Microsoft-⁠365-⁠DPA ab 1. November 2026 – Meldeklausel ist keine Suchbefugnis

Seit dem 1. November 2026 enthält Microsofts Datenschutznachtrag eine präzisierte Regel zur Offenlegung bestimmter Inhalte. Sie erlaubt keine systematische Durchsuchung von Kundeninhalten, sondern betrifft Meldungen, wenn Microsoft von offensichtlich rechtswidrigen Inhalten im Zusammenhang mit sexuellem Kindesmissbrauch Kenntnis hat.

Die Klausel betrifft eine Meldung nach Kenntniserlangung

Die Ergänzung zum Data Protection Addendum (DPA) behandelt, wann Microsoft entsprechende Inhalte an zuständige Stellen wie das National Center for Missing and Exploited Children oder Behörden melden kann. Entscheidend ist dabei die Voraussetzung, dass Microsoft von solchen Inhalten Kenntnis hat. Die Klausel regelt also die Offenlegung, nachdem ein solcher Inhalt aufgefallen ist.

Das ist etwas anderes als eine Befugnis, sämtliche Datenbestände von Unternehmenskunden aktiv nach bestimmten Inhalten zu durchsuchen. Aus der Klausel ergibt sich eine solche Erlaubnis nicht. Ebenso belegt sie nicht, dass Microsoft die Daten seiner Geschäftskunden routinemäßig kontrolliert. Diese Unterscheidung ist für die Einordnung wichtiger als die bloße Tatsache, dass eine Meldung an eine Behörde möglich ist.

Die Datenschutzrollen hängen weiter von der Verarbeitung ab

Für Unternehmen bleibt die Rollenverteilung bei Microsoft 365 ein eigener Prüfpunkt. Bei der regulären Bereitstellung der Cloud-⁠Dienste handelt Microsoft grundsätzlich als Auftragsverarbeiter und verarbeitet Daten nach den Weisungen seiner Firmenkunden. Entscheidet Microsoft dagegen selbst über Zweck und Mittel einer Verarbeitung, handelt es als eigenständiger Verantwortlicher und muss die Anforderungen der DSGVO erfüllen.

Die neue Klausel ändert diese grundsätzliche Rollenverteilung nicht. Sie macht aber deutlich, warum Unternehmen nicht jede Datenverarbeitung pauschal unter derselben Rolle betrachten sollten: Der konkrete Zweck und die Frage, wer darüber entscheidet, sind maßgeblich. Eine einzelne Regel zur Offenlegung ist deshalb nicht automatisch gleichbedeutend mit einer Änderung des gesamten Datenschutzverhältnisses bei Microsoft 365.

Die Prüfung sollte an den tatsächlichen Abläufen ansetzen

Für Verantwortliche ist eine gezielte Bestandsaufnahme sinnvoll. Prüfen Sie dabei getrennt, was bereits geregelt ist und wo die neue Klausel eine Ergänzung nötig macht:

• Datenschutzhinweise: Ist verständlich beschrieben, dass eine Offenlegung unter der genannten Voraussetzung möglich sein kann? Der Datenschutzrechtler Johannes Nehlsen empfiehlt ergänzende Datenschutzhinweise.
• Folgenabschätzungen: Prüfen Sie, ob bestehende Datenschutz-Folgenabschätzungen den Sachverhalt noch angemessen abbilden. Auch diese Überprüfung wird von Nehlsen empfohlen.
• Interne Verfahren: Ist festgelegt, wer einen Verdachtsfall bearbeitet und wie damit intern umgegangen wird? Rechtsanwalt Stefan Hessel hebt klar geregelte Zugriffsrechte und interne Abläufe als wichtige Punkte für gewerbliche Nutzer hervor.

Diese Fragen sollten nicht dazu führen, eine routinemäßige Prüfung von Kundeninhalten zu unterstellen. Sie helfen vielmehr dabei, die vertragliche Offenlegungsmöglichkeit, die eigene Information betroffener Personen und die tatsächlichen Zuständigkeiten im Unternehmen auseinanderzuhalten. Gerade diese Trennung verhindert, dass eine einzelne Klausel und ihre praktische Bedeutung miteinander verwechselt werden.

Weder pauschale Entwarnung noch pauschaler Alarm

Die Änderung sollte weder als Beweis für eine allgemeine Durchsuchung von Microsoft-⁠365-⁠Daten noch als bedeutungslos abgetan werden. Eine Meldung kann unter der beschriebenen Voraussetzung möglich sein; daraus folgt aber keine allgemeine Suchbefugnis. Für die Datenschutzbewertung zählt daher, was die Klausel tatsächlich regelt und wie das Unternehmen seine eigenen Hinweise, Prüfungen und Abläufe darauf abstimmt.

Prüfen Sie die Klausel gezielt an Ihren Datenschutzhinweisen, Folgenabschätzungen und internen Zuständigkeiten, statt aus ihr eine systematische Kontrolle sämtlicher Cloud-⁠Inhalte abzuleiten.

Quellen: heise online — „Neue Datenschutzklausel bei M365 sorgt für Verwirrung“ (https://www.heise.de/news/Neue-Datenschutzklausel-bei-M365-sorgt-fuer-Verwirrung-11516122.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag)