Kategorie: Betriebsrat

Der Blick auf die Beschäftigten und das Ganze

Dieser abschließende Teil unserer Linkedin-Serie nimmt sich den Streitpunkt vor, der im Unternehmenseinsatz oft der wichtigste ist, den Beschäftigtendatenschutz. Danach fügen wir die Debatte zu einem Gesamtbild zusammen, ohne sie aufzulösen. Wie in der ganzen Reihe stehen das Kontra und das Pro nebeneinander, gefolgt von einer Einordnung. Es ist eine fachliche Einordnung und keine Rechtsberatung.

Streitpunkt 8: Beschäftigtendatenschutz und Überwachungswerkzeuge

Kontra. Im Unternehmenseinsatz ist Microsoft 365 vor allem ein System zur Verarbeitung von Beschäftigtendaten, und die Rechtsgrundlage ist seit dem Urteil C-34/21 unsicher. § 26 Absatz 1 Satz 1 BDSG gilt überwiegend als unanwendbar, ein Beschäftigtendatengesetz fehlt. Die Verarbeitung muss unmittelbar auf Artikel 6 DSGVO gestützt werden, bei den umfangreichen Protokoll-, Auswertungs- und KI-Funktionen eine anspruchsvolle Abwägung. Hinzu kommt die Mitbestimmung nach § 87 Absatz 1 Nummer 6 BetrVG und der Doppelcharakter der Werkzeuge, denn Defender, Viva Insights, Insider Risk Management und Communication Compliance sind leistungsfähige Überwachungsinfrastrukturen. Eine Betriebsvereinbarung bindet den Zweck, ist aber widerrufbar, während die technische Fähigkeit installiert bleibt.

Pro. Die durch das Urteil ausgelöste Unsicherheit betrifft jede Verarbeitung von Beschäftigtendaten, nicht speziell Microsoft 365, und ist über eine Betriebsvereinbarung als Grundlage im Sinne des Artikel 88 DSGVO lösbar, was etablierte und anerkannte Praxis ist. Der Einwand, die technische Fähigkeit bleibe installiert, trifft auf praktisch jedes IT-System mit Protokollfunktionen zu und kann daher kein spezifisches Ausschlusskriterium sein. Die anerkannte Risikominderung besteht in Governance, also Betriebsvereinbarung, Zweckbindung, Pseudonymisierung, Rollentrennung und Protokollierung, nicht im Verzicht auf die Technik. Mehrere der sensibelsten Werkzeuge sind zudem datenschutzfreundlich voreingestellt.

Einordnung. Unstrittig ist, dass Microsoft 365 überwachungsgeeignete Funktionen enthält und damit mitbestimmungspflichtig ist und dass die Rechtsgrundlage für Beschäftigtendaten nach dem Urteil unmittelbar aus der DSGVO und einer Betriebsvereinbarung abzuleiten ist. Die Positionen unterscheiden sich darin, ob die fortbestehende technische Überwachungsfähigkeit ein eigenständiges, durch Governance nicht vollständig auflösbares Risiko darstellt oder ob die organisatorische Bindung das anerkannte und ausreichende Mittel ist. Diese Frage ist weniger eine Tatsachen- als eine Bewertungs- und Vertrauensfrage gegenüber der eigenen künftigen Organisationsführung.

Das Gesamtbild: Was unstrittig ist und was offen bleibt

Über die neun Streitpunkte hinweg lässt sich klar trennen, was zwischen den Positionen unstrittig und was umkämpft ist. Diese Trennung ist selbst die nützlichste Orientierung, denn sie zeigt, worüber man nicht mehr streiten muss und worüber die eigene Abwägung zu entscheiden hat.

Empirisch weitgehend belegt und zwischen beiden Seiten unstrittig sind die US-Rechtslage und die grundsätzliche Zugriffsmöglichkeit, die Existenz dokumentierter Ausnahmen der EU Data Boundary und der Flex-Routing-Voreinstellung, ein nicht vollständig abschaltbarer Telemetrie-Reststrom, das Fortbestehen der Festlegung von 2022 neben der Verfahrenseinstellung des Europäischen Datenschutzbeauftragten und dem hessischen Bericht, die produktive Existenz von Alternativen mit eigenen Funktions- und Kostenprofilen sowie die Mitbestimmungspflicht überwachungsgeeigneter Funktionen.

Offen und Gegenstand der Kontroverse bleiben dagegen die Fragen, ob für die Zulässigkeit die abstrakte Zugriffsmöglichkeit oder die konkrete Eintrittswahrscheinlichkeit maßgeblich ist, ob nicht selbst prüfbare, aber extern testierte Zusagen ein hinreichendes Vertrauensfundament bilden, wie das Opt-out-Prinzip bei Copilot datenschutzrechtlich zu bewerten ist, wie § 25 TDDDG auf die Telemetrie anzuwenden ist, ob organisatorische Governance den Doppelcharakter überwachungsgeeigneter Technik hinreichend einhegt, und schließlich der Ausgang des Verfahrens vor dem Europäischen Gerichtshof sowie die weitere Entwicklung des US-Rechts.

Ein Wort zum Schluss

Wie diese offenen Punkte zu gewichten sind und welche Schlussfolgerung daraus für eine konkrete Organisation folgt, ist eine Abwägung, die wir bewusst nicht treffen. Sie hängt vom Schutzbedarf der Daten, von der Branche, der vorhandenen IT-Kompetenz und der Risikobereitschaft ab und liegt beim Verantwortlichen im Sinne der DSGVO. Was wir liefern, ist der Sachstand, die technischen Stellhebel und eine Struktur für die Abwägung, nicht die Entscheidung selbst.

Der zweite Bericht und die Quellen

Damit endet unsere Pro-und-Kontra-Reihe. Die vollständige Fassung mit allen neun Streitpunkten, jeweils in der ausführlichen Gegenüberstellung von These, Gegenthese und Einordnung, erscheint zeitgleich mit diesem neunten Teil als eigenes Gesamtdokument. Sämtliche Quellen und Verzeichnisse sind darin enthalten und amtlich oder durch Originaldokumente des Herstellers belegt. Dieses zweite Dokument bildet zusammen mit der Bestandsaufnahme aus den Teilen 1 bis 5 das komplette Bild.

So unterstützt improve it

Die improve it GmbH aus Weingarten bei Karlsruhe ist auf Datenschutz, Informationssicherheit und Compliance rund um Microsoft 365 spezialisiert. Wir verbinden technische Expertise mit Datenschutz- und Informationssicherheitswissen, von der Tenant-Konfiguration bis zur Betriebsvereinbarung. Mit dem M365 Compliance Radar überwachen wir Konfigurationen fortlaufend und machen Änderungen für Datenschutz und Betriebsrat transparent. Beide Berichte sowie die konkreten Arbeitshilfen, die Konfigurations-Checkliste, den Leitfaden zur Datenschutz-Folgenabschätzung und die Souveränitäts-Entscheidungsmatrix, stellen wir Ihnen in einem kostenfreien Infopaket zur Verfügung. Fordern Sie es an, und wir klären Ihre wichtigsten Fragen in einem kostenfreien Erstgespräch.

In dieser Reihe

Teil 6: Vertrauen und Zugriff. Teil 7: Copilot und Telemetrie. Teil 8: Aufsicht, Souveränität und Alternativen. Teil 9: Beschäftigte und Gesamtbild.

