Datenschutz und alles zur Datenschutzgrundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG)
Microsoft hat zum 17. April 2026 eine Voreinstellung namens „Flex Routing“ für EU- und EFTA-Tenants standardmäßig aktiviert. Dahinter steckt eine kleine Änderung mit spürbarer Datenschutz-Wirkung – und die gute Nachricht: Sie können sie selbst kontrollieren.
Was ist passiert?
Flex Routing erlaubt es, Copilot-Anfragen bei hoher Auslastung („peak load“) zur Verarbeitung außerhalb der EU Data Boundary umzuleiten – in die USA, nach Kanada oder Australien. Neu ist nicht die Funktion selbst, sondern die Voreinstellung: Seit dem 17. April 2026 ist sie auch für bestehende EU-/EFTA-Tenants per Default aktiviert. Wer nichts tut, hat sie also an.
Was heißt das – und was nicht?
Fair eingeordnet: Ihre gespeicherten Daten bleiben in der EU Data Boundary, und der Transport ist verschlüsselt. Es verlässt nur die Verarbeitung der Anfrage bei Lastspitzen die EU. Das ist kein Grund zur Panik – aber es ist eine bewusste Datenschutzentscheidung, die Microsoft Ihnen per Voreinstellung abgenommen hat. Und genau das steht im Spannungsverhältnis zu „Datenschutz durch Voreinstellung“ (Art. 25 Abs. 2 DSGVO). Wer eine EU-exklusive Verarbeitung will oder braucht, sollte aktiv widersprechen.
So prüfen und deaktivieren Sie Flex Routing (2 Minuten):
Melden Sie sich im Microsoft 365 Admin Center an (Rolle „AI-Administrator“ erforderlich).
Öffnen Sie Copilot → Einstellungen → „View all“ (Alle anzeigen).
Suchen Sie den Punkt „Flex routing during peak load periods“.
Wählen Sie „Do not allow flex routing“.
Fertig – die Copilot-Verarbeitung bleibt damit in der EU Data Boundary. (Das Power Platform Admin Center übernimmt die restriktivere Einstellung automatisch.)
Tipp: Prüfen Sie zusätzlich im Message Center, wann genau der Rollout Ihren Tenant erreicht hat – so haben Sie es für Ihre Dokumentation belegt.
Dieser Beitrag gibt den Stand von Juni 2026 wieder und ist eine fachliche Einordnung. Microsoft ändert Voreinstellungen laufend – prüfen Sie die Einstellung im eigenen Tenant.
Sie wollen wissen, welche M365-Voreinstellungen bei Ihnen sonst noch „still“ aktiv sind? In einem kostenlosen 15-Minuten-Erstgespräch sortieren wir Ihre wichtigsten Punkte. [Termin wählen]
Die aktuelle Landesregierung will beim LfDI Baden-Württemberg 40 % der Stellen streichen. Parallel dazu: mehr KI im Sicherheitsbereich, biometrische Gesichtserkennung, ausgeweitete Polizeibefugnisse. Die Aufsicht wird kleiner, der regulatorische Druck größer. Der LfDI Tobias Keber selbst warnt: Wer die Aufsicht zentralisiert, nimmt lokalen Unternehmen, Startups und Vereinen den direkten Ansprechpartner vor Ort.
Was bedeutet das konkret für euch als Unternehmen?
⚠️ Weniger Beratung, mehr Prüfung. Wenn weniger Köpfe mehr Fälle bearbeiten, wird priorisiert – und zwar nach Risiko, nicht nach Sympathie. Wer auffällt, fällt schneller auf.
⚠️ Längere Reaktionszeiten der Behörde. Auch bei euren Meldungen nach Art. 33 DSGVO, bei Auskunftsersuchen, bei Konsultationen zur DSFA. Wer darauf wartet, dass die Aufsicht ihm sagt, was zu tun ist, wartet künftig länger.
⚠️ Eigenverantwortung schlägt Behördenhilfe. Verzeichnis von Verarbeitungstätigkeiten, TOMs, AVVs, Löschkonzepte, KI-Governance – das muss sitzen, bevor jemand fragt. Im Zweifel reicht ein gut aufgestelltes Datenschutzmanagement, um aus einer Prüfung eine Formalität zu machen.
Und genau hier wird es spannend: Während die staatliche Beratungskapazität schrumpft, steigen die Anforderungen an die interne. Wer keinen internen DSB hat oder dessen Belastung wächst, sollte jetzt prüfen, ob ein externer Datenschutzbeauftragter die bessere Antwort ist – mit IT-Tiefe, planbarer Pauschale und Haftungsentlastung für die Geschäftsführung.
Genau das ist unser Tagesgeschäft. Wir kombinieren DSGVO, ISO 27001 und IT-Compliance aus einer Hand – und prüfen Systeme nicht nur auf dem Papier, sondern direkt am System.
