Die Diskussion um Microsoft 365 wird oft geführt, als ginge es um ein Ja oder Nein. In der Praxis geht es um etwas anderes: um Konfiguration, Dokumentation und die Fähigkeit, im Prüfungsfall zu begründen, warum der Einsatz vertretbar ist.
Aufsichtsbehörden untersagen den Einsatz von Microsoft 365 nicht pauschal. Sie fragen nach Nachweisen: Welche Daten fließen wohin? Auf welcher Grundlage? Wer hat Zugriff? Und wer hat entschieden, dass das vertretbar ist?
Die Antwort darauf ist Ihre Verantwortung als Verantwortlicher – nicht die von Microsoft. Genau deshalb reicht der Hinweis „Microsoft ist DSGVO-konform" nicht aus.
1. Auftragsverarbeitungsvertrag. Microsoft stellt ihn als Bestandteil der Produktbedingungen bereit. Laden Sie die für Ihren Vertrag gültige Fassung herunter, versehen Sie sie mit Datum und legen Sie sie ab. Eine Verlinkung auf die Website ist kein Nachweis.
2. Drittlandtransfer. Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert. Damit greift der Angemessenheitsbeschluss der EU-Kommission. Zusätzlich hat Microsoft die EU Data Boundary umgesetzt, mit der Kunden- und Telemetriedaten weitgehend in der EU verarbeitet werden. Beides gehört dokumentiert – ebenso wie die verbleibenden Ausnahmen, etwa bei Supportfällen.
3. Verarbeitungsverzeichnis. Microsoft 365 ist kein Verzeichniseintrag, sondern taucht in vielen Einträgen als eingesetztes System auf: interne Kommunikation, Dokumentenablage, Kalender, Videokonferenzen.
4. Rollen- und Berechtigungskonzept. Wer darf auf welche Postfächer, Teams und SharePoint-Bereiche zugreifen? Welche Administratorrechte bestehen, und wie werden sie protokolliert?
Der Standardzustand eines frisch eingerichteten Tenants ist selten datenschutzfreundlich. Die wichtigsten Stellschrauben:
Der KI-Assistent greift auf alles zu, was die anfragende Person sehen darf. Das klingt sicher, ist es aber nur dann, wenn die Berechtigungen sauber sind. In gewachsenen Umgebungen sind sie das selten – Dokumente liegen in Bereichen mit „ganze Organisation"-Freigabe, alte Teams sind offen, Laufwerke wurden bei Migrationen großzügig geöffnet.
Vor der Einführung gehören daher drei Schritte dazu: eine Bereinigung der Freigaben, eine Bewertung nach Art. 35 DSGVO und eine Regelung, welche Datenarten nicht in Prompts gehören. Bei Beschäftigtendaten kommt die Mitbestimmung hinzu.
Das ist überschaubar – aber es entsteht nicht von selbst. Wer diese sechs Punkte zusammen hat, ist bei einer Prüfung in einer deutlich besseren Position als jemand mit derselben Software und ohne Unterlagen.
Es gibt keine pauschale Antwort und kein Verbot. Die Datenschutzkonferenz hatte 2022 erhebliche Mängel festgestellt, Microsoft hat die Vertragsbedingungen und die Datenverarbeitung in Europa seitdem mehrfach überarbeitet. Entscheidend ist heute Ihre eigene Bewertung und Konfiguration – und dass Sie beides dokumentieren.
Solange der Angemessenheitsbeschluss der EU-Kommission gilt und Microsoft zertifiziert ist, ja. Da der Beschluss politisch angreifbar bleibt, sollten Sie eine Rückfallposition dokumentieren: Standardvertragsklauseln plus eine Bewertung der Übermittlungsrisiken. Das ist Aufwand von wenigen Seiten, spart aber im Ernstfall Wochen.
Für den Standardbetrieb von Microsoft 365 in einem KMU meist nicht zwingend. Sobald umfangreiche Auswertungsmöglichkeiten hinzukommen – Copilot, Viva Insights, systematische Protokollauswertung – ist eine Schwellwertanalyse und in vielen Fällen eine DSFA angezeigt.
In der Regel ja. Microsoft 365 ist eine technische Einrichtung, die zur Verhaltens- und Leistungskontrolle geeignet ist. Damit greift das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Eine Rahmen-Betriebsvereinbarung zu Cloud-Diensten ist der übliche Weg.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.