Microsoft 365 und DSGVO: Compliance-Leitfaden 2026

In einem Satz. Microsoft 365 ist in Deutschland seit Jahren die am intensivsten geprüfte Cloud-Suite überhaupt — die offenen Punkte betreffen nicht die Kerndienste, sondern Telemetrie- und Diagnosedaten, verbundene Zusatzdienste und die Frage, in welcher Rolle Microsoft welche Daten verarbeitet; und alle drei entscheiden sich in Ihrer Konfiguration.

Kein anderes Produkt hat in Deutschland eine vergleichbare aufsichtsbehördliche Vorgeschichte. Die Datenschutzkonferenz der Bundes- und Landesbeauftragten hat den Einsatz von Microsoft 365 in einer vielbeachteten Festlegung vom November 2022 als auf Basis der damaligen Vertragsbedingungen nicht datenschutzkonform nachweisbar bewertet — eine Position, die von einigen Ländern und von Microsoft widersprochen wurde und die den Anbieter zu erheblichen Vertrags- und Architekturänderungen bewogen hat. Wer heute bewertet, bewertet nicht die Verträge von 2022. Er muss aber wissen, welche Fragen damals aufgeworfen wurden, weil sie die Prüfpunkte definieren, die deutsche Aufsichtsbehörden nach wie vor stellen. Alle Anbieterangaben in diesem Beitrag haben den Stand Juli 2026 und sind vor Verwendung in einer Dokumentation in den aktuellen Microsoft-Produktbedingungen nachzuprüfen — Microsoft ändert diese Dokumente mehrmals jährlich.

Wichtige Punkte

• Der AV-Vertrag ist der Microsoft-Datenschutznachtrag als Teil der Produktbedingungen; er wird mit dem Lizenzvertrag einbezogen und nicht gesondert unterschrieben.
• Microsoft verarbeitet Kundendaten als Auftragsverarbeiter, bestimmte Diagnose- und Geschäftsbetriebsdaten hingegen in eigener Verantwortung — diese Doppelrolle gehört ins Verzeichnis.
• Die EU-Datengrenze („EU Data Boundary") verlagert Verarbeitung in die EU, beendet aber weder den Konzernbezug noch die Transferdokumentation.
• Die kritischen Konfigurationspunkte sind Telemetrie, verbundene Erlebnisse, Zusatzdienste und Protokollaufbewahrung — nicht Word und Excel.
• Bei Auswertungsfunktionen über Beschäftigte ist die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zu beachten.

1. Welche personenbezogenen Daten Microsoft 365 verarbeitet

Die Suite ist keine Anwendung, sondern eine Infrastruktur. Verarbeitet werden: Identitätsdaten aus Entra ID (Name, dienstliche E-Mail, Telefonnummer, Abteilung, Vorgesetzter, Gerätezuordnung), sämtliche Inhalte in Exchange, SharePoint, OneDrive und Teams — also E-Mails, Dokumente, Chats, Besprechungsaufzeichnungen und Transkripte —, Kalenderdaten mit Anwesenheits- und Verfügbarkeitsinformationen, Anmelde- und Zugriffsprotokolle mit IP-Adresse und Standortnäherung, und schließlich Nutzungs- und Diagnosedaten über die Verwendung der Anwendungen.

Die letzte Kategorie ist die datenschutzrechtlich anspruchsvollste. Sie umfasst nicht Inhalte, sondern Informationen darüber, wer wann welche Funktion genutzt hat — Daten, die einzeln banal wirken und in der Aggregation ein Verhaltensprofil ergeben. Betroffene sind Ihre Beschäftigten, aber auch jede externe Person, die eine E-Mail schreibt, an einer Teams-Besprechung teilnimmt oder ein geteiltes Dokument öffnet. Besondere Kategorien nach Art. 9 DSGVO entstehen in Postfächern und Dokumentablagen zwangsläufig — Krankmeldungen per E-Mail, Betriebsratskorrespondenz, Bewerbungsunterlagen —, ohne dass ein Feld dafür vorgesehen wäre. Das ist bei der Risikobewertung zu berücksichtigen.