Einstieg verpasst? Schauen Sie unsere Einordnungsserie Teil 1: Warum die Frage neu zu stellen ist, Teil 2: Der lange Arm der USA, Teil 3: Die EU Data Boundary und die Aufsichtsbehörden, Teil 4: Copilot, die KI-Modelle und die Mitbestimmung, Teil 5: Digitale Souveränität und das Fazit.

Dieser Beitrag gibt den Recherchestand Juni 2026 wieder. Er ist eine fachliche Einordnung einer Datenschutzberatung, stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar und ersetzt keine anwaltliche Prüfung des Einzelfalls.

Die politische und strategische Ebene

Nach den grundsätzlichen und den technischen Fragen richtet sich dieser Teil unserer Linkedin-Serie auf die politische und strategische Ebene. Drei Streitpunkte gehören zusammen: die Bewertung der Aufsichtsbehörden, die Frage, was Souveränität überhaupt bedeutet, und die Frage, ob es ernsthafte Alternativen gibt. Wie in der ganzen Reihe stehen das Kontra und das Pro nebeneinander, gefolgt von einer Einordnung. Es ist eine fachliche Einordnung und keine Rechtsberatung.

Streitpunkt 5: Die aufsichtsbehördliche Lage

Kontra. Die positiven Signale von 2025 tragen weniger weit, als die mediale Rezeption nahelegt. Die Festlegung der Datenschutzkonferenz von 2022 ist nicht förmlich aufgehoben, eine bundesweit einheitliche Neubewertung fehlt. Der Bericht des Hessischen Beauftragten spricht nur für Hessen und beruht auf einer rechtlichen Würdigung ohne technische Prüfung, und Baden-Württemberg hält seine kritische Linie aufrecht. Die Einstellung des Verfahrens durch den Europäischen Datenschutzbeauftragten betrifft die individuell nachverhandelten Konditionen der EU-Kommission und ist ausdrücklich keine generelle Konformitätsbestätigung. Hinzu kommt die strukturelle Unsicherheit der Transfergrundlage.

Pro. Die Bewegung der Aufsichtsbehörden weist klar in Richtung nutzbar mit Auflagen. Mit dem Europäischen Datenschutzbeauftragten hat die Datenschutzbehörde der EU selbst ein Verfahren eingestellt, nachdem Microsoft strukturelle Nachbesserungen vorgenommen und über verbesserte Vertragskonditionen allen Kunden zugänglich gemacht hat. Der Hessische Beauftragte hat seine Bewertung mit dem Bayerischen Landesamt abgestimmt. Die Festlegung von 2022 datiert vor der EU Data Boundary und dem überarbeiteten Datenschutznachtrag und gilt zunehmend als überholt. Die Latombe-Entscheidung hat das Framework bestätigt, und eine generelle behördliche Untersagung existiert nicht.

Einordnung. Belegt ist, dass die Festlegung von 2022 fortbesteht, dass der Europäische Datenschutzbeauftragte sein Verfahren eingestellt und dabei eine Gesamtbestätigung ausdrücklich vermieden hat und dass mit dem Hessischen Beauftragten erstmals eine deutsche Aufsichtsbehörde eine positive, rechtliche und nicht technische Gesamtbewertung abgegeben hat. Die Lage ist uneinheitlich und in Bewegung. Die Positionen unterscheiden sich darin, ob das Glas als halb leer oder halb voll gelesen wird. Eine konsolidierte bundesweite Neubewertung steht aus.

Streitpunkt 6: Digitale Souveränität

Kontra. Microsofts Souveränitätsangebote adressieren die Jurisdiktionsfrage, bleiben aber Microsoft-Technologie unter Microsoft-Lizenz, Updatehoheit und geistigem Eigentum. Eine über Updates und proprietäre Technologie fortbestehende Abhängigkeit relativiert die Souveränität, denn Kontrolle über den Betrieb ist nicht dasselbe wie Kontrolle über die Technologie. Hinzu kommt die Bindung an den Anbieter als eigenständiges Souveränitätsrisiko, denn proprietäre Formate, der zentrale Identitäts-Layer und tiefe Abhängigkeiten in den Schnittstellen erzeugen eine strukturelle Abhängigkeit mit geopolitischer Hebelwirkung.

Pro. Souveränität ist ein Spektrum, kein binärer Zustand. Die Angebote, von Microsoft 365 Local bis zur netzgetrennten Variante, die von SAP und Arvato betriebene Delos Cloud und die externe Schlüsselverwaltung, senken den US-Zugriff für Organisationen mit hohem Schutzbedarf real und gestuft. Eine Bindung an den Anbieter besteht bei jeder Plattform, auch bei quelloffenen Lösungen entstehen Migrationskosten und Know-how-Bindung, und der EU Data Act sowie Standardformate mildern sie regulatorisch. Das geopolitische Szenario eines Abschaltens ist spekulativ und hätte für Microsoft selbst erhebliche rechtliche und kommerzielle Folgen.

Einordnung. Unstrittig ist, dass die Souveränitätsangebote die US-Jurisdiktion organisatorisch und technisch zurückdrängen, ohne die technologische Lieferkette vom Hersteller zu lösen. Die Kontroverse betrifft die Definition von Souveränität. Die kritische Seite setzt sie mit Kontrolle über die Technologie gleich, die Gegenseite mit einem abstufbaren Grad an Kontrolle über Daten und Betrieb. Die Bindung an den Anbieter ist als Tatsache belegt, ihre geopolitische Zuspitzung ist prognostisch und damit nicht belegbar, sondern Gegenstand der Risikoeinschätzung.

Streitpunkt 7: Die Verfügbarkeit von Alternativen

Kontra. Die Behauptung, zu Microsoft 365 gebe es keine ernsthafte Alternative, ist empirisch nicht mehr haltbar. Frankreich hält Microsoft 365 per Verwaltungsdoktrin aus der sensiblen Staatsverwaltung heraus und baut eigene souveräne Lösungen auf. In Deutschland sind Nextcloud und die vom Bundesinnenministerium getragene Suite openDesk produktiv im Einsatz, bis hin zur Bundeswehr und zur Bundescloud, und Schleswig-Holstein hat einen Großteil seiner Arbeitsplätze auf freie Software umgestellt. Wer in der eigenen Risikoanalyse zu einem kritischen Ergebnis kommt, hat damit dokumentierte, erprobte Auswege.

Pro. Die Alternativen haben dokumentierte Grenzen: Funktionslücken vor allem bei KI und Integration, in der Vollkostenrechnung oft höhere Gesamtkosten und die Tatsache, dass sie das Risiko verschieben, statt es zu beseitigen, denn im Eigenbetrieb gehören alle Sicherheits- und Verfügbarkeitsfehler der Organisation selbst. Die zitierten Erfolge stammen überwiegend aus dem öffentlichen, teils geförderten Sektor und sind teils noch im Aufbau. Die Übertragbarkeit auf privatwirtschaftliche Organisationen mit anderer Ressourcenlage ist nicht ohne Weiteres gegeben.

Einordnung. Belegt ist die produktive Existenz europäischer und quelloffener Alternativen in mehreren großen Organisationen, womit die Aussage der Alternativlosigkeit als Pauschalbehauptung widerlegt ist. Belegt sind ebenso die Unterschiede bei Funktion, Kosten und Betrieb. Die Positionen unterscheiden sich nicht im Ob, sondern in der Eignung für einen konkreten Anwendungsfall. Ob eine Alternative trägt, hängt von Schutzbedarf, IT-Kompetenz, Funktionsanforderungen und Gesamtkosten ab und ist damit eine fallbezogene Abwägung.

