Microsoft 365 und DSGVO – möglich, aber nicht pauschal freigegeben

Microsoft 365 lässt sich nach Einschätzung der hessischen Datenschutzaufsicht grundsätzlich datenschutzkonform einsetzen. Das gilt nicht automatisch für jeden Dienst und jede Konfiguration: Das Unternehmen muss den konkreten Einsatz selbst prüfen und seine Entscheidung begründen können.

Die frühere Kritik war kein allgemeines Produktverbot

Die Datenschutzkonferenz (DSK) kam im November 2022 zu dem Ergebnis, dass Verantwortliche die Datenschutzkonformität von Microsoft 365 nicht allein auf Grundlage des damaligen Auftragsverarbeitungsvertrags nachweisen konnten. Daraus wurde häufig die verkürzte Aussage, Microsoft 365 sei nicht DSGVO-⁠konform. Der Kern der Kritik lag jedoch vor allem darin, dass Vertrags-⁠ und Informationslage für eine belastbare Bewertung nicht ausreichten.

Beanstandet wurden unter anderem unklare Beschreibungen dazu, welche Daten Microsoft zu welchen Zwecken verarbeitet. Auch die Abgrenzung zwischen einer Verarbeitung im Auftrag des Kunden und Verarbeitungen zu eigenen Zwecken war nicht ausreichend eindeutig. Hinzu kamen Fragen zur Weisungsbindung, zu Offenlegungen gegenüber Behörden, zu Schutzmaßnahmen, Unterauftragnehmern sowie zur Löschung und Rückgabe von Daten.

Diese Punkte sind für Unternehmen praktisch relevant, weil ein standardisierter Cloud-⁠Vertrag die eigene Verantwortung nicht übernimmt. Nach Artikel 5 Absatz 2 und Artikel 24 DSGVO muss der Verantwortliche begründen können, warum der konkrete Einsatz rechtmäßig ist und unter welchen Bedingungen er stattfindet.

Die neue Bewertung ändert die Prüfung, nicht die Verantwortung

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit veröffentlichte im November 2025 seine erneute Bewertung. Sie bezieht auch die Vertragsfassung für nicht-⁠öffentliche Stellen ein und betrachtet neben dem Auftragsverarbeitungsvertrag ergänzende Unterlagen, technische Dokumentationen, Erläuterungen von Microsoft und das M365-⁠Kit. In dieser Gesamtschau lassen sich laut dem Bericht verschiedene Unschärfen besser einordnen. Microsoft 365 kann demnach datenschutzkonform eingesetzt werden.

Das ist eine wichtige Klarstellung, aber keine pauschale Genehmigung. Die Bewertung ersetzt weder die Prüfung des jeweiligen Unternehmens noch eine Prüfung sämtlicher technischer Datenflüsse. Entscheidend bleibt, welche Anwendungen tatsächlich genutzt werden, welche Daten dabei verarbeitet werden, welche Lizenz gewählt wurde und wie Mandant und Geräte konfiguriert sind. Auch Zwecke, betroffene Personengruppen und Risiken müssen zum konkreten Einsatz passen.

Eine pauschale Freigabe für den gesamten Microsoft-⁠365-⁠Mandanten wäre deshalb der falsche Schluss. Sie vermischt Dienste und Verarbeitungen, die sich je nach Nutzung unterscheiden können.

Eine belastbare Bewertung beginnt bei den tatsächlich genutzten Diensten

Für die Praxis empfiehlt sich eine dienstbezogene Prüfung statt einer einzigen Gesamtentscheidung. Erfassen Sie für jede eingesetzte Anwendung, wofür sie genutzt wird, welche Daten sie verarbeitet und welche Personengruppen davon betroffen sind. Halten Sie außerdem fest, welche Lizenz und Konfiguration für diesen Einsatz maßgeblich sind. So wird sichtbar, worauf sich Ihre Bewertung konkret bezieht.

Ordnen Sie anschließend die Vertragsunterlagen und ergänzenden Informationen diesen Anwendungen zu. Die Unterlagen können dabei helfen, Verarbeitungsvorgänge, Datenkategorien und Zwecke genauer zu bestimmen. Prüfen Sie dabei auch, ob eine Verarbeitung zu eigenen Geschäftszwecken, mögliche Drittlandübermittlungen und die dokumentierten Schutzmaßnahmen für Ihren jeweiligen Einsatz nachvollziehbar bewertet sind. Entscheidend ist nicht, möglichst viele Dokumente abzulegen, sondern den Zusammenhang zwischen Nutzung, Daten und Bewertung herzustellen.

Das Ergebnis sollte eine nachvollziehbare Entscheidung für die jeweilige Nutzung sein. Wenn sich Anwendung, Konfiguration oder Verarbeitungszweck ändern, prüfen Sie, ob die bisherige Bewertung noch trägt. Damit bleibt die Dokumentation an den tatsächlichen Einsatz gebunden und wird nicht mit einer einmaligen Prüfung des Vertrags verwechselt.

Neue Funktionen brauchen eine eigene Betrachtung

Bei zusätzlichen Anwendungen und Erweiterungen reicht es nicht, sich auf eine frühere Bewertung der Grunddienste zu verlassen. Der Bericht hebt insbesondere KI-⁠Dienste, Analysefunktionen und zusätzlich buchbare Applikationen als Bereiche hervor, die gesondert geprüft werden müssen. Für jede Erweiterung ist daher zu klären, welche Daten sie verarbeitet und welchem Zweck sie im Unternehmen dient.

Unsere klare Empfehlung: Behandeln Sie die hessische Bewertung als Grundlage für eine strukturierte Einzelfallprüfung, nicht als Freibrief. Dokumentieren Sie pro tatsächlich genutztem Dienst Zweck, Daten, betroffene Personen, Lizenz und Konfiguration und beziehen Sie neue Funktionen gesondert ein.

Quellen: Dr. Datenschutz — „Microsoft 365 und DSGVO: Kritik und Lösungswege“ (https://www.dr-datenschutz.de/datenschutz-bei-microsoft/)