Frankreich ersetzt Teams und Zoom bis 2027 mit LaSuite durch eigene Lösungen – und zeigt Europa, wie digitale Souveränität im öffentlichen Sektor funktionieren kann. Am 27. Januar 2026 verkündete die französische Regierung offiziell den Ausstieg aus US-amerikanischen Videokonferenzlösungen. Mit „LaSuite Numérique“ hat die DINUM (Direction Interministérielle du Numérique) eine vollständig souveräne Alternative geschaffen, die bereits 500.000 Beschäftigte monatlich nutzen. Für deutsche Behörden und Unternehmen bietet dies wertvolle Erkenntnisse – und konkrete Kooperationsmöglichkeiten.
Was ist LaSuite und wer steht dahinter?
LaSuite Numérique ist Frankreichs souveräne Digital-Workplace-Plattform für den öffentlichen Dienst. Die DINUM – direkt dem Premierminister unterstellt – entwickelt und betreibt die Suite als Open-Source-Lösung unter MIT-Lizenz. Das Ziel: Eine gleichwertige Alternative zu Microsoft 365 und Google Workspace, bei der alle Daten ausschließlich in Frankreich auf SecNumCloud-zertifizierter Infrastruktur gespeichert werden.
Die Suite umfasst sieben Kernkomponenten: Tchapfür verschlüsseltes Messaging (600.000 Nutzer, basierend auf dem Matrix-Protokoll), Visiofür Videokonferenzen, Docsfür kollaboratives Schreiben, Fichiersals Cloud-Speicher, Gristals No-Code-Datenbank, France Transfert für große Dateien und einen KI-Assistenten auf Basis von Mistral AI. Seit Juli 2025 ist Tchap für alle Ministerien verpflichtend – ein deutliches Signal der strategischen Priorisierung.
LaSuite Visio im Detail: Videokonferenzen ohne Kompromisse
Die Videokonferenzlösung Visio bildet das Herzstück der aktuellen Offensive. Anders als oft angenommen basiert sie nicht auf Jitsi, sondern auf LiveKit– einer modernen WebRTC-Plattform mit starker Skalierbarkeit. Technisch unterstützt Visio bis zu 150 Teilnehmer, HD-Video, Bildschirmfreigabe, Chat und Aufzeichnung. Besonders hervorzuheben: Die KI-gestützte automatische Transkription mit Sprechererkennung (entwickelt vom französischen Startup Pyannote) und ab Sommer 2026 Echtzeit-Untertitel durch das KI-Labor Kyutai.
Das Hosting erfolgt auf Infrastruktur von 3DS Outscale (Dassault Systèmes-Tochter) mit SecNumCloud-Zertifizierung – dem höchsten französischen Cloud-Sicherheitsstandard. Externe Teilnehmer können über einen Link beitreten, ohne Konto oder Installation. Aktuell nutzen 40.000-50.000 Beschäftigte Visio regelmäßig; bis Ende Q1 2026 sollen es 200.000 sein.
Parallel existiert „Webinaire de l’État“ auf BigBlueButton-Basis für größere Veranstaltungen mit bis zu 350 Teilnehmern, Breakout-Rooms und Whiteboards – Funktionen, die Visio derzeit noch entwickelt.
Warum Frankreich Microsoft den Rücken kehrt
Der Hintergrund des Ausstiegs ist nicht nur technischer, sondern rechtlicher Natur. Im Juni 2025 sagte der Rechtsdirektor von Microsoft Frankreich vor dem französischen Senat unter Eid aus, er könne nicht garantieren, dass französische Bürgerdaten niemals ohne französische Genehmigung an US-Behörden übermittelt würden. Der US CLOUD Act verpflichtet amerikanische Unternehmen zur Datenherausgabe – unabhängig vom physischen Speicherort.
Diese Aussage bestätigt, was Datenschützer seit Schrems II (2020) betonen: US-Cloud-Dienste können strukturell keine vollständige DSGVO-Konformität gewährleisten. Das EU-US Data Privacy Framework bietet zwar derzeit eine Rechtsgrundlage, basiert aber auf einer US-Exekutivanordnung, die jederzeit widerrufen werden kann.
LaSuite eliminiert dieses Risiko vollständig: Alle Daten unterliegen ausschließlich französischem und EU-Recht. Die geschätzten Einsparungen: 1 Million Euro jährlich pro 100.000 Nutzer durch wegfallende Lizenzkosten.
Einschub für Datenschutzbeauftragte und ISBs
Compliance-Vorteile von LaSuite:
SecNumCloud-Zertifizierung mit über 350 technischen und rechtlichen Anforderungen
Immunität gegen US CLOUD Act, FISA 702 und andere extraterritoriale Gesetze
Keine Drittlandübermittlung – vollständige DSGVO-Konformität by Design
Transparente Open-Source-Codebasis (MIT-Lizenz)
Schrems II-Relevanz: Während US-Dienste auf das fragile EU-US Data Privacy Framework angewiesen sind (Schrems III-Klage angekündigt), ist LaSuite von dieser Problematik vollständig entkoppelt.
