Microsoft 365 datenschutzkonform verwenden?

Zuletzt aktualisiert am 1. Juni 2026

Die Datenschutzrisiken von Microsoft 365 sind schon lange bekannt. Trotzdem verwenden viele Unternehmen den Softwaredienst weiter. Was die „Arbeitsgruppe für Microsoft-Onlinedienste“ der DSK zu diesem Thema erarbeitet hat, erfahren Sie hier.

DSK zu Microsoft 365

Die Datenschutzkonferenz (DSK) hat im September 2020 eine Arbeitsgruppe mit dem Namen „Arbeitsgruppe für Microsoft-Onlinedienste“ geschaffen. Diese hat im November 2022 ihre Ergebnisse veröffentlicht. Ziel war es, eine praxistaugliche Lösung zu finden, Microsoft 365 datenschutzkonform zu nutzen. Dazu gab es 14 mehrstündige Treffen der Arbeitsgruppe mit Vertretern von Microsoft.

Der Hauptkritikpunkt, der dabei herausgearbeitet wurde, ist die Verarbeitung personenbezogener Daten zu eigenen und nicht legitimen Zwecken durch Microsoft. Das Löschen dieser Daten findet scheinbar ebenfalls nicht datenschutzkonform statt. In den Verträgen von Microsoft mit den jeweiligen Kunden fehle es zudem an Klarstellungen zu Arten und Zwecken der Datenverarbeitungen.

Zudem schütze Microsoft die Daten beim internationalen Transfer nicht ausreichend (vgl. Schrems II-Entscheidung). Das Angebot an technischen und organisatorischen Maßnahmen von Microsoft sei ebenfalls nicht ausreichend.

Ebenso seien die vertraglichen Regelungen zur Anzeige neuer Unterauftragnehmer beim Kunden nicht ausreichend.

Die Ergebnisse der DSK können Sie in der ausführlichen Form auch hier und hier nachlesen.

Reaktion von Microsoft

Zeitgleich mit der Veröffentlichung der Ergebnisse der DSK veröffentlichte Microsoft eine Gegendarstellung. Diese trägt den Titel „Microsoft erfüllt und übertrifft europäische Datenschutzgesetze“. Wie der Titel schon zeigt, teilt Microsoft die Ansicht der DSK nicht. Der Softwaredienstleister sieht seine Produkte im Einklang mit dem europäischen Datenschutzrecht und begründet die widersprechenden Ergebnisse der DSK damit, dass bereits vorgenommenen Änderungen nicht angemessen berücksichtigt und die Funktionsweise der Dienste missverstanden wurden.

Die ausführliche Gegendarstellung von Microsoft können Sie hier nachlesen.

Und nun?

An den gegenläufigen Darstellungen von Microsoft und der DSK kann man erkennen, wie sich eine lange überfällige Debatte entfaltet. Es melden sich zudem einzelne Stimmen, die das Vorgehen der DSK kritisieren. So sei zum Beispiel eine Abstimmung im Kohärenzverfahren unter Mitwirkung des Europäischen Datenschutzausschusses ausgeblieben, die zu besseren Ergebnissen hätte führen können.

In jedem Fall sind die Ergebnisse der DSK als Apell an Microsoft zu verstehen, sich mehr mit dem Thema Datenschutz auseinanderzusetzen. Auch Unternehmen in der EU müssen sich wieder mit dem Thema Drittlandtransfer und Datenschutz befassen.

Im Bezug auf die Verwendung von Microsoft 365 gab es durch Aufsichtsbehörden in Deutschland bisher keine bekannten Maßnahmen. Dies soll sich nun aber ändern. So haben es zumindest schon einzelne Datenschutzbeauftragte anklingen lassen. Wichtig als Unternehmen ist es nun, genug Zeit und Ressourcen für eine Analyse der bestehenden Risiken zum Gebrauch von Microsoft 365 auf Basis der tatsächlichen Nutzung einzuplanen.

Praktische Schritte: Microsoft 365 datenschutzkonform einsetzen

Trotz der berechtigten Kritik der DSK ist ein vollständiger Verzicht auf Microsoft 365 für viele Unternehmen keine realistische Option. Umso wichtiger ist es, konkrete Maßnahmen zu ergreifen, um den Einsatz so datenschutzkonform wie möglich zu gestalten. Die folgenden Schritte helfen Ihnen dabei, Ihre Microsoft-365-Nutzung DSGVO-konform aufzustellen.

Auftragsverarbeitungsvertrag prüfen und anpassen

Grundlage jeder datenschutzkonformen Nutzung von Microsoft 365 ist ein wirksamer Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Microsoft stellt standardmäßig die sogenannten „Data Protection Terms“ zur Verfügung. Diese sollten Sie sorgfältig prüfen und dokumentieren, ob sie den Anforderungen der DSGVO genügen. Achten Sie insbesondere auf Regelungen zu Unterauftragsverarbeitern, Löschfristen und Weisungsbindung.

