EDPS bestätigt: Datenschutzverstöße bei Nutzung von Microsoft 365 durch die Kommission behoben
Was passiert, wenn eine der mächtigsten Institutionen Europas Microsoft 365 nutzt – und dabei mit europäischem Datenschutzrecht kollidiert? Eine Frage, die die Europäische Kommission und den Europäischen Datenschutzbeauftragten (EDPS) seit Jahren beschäftigt. Nun gibt es ein klares Ergebnis: Die Kommission hat ihre Nutzung von Microsoft 365 erfolgreich nachgebessert – und der EDPS hat seine Durchsetzungsverfahren offiziell beendet.
Die Entscheidung markiert einen bedeutenden Schritt im institutionellen Datenschutz – und setzt zugleich Maßstäbe für alle EU-Behörden, die Microsoft-Dienste einsetzen.
Rückblick: Die Beanstandungen des EDPS
Bereits im Mai 2021 hatte der EDPS ein Untersuchungsverfahren zur Nutzung von Microsoft 365 durch die Europäische Kommission eingeleitet. Am 8. März 2024 stellte er dann klare Verstöße gegen die Verordnung (EU) 2018/1725 fest – das Datenschutzgesetz für EU-Organe.
Die Hauptkritikpunkte:
-
Unzureichende Zweckbindung bei der Verarbeitung personenbezogener Daten
-
Unklare Regelungen zu internationalen Datentransfers, insbesondere in Drittländer ohne angemessenes Datenschutzniveau
-
Fehlende Kontrolle über Offenlegungspflichten durch Microsoft und dessen Subunternehmer
Der EDPS ordnete daraufhin konkrete Korrekturmaßnahmen an.
Was hat die Kommission geändert?
Im Laufe des Jahres 2024 setzte die Kommission eine Reihe technischer, organisatorischer und vertraglicher Maßnahmen um. Nach einem Compliance-Bericht im Dezember 2024 und weiteren Nachbesserungen bis Juli 2025 kam der EDPS nun zu dem Ergebnis: Die Datenschutzverstöße wurden wirksam behoben.
Konkret wurden folgende Verbesserungen vorgenommen:
1. Zweckbindung und Kontrolle
Die Kommission hat die Zwecke der Datenverarbeitung präzisiert und in Verträgen festgelegt, dass Microsoft und Subunternehmer ausschließlich auf dokumentierte Anweisung handeln dürfen – ausschließlich für Zwecke im öffentlichen Interesse.
2. Internationale Datenübermittlungen
Datenübermittlungen in Drittländer erfolgen nun nur noch in Länder mit einem Angemessenheitsbeschluss oder in Ausnahmefällen gemäß Art. 50 der Verordnung. Zusätzlich wurden bindende Weisungen an Microsoft erteilt und die Empfängerkreise klar definiert.
3. Offenlegung und Benachrichtigungspflichten
Verträge sehen nun vor, dass nur EU-Recht oder nationales Recht Microsoft zur Offenlegung von Daten zwingen darf – nicht etwa ausländische Behörden. Dies gilt besonders für Daten, die innerhalb des EWR verarbeitet werden. Für Daten außerhalb gelten vergleichbare Maßstäbe.
Was bedeutet das für andere EU-Institutionen?
Die Kommission hat ihre neue Vereinbarung mit Microsoft – die sogenannte Interinstitutionelle Lizenzvereinbarung – auch anderen EU-Behörden zugänglich gemacht. Der EDPS begrüßt diesen Schritt und ruft andere EU-Organe dazu auf, vergleichbare Prüfungen und Anpassungen vorzunehmen.
Wojciech Wiewiórowski, EDPS:
„Dies ist ein bedeutender gemeinsamer Erfolg. Er zeigt, was durch konstruktive Zusammenarbeit und effektive Aufsicht möglich ist.“
Das Verfahren zeigt auch, dass EDPS-Aufsicht nicht rein deklaratorisch ist, sondern konkrete Konsequenzen nach sich ziehen kann – mit sichtbarer Wirkung für den Datenschutz.
Einordnung: Datenschutz in der digitalen Verwaltungspraxis
Die Entscheidung betrifft nicht nur die Europäische Kommission oder Microsoft, sondern alle öffentlichen Stellen, die mit US-Cloud-Anbietern zusammenarbeiten. Sie verdeutlicht:
-
Datenschutz in Cloud-Diensten erfordert klare Rollenverteilung zwischen Auftraggeber und Anbieter
-
Der Schutz personenbezogener Daten ist verhandelbar – aber nicht verhandelbar im Sinne von verzichtbar
-
Die Rolle von Datenschutzaufsichtsbehörden kann tatsächliche Verhaltensänderungen bewirken
Auch wenn das Verfahren nun beendet ist, betont der EDPS: Die Prüfung umfasste nur einzelne Aspekte der Verordnung. Eine Gesamtbewertung der datenschutzrechtlichen Konformität der Kommission steht weiter aus.
Fazit: Ein Weckruf mit Signalwirkung
Die Europäische Kommission hat gezeigt, dass sich Datenschutz und moderne IT-Infrastruktur nicht ausschließen müssen – wenn rechtzeitig und konsequent nachgesteuert wird. Der Fall Microsoft 365 unterstreicht: Kritische Aufsicht kann technische Giganten zähmen – und die Grundrechte der Bürgerinnen und Bürger auch im digitalen Raum sichern.