Einschränkungen: Noch keine HDS-Zertifizierung für Gesundheitsdaten; nicht für VS-NfD klassifizierte Inhalte freigegeben.
Was bedeutet der Ansatz von LaSuite für Deutschland?
Deutschland verfolgt mit openDeskeinen parallelen Ansatz. Das Zentrum für Digitale Souveränität (ZenDiS) hat mit €45 Millionen Budget eine Suite entwickelt, die Nextcloud, Collabora, Open-Xchange, Element, Jitsi und OpenProject integriert. Stand September 2025 sind bereits 80.000 Arbeitsplätze migriert – darunter 60.000 Lehrkräfte in Baden-Württemberg und die Bundeswehr (7-Jahres-Vertrag mit BWI).
Entscheidend: Deutschland und Frankreich kooperieren seit Februar 2024 in einem trilateralen Abkommen (mit den Niederlanden seit Dezember 2024). In gemeinsamen „100-Tage-Challenges“ entwickeln DINUM und ZenDiS Features wie die Docs/Notes-Komponente. Schleswig-Holstein hat bereits 40.000 E-Mail-Konten von Microsoft Exchange auf Open-Xchange migriert.
Für deutsche Behörden ergeben sich zwei Optionen: Der Einsatz von openDesk mit seiner Nextcloud-Basis – oder perspektivisch die Nutzung interoperabler Module aus LaSuite. Die europäische Dimension wurde beim ersten EU-Gipfel zur Digitalen Souveränität im November 2025 in Berlin unterstrichen, bei dem ein EDIC (European Digital Infrastructure Consortium) für digitale Commons angekündigt wurde.
Relevanz des LaSuite Ansatzes für Privatunternehmen
Auch außerhalb des öffentlichen Sektors wächst das Interesse an souveränen Lösungen. 61% der westeuropäischen CIOs planen laut Gartner, Workloads zu lokalen Anbietern zu verlagern. Nextcloud (deutsches Unternehmen, mitarbeitereigen) verzeichnet eine Verdreifachung der Nachfrage und investiert mit „Sovereignty 2030″ €250 Millionen.
Sie nutzen Microsoft 365? Dann schauen Sie sich auch unsere M365 Compliance Radar & Auditor für Datenschutz, Betriebsrat an und erhalten Sie regelmäßige Updates zu allen relevanten Aktivitäten für Datenschützer, Betriebsräte und Informationssicherheitsbeauftragten.
Fazit: Das LaSuite-Modell, ein Vorbild für Europa
Frankreichs LaSuite demonstriert, dass digitale Souveränität kein Kompromiss sein muss. Mit 500.000 aktiven Nutzern, KI-gestützten Features und vollständiger rechtlicher Unabhängigkeit bietet die Suite eine ernstzunehmende Alternative zu US-Anbietern. Die deutsch-französische Kooperation schafft dabei Synergien, die einzelne Länder allein nicht erreichen könnten.
Für Entscheider im öffentlichen Sektor ist die Botschaft klar: Die technischen und organisatorischen Voraussetzungen für den Umstieg sind geschaffen. Die Frage ist nicht mehr ob, sondern wann und wie schnell die Migration erfolgt. Frankreich hat mit dem 2027-Ziel den Takt vorgegeben – Deutschland sollte nicht zu lange warten, diesen aufzunehmen.
Viele Unternehmen behandeln Microsoft 365 wie eine klassische Software: Einführen, freigeben, Betriebsvereinbarung abschließen – fertig.
Das Problem:
Microsoft 365 ist kein statisches Tool. Es ist eine sich permanent verändernde Arbeitsumgebung. Und genau das stellt die Mitbestimmung vor neue Herausforderungen.
Der Denkfehler: Einführung = erledigt
In klassischen IT-Projekten funktioniert Mitbestimmung oft projektbezogen. Bei Microsoft 365 greift dieses Modell nicht mehr.
Funktionen ändern sich monatlich
Voreinstellungen werden angepasst
neue Dienste entstehen, alte verschwinden
Arbeitsweisen verändern sich – oft schleichend
Ohne neues Projekt. Ohne formale Einführung. Ohne erneute Abstimmung.
Wer Mitbestimmung ernst nimmt, muss akzeptieren:
Mitbestimmung endet nicht mit dem Go-Live.
Was Mitbestimmung bei Microsoft 365 wirklich bedeutet
Mitbestimmung bei Microsoft 365 ist kein juristischer Sonderfall – sondern eine organisatorische Daueraufgabe.
Konkret heißt das:
Nicht jede Änderung ist mitbestimmungspflichtig
aber relevante Änderungen müssen erkannt und eingeordnet werden
insbesondere dort, wo Verhalten, Leistung oder Daten der Mitarbeitenden betroffen sind
Kritische Beispiele sind u. a.:
neue Teams-Funktionen
KI-gestützte Features
Auswertungen und Nutzungsanalysen
Automatisierungen und neue Standardkonfigurationen
Die zentrale Frage lautet nicht: „Ist Microsoft 365 mitbestimmungspflichtig?“ Sondern: „Welche Änderung hat welche Auswirkungen – und für wen?“
Das eigentliche Problem: Niemand hat den Gesamtüberblick
In der Praxis erleben wir immer wieder dasselbe Muster – wenn überhaupt alle Parteien beteiligt werden:
IT bewertet technisch
Datenschutz bewertet rechtlich
der Betriebsrat bewertet arbeitsrechtlich
Alle für sich korrekt – aber ohne gemeinsamen Blick.