Telemetrie- und Diagnosedaten minimieren

Ein zentraler Kritikpunkt der DSK betrifft die Verarbeitung von Telemetriedaten. Sie können die Übermittlung dieser Daten in den Gruppenrichtlinien deutlich einschränken. Setzen Sie die Diagnosedatenebene auf „Erforderlich“ (früher „Sicherheit“) und deaktivieren Sie optionale Diagnosedaten. Nutzen Sie zudem den Diagnostic Data Viewer von Microsoft, um nachzuvollziehen, welche Daten tatsächlich übertragen werden.

Connected Experiences gezielt deaktivieren

Microsoft 365 bietet sogenannte „Connected Experiences“, die Inhalte analysieren und mit Cloud-Diensten verarbeiten. Viele dieser Funktionen sind aus Datenschutzsicht problematisch, da sie personenbezogene Daten an Microsoft-Server übertragen. Deaktivieren Sie nicht benötigte Connected Experiences über die Gruppenrichtlinien oder das Microsoft 365 Admin Center. Dokumentieren Sie diese Einstellungen als Teil Ihrer technisch-organisatorischen Maßnahmen (TOM).

Datenschutzfolgenabschätzung für Microsoft 365

Angesichts der umfangreichen Datenverarbeitung durch Microsoft 365 empfiehlt die DSK die Durchführung einer Datenschutzfolgenabschätzung (DSFA) nach Art. 35 DSGVO. Eine solche DSFA sollte folgende Aspekte umfassen:

• Systematische Beschreibung der Verarbeitungsvorgänge und ihrer Zwecke
• Bewertung der Notwendigkeit und Verhältnismäßigkeit der Datenverarbeitung
• Analyse der Risiken für die Rechte und Freiheiten der betroffenen Personen
• Dokumentation der getroffenen Gegenmaßnahmen und Restrisiken
• Bewertung des Drittlandtransfers in die USA und der getroffenen Schutzmaßnahmen

Niederländische Behörden haben bereits 2019 und 2022 vorbildliche DSFAs zu Microsoft 365 veröffentlicht, die als Orientierung dienen können. Diese zeigen, dass eine datenschutzkonforme Nutzung möglich ist, wenn entsprechende Konfigurationseinstellungen vorgenommen werden.

EU Data Boundary und aktuelle Entwicklungen

Microsoft hat mit der „EU Data Boundary“ eine Initiative gestartet, die sicherstellen soll, dass Daten europäischer Kunden ausschließlich innerhalb der EU verarbeitet und gespeichert werden. Seit Januar 2023 werden die ersten Dienste innerhalb dieser Grenze betrieben. Dazu gehören Exchange Online, SharePoint Online, Microsoft Teams und OneDrive for Business.

Diese Entwicklung ist ein wichtiger Schritt, adressiert aber noch nicht alle Bedenken der Datenschützer. Insbesondere bleiben Fragen zum Zugriff durch US-Behörden auf Basis des CLOUD Acts bestehen. Unternehmen sollten die Fortschritte der EU Data Boundary genau verfolgen und ihre Risikoeinschätzung entsprechend aktualisieren.

Alternativen zu Microsoft 365

Für Unternehmen, die ein besonders hohes Datenschutzniveau anstreben, gibt es europäische Alternativen zu einzelnen Microsoft-365-Komponenten. Für die E-Mail-Kommunikation bieten sich europäische Anbieter wie Tutanota oder Mailbox.org an. Als Kollaborationsplattform kann Nextcloud eine datenschutzkonforme Alternative zu OneDrive und SharePoint darstellen. LibreOffice kann Microsoft Office ersetzen, wenn auch mit Einschränkungen bei der Zusammenarbeit.

Allerdings ist ein vollständiger Umstieg für die meisten Unternehmen mit erheblichem Aufwand verbunden. In vielen Fällen ist es daher pragmatischer, Microsoft 365 mit den oben beschriebenen Maßnahmen datenschutzkonform zu konfigurieren und eine fundierte Risikoabwägung zu dokumentieren.

Fazit: Handlungsbedarf für Unternehmen

Die datenschutzkonforme Nutzung von Microsoft 365 erfordert von Unternehmen aktives Handeln. Eine pauschale Bewertung als „datenschutzwidrig“ greift zu kurz. Vielmehr kommt es auf die konkrete Konfiguration, die Dokumentation der getroffenen Maßnahmen und eine fundierte Risikoeinschätzung an. Unternehmen sollten regelmäßig prüfen, ob ihre Einstellungen noch dem aktuellen Stand entsprechen, und Änderungen seitens Microsoft zeitnah bewerten. Ein externer Datenschutzbeauftragter kann dabei wertvolle Unterstützung leisten.