2. Der AV-Vertrag nach Art. 28 DSGVO

Microsoft stellt einen Datenschutznachtrag (Data Protection Addendum) bereit, der Bestandteil der Produktbedingungen ist und mit dem Lizenzvertrag einbezogen wird. Eine gesonderte Unterschrift ist im Regelfall nicht erforderlich; die Fassung wird zentral veröffentlicht und periodisch aktualisiert. Für Ihre Akte heißt das: Laden Sie die zum Vertragsschluss geltende Fassung herunter, halten Sie Version und Abrufdatum fest und prüfen Sie bei jeder Vertragsverlängerung, ob sich Wesentliches geändert hat. Beim Bezug über einen Reseller oder Cloud-Solution-Provider klären Sie zusätzlich, wer Ihr Vertragspartner ist und ob dieser selbst Auftragsverarbeiter wird — die Kette muss lückenlos sein. Was ein solcher Vertrag enthalten muss, steht in unserem Beitrag zur Auftragsverarbeitung nach DSGVO.

Der zentrale inhaltliche Punkt ist die Rollenaufteilung. Microsoft verarbeitet Kundendaten und die zugehörigen personenbezogenen Daten als Auftragsverarbeiter nach Ihren Weisungen. Für bestimmte Zwecke des eigenen Geschäftsbetriebs — Abrechnung, Missbrauchsbekämpfung, Produktverbesserung in dem im Nachtrag beschriebenen Umfang — handelt Microsoft dagegen als eigener Verantwortlicher. Diese Doppelrolle ist zulässig, aber sie muss in Ihrer Dokumentation abgebildet sein: Was Microsoft als Verantwortlicher tut, ist keine Auftragsverarbeitung, und Sie können es weder anweisen noch verbieten. Lesen Sie den einschlägigen Abschnitt des aktuellen Nachtrags, statt sich auf Sekundärquellen zu verlassen — hier lagen die Auseinandersetzungen der letzten Jahre.

3. Hosting und Drittlandtransfer (Stand: Juli 2026)

Microsoft hat unter der Bezeichnung „EU Data Boundary" eine Architektur aufgebaut, in der Kundendaten, pseudonymisierte personenbezogene Daten und Daten aus Professional Services für europäische Kunden innerhalb der EU und der EFTA gespeichert und verarbeitet werden; nach Anbieterangaben sind die Ausbaustufen abgeschlossen. Behandeln Sie das als das, was es ist: eine wirksame ergänzende Maßnahme und ein starkes Argument in der Risikobewertung — kein Ende des Drittlandbezugs. Fernzugriff aus Drittländern zur Fehlerbehebung, konzerninterne Weitergaben in klar umrissenen Fällen und die Zuständigkeit US-amerikanischer Behörden für einen US-Konzern bleiben Gegenstand der Bewertung.

Vertraglich stützt sich Microsoft für verbleibende Übermittlungen auf die Standardvertragsklauseln, die im Nachtrag einbezogen sind, sowie auf die Zertifizierung unter dem EU-US Data Privacy Framework. Prüfen Sie den Zertifizierungsstatus auf der offiziellen DPF-Liste und halten Sie das Prüfdatum fest, statt ihn zu unterstellen. In die Akte gehören: eingesetzte Dienste, Speicherregion, maßgebliche Transfergrundlage, Prüfdatum, und eine Transfer-Folgenabschätzung, die den behördlichen Zugriff und die ergänzenden Maßnahmen — Verschlüsselung, Schlüsselverwaltung, EU-Datengrenze — bewertet. Die Systematik erklärt unser Beitrag zur internationalen Datenübermittlung, die spezifische Konstellation US-amerikanischer Anbieter der Beitrag DSGVO und US-Unternehmen.

4. Subprozessoren und Sicherheitsnachweise

Microsoft veröffentlicht eine Liste der Unterauftragsverarbeiter für seine Online-Dienste mit Angabe von Zweck und Region und kündigt Änderungen mit Vorlauf an. Abonnieren Sie diese Benachrichtigung und legen Sie fest, wer sie liest — die Liste ist lang, und ein Widerspruch ist praktisch nur in Form einer Kündigung durchsetzbar, was die Bewertung vor der Beschaffung wichtiger macht als danach.