Das führt zu:
verspäteter Einbindung des Betriebsrats
unnötigen Eskalationen
pauschalen Verboten oder Blockaden
Unsicherheit bei Management und IT
Nicht aus bösem Willen – sondern aus fehlender Transparenz.
Warum klassische Lösungen nicht mehr reichen
Viele Organisationen verlassen sich auf:
einmalige Bewertungen
alte Betriebsvereinbarungen
manuelle Sichtung von Microsoft-Ankündigungen
Das funktioniert nicht mehr.
Microsoft 365 entwickelt sich schneller, als klassische Gremien- und Projektlogiken es abbilden können. Mitbestimmung wird dadurch nicht überflüssig – sondern anspruchsvoller.
Ein pragmatischer Weg nach vorne
Mitbestimmung bei Microsoft 365 braucht vor allem eines: Struktur.
frühzeitig erkennen, was sich ändert
einordnen, ob Mitbestimmung betroffen ist
bewerten, wie sich Änderungen konkret im Tenant auswirken
Entscheidungen faktenbasiert treffen – nicht aus dem Bauch heraus
Nicht als Einzelaktion. Sondern kontinuierlich.
Fazit
Microsoft 365 ist kein IT-Projekt. Es ist ein dauerhaftes Veränderungssystem.
Wer Mitbestimmung hier auf ein einmaliges Dokument reduziert, verliert früher oder später die Kontrolle. Wer Transparenz, Regelmäßigkeit und klare Einordnung schafft, macht Mitbestimmung wieder handlungsfähig.
Wir unterstützen Ihre Organisation genau dabei: Microsoft-365-Änderungen verständlich einordnen – für Betriebsrat, Datenschutz, IT und Management.
Schluss mit der Unsicherheit bei Roadmap-Änderungen. Erhalten Sie jetzt praxiserprobte Vorlagen, Prozess-Blueprints und Tool-Einblicke – kostenfrei und direkt in Ihr Postfach.
ISO 9001 / 27001 / 14001 in 12 Monaten – was C‑Level und Bereichsleitende wirklich brauchen
Ein IMS soll steuern, nicht stören. Wer Prozesse, Risiken und Nachweise schlank verknüpft, erreicht Zertifizierungsreife in 12 Monaten – ohne Dokumentenfriedhof. Dieser Leitartikel richtet sich an Geschäftsführung, IT‑/Fachbereichsleitung und Qualitätsmanagement-Beauftragten (QMB) / Informationssicherheitsbeauftragten (ISB) / Umweltmanagementbeauftragten (UMB) / Datenschutzbeauftragten (DSB) und liefert einen pragmatischen Fahrplan.
Warum ein IMS jetzt strategisch ist
Kundenerwartung & Lieferkette: ISO‑Nachweise sind Eintrittskarten in Ausschreibungen und Rahmenverträge.
Regulatorik: Informationssicherheit (ISO 27001) und Umweltwirkung (ISO 14001) stützen ESG‑Berichte; Datenschutz verzahnt die TOMs (DSGVO Art. 25, 32).
Wirtschaftlichkeit: Ein schlankes IMS reduziert Reibung: klar definierte Prozesse erhöhen die Produktivität nach Innen, Kennzahlen zeigen Schachstellen auf, Verantwortungen und Audits sorgen für einen konstanten Nachweis.
Prinzipien eines schlanken IMS
Prozess vor Dokument: Erst definieren, wie gearbeitet wird – dann minimal dokumentieren.
Eine Wahrheit: Ein zentrales, versioniertes Ablagesystem (z. B. im eigenen DMS oder Intranet) als „Single Point of True“ statt Share‑Chaos.
Rollen glasklar: Owner für jeden Prozess, KPIs und Risiken (RACI).
Kennzahlen mit Konsequenz: Messen nur, was Entscheidungen auslöst.
Audit als Motor: Interne Audits sind Gemba‑Walks, keine Prüfungsrituale.
Zielbild (12 Monate)
Ein IMS, das Qualität (9001), Informationssicherheit (27001), Umwelt (14001) und den Datenschutz integriert: einheitliche Prozesslandkarte, gemeinsames Risikoregister, abgestimmte Ziele & KPIs, ein Auditprogramm, ein Managementreview.
Tool‑leicht: Gängige Tools wie Microsoft 365 oder das eigene Dokumentenmanagementsystem (DMS) als Backbone (Versionierung, Genehmigungen, Aufgaben, Audit‑Trails), Spezialtools nur bei echtem Mehrwert. (Ein neues Spezialtool hilft hier nur bedingt, da es sich um die Prozesse im eigenen Unternehmen handelt.)
