Gute Nachrichten für alle, die Microsoft 365 im Unternehmen einsetzen – und dabei Wert auf Datenschutz legen: Die EU‑Kommission und Microsoft haben sich im September 2025 auf ein neues Regelwerk geeinigt. Nach vielen Diskussionen, Prüfungen und einigen vertragsakrobatischen Wendungen steht nun fest: Microsoft 365 kann weiterhin rechtssicher im Europäischen Wirtschaftsraum genutzt werden.
Doch was bedeutet das konkret für Datenschutzbeauftragte, IT‑Sicherheitsverantwortliche und KMU? Und warum bleibt die deutsche DSK‑Handreichung weiterhin relevant, obwohl es Fortschritte gibt? Dieser Beitrag gibt Orientierung.
Microsoft 365 im EWR: Daten bleiben endlich „zuhause“
Die wichtigste Nachricht: Microsoft speichert Kundendaten künftig beinah ausschließlich im Europäischen Wirtschaftsraum (EWR) – samt Norwegen, Island und Liechtenstein. Keine ungewollten Datenreisen mehr nach Übersee, keine Grauzonen bei US‑Behördenanfragen. Es gibt Ausnahmen, bei denen Daten doch in Drittstaaten verarbeitet werden dürfen, etwa im Rahmen globaler Cybersicherheitsbedrohungen, Strafverfolgungen usw.
Damit erfüllt Microsoft lange geforderte Datenschutzstandards, die insbesondere für deutsche Unternehmen entscheidend sind.
Mehr Hintergründe zum europäischen Kurs von Microsoft finden Sie hier: Microsofts starkes Bekenntnis zu Europa.
Das DPA – das Datenschutz-Basiswerk von Microsoft
Das Data Protection Addendum (DPA) ist weit mehr als ein Auftragsverarbeitungsvertrag. Es ist das zentrale Regelwerk für alle Microsoft‑Dienste – und gilt automatisch für alle Kunden, sobald es akzeptiert wurde.
Was steckt im neuen DPA? Die wichtigsten Punkte:
1. Verarbeitung nur auf dokumentierte Anweisung
Microsoft darf Inhaltsdaten von Anwendern nicht eigenmächtig für Analyse, Produktverbesserungen oder Werbezwecke nutzen. Jede Verarbeitung braucht deine ausdrückliche Zustimmung. Pseudonymisierte Meta-Daten dürfen von Microsoft weiterhin erhoben werden (u.a. für Diagnosezwecke).
2. EU Data Boundary – Daten bleiben im EWR
Die „EU Data Boundary“ sorgt dafür, dass Serverstandorte ausschließlich im EWR liegen. Ein großer Schritt für Compliance und Informationssicherheit.
3. Behördenanfragen werden aktiv angefochten (Appendix D)
Kommt eine Anfrage einer Nicht‑EU‑Behörde zur Herausgabe oder Deaktivierung von Daten, muss Microsoft juristisch dagegen vorgehen – ein starkes Signal für Datenschutzsouveränität.
Was ändert sich für Microsoft‑365‑Kunden?
Kurz gesagt: Für den laufenden Betrieb bleibt alles beim Alten – und gleichzeitig wird vieles sicherer.
- Der bestehende DPA bleibt das zentrale Fundament für alle Microsoft‑Online-Dienste.
- Egal ob Teams, Outlook oder Cloud‑Services: Alle Datenflüsse unterliegen dem DPA.
- Unternehmen können weiterhin mit Microsoft 365 arbeiten.
Praxis-Tipp:
Ladet euch den aktuellen DPA herunter und legt ihn sauber in eure Compliance‑Dokumentation ab. Das macht beim nächsten Audit einen guten Eindruck – und vielleicht gibt’s sogar imaginär ein Fleißsternchen. 😉
Wichtiger Zusatz: Die DSK‑Handreichung bleibt weiterhin gültig
Trotz aller Fortschritte gilt in Deutschland noch immer die Handreichung der Datenschutzkonferenz (DSK) zu Microsoft 365 – und das bis auf Weiteres.
Das bedeutet:
- Bei Datenschutzfolgenabschätzungen (DSFA) muss die DSK‑Handreichung weiterhin berücksichtigt werden.
- Verantwortliche müssen prüfen, inwiefern die Aussagen der DSK zur M365‑Nutzung auf die neue EU‑Einigung übertragbar sind.
- Trotz EU-Einigung steht eine Aktualisierung durch die DSK noch aus.
