Ist Microsoft 365 DSGVO-konform?

Die Frage wird meist gestellt, wenn sie schon dringend ist: eine Ausschreibung verlangt eine Aussage, ein Auftraggeber fragt nach, die Aufsichtsbehörde hat sich gemeldet. Die ehrliche Antwort ist unbequemer als ein Ja oder Nein, aber sie ist auch handhabbar.

Kurz: Microsoft 365 lässt sich datenschutzkonform betreiben, aber „konform" ist keine Eigenschaft des Produkts. Es ist das Ergebnis einer Gesamtbeurteilung Ihrer Verarbeitung — und in dieser Beurteilung gibt es eine Lücke, die kein Vertrag schließt.

Warum es kein einfaches Ja gibt

Die DSGVO zertifiziert keine Produkte. Verantwortlich ist immer, wer über Zwecke und Mittel entscheidet — also Sie, nicht Microsoft. Microsoft ist Auftragsverarbeiter. Ein Anbieter kann Ihnen Werkzeuge geben, mit denen Konformität möglich wird; erklären kann er sie nicht für Sie.

Das ist keine Spitzfindigkeit. Es verschiebt die Frage von „ist das Produkt in Ordnung?" zu „kann ich beschreiben, was mit den Daten passiert, und trägt diese Beschreibung?".

Was die Behörden tatsächlich bemängelt haben

Zwei Befunde sind für die Praxis wichtig, und beide werden häufig verkürzt zitiert.

Die Datenschutzkonferenz — das Gremium der deutschen Aufsichtsbehörden — kam 2022 mehrheitlich zu dem Schluss, dass sich mit dem damaligen Datenschutznachtrag von Microsoft kein datenschutzkonformer Einsatz nachweisen ließ. Kritikpunkte waren unter anderem die Verarbeitung zu eigenen Zwecken von Microsoft und die mangelnde Transparenz darüber, welche Telemetrie- und Diagnosedaten zu welchem Zweck fließen. Microsoft hat seither nachgebessert; die Diskussion ist nicht abgeschlossen und der Vertragsstand ändert sich.

Der Europäische Datenschutzbeauftragte stellte 2024 fest, dass die Europäische Kommission bei ihrer eigenen Nutzung von Microsoft 365 gegen Datenschutzvorgaben verstoßen hatte — unter anderem, weil nicht ausreichend spezifiziert war, welche personenbezogenen Daten zu welchen Zwecken erhoben werden. Bemerkenswert daran ist weniger die Rüge als der Adressat: Wenn eine Organisation mit dieser Verhandlungsmacht und diesen Ressourcen die Spezifikation nicht hinbekommt, ist die Aufgabe für ein mittelständisches Unternehmen nicht kleiner.

Was daraus nicht folgt: dass Microsoft 365 verboten wäre. Was daraus folgt: Die Nachweislast liegt bei Ihnen, und sie ist nicht trivial.

Die Lücke, die kein Vertrag schließt

Selbst mit einem sauberen Auftragsverarbeitungsvertrag, aktuellen Standardvertragsklauseln und dokumentierten technischen Maßnahmen bleibt ein Punkt bestehen.

Microsoft ist ein US-Unternehmen. Der CLOUD Act verpflichtet US-Anbieter zur Herausgabe von Daten in ihrem Besitz oder unter ihrer Kontrolle — unabhängig davon, wo diese Daten gespeichert sind. Die EU Data Boundary sorgt dafür, dass Ihre Daten die EU nicht verlassen. Sie ändert nichts daran, wem das Unternehmen untersteht, das sie hält.

Der Kern ist einfach: Ein Auftragsverarbeitungsvertrag regelt Verhalten. Er regelt nicht Fähigkeit. Solange der Anbieter lesbare Daten hält, kann er zur Herausgabe verpflichtet werden, und zwar unabhängig davon, was er Ihnen vertraglich zugesagt hat. Seit Schrems II ist das genau der Punkt, an dem ein Transfer Impact Assessment tragfähig werden muss — mit zusätzlichen Maßnahmen, nicht mit zusätzlichen Zusagen.

Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von Juli 2023 hat die Übermittlung an zertifizierte US-Organisationen wieder auf eine Grundlage gestellt. Er hebt den CLOUD Act nicht auf und wird selbst juristisch angegriffen. Wer eine Entscheidung über Jahre trifft, sollte einkalkulieren, dass diese Grundlage sich noch einmal bewegen kann.

Was Sie ohne Systemwechsel tun können

Vier Dinge, in der Reihenfolge ihres Aufwands:

1. Sauber dokumentieren. Verzeichnis der Verarbeitungstätigkeiten, aktueller AV-Vertrag, Standardvertragsklauseln, ein Transfer Impact Assessment, das den CLOUD Act ausdrücklich benennt statt ihn zu umgehen. Das ist Fleißarbeit und die Grundlage für alles Weitere.

2. Telemetrie und Diagnosedaten begrenzen. Ein spürbarer Teil der behördlichen Kritik betraf nicht Ihre Inhalte, sondern die Daten, die der Betrieb der Software erzeugt. Was sich abschalten oder auf das Nötige reduzieren lässt, sollte abgeschaltet oder reduziert werden — und die Entscheidung gehört dokumentiert.

3. EU Data Boundary aktivieren, aber richtig einordnen. Sie löst die Residenzfrage. Sie löst die Zuständigkeitsfrage nicht. Beides im selben Dokument zu behaupten, fällt in der Prüfung auf.

4. Verschlüsseln, bevor die Daten das Haus verlassen. Das ist die einzige Maßnahme aus dieser Liste, die die technischen Tatsachen ändert statt der Beschreibung. Ein Verschlüsselungs-Gateway sitzt zwischen Ihren Mitarbeitenden und der Cloud: Dokumente, E-Mails und einzelne Felder werden verschlüsselt, bevor sie Microsoft erreichen, und die Schlüssel bleiben bei Ihnen. Was ankommt, ist Chiffrat. Es lässt sich nicht lesen, nicht indexieren, nicht auswerten und auf behördliche Anordnung nicht herausgeben.

Für Ihre Leute ändert sich dabei nichts: Suche, Sortierung und die vertraute Oberfläche funktionieren weiter, weil das Gateway auf dem Rückweg für die von Ihnen berechtigten Personen entschlüsselt.

Was das für die Prüfung bedeutet

Der Unterschied zwischen den ersten drei Punkten und dem vierten ist der Unterschied zwischen einer besseren Beschreibung und einem kleineren Risiko.

Mit Punkt 1 bis 3 sagen Sie: Wir haben alles Zumutbare geregelt und vertrauen darauf, dass der Anbieter sich daran hält. Mit Punkt 4 sagen Sie: Der Anbieter kann unsere Inhalte gar nicht lesen. Der zweite Satz ist in einer Prüfung deutlich schwerer anzugreifen, weil er nicht von Verhalten abhängt.

Damit ist nicht jede Frage erledigt. Metadaten — wer wann mit wem — fallen weiter beim Anbieter an, und Verschlüsselung will betrieben und im Notfall wiederhergestellt werden. Aber der Teil der Bewertung, der sich am schwersten wegargumentieren lässt, ist damit beantwortet.

Die Antwort in einem Absatz

Microsoft 365 ist nicht per se DSGVO-konform und auch nicht per se unzulässig. Konform wird der Einsatz durch das, was Sie dokumentieren, konfigurieren und technisch absichern. Die eine Lücke, die Dokumentation und Konfiguration offen lassen — dass ein US-Anbieter lesbare Daten hält und dazu verpflichtet werden kann, sie herauszugeben — schließt nur Verschlüsselung mit Schlüsseln, die bei Ihnen bleiben.

Dieser Artikel ist eine Einordnung aus der Praxis, keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls sprechen Sie mit Ihrem Datenschutzbeauftragten.

Wie ein Gateway auf Ihrem Tenant aussähe, steht auf der Seite zur Cloud-Verschlüsselung. Wenn Sie den Fall lieber besprechen: Wir sagen Ihnen auch, wann es sich nicht lohnt.