Microsoft 365 und DSGVO: Kritik und Lösungswege für dein kleines Unternehmen

Wenn ich Websites mit handgeschriebenem Code in meinem Büro in Oyten bei Bremen entwickle, achte ich streng auf Datenschutz. Auf meiner eigenen Website zähle ich Aufrufe ohne Cookies, deshalb braucht sie kein Cookie-Banner. Diese rechtssichere Haltung ist auch bei internen Tools wichtig. Ob Microsoft 365 DSGVO-konform ist, fragen sich viele kleine Betriebe. Die gute Nachricht lautet: Microsoft 365 ist nicht generell unzulässig. Aber der datenschutzkonforme Einsatz in deinem kleinen Unternehmen erfordert eine genaue Konfiguration, um Abmahnrisiken zu minimieren und Vertrauen aufzubauen.

Microsoft 365 und DSGVO: Warum das Thema in KMU brennt

Viele kleine Unternehmen nutzen Microsoft 365 täglich für E-Mails, Dokumente und die interne Kommunikation. Die Unsicherheit, ob der Einsatz den Anforderungen der Datenschutzgrundverordnung genügt, ist groß. Das gilt besonders im Hinblick auf Datenübermittlungen in die USA. Eine unzureichende Konfiguration kann zu Abmahnungen und Vertrauensverlust bei deiner Kundschaft führen. Als Geschäftsführerin oder Geschäftsführer möchtest du das natürlich vermeiden.

Der Einsatz von Microsoft 365 galt lange als datenschutzrechtlich kaum beherrschbar. Grundlage der jahrelangen Debatte ist der Abschlussbericht der Arbeitsgruppe der Datenschutzkonferenz aus dem November 2022. Die Aufsichtsbehörden stellten damals fest, dass Verantwortliche allein auf Grundlage des damaligen Vertrages nicht nachweisen konnten, Microsoft 365 datenschutzrechtskonform zu betreiben. Diese Aussage wurde häufig verkürzt als generelles Verbot wiedergegeben. Das traf den Inhalt der Festlegung jedoch nicht vollständig. Die Aufsichtsbehörden formulierten kein allgemeines Produktverbot, sondern beanstandeten vor allem die Vertrags- und Transparenzlage.

Zu den wesentlichen Kritikpunkten gehörten eine unzureichende Beschreibung der Verarbeitung sowie die Verarbeitung zu eigenen Zwecken durch Microsoft. Für Verantwortliche war nicht immer eindeutig erkennbar, welche Daten hiervon betroffen waren und in welcher Rolle Microsoft handelte. Auch die Weisungsbindung, Regelungen zu Offenlegungen gegenüber Behörden und die Transparenz bei Unterauftragsverarbeitern wurden kritisch bewertet. Der zentrale Punkt ist bis heute aktuell: Der Abschluss eines standardisierten Cloud-Vertrags entbindet dich nicht von deiner Verantwortung. Nach Artikel 5 und Artikel 24 der DSGVO muss dein Unternehmen selbst nachweisen können, warum und unter welchen Bedingungen der Einsatz rechtmäßig ist. Wenn du wissen möchtest, welche finanziellen Folgen Fehler hier haben können, lies gerne meinen Artikel zu der Frage Was kostet eine Abmahnung wirklich?.

Die rechtliche Basis: Was die DSGVO von Microsoft 365 erwartet

Die DSGVO verlangt klare Regeln für die Verarbeitung personenbezogener Daten. Datenminimierung, Zweckbindung und Transparenz sind hier die zentralen Stichworte. Wenn du Microsoft 365 einsetzt, bist du die verantwortliche Stelle. Microsoft verarbeitet die Daten der gebuchten Dienste grundsätzlich als dein Auftragsverarbeiter, für bestimmte eigene Geschäftstätigkeiten aber in eigener Verantwortung. Ein aktueller Auftragsverarbeitungsvertrag ist deshalb unerlässlich. Die größte Herausforderung liegt oft in der Übermittlung von Daten in Drittländer und den damit verbundenen Standardvertragsklauseln.