In dieser Reihe

Teil 6: Vertrauen und Zugriff. Teil 7: Copilot und Telemetrie. Teil 8: Aufsicht, Souveränität und Alternativen. Teil 9: Beschäftigte und Gesamtbild. Am Ende der Reihe erscheint ein eigenes Gesamtdokument mit allen Quellen und Verzeichnissen.

Einstieg verpasst? Schauen Sie unsere Einordnungsserie Teil 1: Warum die Frage neu zu stellen ist, Teil 2: Der lange Arm der USA, Teil 3: Die EU Data Boundary und die Aufsichtsbehörden, Teil 4: Copilot, die KI-Modelle und die Mitbestimmung, Teil 5: Digitale Souveränität und das Fazit.

Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Juni 2026 wieder, ist eine fachliche Einordnung und stellt keine Rechtsberatung dar.

Die Technik im Streit

Teil 6 unserer Linkedin-Serie hat die grundsätzlichen Fragen von Vertrauen und Zugriff behandelt. Dieser Teil geht auf zwei konkrete technische Streitpunkte, an denen sich die Debatte besonders reibt: den Verarbeitungsort von Copilot und die Telemetrie unterhalb der Cloud-Ebene. Wie in der ganzen Reihe stehen sich das kritische Argument, das Kontra, und die Gegenposition, das Pro, gegenüber, gefolgt von einer Einordnung. Es ist eine fachliche Einordnung und keine Rechtsberatung.

Streitpunkt 3: Copilot und der Verarbeitungsort

Kontra. Der Trend bei Copilot weist aus Europa hinaus. Mit Flex Routing hat Microsoft eine Voreinstellung eingeführt, die die Verarbeitung bei Lastspitzen in Drittländer umleitet und seit dem 17. April 2026 auch für bestehende EU- und EFTA-Tenants standardmäßig aktiviert ist, ein Opt-out-Modell, das im Spannungsverhältnis zum Datenschutz durch Voreinstellung nach Artikel 25 Absatz 2 DSGVO steht. Die Anthropic-Modelle sind ganz von der Grenze ausgenommen, die xAI-Modelle laufen außerhalb des Microsoft-Vertragsrahmens, und neue Dienste starten regelmäßig zuerst außerhalb des Europäischen Wirtschaftsraums. Auch die Ankündigung eines In-Country Processing für Deutschland wurde später relativiert. Der Pfad des geringsten Widerstands führt damit aus Europa hinaus.

Pro. Die Verarbeitung ist konfigurierbar. Der OpenAI-Pfad innerhalb der Grenze ist das Standardmodell, Flex Routing lässt sich abschalten, und die gespeicherten Daten bleiben auch bei aktiviertem Flex Routing in der Grenze. Gerade wegen der europäischen Nachfrage investiert Microsoft erheblich in EU-Datenresidenz und die Sovereign Cloud, der Trend umfasst also auch ein wachsendes Angebot an EU-Optionen. Dass neue Funktionen zuerst außerhalb des Wirtschaftsraums erscheinen, ist überwiegend ein Phänomen des Produktlebenszyklus, und die spätere Freigabe nach regulatorischer Klärung ist eher Ausdruck von Compliance als ihrer Umgehung.

Einordnung. Belegt sind sowohl die kritischen Voreinstellungen, also die Flex-Routing-Voreinstellung, die Ausnahme der Nicht-OpenAI-Modelle und die US-first-Rollouts, als auch die EU-konformen Konfigurationsmöglichkeiten und die Souveränitätsinvestitionen. Die Positionen unterscheiden sich darin, ob man die Voreinstellungen zum Maßstab nimmt, also was ohne Eingriff geschieht, oder den konfigurierbaren Zielzustand, also was bei sachgerechter Einrichtung möglich ist. Praktisch konvergieren beide darin, dass ein EU-naher Copilot-Betrieb eine bewusste, fortlaufend zu pflegende Konfiguration erfordert. Strittig bleibt die Bewertung des Opt-out-Prinzips.

Streitpunkt 4: Telemetrie und Diagnosedaten

Kontra. Unterhalb der Cloud-Debatte liegt ein nie ausgeräumtes Problem. Eine vom BSI beauftragte Telemetrie-Analyse und die Prüfung des LfDI Baden-Württemberg haben dokumentiert, dass bestimmte Diagnose- und erforderliche Servicedaten sich nicht vollständig abschalten lassen und an Microsoft übermittelt werden, auch in die USA. Der LfDI hielt die Risiken der geprüften Schulversion für inakzeptabel hoch. Rechtlich ist § 25 TDDDG einschlägig, der für den Zugriff auf Endgeräte grundsätzlich eine Einwilligung verlangt, sofern er nicht unbedingt erforderlich ist. Eine breite, produktverbessernde Telemetrie dürfte diese enge Ausnahme nicht erfüllen.

Pro. Es handelt sich überwiegend um Diagnose- und Sicherheitsdaten, die sich auf die Stufe erforderlich reduzieren lassen und pseudonymisiert sind. Der verbleibende Datenstrom dient der Patch- und Bedrohungserkennung und damit einem eigenen Schutzziel nach Artikel 32 DSGVO. Die maßgeblichen technischen Untersuchungen beziehen sich auf ältere Windows- und M365-Stände, die Konfigurierbarkeit hat sich seither erweitert, und Microsoft hat für die erforderliche Stufe vertragliche Zusagen als Auftragsverarbeiter abgegeben. Die enge Auslegung von § 25 TDDDG ist zudem nicht speziell für Microsoft 365 amtlich festgestellt.

Einordnung. Die technische Tatsache, dass ein nicht vollständig abschaltbarer Diagnosedatenstrom existiert, ist belegt, ebenso, dass er sich konfigurativ reduzieren lässt. Die Positionen bewerten denselben Reststrom unterschiedlich, als verbleibendes Datenschutzrisiko oder als sicherheitsfunktional erforderlich und verhältnismäßig. Die rechtliche Einordnung unter § 25 TDDDG ist mangels spezifischer amtlicher Feststellung für Microsoft 365 offen, und die Aktualität der zugrunde liegenden Studien ist ein eigener, im Einzelfall zu prüfender Faktor.

In dieser Reihe

Teil 6: Vertrauen und Zugriff. Teil 7: Copilot und Telemetrie. Teil 8: Aufsicht, Souveränität und Alternativen. Teil 9: Beschäftigte und Gesamtbild. Am Ende der Reihe erscheint ein eigenes Gesamtdokument mit allen Quellen und Verzeichnissen.

Einstieg verpasst? Schauen Sie unsere Einordnungsserie Teil 1: Warum die Frage neu zu stellen ist, Teil 2: Der lange Arm der USA, Teil 3: Die EU Data Boundary und die Aufsichtsbehörden, Teil 4: Copilot, die KI-Modelle und die Mitbestimmung, Teil 5: Digitale Souveränität und das Fazit.

Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Juni 2026 wieder, ist eine fachliche Einordnung und stellt keine Rechtsberatung dar.

Vom Sachstand zur Streitfrage

In den ersten fünf Teilen unserer Linkedin-Serie haben wir den Stand 2026 möglichst neutral eingeordnet. Ab hier drehen wir die Perspektive und stellen die strittigen Punkte als das dar, was sie sind: eine Kontroverse. Zu jedem Streitpunkt steht das kritische Argument, das Kontra, der Gegenposition, dem Pro, gegenüber, gefolgt von einer Einordnung, die den Stand der Diskussion beschreibt.