Die Handreichung der DSK gilt zwar noch, ist aber stark veraltet, sie wurde seit 2023 nicht mehr aktualisiert. Viele damaligen Kritikpunkte wurden inzwischen von Microsoft behoben. Dies bestätigt u.A. der HBDI (Hessische Beauftragte für Datenschutz und Informationsfreiheit).
2025 hat der HBDI einen umfangreichen Bericht zur Bewertung von Microsoft 365 veröffentlicht. Dieser kam – im Gegensatz zur DSK – zu dem Ergebnis, dass ein datenschutzkonformer Einsatz von M365 grundsätzlich möglich ist, wenn bestimmte Voraussetzungen erfüllt werden.
Fazit: Ein klarer Fortschritt – aber Deutschland hinkt noch hinterher
Trotz der positiven Entwicklungen auf EU‑Ebene und den klaren Verbesserungen durch Microsoft gilt in Deutschland weiterhin die Handreichung der Datenschutzkonferenz (DSK) zu Microsoft 365 – und das bis auf Weiteres.
Damit bleibt sie ein zentrales Dokument, das Unternehmen in ihren Datenschutzprozessen nicht ignorieren dürfen.
👉 Hier geht’s zur aktuellen DSK‑Handreichung:
Unser Ziel ist es, Ihnen den Umgang mit Microsoft‑365‑Datenschutz so einfach wie möglich zu machen. Wir unterstützen Sie dabei, die Anforderungen der EU‑Regelungen und der deutschen DSK‑Handreichung sicher zu erfüllen – damit Sie sich auf Ihr Kerngeschäft konzentrieren können. Mit passgenauen Lösungen, praxisnaher Beratung und unserer langjährigen Erfahrung begleiten wir Sie zuverlässig durch alle Compliance‑Schritte.
Lust auf …
Einfach digital
arbeiten?
Für Ihre Fragen und Anliegen rund um Informationssicherheit & Datenschutz steht Ihnen gerne unsere Expertin Jennifer Baumann zur Verfügung.
Jennifer Baumann
Consultant Datenschutz & Informationssicherheit
(0821) 207 111 – 16
cloudheroes@fly-tech.de
Das VVT oder Verzeichnis der Verarbeitungstätigkeiten enthält alle Prozesse, welche personenbezogene Daten verarbeiten oder an Dritte zum Beispiel Dienstleister weitergeben.
Wenn Ihr Dienstleister in Ihrem Auftrag personenbezogen Daten verarbeitet, kann es sehr gut sein, dass Sie einen Auftragsverarbeitungsvertrag mit Ihrem Dienstleister brauchen. Ein klassisches Beispiel ist der IT-Dienstleister oder das Lohnbüro. Ohne den formellen Vertrag dürfen Daten offiziell nicht an diese Dritten abgegeben werden und es wäre eine Datenschutzverletzung.
Wenn Ihr Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, ist in der Regel ein Auftragsverarbeitungsvertrag erforderlich. Ein klassisches Beispiel ist der IT‑Dienstleister oder das Lohnbüro. Ohne den formell geschlossenen Vertrag dürfen Daten offiziell nicht an diese Dritten abgegeben werden und es liegt eine Datenschutzverletzung vor.
Auch die IP‑Adresse gilt als personenbezogenes Datum. Das bedeutet, dass auch bei webbasierten Softwarelösungen personenbezogene Daten verarbeitet werden. Das kann einen Auftragsverarbeitungsvertrag notwendig machen und erfordert eine Information der betroffenen Personen darüber, dass Dritte Daten erhalten.
Sobald ein Unternehmen personenbezogene Daten verarbeitet, muss es sich an die Grundsätze der DSGVO halten, egal wie viele Mitarbeitende es hat. Das gilt unabhängig davon, ob ein Datenschutzbeauftragter bestellt werden muss.
Die DSGVO (Datenschutz-Grundverordnung), die KI‑Verordnung, das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) und das BDSG (Bundesdatenschutzgesetz) sind die zentralen Gesetze, an die sich jede Behörde und jedes Unternehmen halten muss. Dabei gilt stets ein risikobasierter Ansatz: Es dürfen die Art, die Umstände und die jeweiligen Zwecke berücksichtigt werden. Das bedeutet, dass ein Mittelstandsunternehmen nicht die gleichen Maßnahmen wie ein Konzern oder globaler Anbieter umsetzen muss.
Wenn Sie mehr über unsere Datenschutzdienstleistungen erfahren möchten, dann wählen Sie doch hier einen Termin für ein kostenloses Erstgespräch.
Bildnachweis: Headerfoto von canva / KI generiert