Die hessische Datenschutzaufsicht hat die Kritikpunkte der Datenschutzkonferenz erneut untersucht und dazu über einen längeren Zeitraum Gespräche mit Microsoft geführt. Ihr im November 2025 veröffentlichter Bericht bezieht ausdrücklich auch die für nicht-öffentliche Stellen geltende Vertragsfassung ein. Das Ergebnis fällt deutlich differenzierter aus als die frühere Debatte. Microsoft 365 kann datenschutzkonform eingesetzt werden. Die hessische Aufsicht berücksichtigt dabei nicht nur den Wortlaut des Vertrages, sondern auch ergänzende Vertragsunterlagen, technische Dokumentationen und das sogenannte M365-Kit.

Die positive Bewertung hat jedoch klare Grenzen. Sie ist keine pauschale Produktfreigabe. Nicht jeder Dienst und nicht jede Konfiguration ist automatisch datenschutzkonform. Sie ersetzt keine Einzelfallprüfung. Dein Unternehmen muss die eigenen Zwecke, Datenarten, Betroffenengruppen und Risiken untersuchen. Produktspezifische Erweiterungen und neue Funktionen müssen gesondert geprüft werden. Das gilt insbesondere für KI-Dienste, Analysefunktionen und zusätzlich buchbare Anwendungen. Wenn du dich für die rechtlichen Rahmenbedingungen von Künstlicher Intelligenz interessierst, empfehle ich dir meinen Beitrag zum Thema KI-Kompetenz-Pflicht: Was Art. 4 EU AI Act für kleine Unternehmen bedeutet. Die Verantwortung bleibt immer bei dir als Kundin oder Kunde. Microsoft liefert Verträge, Informationen und Konfigurationsmöglichkeiten. Du musst daraus ein tragfähiges Datenschutzkonzept entwickeln.

M365 DSGVO-konform einsetzen: Deine konkreten Schritte

Um Microsoft 365 rechtssicher in deinem Unternehmen zu nutzen, musst du verschiedene technische und organisatorische Maßnahmen ergreifen. Die folgenden Schritte helfen dir dabei, die Vorgaben der DSGVO in der Praxis umzusetzen.

Schritt 1: Prüfe und schließe den Auftragsverarbeitungsvertrag

Dieser Vertrag regelt die Pflichten und Verantwortlichkeiten zwischen dir und Microsoft. Er bildet die Basis für einen rechtssicheren Einsatz. In Microsoft 365 ist dieser Vertrag heute Standard. Du musst jedoch prüfen, ob deine Version aktuell ist und alle Dienste abdeckt, die du in deinem Betrieb nutzt.

Schritt 2: Optimiere deine Einstellungen für Datenschutz

Beim Thema Diagnosedaten ist eine saubere Begriffstrennung erforderlich. Microsoft unterscheidet insbesondere zwischen erforderlichen Diagnosedaten, optionalen Diagnosedaten und erforderlichen Dienstdaten. Erforderliche Diagnosedaten sollen Microsoft ermöglichen, die eingesetzten Anwendungen sicher, aktuell und funktionsfähig zu halten. Dazu gehören Informationen über die Softwarekonfiguration, installierte Versionen oder Fehlerzustände. Optionale Diagnosedaten liefern detailliertere Informationen zur Fehleranalyse und Produktverbesserung. Soweit die eingesetzte Version dies erlaubt, solltest du die Übermittlung optionaler Diagnosedaten zentral über Richtlinien steuern und grundsätzlich auf das erforderliche Maß begrenzen. Eine Freigabe optionaler Diagnosedaten sollte nicht erfolgen, nur weil sie technisch voreingestellt ist. Erforderliche Dienstdaten entstehen bei cloudgestützten Funktionen wie Übersetzungen oder bestimmten Kollaborationsfunktionen.