Wir lösen die Kontroverse bewusst nicht auf und sprechen keine Empfehlung aus. Beide Seiten sind jeweils so stark wie möglich formuliert. Das bedeutet nicht, dass improve it die jeweilige Seite teilt. Es ist eine fachliche Einordnung und keine Rechtsberatung. Dieser Teil nimmt sich die beiden grundlegendsten Fragen vor: Kann man den Zusagen überhaupt trauen, und wie schwer wiegt der mögliche Zugriff durch US-Behörden?

Streitpunkt 1: Verifizierbarkeit, Dokumentation gegen Vertrauen

Kontra. Nahezu alle positiven Bewertungen beruhen auf Zusagen und auditierten Selbstauskünften eines Anbieters mit geschlossenem Quellcode, die ein Kunde technisch nicht unabhängig überprüfen kann. Die zentralen Aussagen, etwa dass Daten in der Grenze bleiben oder Eingaben nicht zum Training genutzt werden, sind vertragliche Zusagen. Die zugrunde liegenden Audit-Berichte sind nur unter Geheimhaltung einsehbar, ein unabhängiges Quellcode-Audit ist bei proprietärer Software ausgeschlossen. Dass das Vertrauen auch empirisch angreifbar ist, zeigt Microsofts eigene Sicherheitsbilanz, vom Storm-0558-Einbruch, dem ein amtliches Prüfgremium eine unzureichende Sicherheitskultur attestierte, bis zur Kompromittierung eigener Konzern-Postfächer Anfang 2024.

Pro. Nicht-Überprüfbarkeit ist kein Sonderfall von Microsoft 365, sondern der Normalfall komplexer, arbeitsteiliger Systeme. Die Gesellschaft begegnet ihm seit jeher mit unabhängigen Testaten durch akkreditierte Dritte, etwa nach ISO 27001, 27017, 27018 und BSI C5, die genau die Funktion haben, eine nicht selbst prüfbare Leistung extern zu beglaubigen. Die Sicherheitsvorfälle lassen sich auch umgekehrt lesen: Öffentliche Aufarbeitung und messbare Konsequenzen sind ein Rechenschaftsmechanismus, den ein selbstgehosteter Betrieb so nicht kennt, wo Vorfälle häufiger unentdeckt bleiben. Auch quelloffene Software ist nur theoretisch vollständig prüfbar, wenn niemand den Code tatsächlich prüft.

Einordnung. Beide Seiten teilen den Befund, dass eine vollständige technische Eigenprüfung nicht möglich ist, und bewerten dieselbe Tatsache unterschiedlich. Belegt ist, dass die Audit-Berichte existieren, dass die Zertifikate ein Managementsystem und nicht jede Einzelverarbeitung bestätigen und dass die genannten Vorfälle stattgefunden haben. Offen und letztlich eine Wertungsfrage bleibt, welches Maß an Vertrauen in einen extern testierten, aber nicht quelloffenen Anbieter unter fremder Jurisdiktion angemessen ist.

Streitpunkt 2: EU Data Boundary und der US-Rechtszugriff

Kontra. Die EU Data Boundary regelt, wo Daten gespeichert und verarbeitet werden, nicht, wer rechtlich auf sie zugreifen darf. Der CLOUD Act verpflichtet US-Unternehmen zur Herausgabe unabhängig vom Speicherort, und FISA Section 702, der Anlass der Schrems-II-Entscheidung, gilt fort und war Mitte 2026 nur befristet verlängert. Microsofts Rechtsdirektor für Frankreich räumte unter Eid ein, nicht garantieren zu können, dass Daten französischer Bürger niemals an US-Behörden gelangen. Verschärfend kommt hinzu, dass auch pseudonymisierte Daten die Grenze in engen Ausnahmen verlassen dürfen und weiterhin personenbezogen sind, und dass Verschlüsselung nur bei kundengehaltenen Schlüsseln schützt, die zugleich die KI-Funktionen ausschließen.

Pro. Die herrschende rechtliche Linie ist, dass das abstrakte Risiko eines Drittstaatszugriffs für sich genommen keine Unzulässigkeit begründet, so das Oberlandesgericht Karlsruhe und ein Teil der Literatur. Tatsächliche behördliche Zugriffe auf EU-Unternehmensdaten sind nach den Transparenzberichten selten und prozedural eingehegt. Microsoft hat sich gegen Herausgabeanordnungen gerichtlich gewehrt und sagt vertraglich zu, Anordnungen anzufechten und Kunden zu informieren. Der Angemessenheitsbeschluss zum Data Privacy Framework ist in Kraft und hat mit der Latombe-Entscheidung die erste gerichtliche Prüfung überstanden.

Einordnung. Unstrittig ist die US-Rechtslage und damit die grundsätzliche Möglichkeit eines Zugriffs, unstrittig ist auch, dass das Framework derzeit gilt und zugleich erneut vor dem Europäischen Gerichtshof angegriffen ist. Die Kontroverse verläuft entlang der Frage, ob für die Zulässigkeit die abstrakte Zugriffsmöglichkeit maßgeblich ist oder die konkrete Eintrittswahrscheinlichkeit samt ihrer vertraglichen Einhegung. Diese Frage ist juristisch nicht abschließend geklärt und hängt zusätzlich vom Ausgang des Verfahrens und der Entwicklung des US-Rechts ab.

In dieser Reihe

Die Pro-und-Kontra-Reihe setzt die Einordnungsserie Teil 1: Warum die Frage neu zu stellen ist, Teil 2: Der lange Arm der USA, Teil 3: Die EU Data Boundary und die Aufsichtsbehörden, Teil 4: Copilot, die KI-Modelle und die Mitbestimmung, Teil 5: Digitale Souveränität und das Fazit fort.

Teil 6: Vertrauen und Zugriff. Teil 7: Copilot und Telemetrie. Teil 8: Aufsicht, Souveränität und Alternativen. Teil 9: Beschäftigte und Gesamtbild. Am Ende der Reihe erscheint ein eigenes Gesamtdokument mit allen Quellen und Verzeichnissen.

Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Juni 2026 wieder, ist eine fachliche Einordnung und stellt keine Rechtsberatung dar.

Worum es in Teil 5 geht

Die vorangegangenen Teileunserer Linkedin-Serie haben die Restfragen benannt: CLOUD Act und FISA, ein Framework unter gerichtlicher Beobachtung, KI-Modelle außerhalb der europäischen Datengrenze und Dienste, die zuerst außerhalb Europas starten. Dieser abschließende Teil zeigt, welche Wege im Umgang mit diesen Restfragen offenstehen, und zieht das Fazit. Es ist eine fachliche Einordnung und keine Rechtsberatung.

Drei grundsätzlich verschiedene Wege

Auf die strukturellen Restfragen gibt es drei plausible Antworten, und alle drei sind je nach Ergebnis der eigenen Risikoanalyse vertretbar. Der erste Weg bleibt bei Microsoft und nutzt die Souveränitätsangebote des Herstellers. Der zweite wechselt den Anbieter. Der dritte untersagt den Einsatz für bestimmte Bereiche, wie es Frankreich vormacht.