Bei den Nachweisen ist Microsoft breit aufgestellt: veröffentlicht werden nach Anbieterangaben ISO-Zertifizierungen (unter anderem 27001, 27017, 27018, 27701), SOC-Berichte und ein Testat nach dem BSI-Kriterienkatalog C5, das im deutschen öffentlichen Sektor häufig Vergabevoraussetzung ist. Prüfen Sie im Service-Trust-Portal Geltungsbereich und Berichtszeitraum für die von Ihnen genutzten Dienste und legen Sie die Dokumente zur Dienstleisterprüfung ab. Für die Härtung der Clientseite ist der BSI-Leitfaden zur Microsoft-Office-Härtung der praktischere Einstieg als jedes Zertifikat; die rechtliche Messlatte für Ihre eigenen Maßnahmen bleibt Art. 32 DSGVO.

5. Konfigurations-Checkliste

1. Diagnosedaten auf die niedrigste betrieblich vertretbare Stufe setzen und die Entscheidung begründen. Dies ist der Punkt, an dem die aufsichtsbehördliche Diskussion hing.
2. Optionale verbundene Erlebnisse abschalten. Funktionen, die Inhalte an Microsoft-Dienste außerhalb der Kerndienste senden, sind zentral per Richtlinie steuerbar — Standard ist nicht aus.
3. Zusatzdienste und Consumer-Verknüpfungen deaktivieren. Alles, was nicht Kerndienst ist, fällt unter andere Bedingungen und häufig nicht unter die Auftragsverarbeitung.
4. KI-Funktionen bewusst freischalten. Assistenzfunktionen greifen auf den gesamten für den Nutzer sichtbaren Datenbestand zu; sie brauchen eine eigene Bewertung — Systematik im Beitrag Datenschutz bei KI-Tools.
5. Aufbewahrungsrichtlinien setzen. Postfächer, Teams-Chats und Dateien wachsen sonst unbegrenzt; definieren Sie Fristen je Datenart — Systematik im Löschkonzept.
6. Protokollaufbewahrung konfigurieren. Ohne ausreichend lange Aufbewahrung des Einheitlichen Überwachungsprotokolls ist eine Datenpanne nicht aufklärbar; die Meldepflicht kennt trotzdem keine Nachsicht, wie unser Beitrag zur Datenpannenmeldung zeigt.
7. Externe Freigaben in SharePoint und OneDrive einschränken. Standardmäßig weitreichende Freigabelinks sind eine der häufigsten Ursachen für Datenabflüsse.
8. Gastzugänge in Teams regeln und regelmäßig aufräumen.
9. Aufzeichnung und Transkription von Besprechungen per Richtlinie steuern, ankündigen und — bei Beschäftigten — mit dem Betriebsrat abstimmen.
10. Nutzungsberichte pseudonymisieren. Die Berichte im Administrationszentrum lassen sich so einstellen, dass Namen verborgen bleiben; das ist die einfachste Maßnahme gegen unbeabsichtigte Leistungskontrolle.
11. Mehrfaktor-Anmeldung und bedingten Zugriff erzwingen, insbesondere für administrative Rollen.
12. Anwendungsberechtigungen (OAuth) prüfen. Drittanbieter-Apps mit Postfachzugriff sind eigene Empfänger.

6. Was ins Verarbeitungsverzeichnis gehört

Microsoft 365 ist kein Verzeichniseintrag, sondern eine Infrastruktur, die in vielen Einträgen auftaucht. Sinnvoll ist ein eigener Eintrag „Bürokommunikation und Zusammenarbeit" mit Zweck, Rechtsgrundlage (regelmäßig § 26 BDSG für Beschäftigte und Art. 6 Abs. 1 lit. f für die Kommunikation mit Externen), Datenkategorien, Betroffenenkategorien einschließlich Externer, Empfängern mit Microsoft als Auftragsverarbeiter und den relevanten Unterauftragnehmern, dem Drittlandtransfer mit Grundlage und Prüfdatum, den Aufbewahrungsfristen und den technischen Maßnahmen. Ergänzen Sie ausdrücklich einen Hinweis darauf, welche Verarbeitungen Microsoft in eigener Verantwortung vornimmt — das ist der Punkt, an dem sich saubere von oberflächlicher Dokumentation unterscheidet. Aufbau und Vorlage im Beitrag Verzeichnis von Verarbeitungstätigkeiten. Wer diese Einträge über viele Werkzeuge hinweg mit den zugehörigen AV-Verträgen und Subprozessorlisten verknüpft halten will, nutzt dafür sinnvollerweise eine Datenschutzplattform wie Legiscope statt einer Tabellendatei; der Marktüberblick steht im DSGVO-Software-Vergleich.

