Anwendungen. Ein DSGVO-konformer Einsatz ist weder pauschal ausgeschlossen noch allein durch den Abschluss eines Standardvertrags gewährleistet. Entscheidend sind das konkrete Nutzungsszenario, die aktuelle Vertragsgrundlage, Datenflüsse, Konfigurationen und die dokumentierte Risikobewertung des verantwortlichen Unternehmens.

Wichtigste Informationen zum Datenschutz bei Microsoft 365

• Es gibt kein pauschales Verbot und keine pauschale Freigabe für Microsoft 365. Verantwortliche müssen ihren konkreten Einsatz selbst bewerten und dokumentieren.
• Die Datenschutzkonferenz beanstandete 2022 die damals geprüfte Standard-Auftragsverarbeitungsvereinbarung. Eine Handreichung mehrerer Aufsichtsbehörden beschreibt seit 2023 mögliche vertragliche und organisatorische Nachbesserungen.
• Ein 2024 individuell ausgehandeltes Vertragswerk für Microsoft Teams in der niedersächsischen Landesverwaltung wurde von der dortigen Aufsichtsbehörde als akzeptabel bewertet. Erforderlich blieben unter anderem eine individuelle Datenschutz-Folgenabschätzung, datensparsame Konfigurationen und die Prüfung verbleibender Drittlandtransfers.
• Die EU Data Boundary erweitert die Speicherung und Verarbeitung innerhalb der EU/EFTA, erfasst aber nicht jeden Dienst und nicht jeden möglichen Datentransfer.
• Vor dem Produktivbetrieb sollten mindestens DPA und Product Terms, Unterauftragsverarbeiter, Datenstandorte, Rechtsgrundlagen, Löschkonzept, Transparenzinformationen, Berechtigungen, Diagnosedaten und erforderliche Schutzmaßnahmen geprüft werden.

Begrifflicher Hinweis: Microsoft hat zahlreiche Office-365-Angebote 2020 in Microsoft 365 umbenannt. Der ältere Begriff „Office 365“ wird auf dieser Seite weiterhin dort verwendet, wo historische Dokumente oder etablierte Suchbegriffe gemeint sind.

Aktueller Prüfstand und Primärquellen

Für die datenschutzrechtliche Bewertung sind stets die aktuell eingesetzten Dienste und die dazu geltenden Unterlagen maßgeblich. Dieser Beitrag berücksichtigt insbesondere:

• den Abschlussbericht der Datenschutzkonferenz zur Auftragsverarbeitung bei Microsoft 365,
• die Handreichung mehrerer deutscher Aufsichtsbehörden zur Auftragsverarbeitungsvereinbarung,
• die Bewertung der individuell verhandelten Microsoft-Teams-Vereinbarung in Niedersachsen,
• die EDPS-Entscheidung zum konkreten Einsatz durch die Europäische Kommission,
• das aktuelle Microsoft Data Protection Addendum und
• die Dokumentation zur Microsoft EU Data Boundary einschließlich dokumentierter Ausnahmen.

Die EDPS-Entscheidung von 2024 betrifft den Einsatz durch die Europäische Kommission nach dem Datenschutzrecht für EU-Organe. Sie ist ein wichtiger Risikohinweis, aber kein pauschales Verbot für sämtliche Unternehmen.

Warum ältere Bewertungen nicht genügen

Microsoft 365 verbindet Anwendungen für E-Mail, Zusammenarbeit und Dokumente mit Cloud-Diensten. Welche Daten verarbeitet werden, hängt von den aktivierten Funktionen, der Konfiguration und dem tatsächlichen Einsatz ab. Ältere Bewertungen von „Office 365“ sind wichtige Ausgangspunkte, aber keine Entscheidung für einen heutigen Tenant. Die folgenden Aufsichtspositionen zeigen, welche Fragen Verantwortliche weiterhin prüfen müssen.