Der erste Weg: Microsofts Souveränitätsportfolio

Für Organisationen, denen die Zusagen der EU Data Boundary nicht genügen, hat Microsoft ein gestuftes Souveränitätsportfolio aufgebaut. Es reicht von der Sovereign Public Cloud mit zusätzlichen Kontrollen in EU-Rechenzentren über die Sovereign Private Cloud mit Microsoft 365 Local, bei der Kernworkloads auf eigener Infrastruktur laufen, bis zu nationalen Partner-Clouds. In Deutschland ist das für den öffentlichen Sektor die Delos Cloud, eine SAP-Tochter, betrieben auf Azure-Technologie. Diese Angebote entziehen Daten und Betrieb der US-Jurisdiktion weitergehend, verbunden allerdings mit erheblichen Kosten, Funktionseinbußen vor allem bei KI-Features und eigener Betriebsverantwortung.

Der zweite Weg: Europäische Alternativen

Wer den Anbieterwechsel erwägt, findet im deutschen Markt zwei etablierte Kandidaten, beide quelloffen und beim Betrieb in Europa ohne strukturellen US-Jurisdiktionsbezug. Nextcloud ist eine Open-Source-Kollaborationsplattform mit Dateiablage, Chat, Videokonferenz, Groupware und Office-Funktionen, inzwischen ergänzt um einen selbst hostbaren KI-Assistenten. Sie skaliert vom NAS im Kleinunternehmen bis zur Bundescloud der Bundesverwaltung. openDesk ist die vom Bundesinnenministerium getragene, über das Zentrum für Digitale Souveränität bereitgestellte souveräne Arbeitsplatzsuite, ein integriertes Paket quelloffener Komponenten. Sie ist beim Robert-Koch-Institut produktiv im Einsatz und Gegenstand eines mehrjährigen Rahmenvertrags der BWI für die Bundeswehr, technisch aber eine Lösung für Rechenzentrums- oder Cloud-Betrieb und nicht für Kleinstumgebungen gedacht. Dass ein Umstieg auch in der Fläche gelingt, zeigt Schleswig-Holstein, das bis Ende 2025 rund 80 Prozent der Arbeitsplätze seiner Landesverwaltung auf LibreOffice umgestellt hat. Der Preis dieses Weges ist Migrationsaufwand, geringere Funktionstiefe und eigene Betriebsverantwortung.

Der dritte Weg: Die staatliche Doktrin Frankreichs

Frankreich hat als einziger großer Mitgliedstaat eine explizite Linie gegen Microsoft 365 in der Verwaltung etabliert und über Jahre ausgebaut. Grundlage ist eine Doktrin, nach der Systeme mit sensiblen Daten kommerzielle Clouds nur nutzen dürfen, wenn diese nach dem staatlichen Standard SecNumCloud qualifiziert und gegen extraterritoriales Nicht-EU-Recht immunisiert sind. Auf dieser Basis dürfen Ministerien nicht zu Microsoft 365 migrieren, und der Einsatz an Schulen wurde untersagt. Eine Untersuchungskommission des Senats legte 2025 zahlreiche Empfehlungen für mehr Souveränität vor, ein zentrales staatliches Datenprojekt wird zu einem französischen Anbieter migriert, und alle Ministerien wurden verpflichtet, ihre Abhängigkeiten zu reduzieren. Das ist kein Gesetz gegen Microsoft, sondern eine Verwaltungsdoktrin mit realer Steuerungswirkung. Wer in der eigenen Abwägung zu einem ähnlichen Ergebnis kommt, bewegt sich damit auf der Linie einer großen europäischen Verwaltung.

Das Fazit in sieben Punkten

Erstens: Die Plattformlage hat sich seit 2022 messbar verbessert. Wer heute behauptet, Microsoft 365 sei per se nicht konform betreibbar, argumentiert an der dokumentierten Entwicklung vorbei. Zweitens: Die Festlegung von 2022 besteht formal fort, und eine bundesweit einheitliche, aktuelle Gesamtbewertung fehlt. Die positive hessische Bewertung beruht auf einer rechtlichen, nicht technischen Prüfung. Drittens: Die strukturellen Transferfragen sind nicht erledigt, sondern vertagt, das Framework steht erneut vor Gericht, und die US-Rechtslage war zum Redaktionsschluss nur befristet gesichert.

Viertens: Copilot verschiebt die Prüfung von der Plattform auf das Modell, weshalb nur die konfigurationsbezogene Einzelprüfung belastbar ist. Fünftens: Neue Dienste starten regelmäßig außerhalb Europas, was Konformität zu einer laufenden Aufgabe macht. Sechstens: Zertifikate belegen Sicherheit, nicht Rechtmäßigkeit, und eine Datenschutz-Zertifizierung nach Artikel 42 DSGVO existiert für Microsoft 365 nicht. Siebtens: Es gibt gangbare Alternativwege, und es gibt Staaten, die sie gehen.

Die Gesamteinordnung lautet damit nicht konform oder nicht konform, sondern nach unserer fachlichen Einordnung: Microsoft 365 lässt sich 2026 mit vertretbarem Aufwand auf einer rechtlich verteidigbaren Grundlage betreiben, sofern eine dokumentierte, konfigurationsbezogene und fortlaufend gepflegte Prüfung erfolgt. Diese Einordnung ersetzt keine rechtliche Prüfung des Einzelfalls. Ebenso vertretbar ist es, auf Basis der eigenen Risikoanalyse einen anderen Weg zu wählen. Die verbleibenden Risiken sind benennbar und dokumentierbar. Ob sie tragbar sind, ist eine Abwägung, die niemand dem Verantwortlichen abnimmt, weder Microsoft noch eine Aufsichtsbehörde noch diese Serie.

Der vollständige Bericht

Diese Serie hat den Stand 2026 in fünf Teilen eingeordnet. Wer die vollständige Argumentation mit allen Nachweisen braucht, findet sie in unserem ausführlichen Bericht auf über 60 Seiten, mit jeder wesentlichen Aussage belegt durch amtliche Quellen, Gerichtsentscheidungen und Originaldokumente des Herstellers. Sämtliche Quellen und Verzeichnisse sind in diesem Gesamtdokument enthalten, das zeitgleich mit diesem fünften Teil online geht. Den Bericht sowie die konkreten Arbeitshilfen, die Konfigurations-Checkliste, den Leitfaden zur Datenschutz-Folgenabschätzung und die Souveränitäts-Entscheidungsmatrix, stellen wir Ihnen in einem kostenfreien Expertenpaket zur Verfügung.

Damit endet der erste Teil unserer Einordnung. Ab Teil 6 stellen wir die wichtigsten Argumente in einer Reihe von Pro und Kontra gegenüber, damit Sie sich eine eigene Meinung bilden können. Auch zu dieser Reihe erscheint an ihrem Ende ein eigenes Gesamtdokument mit allen Quellen und Verzeichnissen.

So unterstützt improve it

Die improve it GmbH aus Weingarten bei Karlsruhe ist auf Datenschutz, Informationssicherheit und Compliance rund um Microsoft 365 spezialisiert. Wir verbinden technische Expertise mit Datenschutz- und Informationssicherheitswissen, von der Tenant-Konfiguration bis zur Betriebsvereinbarung. Auf Wunsch prüfen wir Ihre Landschaft im Rahmen einer Datenschutzberatung durch einen nach ISO 19011 qualifizierten Auditor und durch zertifizierte Datenschutzbeauftragte; eine rechtsverbindliche Konformitätsbescheinigung ist damit nicht verbunden. Mit dem M365 Compliance Radar überwachen wir Konfigurationen fortlaufend und machen Änderungen für Datenschutz und Betriebsrat transparent. Fordern Sie das Infopaket an, und wir klären Ihre wichtigsten Fragen in einem kostenfreien Erstgespräch.