Typische Antipatterns – und wie man sie vermeidet
Schein-Dokumentation: 80‑seitige Handbücher ohne Relevanz → Lösung: Leitlinien mit maximal 4 Seiten, Prozesse als Flussbilder + Akzeptanzkriterien.
Rollenunklarheit: „QMB macht das schon“ → Lösung: Prozess‑Owner in den Linien, QMB/ISB/UM auf Fachkraft-Niveau coachen.
Excel‑Wildwuchs: 12 Fassungen derselben Liste → Lösung: eine versionierte Liste, klare Eigentümerschaft.
Tool‑Fokus: Software kaufen statt Prozesse klären → Lösung: erst Prozess / Controls, dann Tool‑Fit.
Audit‑Theater: Kosmetik vor dem Termin → Lösung: quartalsweise Mini‑Audits, Abweichungen mit CAPA (Corrective and Preventive Action, zu deutsch Korrektur- und Vorbeugungsmaßnahme)schließen.
Diese Liste stellt die Rollen in Form von Responsible (Verantwortlich), Accountable (Rechenschaftspflichtig), Consulted (Beratend), Informed (Informiert) dar.
Umwelt‑KPIs (Energieverbrauch kritischer Workloads, Reise‑km vs. Remote‑Quote)
Regel: Jede KPI braucht Owner, Ziel, Datengrundlage und eine Standard‑Reaktion, wenn das Ziel verfehlt wird.
DMS als Backbone
Da jedes DMS ein wenig anders ist, nutzen wir das weit verbreitete Microsoft 365 als Referenz, dies kann jedoch auch mit anderen Lösungen identisch aufgebaut werden.
Dokumente & Prozesse: SharePoint mit Versionierung, Genehmigungsflows, Vorlagenbibliothek
„Wie viel Aufwand erfordert die Lösung?“ – QMB / ISB / UMB / DSB je nach Größe 0,2-0,5 FTE; Prozess‑Owner investieren regelmäßig Arbeitszeit in den eigenen Prozessen zur kontinuierlichen Verbesserung. Skaliert mit Anzahl der Standorte, Abteilungen und Einzelprozessen. Sprechen Sie uns an für eine erste Schätzung.
„Brauchen wir neue Tools?“ – Erst Prozesse / Controls; Microsoft 365 deckt alle Basisanforderungen ab. Spezialtools oder individuelle Konfigurationen optional für mehr Komfort und Automatisierung.
„Was prüft der Auditor?“ – Nicht die Länge der Doku, sondern Wirksamkeit: Werden Ziele erreicht? Risiken beherrscht? Nachweise sauber?
DSGVO Art. 25/32 – Privacy by Design, Sicherheit der Verarbeitung
Fazit & Call‑to‑Action
Ein integriertes, schlankes Managementsystem ist ein Wettbewerbsfaktor. Starten Sie mit klaren Rollen, wenigen, aber messbaren KPIs und kurzen Leitlinien. Alles andere wächst aus dem Betrieb heraus – nicht aus Vorlagenordnern.
Die Europäische Föderation der Datenschutzbeauftragten fordert in ihrem Positionspapier fundamentale DSGVO-Änderungen – ein Blick in die Zukunft des Datenschutzes
Sieben Jahre nach Inkrafttreten der DSGVO meldet sich die Praxis zu Wort: Das im Juli 2025 veröffentlichte EFDPO-Positionspapier fasst die Erfahrungen von Datenschutzbeauftragten aus ganz Europa zusammen und zeigt auf, wo dringender Handlungsbedarf besteht. Als Stimme der Experten aus der täglichen Compliance-Praxis hat die Föderation erheblichen Einfluss auf die europäische Datenschutzpolitik – ihre Empfehlungen werden in Brüssel gehört.
Die 5 Kernforderungen – und was sie wirklich bedeuten
1. Hersteller in die Pflicht: „Privacy by Design“ wird zur Herstellerverpflichtung Schluss mit der Ausrede „Das ist halt so programmiert“. Künftig sollen Software-Anbieter verpflichtet werden, datenschutzkonforme Produkte zu liefern – inklusive fertiger DPIA-Vorlagen und Verarbeitungsverzeichnissen. Aus unserer Beratungspraxis wissen wir: Das würde 70% der DSB-Arbeit bei Systemeinführungen wegfallen lassen.
2. Risikobasierter Ansatz: Schluss mit „One size fits all“ Ein Friseur mit 3 Mitarbeitern soll nicht dieselben Dokumentationspflichten haben wie ein Pharmakonzern. Die EFDPO fordert abgestufte Anforderungen je nach Risiko. Unsere Einschätzung: Längst überfällig und ein Segen für KMU, die heute oft überreguliert sind.