Zusätzlich musst du die Speicherorte deiner Daten in den Blick nehmen. Mit der EU Data Boundary sagt Microsoft für zahlreiche Onlinedienste zu, Kundendaten innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums zu speichern. Das ist ein wichtiger Fortschritt. Die regionale Verarbeitung reduziert internationale Datenflüsse und erleichtert die datenschutzrechtliche Risikobewertung. Sie bedeutet aber nicht, dass jede Drittlandübermittlung technisch und rechtlich ausgeschlossen ist. Microsoft dokumentiert weiterhin begrenzte Übermittlungen außerhalb der EU Data Boundary. Das passiert zum Beispiel, wenn du selbst Nutzer in Drittländern einbindest, bei bestimmten Supportleistungen oder zur Abwehr globaler Cybersicherheitsbedrohungen. Datenresidenz und Zugriffsmöglichkeit sind nicht dasselbe. Eine Speicherung in einem europäischen Rechenzentrum beantwortet noch nicht abschließend, ob Beschäftigte außerhalb Europas im Einzelfall auf Daten zugreifen können. Du solltest deshalb dokumentieren, welche Dienste von der EU Data Boundary erfasst sind und wo die einzelnen Datenkategorien gespeichert werden.

Schritt 3: Zugriffskontrollen und Lizenzen

Datenschutz darf rechtlich nicht von der Zahlungsbereitschaft eines Unternehmens abhängen. Praktisch sind jedoch verschiedene Funktionen, die einen datenschutzgerechten Betrieb erleichtern, nur in höherwertigen Lizenzen verfügbar. Dazu gehören erweiterte Möglichkeiten für Untersuchungen, die kontrollierte Freigabe bestimmter Supportzugriffe durch Microsoft oder die zusätzliche Kontrolle über die Verschlüsselung ruhender Daten. Dabei gilt nicht automatisch, dass teurer auch datenschutzkonformer ist. Mehr Protokollierung kann die Nachweisbarkeit verbessern, zugleich aber eine intensivere Beschäftigtenüberwachung ermöglichen. Vor der Beschaffung solltest du klären, welche Schutzfunktion tatsächlich benötigt wird und welches konkrete Risiko damit reduziert wird. Implementiere zudem ein strenges Berechtigungskonzept und nutze die Multi-Faktor-Authentifizierung für alle Konten.

Schritt 4: Passe deine Datenschutzerklärung an

Informiere deine Nutzerinnen und Nutzer transparent darüber, dass du Microsoft 365 nutzt und welche Daten dabei verarbeitet werden. Nenne die betroffenen Dienste wie E-Mail, Dateiverwaltung oder Videokonferenzen. Erkläre genau, welche Berechtigungen Microsoft hat. Transparenz ist ein Grundpfeiler der DSGVO. Wie du ähnliche Informationspflichten auf deiner Website rechtssicher umsetzt, erkläre ich dir in meinem Artikel Cookie-Banner & DSGVO 2026: Was Selbstständige wirklich brauchen (ohne Anwaltsangst).

Schritt 5: Dokumentiere deine Maßnahmen mit dem M365-Kit

Als Reaktion auf die aufsichtsbehördliche Kritik hat Microsoft das M365-Kit in Abstimmung mit dem Bayerischen Landesamt für Datenschutzaufsicht erarbeitet. Kunden finden es im Service Trust Portal. Es enthält Beispieleinträge für das Verzeichnis der Verarbeitungstätigkeiten sowie beispielhafte Schwellwertanalysen. Diese dienen als Vorarbeit für die Frage, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Das M365-Kit ist weder ein Gütesiegel noch eine automatisch passende DSGVO-Dokumentation. Musterangaben müssen an die tatsächliche Nutzung angepasst werden. Ein Unternehmen, das nur Exchange Online und Teams einsetzt, benötigt eine andere Dokumentation als ein Betrieb, der zusätzlich KI-Funktionen verwendet. Das Kit ersetzt nicht die Prüfung der Rechtsgrundlagen, die Bewertung internationaler Datenübermittlungen oder ein individuelles Löschkonzept. Die Vorlagen müssen mit der tatsächlichen Systemarchitektur abgeglichen werden. Falls du unsicher bist, wie du bei einer behördlichen Anfrage reagieren sollst, hilft dir mein Leitfaden DSGVO-Abmahnung im Briefkasten: Was du Schritt für Schritt tun musst weiter.

Deine Checkliste für ein DSGVO-sicheres Microsoft 365

Die folgenden Punkte helfen dir, die wichtigsten Anforderungen systematisch abzuarbeiten. Nutze diese Liste als Grundlage für deine interne Dokumentation.