Europäischer Datenschutzbeauftragter

Der Europäische Datenschutzbeauftragte (EDSB/EDPS) stellte 2024 beim konkreten Einsatz von Microsoft 365 durch die Europäische Kommission Verstöße fest. Beanstandet wurden unter anderem unzureichend bestimmte Verarbeitungszwecke und Schutzmaßnahmen für bestimmte Übermittlungen außerhalb von EU und EWR. Die Entscheidung betrifft EU-Organe und deren konkrete Vertrags- und Nutzungssituation. Unternehmen sollten die Feststellungen als Prüfhinweis verwenden, müssen ihre eigene Verarbeitung jedoch anhand der DSGVO und ihres tatsächlichen Einsatzes bewerten.

Datenschutzkonferenz

Die Datenschutzkonferenz veröffentlichte 2022 ihren Abschlussbericht zur damals geprüften Vereinbarung zur Auftragsverarbeitung für Microsoft 365. Die Arbeitsgruppe kam zu dem Ergebnis, dass der untersuchte Datenschutznachtrag die Anforderungen aus Art. 28 Abs. 3 DSGVO nicht vollständig erfüllte. Die Bewertung bezog sich auf den damaligen Vertragsstand und ersetzte keine Prüfung einzelner Microsoft-365-Dienste.

Eine 2023 veröffentlichte Handreichung mehrerer Aufsichtsbehörden konkretisiert, welche vertraglichen und organisatorischen Maßnahmen Verantwortliche prüfen sollten. Da Microsoft das DPA fortlaufend aktualisiert, muss stets die tatsächlich vereinbarte Fassung herangezogen werden.

Deutsche Aufsichtsbehörden

Ein aktuelleres Praxisbeispiel liefert Niedersachsen: Für die Landesverwaltung wurde 2024 eine individuelle Datenschutzvereinbarung zur Nutzung von Microsoft Teams ausgehandelt. Die niedersächsische Aufsichtsbehörde bewertete das Verhandlungsergebnis zur Auftragsverarbeitung als akzeptabel, verwies aber weiterhin auf notwendige interne Maßnahmen, eine individuelle Datenschutz-Folgenabschätzung, datensparsame Konfigurationen und die Prüfung verbleibender Übermittlungen außerhalb der EU Data Boundary.

Urteil Schrems II

Das EuGH-Urteil „Schrems II“ erklärte 2020 den damaligen EU-US Privacy Shield für ungültig. Datenübermittlungen in die USA wurden damit nicht generell verboten, benötigen aber eine tragfähige Übermittlungsgrundlage und – abhängig von Transfer, Empfänger und Risiko – zusätzliche Schutzmaßnahmen. Seit Juli 2023 besteht außerdem der EU-US Data Privacy Framework-Angemessenheitsbeschluss für zertifizierte US-Unternehmen. Verantwortliche müssen trotzdem prüfen, welche Microsoft-Gesellschaft Daten zu welchen Zwecken erhält und ob die jeweilige Übermittlungsgrundlage greift.

Einordnung: Office 365 DSGVO

Microsoft erbringt Microsoft 365 über eine internationale Konzern- und Rechenzentrumsstruktur. Für berechtigte Kunden im europäischen Wirtschaftsraum umfasst die EU Data Boundary zahlreiche Microsoft-365-Dienste und Datenkategorien. Sie ist jedoch keine Garantie dafür, dass in jedem Nutzungsszenario sämtliche Daten ausschließlich innerhalb von EU und EFTA verarbeitet werden. Microsoft dokumentiert fortbestehende und vorübergehende Ausnahmen; zusätzlich sind optionale Funktionen, Supportfälle, Diagnosedaten und eingebundene weitere Dienste zu prüfen.

Verantwortliche sollten deshalb die für ihren Tenant geltenden Zusagen, die Data Location Card, eingesetzte Dienste und Funktionen sowie dokumentierte Ausnahmen erfassen. Pauschale Aussagen wie „alle Daten bleiben in der EU“ oder „alle Metadaten fließen in die USA“ sind für eine belastbare Bewertung zu ungenau.

Seit Juli 2023 gilt der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework für entsprechend zertifizierte US-Unternehmen. Welche Übermittlungsgrundlage anwendbar ist, hängt vom konkreten Empfänger und Datentransfer ab. In Betracht kommen insbesondere der Angemessenheitsbeschluss für zertifizierte Empfänger oder EU-Standardvertragsklauseln einschließlich der erforderlichen Transfer- und Risikoprüfung. Die bloße Aufnahme einer Klausel ersetzt diese Prüfung nicht.