3. DSB-Rolle stärken: Mehr Kompetenzen, weniger Verwaltung Der Datenschutzbeauftragte soll vom Dokumenten-Verwalter zum strategischen Berater werden – mit echten Entscheidungskompetenzen und klaren Verantwortlichkeiten. Das entspricht dem, was wir in der Praxis bereits heute empfehlen: DSB als zentraler Compliance-Manager.
4. EU-Harmonisierung: Einheitliche Standards statt Flickenteppich Heute bedeutet „DSGVO-konform“ in Deutschland etwas anderes als in Frankreich oder Polen. Die EFDPO will verbindliche EU-Standards. Für international tätige Unternehmen wäre das eine enorme Erleichterung – endlich ein Regelwerk statt 27 verschiedener Auslegungen.
5. Innovation fördern: Klare Regeln für KI und Datennutzung Anonymisierte Daten sollen eine eigene Rechtsgrundlage bekommen, Forschung und KI-Entwicklung vereinfacht werden. Das Ziel: Europa soll bei datengetriebenen Innovationen aufholen, ohne den Datenschutz zu opfern.
Was das konkret für Ihren Arbeitsalltag bedeutet
Datenschutzbeauftragte verbringen heute 60% ihrer Zeit mit Dokumentation und Administration. Mit den geplanten Reformen könnten Sie sich endlich auf das konzentrieren, wofür Sie ausgebildet sind: strategische Beratung und Risikoanalyse.
IT-Verantwortliche kennen das Problem: Jede neue Software bedeutet wochenlange DSGVO-Prüfungen. Künftig müssten Hersteller diese Arbeit bereits geleistet haben – Sie könnten sich auf die technische Implementierung fokussieren.
Geschäftsführung sieht vor allem die Kosten: Weniger externe Rechtsberatung, weniger interne Bürokratie, mehr Planbarkeit bei Compliance-Investitionen.
Synergien mit ISO-Normen nutzen
Die geplanten Reformen harmonieren perfekt mit bestehenden Management-Systemen:
ISO 27001: Risikobasierte Ansätze verstärken sich gegenseitig
ISO 9001: Prozessorientierung wird durch klare DSB-Rollen gestärkt
ISO 22301: Datenschutz-Risikomanagement integriert sich nahtlos
Jetzt vorbereiten – später profitieren
Kurzfristig (0-6 Monate):
Bestandsaufnahme Ihrer Datenschutz-Prozesse
DSGVO-Konformitätsnachweise von Herstellern einfordern
DSB-Rolle auf erweiterte Kompetenzen vorbereiten
Mittelfristig (6-18 Monate):
Risikobewertung differenzieren
Datenschutz in bestehende Management-Systeme integrieren
Team für neue Anforderungen qualifizieren
Unser Fazit: Realistische Vision mit Hindernissen
Als Beratung, die täglich mit DSGVO-Herausforderungen konfrontiert ist, begrüßen wir die EFDPO-Vorschläge. Sie treffen den Kern der Probleme, die wir bei unseren Kunden erleben. Besonders positiv: Der Fokus auf Praktikabilität statt theoretische Perfektion.
Aber: Der Weg ist noch weit. Solche grundlegenden Reformen brauchen Jahre und müssen gegen viele Widerstände durchgesetzt werden. Trotzdem ist das Signal wichtig – die Richtung stimmt, und erste Weichenstellungen sind bereits erkennbar.
Unternehmen, die sich jetzt auf diese Entwicklungen einstellen, haben morgen einen klaren Vorsprung.
Wie gut ist Ihr Unternehmen vorbereitet?
Sie möchten wissen, wo Sie stehen und wie Sie sich optimal auf die Zukunft des Datenschutzes vorbereiten?
Die improve it GmbH unterstützt Sie als erfahrene Beratung für Datenschutz, Prozesse und ISO-Normen mit eigenem Auditor:
✅ DSGVO-Readiness-Check: Analyse Ihrer aktuellen Position ✅ Zukunftsstrategie: Vorbereitung auf kommende Änderungen ✅ Integrierte Beratung: Datenschutz, ISO-Normen und Prozesse aus einer Hand
Kontaktieren Sie uns für eine kostenlose Erstberatung und starten Sie zukunftssicher in die nächste Datenschutz-Ära.
improve it GmbH – Ihre Experten für vorausschauende Compliance-Strategien
In der heutigen, schnelllebigen Arbeitswelt ist Microsoft 365 (M365) weitaus mehr als nur ein Office-Paket. Es ist eine vernetzte Plattform, die kontinuierlich weiterentwickelt wird. Für Betriebsräte und Datenschutzbeauftragte kann jede neue Funktion, jede Verschiebung einer Einstellung oder jeder Security-Patch direkte Folgen haben – sei es für Mitbestimmungsrechte, Betriebsvereinbarungen oder Datenschutzkonzepte. Daher lohnt es sich, die offiziellen Update-Kanäle von Microsoft genau im Blick zu behalten.
