Über diese Serie
Kaum ein Thema im betrieblichen Datenschutz wird so hitzig diskutiert wie der Einsatz von Microsoft 365. Die Positionen reichen von „längst kein Problem mehr“ bis „grundsätzlich nicht rechtskonform betreibbar“. In dieser fünfteiligen Serie ordnen wir den Stand 2026 sachlich ein, Schritt für Schritt und mit Blick auf die Quellen. Am Ende der Serie veröffentlichen wir den vollständigen Bericht mit allen Nachweisen.
Dieser Beitrag ist der Auftakt unserer Linkedin-Serie und eine fachliche Einordnung und keine Rechtsberatung. Wir sprechen bewusst keine Empfehlung für oder gegen Microsoft 365 aus. Diese Entscheidung liegt beim Verantwortlichen im Sinne der DSGVO, beraten durch Datenschutz, Informationssicherheit und, wo einschlägig, den Betriebsrat.
Der Ausgangspunkt: Die Festlegung von 2022
Die deutsche Debatte war jahrelang von der Festlegung der Datenschutzkonferenz vom November 2022 geprägt. Die Konferenz kam damals zu dem Schluss, auf Basis des seinerzeitigen Auftragsverarbeitungsvertrags von Microsoft lasse sich ein datenschutzkonformer Betrieb nicht nachweisen. Dieser Satz hat die Diskussion über Jahre bestimmt und wird bis heute zitiert.
Wichtig ist der genaue Wortlaut. Es ging nicht um die Aussage, Microsoft 365 sei rechtswidrig, sondern um die fehlende Nachweisbarkeit auf Grundlage des damaligen Vertragswerks. Genau an diesem Punkt hat sich seither am meisten bewegt.
Was sich seit 2022 verändert hat
Drei Entwicklungen haben die Lage verschoben. Microsoft hat die EU Data Boundary im Februar 2025 fertiggestellt, also die vertraglich zugesagte Verarbeitung von Kundendaten innerhalb von EU und EFTA. Der Europäische Datenschutzbeauftragte hat sein Durchsetzungsverfahren gegen die EU-Kommission im Juli 2025 nach umfangreichen Nachverhandlungen eingestellt. Und mit dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit hat sich im November 2025 erstmals eine deutsche Aufsichtsbehörde positiv zur Nutzbarkeit geäußert.
Dem steht eine gegenläufige Bewegung gegenüber. Mit Microsoft 365 Copilot und der Einbindung von KI-Modellen mehrerer Anbieter sind neue Verarbeitungsszenarien entstanden, die teils außerhalb der mühsam errichteten europäischen Datengrenze stattfinden. Eine seriöse Bestandsaufnahme muss deshalb beide Richtungen abbilden: die deutlichen Verbesserungen auf der Plattformebene und die neuen Unschärfen auf der Ebene einzelner Dienste und Modelle. Genau das leistet diese Serie.
Der rechtliche Rahmen: Die DSGVO
Maßgeblich für den Einsatz von Microsoft 365 sind vor allem die Grundsätze der DSGVO. Im Zentrum steht die Rechenschaftspflicht aus Artikel 5 Absatz 2, an der sich schon die Kritik von 2022 festmachte. Hinzu kommen die Anforderungen an die Auftragsverarbeitung nach Artikel 28, der Maßstab für das Vertragswerk von Microsoft, die Sicherheit der Verarbeitung nach Artikel 32, die Datenschutz-Folgenabschätzung nach Artikel 35 und das Transferregime der Artikel 44 folgende.
Diese Normen sind der rote Faden der gesamten Bewertung. Sie entscheiden nicht nur über die Zulässigkeit des Betriebs, sondern auch darüber, was der Verantwortliche dokumentieren muss, um seiner Rechenschaftspflicht zu genügen.
Der wunde Punkt: Beschäftigtendaten nach dem Urteil C-34/21
Für die Verarbeitung von Beschäftigtendaten, und um solche geht es im Unternehmenseinsatz ganz überwiegend, galt lange § 26 BDSG als zentrale Norm. Diese Grundlage ist erschüttert. Der Europäische Gerichtshof entschied im März 2023 in der Sache C-34/21 zu einer wortgleich an der DSGVO orientierten Vorschrift des hessischen Landesrechts, dass eine solche Norm keine spezifischere Vorschrift im Sinne des Artikel 88 ist und deshalb unangewendet bleiben muss.
Weil § 26 Absatz 1 Satz 1 BDSG im Wortlaut nahezu identisch ist, gehen Aufsichtsbehörden und die herrschende Literatur davon aus, dass auch diese Norm überwiegend nicht mehr als eigenständige Rechtsgrundlage trägt. Als Rechtsgrundlage kommt seither in der Regel unmittelbar Artikel 6 Absatz 1 der DSGVO in Betracht, im Beschäftigtenkontext vor allem die Buchstaben b und f mit entsprechender Interessenabwägung und Dokumentation. Ein verabschiedetes Beschäftigtendatengesetz existiert nach unserer Recherche bis Juni 2026 nicht. Für M365-Einführungen bedeutet das ganz praktisch: Die Prüfung der Rechtsgrundlage muss direkt an der DSGVO ansetzen, eine pauschale Berufung auf § 26 BDSG genügt nicht mehr.
Der oft übersehene Paragraf 25 TDDDG
Ein Baustein wird in vielen Bewertungen übergangen. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz stellt in § 25 den Zugriff auf Endgeräte grundsätzlich unter Einwilligungsvorbehalt, soweit der Zugriff nicht unbedingt erforderlich ist für den vom Nutzer gewünschten Dienst. Die Norm ist technologieneutral und nicht auf Cookies beschränkt.
Ob und in welchem Umfang die Telemetrie und Diagnosedatenerhebung der M365-Apps und von Windows im Einzelfall darunter fällt, haben die Behörden bislang nicht spezifisch für Microsoft 365 festgestellt. Die technologieneutrale Auslegung spricht dafür, eine ausdrückliche amtliche Aussage fehlt jedoch. Verantwortliche sollten diesen Punkt in der eigenen Prüfung ausdrücklich adressieren, etwa mit Blick auf Telemetriestufen, optionale verbundene Erfahrungen und die Konfiguration der Diagnosedaten.
Zwischenfazit
Die Ausgangslage 2026 ist eine andere als 2022. Die Plattform hat sich messbar verbessert, während der rechtliche Rahmen zugleich anspruchsvoller geworden ist, vor allem bei den Beschäftigtendaten. Damit ist die Bühne bereitet für die eigentlich strittige Frage, die im nächsten Teil im Mittelpunkt steht: der Zugriff durch US-Behörden und die Übermittlung von Daten über den Atlantik.
In dieser Serie
Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit. Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.
Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe, spezialisiert auf Datenschutz, Informationssicherheit und Compliance rund um Microsoft 365. Dieser Beitrag gibt den Recherchestand Mitte Juni 2026 wieder und stellt keine Rechtsberatung dar.