Eine belastbare Einordnung muss deshalb mindestens die Vertragsrollen von Microsoft, die Zwecke der Verarbeitung, Unterauftragsverarbeiter, Datenstandorte, Drittlandtransfers und die tatsächlich aktivierten Funktionen berücksichtigen.

Ist eine Datenschutzfolgenabschätzung bei der Verwendung von Office 365 DSGVO erforderlich?

Vor der Einführung ist zu prüfen und zu dokumentieren, ob der konkrete Einsatz voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht. Ist dies der Fall, muss eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt werden. Die Bewertung hängt unter anderem von den aktivierten Diensten, Datenarten, betroffenen Personengruppen, Verarbeitungszwecken, Empfängern und Schutzmaßnahmen ab. Für besonders umfangreiche oder sensible Einsatzszenarien ist eine DSFA regelmäßig naheliegend.

Für die Schwellenwertanalyse sollten mindestens die eingesetzten Dienste, zugriffsberechtigten Personengruppen, Datenkategorien, Zwecke, Empfänger, Speicherorte, Aufbewahrungsfristen und Schutzmaßnahmen erfasst werden. Die Risikobewertung muss den konkreten Einsatz abbilden; ältere Bewertungen einzelner Office-Versionen lassen sich nicht unverändert auf einen heutigen Microsoft-365-Tenant übertragen.

Microsoft 365 datenschutzgerecht konfigurieren: eine aktuelle Prüfliste

Eine einzelne Einstellung macht Microsoft 365 nicht automatisch DSGVO-konform. Entscheidend ist, dass das Unternehmen seinen konkreten Tenant, die aktivierten Dienste, die verarbeiteten Daten und die tatsächlichen Nutzungsszenarien gemeinsam bewertet. Die folgende Prüfliste ist deshalb bewusst produktneutral formuliert und sollte bei wesentlichen Änderungen erneut durchlaufen werden.

1. Dienste, Daten und Zwecke erfassen

Dokumentieren Sie, welche Microsoft-365-Dienste tatsächlich eingesetzt werden, welche Kategorien personenbezogener Daten darin verarbeitet werden und für welche Zwecke die Verarbeitung erfolgt. Berücksichtigen Sie dabei insbesondere Teams, Exchange Online, SharePoint, OneDrive, mobile Apps, Analysefunktionen und KI-gestützte Funktionen. Nicht benötigte Dienste und Integrationen sollten deaktiviert werden.

2. Verträge und Rollen prüfen

Prüfen und archivieren Sie die für Ihren Vertrag geltenden Microsoft Product Terms und das aktuelle Data Protection Addendum. Die Rollenverteilung kann je nach Dienst und Verarbeitungszweck unterschiedlich ausfallen. Sie sollte daher nicht pauschal, sondern für die jeweils genutzten Funktionen dokumentiert werden. Auch Unterauftragsverarbeiter und angekündigte Vertragsänderungen gehören in die regelmäßige Kontrolle.

3. Speicherorte und Drittlandtransfers bewerten

Die EU Data Boundary reduziert bestimmte Übermittlungen, schließt sie aber nicht in jedem Szenario vollständig aus. Prüfen Sie deshalb die für Ihren Tenant geltenden Datenstandorte, dokumentierte Ausnahmen und Supportzugriffe. Für verbleibende Drittlandtransfers sind Rechtsgrundlage, Transferinstrument und gegebenenfalls zusätzliche Schutzmaßnahmen nachvollziehbar festzuhalten.

4. Zugriffe konsequent absichern

Setzen Sie rollenbasierte Berechtigungen nach dem Erforderlichkeitsprinzip ein. Mehrfaktor-Authentisierung, getrennte Administrationskonten, geeignete Richtlinien für bedingten Zugriff sowie die Protokollierung sicherheitsrelevanter Ereignisse gehören zum Basisschutz. Zugriffsrechte sollten regelmäßig rezertifiziert und Konten ausgeschiedener Beschäftigter unverzüglich gesperrt werden.

