Worum es in Teil 5 geht
Die vorangegangenen Teileunserer Linkedin-Serie haben die Restfragen benannt: CLOUD Act und FISA, ein Framework unter gerichtlicher Beobachtung, KI-Modelle außerhalb der europäischen Datengrenze und Dienste, die zuerst außerhalb Europas starten. Dieser abschließende Teil zeigt, welche Wege im Umgang mit diesen Restfragen offenstehen, und zieht das Fazit. Es ist eine fachliche Einordnung und keine Rechtsberatung.
Drei grundsätzlich verschiedene Wege
Auf die strukturellen Restfragen gibt es drei plausible Antworten, und alle drei sind je nach Ergebnis der eigenen Risikoanalyse vertretbar. Der erste Weg bleibt bei Microsoft und nutzt die Souveränitätsangebote des Herstellers. Der zweite wechselt den Anbieter. Der dritte untersagt den Einsatz für bestimmte Bereiche, wie es Frankreich vormacht.
Der erste Weg: Microsofts Souveränitätsportfolio
Für Organisationen, denen die Zusagen der EU Data Boundary nicht genügen, hat Microsoft ein gestuftes Souveränitätsportfolio aufgebaut. Es reicht von der Sovereign Public Cloud mit zusätzlichen Kontrollen in EU-Rechenzentren über die Sovereign Private Cloud mit Microsoft 365 Local, bei der Kernworkloads auf eigener Infrastruktur laufen, bis zu nationalen Partner-Clouds. In Deutschland ist das für den öffentlichen Sektor die Delos Cloud, eine SAP-Tochter, betrieben auf Azure-Technologie. Diese Angebote entziehen Daten und Betrieb der US-Jurisdiktion weitergehend, verbunden allerdings mit erheblichen Kosten, Funktionseinbußen vor allem bei KI-Features und eigener Betriebsverantwortung.
Der zweite Weg: Europäische Alternativen
Wer den Anbieterwechsel erwägt, findet im deutschen Markt zwei etablierte Kandidaten, beide quelloffen und beim Betrieb in Europa ohne strukturellen US-Jurisdiktionsbezug. Nextcloud ist eine Open-Source-Kollaborationsplattform mit Dateiablage, Chat, Videokonferenz, Groupware und Office-Funktionen, inzwischen ergänzt um einen selbst hostbaren KI-Assistenten. Sie skaliert vom NAS im Kleinunternehmen bis zur Bundescloud der Bundesverwaltung. openDesk ist die vom Bundesinnenministerium getragene, über das Zentrum für Digitale Souveränität bereitgestellte souveräne Arbeitsplatzsuite, ein integriertes Paket quelloffener Komponenten. Sie ist beim Robert-Koch-Institut produktiv im Einsatz und Gegenstand eines mehrjährigen Rahmenvertrags der BWI für die Bundeswehr, technisch aber eine Lösung für Rechenzentrums- oder Cloud-Betrieb und nicht für Kleinstumgebungen gedacht. Dass ein Umstieg auch in der Fläche gelingt, zeigt Schleswig-Holstein, das bis Ende 2025 rund 80 Prozent der Arbeitsplätze seiner Landesverwaltung auf LibreOffice umgestellt hat. Der Preis dieses Weges ist Migrationsaufwand, geringere Funktionstiefe und eigene Betriebsverantwortung.
Der dritte Weg: Die staatliche Doktrin Frankreichs
Frankreich hat als einziger großer Mitgliedstaat eine explizite Linie gegen Microsoft 365 in der Verwaltung etabliert und über Jahre ausgebaut. Grundlage ist eine Doktrin, nach der Systeme mit sensiblen Daten kommerzielle Clouds nur nutzen dürfen, wenn diese nach dem staatlichen Standard SecNumCloud qualifiziert und gegen extraterritoriales Nicht-EU-Recht immunisiert sind. Auf dieser Basis dürfen Ministerien nicht zu Microsoft 365 migrieren, und der Einsatz an Schulen wurde untersagt. Eine Untersuchungskommission des Senats legte 2025 zahlreiche Empfehlungen für mehr Souveränität vor, ein zentrales staatliches Datenprojekt wird zu einem französischen Anbieter migriert, und alle Ministerien wurden verpflichtet, ihre Abhängigkeiten zu reduzieren. Das ist kein Gesetz gegen Microsoft, sondern eine Verwaltungsdoktrin mit realer Steuerungswirkung. Wer in der eigenen Abwägung zu einem ähnlichen Ergebnis kommt, bewegt sich damit auf der Linie einer großen europäischen Verwaltung.