Das Microsoft 365 Compliance Center richtig nutzen

Microsoft stellt mit dem Compliance Center (inzwischen Microsoft Purview) ein umfangreiches Werkzeug zur Verfügung, das Unternehmen bei der Einhaltung datenschutzrechtlicher Anforderungen unterstützt. Im Compliance Center können Sie Richtlinien zur Datenklassifizierung erstellen, Aufbewahrungsrichtlinien konfigurieren und Data Loss Prevention (DLP) aktivieren. Diese Funktionen helfen dabei, sensible Daten wie personenbezogene Informationen automatisch zu erkennen und vor unbefugter Weitergabe zu schützen.

Besonders relevant für die DSGVO-Compliance ist die Funktion zur Verwaltung von Betroffenenanfragen (Data Subject Requests). Microsoft 365 bietet die Möglichkeit, alle zu einer Person gespeicherten Daten zentral zu durchsuchen, zu exportieren oder zu löschen. Dies erleichtert die Erfüllung der Auskunfts- und Löschpflichten nach Art. 15 und Art. 17 DSGVO erheblich. Unternehmen sollten diese Funktionen kennen und in ihre Datenschutzprozesse integrieren.

Verschlüsselung und Zugriffsschutz in Microsoft 365

Eine der wichtigsten Maßnahmen zum datenschutzkonformen Einsatz von Microsoft 365 ist die konsequente Nutzung der verfügbaren Verschlüsselungsfunktionen. Microsoft bietet standardmäßig eine Verschlüsselung der Daten bei der Übertragung (TLS 1.2) und im Ruhezustand (BitLocker, Service Encryption). Außerdem können Unternehmen mit Microsoft Information Protection zusätzliche Schutzebenen implementieren.

Für besonders sensible Daten empfiehlt sich die Nutzung von Customer Key, einer Funktion, die es Unternehmen ermöglicht, eigene Verschlüsselungsschlüssel zu verwenden. Damit behalten Unternehmen die volle Kontrolle über den Zugang zu ihren Daten und können im Notfall den Zugriff durch Microsoft unterbinden. Die Multi-Faktor-Authentifizierung (MFA) sollte für alle Benutzer verpflichtend aktiviert werden, um unbefugten Zugriff auf Konten und damit auf personenbezogene Daten zu verhindern.

Zusätzlich sollten Unternehmen Conditional Access Policies einrichten, die den Zugriff auf Microsoft-365-Dienste abhängig von Gerätestatus, Standort und Risikobewertung steuern. So können Sie beispielsweise sicherstellen, dass ein Zugriff auf sensible Daten nur von verwalteten Geräten innerhalb des Unternehmensnetzwerks möglich ist. Diese Maßnahmen sollten als Teil Ihres vollständigen Datenschutzkonzepts dokumentiert werden.

Mitarbeiter im Umgang mit Microsoft 365 schulen

Technische Maßnahmen allein reichen nicht aus, um Microsoft 365 datenschutzkonform zu nutzen. Mindestens ebenso wichtig ist die Sensibilisierung der Mitarbeiter. Regelmäßige Datenschutz-Schulungen sollten praxisnah vermitteln, wie Mitarbeiter mit personenbezogenen Daten in Microsoft Teams, Outlook, SharePoint und OneDrive umgehen sollten. Dazu gehört das korrekte Teilen von Dokumenten mit externen Partnern, die Nutzung verschlüsselter E-Mails für sensible Informationen und das Erkennen von Phishing-Angriffen, die über Microsoft-365-Dienste erfolgen können. Nur wenn alle Mitarbeiter die datenschutzrechtlichen Risiken verstehen und wissen, wie sie diese minimieren können, lässt sich ein vollständiger Schutz personenbezogener Daten bei der Nutzung von Microsoft 365 gewährleisten.

In der Praxis empfiehlt es sich, eine zentrale Dokumentation aller datenschutzrelevanten Konfigurationseinstellungen in Microsoft 365 zu führen. Diese sollte regelmäßig aktualisiert und bei jedem Update von Microsoft überprüft werden. Unternehmen, die Microsoft 365 nutzen, sollten zudem die Empfehlungen der DSK und der zuständigen Landesaufsichtsbehörden kontinuierlich verfolgen, da sich die datenschutzrechtliche Bewertung laufend weiterentwickelt.

Sie benötigen Unterstützung bei datenschutzrechtlichen Risikoeinschätzungen oder anderen Themen rund um Datenschutz und Datensicherheit? Unser Team an Experten steht Ihnen zur Seite. Außerdem stellen wir Ihnen auch gerne einen externen Datenschutzbeauftragten. Kontaktieren Sie uns ganz unverbindlich hier.