Microsoft 365 und der Datenschutz – ein Balanceakt mit Anleitung
Dürfen Unternehmen in Hessen Microsoft 365 rechtssicher einsetzen? Diese Frage hat in den vergangenen Jahren für reichlich Unsicherheit gesorgt. Ein kritischer Bericht der Datenschutzkonferenz (DSK) aus dem Jahr 2022 ließ Zweifel aufkommen. Doch nun liegt ein neuer, über 130 Seiten starker Bericht des Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) vom 15. November 2025 vor – mit einer differenzierten Einschätzung, die für Unternehmen wichtige Orientierung bietet.
Die Kurzfassung: Microsoft 365 kann datenschutzkonform betrieben werden – aber nicht von allein.
Was hat sich seit 2022 geändert?
Die DSK hatte 2022 gleich sieben Kritikpunkte identifiziert, die aus ihrer Sicht einem DSGVO-konformen Einsatz von Microsoft 365 im Weg standen. Microsoft habe sich damals zu viele Rechte eingeräumt, etwa zur Eigenverarbeitung von Daten, zur Offenlegung gegenüber Dritten oder zur unklaren Rolle bei technischen Schutzmaßnahmen. Auch das damals verwendete Vertragswerk – das sogenannte „Data Protection Addendum“ (DPA) – entsprach laut DSK nicht den Anforderungen der DSGVO.
Jetzt, drei Jahre später, zeigt der HBDI: Es hat sich einiges getan.
In intensiven Gesprächen zwischen dem HBDI, dem Digitalministerium und Microsoft wurde das DPA für den öffentlichen Sektor überarbeitet. Viele der kritisierten Punkte wurden konkretisiert, teilweise neu geregelt. Auch für private Unternehmen ergibt sich daraus eine neue Lage – denn viele der Verbesserungen sind auch im Standard-DPA übernommen worden.
Was heißt das für Unternehmen konkret?
Der Bericht des HBDI ist keine Freigabe mit grünem Stempel, sondern eher ein Leitfaden mit klaren Hinweisen. Die Verantwortung bleibt bei den Unternehmen – doch wer sich an bestimmte Spielregeln hält, kann Microsoft 365 rechtssicher nutzen.
Hier die wichtigsten Punkte:
1. Klare Dokumentation von Art und Zweck der Datenverarbeitung
Das neue DPA liefert bessere Informationen zur Art der verarbeiteten Daten. Unternehmen können nun nachvollziehen, was genau verarbeitet wird und wie dies im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden sollte.
2. Microsofts Eigenverantwortung – besser eingegrenzt
Microsoft erklärt inzwischen klarer, dass es Inhaltsdaten der Kunden nicht für eigene Zwecke nutzt. Diagnose- und Logdaten werden pseudonymisiert und in aggregierter Form verarbeitet – ohne Rückbezug auf einzelne Personen.
3. Weisungsbindung und Offenlegung
Das neue Vertragsmodell sieht vor, dass Daten nur auf dokumentierte Anweisung des Unternehmens verarbeitet oder offengelegt werden. Auch bei Zugriffsanfragen von Behörden sollen Unternehmen vorab informiert werden – soweit rechtlich zulässig.
4. Technische und organisatorische Maßnahmen (TOMs)
Microsoft verpflichtet sich nun ausdrücklich zur Einhaltung des Standes der Technik gemäß Artikel 32 DSGVO – nicht nur „branchenüblicher Standards“. Unternehmen erhalten Zugriff auf umfassende Dokumentationen über das sogenannte Service Trust Portal.
5. Löschung und Rückgabe
Die Löschprozesse sind klarer geregelt. Unternehmen haben mehr Kontrolle darüber, wann und wie personenbezogene Daten gelöscht oder zurückgegeben werden – auch nach Vertragsende.
6. Unterauftragsverarbeiter
Microsoft informiert inzwischen frühzeitig über Änderungen bei Subunternehmern. Unternehmen können diese Informationen über das Trust Portal nachvollziehen und im Zweifel reagieren.
7. Drittlandübermittlungen
Dank des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (2023) ist der Datentransfer in die USA grundsätzlich wieder zulässig. Microsoft verarbeitet die meisten Daten im EWR; für übrige Transfers gelten Standardvertragsklauseln.
Was bedeutet das für die Praxis?
Der HBDI betont: Es kommt auf die Umsetzung durch die Unternehmen an. Datenschutz ist kein Plug-and-Play. Unternehmen müssen:
-
eigene Konfigurationen prüfen und dokumentieren,
-
Verzeichnisse der Verarbeitungstätigkeiten aktualisieren,
-
Sicherheitsmaßnahmen evaluieren und dokumentieren,
-
Verträge, insbesondere das DPA, genau lesen und verstehen.
Zudem empfiehlt es sich, regelmäßig zu kontrollieren, ob Microsoft Änderungen am DPA oder an der Subunternehmerliste vornimmt – und diese Änderungen intern rechtlich zu bewerten.
Fazit: Datenschutz mit Microsoft 365 ist machbar – mit Mühe
Der Bericht des HBDI ist ein wichtiger Schritt zur rechtlichen Einordnung von Microsoft 365 in Deutschland – und insbesondere für Unternehmen in Hessen. Er liefert keine einfache Freigabe, aber ein belastbares Fundament für den datenschutzkonformen Einsatz. Unternehmen, die bereit sind, sich mit der Materie auseinanderzusetzen, erhalten endlich ein gewisses Maß an Rechtssicherheit – sofern sie ihre Pflichten ernst nehmen.