1. Woher Sie Ihre M365-Updates bekommen
Message Center
Im Microsoft 365 Admin Center gibt es das Message Center, das alle kommunizierten Änderungen in tabellarischer Form anzeigt. Standardmäßig finden Sie dort die neuesten Einträge ganz oben, und Sie können nach Service, Schlagwort (z. B. „Data privacy“, „Major update“) oder Status (z. B. „Unread“) filtern learn.microsoft.com.
Major Updates: Kennzeichnung mit rotem Ausrufezeichen; werden mindestens 30 Tage im Voraus angekündigt, wenn eine Aktion nötig ist learn.microsoft.com.
Data Privacy–Einträge: Speziell für DSGVO-relevante Themen, nur sichtbar für entsprechende Rollen im Tenant.
Service-Health und Incident-Meldungen finden Sie in separaten Bereichen des Admin Centers.
E-Mail-Digest
Statt das Portal täglich zu prüfen, können Sie unter Preferences → Email festlegen, dass Ihnen eine tägliche oder wöchentliche Zusammenfassung aller Message Center-Beiträge per E-Mail zugeschickt wird. Diese wöchentliche Digest-Option ist empfehlenswert, um nichts zu verpassen und dennoch den Aufwand in Grenzen zu halten learn.microsoft.com.
Microsoft 365 Roadmap
Parallel zum Message Center pflegt Microsoft eine öffentliche Roadmap, auf der Features in Entwicklung, Rollout oder „General Availability“ gekennzeichnet sind. Über unseren Evergreen Newsletter können Sie individualisiert auf Ihren Bedarf alle Nachrichten in einem wöchentlichen, zweiwöchentlichen oder monatlichen Turnus bestellen. Dabei gehen wir auf konkrete Handlungsmaßnahmen und Empfehlungen für IT-Entscheider, Endanwender, Betriebsräte und Datenschutzbeauftragte ein. Individuell auf Ihren Bedarf abgestimmt.
Insider-Tipp: Kombinieren Sie wöchentlichen Digest und Roadmap-RSS – so erhalten Sie sowohl tenant-spezifische Meldungen als auch einen Ausblick auf kommende Funktionen, wenn Sie nicht auf ein individualisiertes Angebot zurückgreifen wollen.
3. Ihr Change Advisory Board (CAB): Prozess und Workflow
Ein robustes Change Advisory Board (CAB) sorgt dafür, dass alle Stakeholder – IT, Datenschutz und Betriebsrat – Updates gemeinsam bewerten und steuern. So gelingt‘s:
Evergreen-Newsletter abonnieren: Erhalten Sie monatlich alle relevanten M365-Updates für Betriebsräte und Datenschutzbeauftragte – kompakt und verständlich. 👉 Zum Newsletter
Kostenloses Erstgespräch: Lassen Sie uns gemeinsam Ihren CAB-Prozess aufsetzen und optimieren – unverbindlich und kostenfrei. 👉 Jetzt Erstgespräch buchen
6. So starten Sie heute
CAB-Termin ansetzen: Tragen Sie gleich einen festen Termin im Kalender ein.
Rollen klären: Benennen Sie Verantwortliche aus IT, Datenschutz & Betriebsrat.
Kommunikation starten: Informieren Sie Ihre Fachbereiche über den neuen Prozess.
Mit diesem Fahrplan behalten Sie alle M365-Updates im Blick, schützen Ihre Betriebsvereinbarungen und erfüllen DSGVO-Pflichten zuverlässig. Starten Sie jetzt und minimieren Sie Überraschungen!
(Der Beitrag wurde von KI strukturiert und das Teaserbild von KI generiert)
Diese Woche: Sam Altman blickt auf die KI-Zukunft – und warnt vor ihrer Macht. Parallel zeigt eine Sicherheitslücke in Microsofts Copilot, dass technologische Reife allein nicht genügt. Auch beim Datenschutz und der Umsetzung von Sicherheitsstandards gibt es Handlungsbedarf – und Chancen.
KI-Entwicklung: Sam Altman über die „sanfte Singularität“
OpenAI-Chef Sam Altman hat in einem persönlichen Blogbeitrag die Richtung vorgegeben: Wir stehen möglicherweise kurz vor einer „sanften Singularität“ – einer Zeit, in der Künstliche Intelligenz mächtiger wird als jeder Mensch, der je gelebt hat. Die Vision: eine Welt, in der wirtschaftliches Wachstum durch KI praktisch unbegrenzt möglich ist – unter der Bedingung, dass diese Macht sicher und gerecht verteilt wird.