In dieser Serie

Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit.

Dieser Beitrag gibt den Recherchestand Juni 2026 wieder. Er ist eine fachliche Einordnung einer Datenschutzberatung, stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar und ersetzt keine anwaltliche Prüfung des Einzelfalls.

Worum es in Teil 3 geht

Teil 2 unserer Linkedin-Serie hat gezeigt, dass die Transferfrage rechtlich vertagt, aber nicht gelöst ist. Auf der technischen Ebene ist Microsofts wichtigste Antwort darauf die EU Data Boundary. Dieser Teil ordnet ein, was sie leistet, wo ihre Grenzen liegen und wie die deutschen und europäischen Aufsichtsbehörden das Ergebnis bewerten. Es ist eine fachliche Einordnung und keine Rechtsberatung.

Die EU Data Boundary: Umfang und Fertigstellung

Microsoft hat die EU Data Boundary in drei Phasen errichtet und im Februar 2025 für vollständig erklärt. Die erste Phase umfasste die Speicherung und Verarbeitung von Kundendaten für die Kerndienste, die zweite erweiterte den Umfang auf pseudonymisierte personenbezogene Daten wie systemgenerierte Protokolle, die dritte bezog die Support-Daten ein. Geografisch umfasst die Grenze EU und EFTA. Das ist ein erheblicher und dokumentierter Fortschritt gegenüber dem Zustand von 2022.

Die dokumentierten Ausnahmen

Entscheidend für eine belastbare Bewertung ist, dass die Grenze nicht hermetisch ist. Microsoft dokumentiert selbst mehrere Kategorien von Datenflüssen, die sie verlassen. Zum einen bestimmte Transfers im Rahmen globaler Sicherheitsoperationen, etwa der Bedrohungsanalyse, der Fernzugriff von Personal außerhalb der EU auf pseudonymisierte Daten sowie fortlaufende, designbedingte Teiltransfers einzelner Dienste. Zum anderen ausdrücklich ausgenommene Dienste, vor allem im Security-Umfeld: Teile der Defender-Familie und Security Copilot verarbeiten Daten teils außerhalb der EU. Und schließlich ein wenig bekannter Punkt, wonach die Nutzung von Multi-Geo einen Tenant für Microsoft 365 aus dem Geltungsbereich der Grenze herausfallen lässt, selbst bei einem EU-Tenant.

Daraus folgt eine klare Konsequenz für die eigene Dokumentation. Eine Datenschutz-Folgenabschätzung, die sich pauschal auf den Satz stützt, die Daten blieben in Europa, greift zu kurz. Sie muss die dokumentierten Ausnahmen dienstbezogen abbilden. Und sie muss berücksichtigen, dass die Grenze Datenflüsse bindet, nicht Rechtspflichten. Die CLOUD-Act-Frage aus Teil 2 besteht innerhalb der Grenze fort. Wichtig ist zudem, dass diese Zusagen auf vertraglichen und auditierten Angaben des Anbieters beruhen. Eine vollständige technische Nachprüfung durch den Kunden ist bei proprietärer Software nur eingeschränkt möglich.

Die kundenseitigen Schutzhebel

Dem strukturellen Restrisiko stehen mehrere Schutzinstrumente gegenüber. Technisch sorgt Customer Lockbox dafür, dass Microsoft-Personal in den davon erfassten Support-Szenarien nur mit ausdrücklicher Freigabe des Kunden auf Inhaltsdaten zugreifen kann. Mit Customer Key und vor allem der Double Key Encryption kann ein Teil der Schlüsselhoheit beim Kunden verbleiben. Bei der Double Key Encryption liegt ein zweiter Schlüssel ausschließlich beim Kunden, sodass Microsoft die betroffenen Inhalte technisch nicht im Klartext herausgeben kann.

Diese stärkste Variante hat allerdings ihren Preis. So geschützte Inhalte sind für serverseitige Verarbeitung, Suche und KI-Funktionen wie Copilot weitgehend nicht nutzbar. Das ist ein echter Zielkonflikt zwischen maximaler Souveränität und Funktionsumfang. Vertraglich ergänzt Microsoft dies um Zusagen, behördliche Anordnungen anzufechten, Kunden soweit zulässig zu informieren und im Fall einer rechtswidrigen Offenlegung finanziell zu entschädigen. Halbjährliche Transparenzberichte dokumentieren Art und Umfang behördlicher Anfragen. Diese Hebel verschieben das Risiko, beseitigen es aber nicht vollständig, denn Zusagen bleiben Zusagen, und die wirksamste technische Maßnahme ist gerade für die modernen KI-Szenarien kaum praktikabel.

Die Aufsichtsbehörden: Drei Ebenen, drei Geschwindigkeiten

Die aufsichtsbehördliche Lage ist heterogen, aber in Bewegung. Die Festlegung der Datenschutzkonferenz von 2022 ist bis heute nicht förmlich revidiert. Auf europäischer Ebene hat der Europäische Datenschutzbeauftragte sein Verfahren gegen die EU-Kommission im Juli 2025 eingestellt, nachdem präzisierte Verarbeitungszwecke, dokumentierte Weisungen und begrenzte Drittlandtransfers vereinbart worden waren. Er betont aber ausdrücklich, dass dies keine generelle Konformitätsbestätigung ist, sondern die konkrete, nachverhandelte Lage der Kommission betrifft. Der Vorgang zeigt gleichwohl, welche Vertragsstandards erreichbar sind.

In Deutschland kam der Hessische Beauftragte im November 2025 in einem 137 Seiten starken Bericht zu dem Ergebnis, Microsoft 365 könne datenschutzkonform genutzt werden, die wesentlichen Kritikpunkte von 2022 seien ausgeräumt. Die Grenze dieser Bewertung benennt der Bericht selbst: Es wurde keine technische Untersuchung einzelner Dienste durchgeführt, die Prüfung ist eine rechtliche Würdigung auf Basis der Zusagen und Dokumente von Microsoft. Genau daran setzt die Kritik aus der Datenschutz-Community an.

Der Gegenpol und eine Personalie mit Gewicht

Den Gegenpol bildet Baden-Württemberg. Nach einem Pilotprojekt riet die dortige Aufsichtsbehörde 2021 wegen hoher Risiken von der Nutzung an Schulen ab und legte 2022 detaillierte Vorgaben nach. Formal betrifft diese Position nur Schulen, ein generelles Verbot für andere Stellen wurde nie ausgesprochen. Zurückgenommen wurde die kritische Linie aber ebenso wenig, und eine Neubewertung nach Fertigstellung der EU Data Boundary ist nicht dokumentiert. Bemerkenswert für die weitere Entwicklung: Baden-Württemberg führt 2026 den Vorsitz der Datenschutzkonferenz, und ihm käme damit bei einer etwaigen bundesweiten Neubewertung eine Schlüsselrolle zu.

Zwischenfazit

Die EU Data Boundary ist ein erheblicher Fortschritt, aber ein Zusagen-Gerüst mit definierten Öffnungen, kein hermetischer Raum. Wer Microsoft 365 einsetzt, kann sich auf eine deutlich verbesserte Argumentationsbasis stützen, sollte aber wissen, dass die Festlegung von 2022 formal fortbesteht und die positive hessische Bewertung auf einer rechtlichen, nicht technischen Prüfung beruht. Wie sehr sich die Bewertung mit Copilot noch einmal von der Plattform auf die einzelnen KI-Modelle verlagert, zeigt Teil 4.

In dieser Serie

Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit.

Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Juni 2026 wieder und stellt keine Rechtsberatung dar.

Worum es in Teil 2 geht

Im ersten Teil unserer Linkedin-Serie haben wir die Ausgangslage und den deutschen Rechtsrahmen skizziert. Der eigentliche Kern der Debatte liegt aber jenseits des Atlantiks: Es geht um die Frage, ob und wie US-Behörden auf Daten zugreifen können und ob Übermittlungen in die USA zulässig sind. Auch dieser Teil ist eine fachliche Einordnung und keine Rechtsberatung.

Zwei US-Normen strukturieren die Debatte

Der CLOUD Act aus dem Jahr 2018 verpflichtet US-Anbieter, Daten in ihrem Besitz oder unter ihrer Kontrolle auf behördliche Anordnung herauszugeben, unabhängig vom Speicherort. Eine europäische Datengrenze ändert an dieser Rechtspflicht des Anbieters nichts. Sie verändert nur die tatsächlichen und vertraglichen Rahmenbedingungen. Bemerkenswert ist eine Aussage des Rechtsdirektors von Microsoft France, der im Juni 2025 vor dem französischen Senat unter Eid einräumte, nicht garantieren zu können, dass Daten französischer Bürger niemals ohne Zustimmung an US-Behörden übermittelt werden. Microsoft verweist dem gegenüber auf seine vertraglichen Zusagen, Anordnungen anzufechten und Kunden soweit rechtlich zulässig zu informieren.

Die zweite Norm ist FISA Section 702, die zentrale Rechtsgrundlage der US-Auslandsüberwachung und ein Kernkritikpunkt des Europäischen Gerichtshofs im Schrems-II-Urteil. Sie wurde 2024 mit Auslaufdatum 20. April 2026 verlängert. Hochaktuell und offen: Im Frühjahr 2026 konnte sich der US-Kongress nicht auf eine langfristige Neuregelung einigen, sodass Section 702 nach mehreren kurzen Verlängerungen zum Redaktionsschluss Mitte Juni 2026 erneut auszulaufen drohte. Diese US-Rechtslage ist stark in Bewegung; der hier wiedergegebene Stand ist eine Momentaufnahme. Dieser Schwebezustand ist in beide Richtungen relevant. Eine Reform mit stärkerer richterlicher Kontrolle könnte die Transferlage verbessern, eine unveränderte Verlängerung zementiert die bekannte Kritik.

Vom Privacy Shield zum Data Privacy Framework

Mit dem Schrems-II-Urteil von 2020 erklärte der Europäische Gerichtshof den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Die US-Überwachungsprogramme seien nicht auf das zwingend erforderliche Maß beschränkt, und Betroffenen fehle ein wirksamer Rechtsbehelf. Standardvertragsklauseln blieben gültig, verlangen aber eine einzelfallbezogene Prüfung des Schutzniveaus und gegebenenfalls zusätzliche Maßnahmen.

Die Antwort der EU-Kommission war der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023, gestützt auf US-Reformen und einen neu geschaffenen Rechtsbehelfsmechanismus. Microsoft ist unter diesem Framework zertifiziert, sodass Übermittlungen auf seiner Grundlage nach derzeitiger Rechtslage grundsätzlich tragfähig erscheinen.

Die erste gerichtliche Prüfung ist bestanden, die zweite läuft

Das Framework hat seine erste gerichtliche Prüfung überstanden. Das Gericht der Europäischen Union wies im September 2025 eine Nichtigkeitsklage ab und hielt den neu geschaffenen Data Protection Review Court für hinreichend unabhängig. Aus Schrems II folge keine Pflicht zu einer vorherigen Genehmigung von Massendatenerhebungen, eine wirksame nachträgliche gerichtliche Kontrolle genüge.

Zwei Risikofaktoren bleiben und gehören dokumentiert. Gegen dieses Urteil ist seit Oktober 2025 ein Rechtsmittel beim Europäischen Gerichtshof anhängig. Nach Safe Harbor und Privacy Shield wäre eine erneute Aufhebung die dritte in Folge. Und die zuständigen US-Aufsichtsgremien sind institutionell geschwächt, was die Kritik an der Belastbarkeit des Frameworks nährt. Vorsichtige Verantwortliche halten deshalb die Standardvertragsklauseln samt Transfer-Folgenabschätzung als Rückfallebene dokumentiert vor, so wie es auch das Vertragswerk von Microsoft als Fallback vorsieht.

Die deutschen Gerichte: Kein Ausschluss wegen bloßer Konzernzugehörigkeit

Für die Praxis wichtig ist ein Beschluss des Oberlandesgerichts Karlsruhe vom 7. September 2022 (Aktenzeichen 15 Verg 8/22). Eine Vergabekammer hatte zuvor den Ausschluss eines Angebots verlangt, weil als Unterauftragnehmerin die Luxemburger Tochter eines US-Konzerns mit Hosting in Frankfurt vorgesehen war und allein deshalb ein latentes Zugriffsrisiko bestehe. Das Oberlandesgericht hob diese Entscheidung auf. Die bloße Konzernzugehörigkeit zu einer US-Mutter und ein abstraktes Zugriffsrisiko rechtfertigen keinen Ausschluss, und die bloße Zugriffsmöglichkeit ist noch keine Übermittlung im Sinne der Artikel 44 folgende.

Diese Linie entlastet den Einsatz von EU-Einheiten US-amerikanischer Anbieter, entbindet aber nicht von der konkreten Prüfung. Die Datenschutzkonferenz hat in ihrer Reaktion darauf betont, dass die Zugriffsmöglichkeit von Drittlandsbehörden zwar keine Übermittlung darstellt, bei der Zuverlässigkeitsprüfung des Auftragsverarbeiters aber mit besonders hohen Anforderungen zu berücksichtigen ist.

Ein Befund, der selbst ein Befund ist

Bemerkenswert ist, was sich nicht finden lässt. Eine höchstrichterliche deutsche Entscheidung, die die DSGVO-Konformität von Microsoft 365 selbst zum Gegenstand hätte, existiert nach unserer Recherche nicht. Auch verwaltungsgerichtliche Entscheidungen speziell zu M365 mit verifizierbarem Aktenzeichen konnten wir nicht auffinden. Die bekannten Konflikte verliefen aufsichtsbehördlich, nicht gerichtlich. Die vielzitierte Rechtsunsicherheit ist damit bislang vor allem eine aufsichtsbehördliche und wissenschaftliche Debatte, keine judizierte.

Zwischenfazit

Die Transferfrage ist nicht erledigt, sondern vertagt. Das Data Privacy Framework gilt und hat die erste Instanz überstanden, steht aber erneut vor dem Europäischen Gerichtshof, während FISA 702 in den USA nur befristet verlängert war und der CLOUD Act unverändert fortgilt. Verantwortliche bewegen sich auf einer derzeit tragfähigen, aber nicht abschließend gesicherten Grundlage. Wie Microsoft dieser Lage auf der technischen Ebene begegnet, mit der EU Data Boundary, und wie die Aufsichtsbehörden sie bewerten, ist Thema von Teil 3.