5. Diagnose-, Analyse- und vernetzte Funktionen minimieren

Bewerten Sie Diagnose- und Nutzungsdaten, Connected Experiences, Analysefunktionen sowie Integrationen wie LinkedIn anhand des konkreten Zwecks. Aktivieren Sie nur Funktionen, die erforderlich und organisatorisch freigegeben sind. Da Bezeichnungen und Einstellmöglichkeiten von Microsoft regelmäßig geändert werden, sollten die im Tenant verfügbaren Optionen bei jeder Prüfung neu erfasst und dokumentiert werden.

6. Löschung, Aufbewahrung und Wiederherstellung festlegen

Überführen Sie gesetzliche und interne Aufbewahrungsfristen in nachvollziehbare Richtlinien für Exchange, Teams, SharePoint und OneDrive. Legen Sie fest, wann Daten gelöscht, gesperrt, archiviert oder im Rahmen eines Rechtsstreits aufbewahrt werden. Prüfen Sie außerdem anhand des eigenen Schutzbedarfs, ob die von Microsoft angebotenen Wiederherstellungsfunktionen genügen oder eine zusätzliche Datensicherung erforderlich ist.

7. Beschäftigtendatenschutz berücksichtigen

Auswertungen von Kommunikations-, Aktivitäts- oder Leistungsdaten können Beschäftigte erheblich betreffen. Solche Funktionen sollten vor der Aktivierung datenschutzrechtlich und arbeitsrechtlich bewertet werden. Beziehen Sie Datenschutzbeauftragte und – soweit erforderlich – die zuständige Beschäftigtenvertretung ein und schaffen Sie transparente Nutzungsregeln.

8. Betroffenenrechte und Transparenz sicherstellen

Aktualisieren Sie Datenschutzhinweise, das Verzeichnis von Verarbeitungstätigkeiten und interne Abläufe für Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Verantwortlichkeiten und technische Suchwege müssen so festgelegt sein, dass Anfragen fristgerecht bearbeitet werden können.

9. Erforderlichkeit einer DSFA bewerten

Eine Datenschutz-Folgenabschätzung ist nicht allein wegen des Produktnamens automatisch erforderlich. Prüfen Sie anhand von Art, Umfang, Umständen und Zwecken der konkreten Verarbeitung, ob voraussichtlich ein hohes Risiko besteht. Das Ergebnis der Schwellenwertanalyse und – falls erforderlich – die DSFA einschließlich Abhilfemaßnahmen müssen dokumentiert und bei Änderungen fortgeschrieben werden.

10. Änderungen kontinuierlich kontrollieren

Microsoft 365 ist ein dynamischer Cloud-Dienst. Definieren Sie deshalb feste Prüfintervalle und einen Prozess für neue Dienste, Funktionen, Vertragsfassungen und Unterauftragsverarbeiter. Halten Sie Freigaben, Konfigurationsänderungen und Restrisiken revisionsfest fest. Für die Bewertung können die Handreichung des LfD Niedersachsen und der Abschlussbericht der Datenschutzkonferenz von 2022 als Ausgangspunkte dienen; maßgeblich bleiben jedoch die aktuellen Vertragsunterlagen und der konkrete Einsatz.

Fazit: Der konkrete Einsatz entscheidet

Ob Microsoft 365 datenschutzkonform eingesetzt werden kann, lässt sich nicht pauschal für jedes Unternehmen und jede Konfiguration beantworten. Verantwortliche müssen ihren konkreten Einsatz prüfen, erforderliche Funktionen begrenzen, Verträge und Drittlandtransfers bewerten, geeignete technische und organisatorische Maßnahmen umsetzen und die Entscheidungen nachvollziehbar dokumentieren.

Die Prüfung ist keine einmalige Aufgabe: Neue Dienste, geänderte Vertragsunterlagen und Anpassungen am Tenant können die Bewertung verändern. Ein funktionierendes Datenschutz- und Informationssicherheitsmanagement schafft dafür klare Zuständigkeiten, regelmäßige Kontrollen und belastbare Nachweise.

Sie möchten Ihren konkreten Einsatz prüfen?

Ein Review sollte bei Ihren tatsächlich genutzten Diensten, Verträgen und Datenflüssen ansetzen. Wenn Sie die offenen Punkte mit Robin Data einordnen möchten, buchen Sie einen Discovery-Termin.