Das Fazit in sieben Punkten
Erstens: Die Plattformlage hat sich seit 2022 messbar verbessert. Wer heute behauptet, Microsoft 365 sei per se nicht konform betreibbar, argumentiert an der dokumentierten Entwicklung vorbei. Zweitens: Die Festlegung von 2022 besteht formal fort, und eine bundesweit einheitliche, aktuelle Gesamtbewertung fehlt. Die positive hessische Bewertung beruht auf einer rechtlichen, nicht technischen Prüfung. Drittens: Die strukturellen Transferfragen sind nicht erledigt, sondern vertagt, das Framework steht erneut vor Gericht, und die US-Rechtslage war zum Redaktionsschluss nur befristet gesichert.
Viertens: Copilot verschiebt die Prüfung von der Plattform auf das Modell, weshalb nur die konfigurationsbezogene Einzelprüfung belastbar ist. Fünftens: Neue Dienste starten regelmäßig außerhalb Europas, was Konformität zu einer laufenden Aufgabe macht. Sechstens: Zertifikate belegen Sicherheit, nicht Rechtmäßigkeit, und eine Datenschutz-Zertifizierung nach Artikel 42 DSGVO existiert für Microsoft 365 nicht. Siebtens: Es gibt gangbare Alternativwege, und es gibt Staaten, die sie gehen.
Die Gesamteinordnung lautet damit nicht konform oder nicht konform, sondern nach unserer fachlichen Einordnung: Microsoft 365 lässt sich 2026 mit vertretbarem Aufwand auf einer rechtlich verteidigbaren Grundlage betreiben, sofern eine dokumentierte, konfigurationsbezogene und fortlaufend gepflegte Prüfung erfolgt. Diese Einordnung ersetzt keine rechtliche Prüfung des Einzelfalls. Ebenso vertretbar ist es, auf Basis der eigenen Risikoanalyse einen anderen Weg zu wählen. Die verbleibenden Risiken sind benennbar und dokumentierbar. Ob sie tragbar sind, ist eine Abwägung, die niemand dem Verantwortlichen abnimmt, weder Microsoft noch eine Aufsichtsbehörde noch diese Serie.
Der vollständige Bericht
Diese Serie hat den Stand 2026 in fünf Teilen eingeordnet. Wer die vollständige Argumentation mit allen Nachweisen braucht, findet sie in unserem ausführlichen Bericht auf über 60 Seiten, mit jeder wesentlichen Aussage belegt durch amtliche Quellen, Gerichtsentscheidungen und Originaldokumente des Herstellers. Sämtliche Quellen und Verzeichnisse sind in diesem Gesamtdokument enthalten, das zeitgleich mit diesem fünften Teil online geht. Den Bericht sowie die konkreten Arbeitshilfen, die Konfigurations-Checkliste, den Leitfaden zur Datenschutz-Folgenabschätzung und die Souveränitäts-Entscheidungsmatrix, stellen wir Ihnen in einem kostenfreien Expertenpaket zur Verfügung.
Damit endet der erste Teil unserer Einordnung. Ab Teil 6 stellen wir die wichtigsten Argumente in einer Reihe von Pro und Kontra gegenüber, damit Sie sich eine eigene Meinung bilden können. Auch zu dieser Reihe erscheint an ihrem Ende ein eigenes Gesamtdokument mit allen Quellen und Verzeichnissen.
So unterstützt improve it
Die improve it GmbH aus Weingarten bei Karlsruhe ist auf Datenschutz, Informationssicherheit und Compliance rund um Microsoft 365 spezialisiert. Wir verbinden technische Expertise mit Datenschutz- und Informationssicherheitswissen, von der Tenant-Konfiguration bis zur Betriebsvereinbarung. Auf Wunsch prüfen wir Ihre Landschaft im Rahmen einer Datenschutzberatung durch einen nach ISO 19011 qualifizierten Auditor und durch zertifizierte Datenschutzbeauftragte; eine rechtsverbindliche Konformitätsbescheinigung ist damit nicht verbunden. Mit dem M365 Compliance Radar überwachen wir Konfigurationen fortlaufend und machen Änderungen für Datenschutz und Betriebsrat transparent. Fordern Sie das Infopaket an, und wir klären Ihre wichtigsten Fragen in einem kostenfreien Erstgespräch.
In dieser Serie
Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit.
Dieser Beitrag gibt den Recherchestand Juni 2026 wieder. Er ist eine fachliche Einordnung einer Datenschutzberatung, stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar und ersetzt keine anwaltliche Prüfung des Einzelfalls.