• Hast du den aktuellen Auftragsverarbeitungsvertrag mit Microsoft abgeschlossen und geprüft?
• Sind Telemetrie- und Diagnosedaten in deinem Microsoft 365 auf das absolute Minimum reduziert?
• Speichern deine Microsoft 365-Dienste Daten primär in Rechenzentren innerhalb der Europäischen Union?
• Ist deine Datenschutzerklärung auf die Nutzung von Microsoft 365 und die damit verbundene Datenverarbeitung angepasst?
• Hast du ein Berechtigungskonzept für den Zugriff auf sensible Daten implementiert und nutzt du die Multi-Faktor-Authentifizierung?
• Hast du einen Plan für den Umgang mit Datenpannen und ist dein Personal geschult, wie diese zu melden sind?
• Weißt du, wann du eine externe Datenschutzberatung oder spezialisierte Rechtsberatung hinzuziehen solltest?

Fazit: Datenschutz ist ein fortlaufender Prozess

Microsoft 365 DSGVO-konform zu nutzen, ist für dein kleines Unternehmen absolut machbar. Es erfordert aber eine bewusste Konfiguration und fortlaufende Aufmerksamkeit. Die Diskussion um Microsoft 365 lässt sich weder mit einem pauschalen Verbot noch mit einem pauschalen Unbedenklichkeitsurteil beantworten. Wie der Artikel Microsoft 365 und DSGVO: Kritik und Lösungswege bei Dr. Datenschutz zeigt, ist der Weg zu einem datenschutzkonformen Einsatz arbeitsintensiv. Du musst Microsoft 365 als fortlaufend zu steuernde Plattform behandeln und nicht als einmal beschaffte Standardsoftware. Verträge, Lizenzen, Datenflüsse und Einstellungen müssen zusammenpassen. Die meisten Schritte kannst du selbst umsetzen. Im Einzelfall, etwa bei besonders sensiblen Datenverarbeitungen oder großen Datenmengen, lohnt sich eine spezialisierte Beratung, um deine Konfiguration zu prüfen. Wenn du diese Schritte umsetzt, schützt du dein Unternehmen nicht nur vor rechtlichen Risiken, sondern stärkst auch das Vertrauen deiner Kundinnen und Kunden.

Häufige Fragen

Ist Microsoft 365 grundsätzlich DSGVO-konform?

Nein, Microsoft 365 ist nicht automatisch datenschutzkonform. Die hessische Datenschutzaufsicht hat jedoch festgestellt, dass ein rechtssicherer Einsatz grundsätzlich möglich ist. Dafür musst du als verantwortliches Unternehmen die Software streng konfigurieren und Verträge sowie Datenflüsse anpassen.

Was bedeutet die EU Data Boundary bei Microsoft?

Die EU Data Boundary ist eine Zusage von Microsoft, Kundendaten vorwiegend in europäischen Rechenzentren zu speichern und zu verarbeiten. Sie schließt jedoch nicht jede Datenübermittlung in Drittländer aus. Bei Supportanfragen oder zur Abwehr globaler Cyberbedrohungen können weiterhin Daten außerhalb der EU übermittelt werden.

Reicht das M365-Kit für meine DSGVO-Dokumentation aus?

Das M365-Kit bietet hilfreiche Vorlagen, zum Beispiel für das Verzeichnis der Verarbeitungstätigkeiten. Es ist jedoch keine fertige Dokumentation. Du musst alle Musterangaben zwingend an die tatsächliche Nutzung und die spezifischen Lizenzen in deinem Betrieb anpassen.

Welche Diagnosedaten darf Microsoft erheben?

Microsoft unterscheidet zwischen erforderlichen und optionalen Diagnosedaten. Für einen datenschutzkonformen Betrieb solltest du sicherstellen, dass nur die zwingend erforderlichen Daten zur Aufrechterhaltung der Sicherheit und Funktion übermittelt werden. Optionale Diagnosedaten zur Produktverbesserung solltest du zentral steuern und nicht nur deshalb freigeben, weil sie voreingestellt sind.