7. Wann eine DSFA nötig ist

Die reine Nutzung als Büro- und Kommunikationsumgebung erreicht die Schwelle des Art. 35 DSGVO nicht automatisch — sonst wäre jedes Unternehmen in Deutschland betroffen. Sie wird jedoch erreicht, wenn Auswertungsfunktionen über das Arbeitsverhalten von Beschäftigten aktiviert werden, wenn Besprechungen systematisch aufgezeichnet und transkribiert werden, wenn KI-Assistenzfunktionen breit auf Bestandsdaten zugreifen, oder wenn Sie in einem Bereich arbeiten, in dem Postfächer und Ablagen regelmäßig besondere Kategorien enthalten — Gesundheitswesen, Rechtsberatung, Sozialwesen. Führen Sie in diesen Fällen eine Datenschutz-Folgenabschätzung und gleichen Sie mit der Muss-Liste Ihrer Aufsichtsbehörde ab. Öffentliche Stellen sollten zusätzlich prüfen, ob die für sie zuständige Landesbehörde eigene Vorgaben zum Cloud-Einsatz veröffentlicht hat.

FAQ

Ist Microsoft 365 DSGVO-konform?

Diese Aussage lässt sich über kein Produkt treffen, und für Microsoft 365 ist sie besonders irreführend, weil dasselbe Produkt je nach Mandantenkonfiguration völlig unterschiedliche Verarbeitungen erzeugt. Microsoft liefert Vertragsgrundlage, EU-Verarbeitung und Nachweise. Rechtmäßig wird die Verarbeitung durch Ihre Konfiguration, Ihre dokumentierte Rechtsgrundlage und Ihre Transferbewertung.

Gilt die DSK-Bewertung von 2022 noch?

Sie beschreibt den Stand der damaligen Vertragsbedingungen. Microsoft hat den Datenschutznachtrag und die Architektur seither mehrfach überarbeitet. Nutzen Sie die Festlegung deshalb nicht als Ergebnis, sondern als Prüfraster — die dort aufgeworfenen Fragen zu Telemetrie, Zweckbestimmung und Rollenverteilung sind weiterhin die richtigen Fragen.

Beendet die EU-Datengrenze den Drittlandtransfer?

Nein. Sie verlagert Speicherung und Verarbeitung in die EU und ist damit eine gewichtige ergänzende Maßnahme. Der Konzernbezug, der Fernzugriff zur Fehlerbehebung und die Zuständigkeit US-amerikanischer Behörden bleiben und gehören dokumentiert.

Muss der Betriebsrat beteiligt werden?

Sobald Funktionen aktiviert sind, die zur Verhaltens- oder Leistungskontrolle objektiv geeignet sind — Nutzungsberichte, Anwesenheitsanzeigen, Besprechungsaufzeichnung, Auswertungswerkzeuge —, greift § 87 Abs. 1 Nr. 6 BetrVG. Eine Rahmenbetriebsvereinbarung zur Nutzung ist der übliche und praktikable Weg.

Fazit

Microsoft 365 ist kein Sonderfall, sondern der Normalfall in maximaler Ausprägung: ein technisch ausgereiftes Produkt mit umfassender Vertrags- und Nachweisdokumentation, dessen Datenschutzrisiko fast vollständig in den Voreinstellungen und in den nicht abgeschalteten Zusatzfunktionen liegt. Setzen Sie Telemetrie und verbundene Erlebnisse bewusst, schalten Sie Zusatzdienste ab, konfigurieren Sie Aufbewahrung und Protokollierung, klären Sie die Rollenverteilung im Verzeichnis und binden Sie den Betriebsrat ein, bevor Sie Auswertungsfunktionen freischalten. Und datieren Sie jede Anbieterangabe — dieses Vertragswerk ändert sich schneller als Ihre Dokumentation.