Beachten Sie an dieser Stelle auch die aktuellste Entwicklung, die wir in einem eigenen Beitrag verlinkt haben und welche die Situation in Deutschland noch einmal verschärft: US-Urteil Trump v. Slaughter setzt EU-US-Datentransfer unter Druck.

In dieser Serie

Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit.

Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Mitte Juni 2026 wieder und stellt keine Rechtsberatung dar.

Über diese Serie

Kaum ein Thema im betrieblichen Datenschutz wird so hitzig diskutiert wie der Einsatz von Microsoft 365. Die Positionen reichen von „längst kein Problem mehr“ bis „grundsätzlich nicht rechtskonform betreibbar“. In dieser fünfteiligen Serie ordnen wir den Stand 2026 sachlich ein, Schritt für Schritt und mit Blick auf die Quellen. Am Ende der Serie veröffentlichen wir den vollständigen Bericht mit allen Nachweisen.

Dieser Beitrag ist der Auftakt unserer Linkedin-Serie und eine fachliche Einordnung und keine Rechtsberatung. Wir sprechen bewusst keine Empfehlung für oder gegen Microsoft 365 aus. Diese Entscheidung liegt beim Verantwortlichen im Sinne der DSGVO, beraten durch Datenschutz, Informationssicherheit und, wo einschlägig, den Betriebsrat.

Der Ausgangspunkt: Die Festlegung von 2022

Die deutsche Debatte war jahrelang von der Festlegung der Datenschutzkonferenz vom November 2022 geprägt. Die Konferenz kam damals zu dem Schluss, auf Basis des seinerzeitigen Auftragsverarbeitungsvertrags von Microsoft lasse sich ein datenschutzkonformer Betrieb nicht nachweisen. Dieser Satz hat die Diskussion über Jahre bestimmt und wird bis heute zitiert.

Wichtig ist der genaue Wortlaut. Es ging nicht um die Aussage, Microsoft 365 sei rechtswidrig, sondern um die fehlende Nachweisbarkeit auf Grundlage des damaligen Vertragswerks. Genau an diesem Punkt hat sich seither am meisten bewegt.

Was sich seit 2022 verändert hat

Drei Entwicklungen haben die Lage verschoben. Microsoft hat die EU Data Boundary im Februar 2025 fertiggestellt, also die vertraglich zugesagte Verarbeitung von Kundendaten innerhalb von EU und EFTA. Der Europäische Datenschutzbeauftragte hat sein Durchsetzungsverfahren gegen die EU-Kommission im Juli 2025 nach umfangreichen Nachverhandlungen eingestellt. Und mit dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit hat sich im November 2025 erstmals eine deutsche Aufsichtsbehörde positiv zur Nutzbarkeit geäußert.

Dem steht eine gegenläufige Bewegung gegenüber. Mit Microsoft 365 Copilot und der Einbindung von KI-Modellen mehrerer Anbieter sind neue Verarbeitungsszenarien entstanden, die teils außerhalb der mühsam errichteten europäischen Datengrenze stattfinden. Eine seriöse Bestandsaufnahme muss deshalb beide Richtungen abbilden: die deutlichen Verbesserungen auf der Plattformebene und die neuen Unschärfen auf der Ebene einzelner Dienste und Modelle. Genau das leistet diese Serie.

Der rechtliche Rahmen: Die DSGVO

Maßgeblich für den Einsatz von Microsoft 365 sind vor allem die Grundsätze der DSGVO. Im Zentrum steht die Rechenschaftspflicht aus Artikel 5 Absatz 2, an der sich schon die Kritik von 2022 festmachte. Hinzu kommen die Anforderungen an die Auftragsverarbeitung nach Artikel 28, der Maßstab für das Vertragswerk von Microsoft, die Sicherheit der Verarbeitung nach Artikel 32, die Datenschutz-Folgenabschätzung nach Artikel 35 und das Transferregime der Artikel 44 folgende.

Diese Normen sind der rote Faden der gesamten Bewertung. Sie entscheiden nicht nur über die Zulässigkeit des Betriebs, sondern auch darüber, was der Verantwortliche dokumentieren muss, um seiner Rechenschaftspflicht zu genügen.

Der wunde Punkt: Beschäftigtendaten nach dem Urteil C-34/21

Für die Verarbeitung von Beschäftigtendaten, und um solche geht es im Unternehmenseinsatz ganz überwiegend, galt lange § 26 BDSG als zentrale Norm. Diese Grundlage ist erschüttert. Der Europäische Gerichtshof entschied im März 2023 in der Sache C-34/21 zu einer wortgleich an der DSGVO orientierten Vorschrift des hessischen Landesrechts, dass eine solche Norm keine spezifischere Vorschrift im Sinne des Artikel 88 ist und deshalb unangewendet bleiben muss.

Weil § 26 Absatz 1 Satz 1 BDSG im Wortlaut nahezu identisch ist, gehen Aufsichtsbehörden und die herrschende Literatur davon aus, dass auch diese Norm überwiegend nicht mehr als eigenständige Rechtsgrundlage trägt. Als Rechtsgrundlage kommt seither in der Regel unmittelbar Artikel 6 Absatz 1 der DSGVO in Betracht, im Beschäftigtenkontext vor allem die Buchstaben b und f mit entsprechender Interessenabwägung und Dokumentation. Ein verabschiedetes Beschäftigtendatengesetz existiert nach unserer Recherche bis Juni 2026 nicht. Für M365-Einführungen bedeutet das ganz praktisch: Die Prüfung der Rechtsgrundlage muss direkt an der DSGVO ansetzen, eine pauschale Berufung auf § 26 BDSG genügt nicht mehr.

Der oft übersehene Paragraf 25 TDDDG

Ein Baustein wird in vielen Bewertungen übergangen. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz stellt in § 25 den Zugriff auf Endgeräte grundsätzlich unter Einwilligungsvorbehalt, soweit der Zugriff nicht unbedingt erforderlich ist für den vom Nutzer gewünschten Dienst. Die Norm ist technologieneutral und nicht auf Cookies beschränkt.

Ob und in welchem Umfang die Telemetrie und Diagnosedatenerhebung der M365-Apps und von Windows im Einzelfall darunter fällt, haben die Behörden bislang nicht spezifisch für Microsoft 365 festgestellt. Die technologieneutrale Auslegung spricht dafür, eine ausdrückliche amtliche Aussage fehlt jedoch. Verantwortliche sollten diesen Punkt in der eigenen Prüfung ausdrücklich adressieren, etwa mit Blick auf Telemetriestufen, optionale verbundene Erfahrungen und die Konfiguration der Diagnosedaten.

Zwischenfazit

Die Ausgangslage 2026 ist eine andere als 2022. Die Plattform hat sich messbar verbessert, während der rechtliche Rahmen zugleich anspruchsvoller geworden ist, vor allem bei den Beschäftigtendaten. Damit ist die Bühne bereitet für die eigentlich strittige Frage, die im nächsten Teil im Mittelpunkt steht: der Zugriff durch US-Behörden und die Übermittlung von Daten über den Atlantik.

In dieser Serie

Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit. Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe, spezialisiert auf Datenschutz, Informationssicherheit und Compliance rund um Microsoft 365. Dieser Beitrag gibt den Recherchestand Mitte Juni 2026 wieder und stellt keine Rechtsberatung dar.