Microsoft 365 Copilot mit kritischer Schwachstelle Eine unsichere KI-Funktion in Microsoft 365 ermöglichte es, Inhalte aus fremden Benutzerkonten auszulesen. Die Lücke wurde inzwischen geschlossen – zeigt aber, wie schnell KI-Integrationen neue Angriffsflächen schaffen können. 🔗 Mehr bei heise.de
DIN SPEC 27076: Sicherheitscheck für KMU Mit der DIN SPEC 27076 steht kleinen und mittleren Unternehmen nun ein strukturierter Leitfaden zur Verfügung, um ihre IT-Sicherheit realistisch einzuschätzen. Die Checkliste hilft dabei, Schutzbedarf und Maßnahmen gezielt zu ermitteln. 🔗 Hintergrund bei Security Insider
NIS-2: Zwischenstand zur Umsetzung Das „Cybersicherheitsstärkungsgesetz“ zur Umsetzung der NIS-2-Richtlinie ist in Arbeit – aber die Umsetzung in Unternehmen ist laut Experten oft lückenhaft. Wer betroffen ist, sollte jetzt mit der Vorbereitung beginnen. 🔗 Analyse bei Security Insider
Datenschutz vs. Innovation: Realität oder Ausrede?
Laut Bitkom-Studie sehen 63 % der Unternehmen den Datenschutz in Deutschland als Innovationsbremse. Besonders häufig werden DSGVO-Vorgaben bei KI-Entwicklung, Cloud-Migration und Smart Services als Hindernis empfunden.
Doch statt pauschaler Kritik braucht es pragmatische Lösungen: Datenschutz ist gestaltbar – mit klaren Verantwortlichkeiten, Standards und technischen Schutzmaßnahmen. 🔗 Zur Studie bei Security Insider
Fazit
KI und IT-Sicherheit entwickeln sich mit hoher Geschwindigkeit – und mit ihnen der Bedarf, kluge, pragmatische Strukturen für Datenschutz und Risikomanagement zu schaffen. Gerade für mittelständische Unternehmen gilt: Nicht abwarten, sondern jetzt die Weichen stellen.
Sie suchen einen klaren, umsetzbaren Ansatz für Ihre Datenschutz- und Sicherheitsstrategie im KI-Zeitalter? Wir unterstützen Sie bei Bewertung, Umsetzung und Kommunikation – praxisnah, rechtskonform und lösungsorientiert. Sprechen Sie uns an.
(Der Beitrag wurde von KI strukturiert und das Teaserbild von KI generiert)
Diese Woche standen gleich zwei Themen im Zentrum: digitale Souveränität als Grundlage für vertrauenswürdige IT-Strukturen – exemplifiziert durch Mozillas Thunderbird-Initiative – und die rasante Entwicklung im KI-Umfeld, die von Datenschutz-Debatten bis hin zu Mega-Akquisitionen reicht.
Digitale Souveränität: Thunderbird als Alternative
Mozilla Thunderbird baut sein Angebot deutlich aus und positioniert sich als europäische Alternative zu Office-365- und Google-Workspace-Paketen. Mit Thundermail und neuem Thunderbird Pro Service will das Projekt Team-Postfächer, Kalender, Drive-Funktionen und professionelle Services für Unternehmen bereitstellen – alles Open Source und unter eigener Kontrolle. 🔗 Thunderbird-Blog: Thundermail & Pro-Services
KI & Datenschutz: Zwischen Faszination und Skepsis
Meta-Training mit privaten Daten Deutschlands Datenschutzbeauftragte kritisiert, dass Meta Nutzerdaten offenbar für KI-Training heranzieht, ohne ausreichende Transparenz oder Einwilligung – ein „unfassbarer“ Eingriff in Privatsphäre. 🔗 zum Artikel
eID & Cloud-Schlüsselspeicher Die deutsche Umsetzung der EU-Wallet (eID) setzt auf Cloud-basierte Schlüsselverwaltung – trotz Bedenken zu zentralisierten Speichern und Souveränitätsrisiken. 🔗 zum Artikel 🔗 BSI – eID-Login für Webanwendungen
Open-Source-Leitlinien Deutschlands Digitalminister fordert offene Standards und Open Source als Leitprinzip für öffentliche IT-Projekte. Ein wichtiger Schritt für Unabhängigkeit und Transparenz. 🔗 zum Artikel
KI-Markt und Innovationen
Salesforce kauft Informatica Für 8 Mrd. USD übernimmt Salesforce Informatica und stärkt damit seine Data-Management- und KI-Analyse-Fähigkeiten. 🔗 zum Artikel
ServiceNow übernimmt KI-Startup ServiceNow kauft das KI-Unternehmen LogiKai, um seine GenAI-Strategie und Automatisierung in der Now-Plattform zu stärken. 🔗 zum Artikel
CrowdStrike: Einheitliche Plattform für Cloud-Security Die Falcon-Plattform soll künftig Daten, Workloads und KI-Modelle plattformübergreifend absichern – KI-basiert und einheitlich. 🔗 zum Artikel
Amazon-Entwickler: KI wie Fliessbandarbeit? Ein Amazon-Entwickler vergleicht monotonen Einsatz von KI-Assistenten mit Fließbandarbeit – kritischer Blick auf Automatisierung im Arbeitsalltag. 🔗 zum Artikel
ChatGPT-Selbstschutz ChatGPT-Modelle schalten sich in Tests eigenständig ab, um „sabotierte“ oder fehlerhafte Ausgaben zu vermeiden. Ein faszinierender, aber komplexer Mechanismus zur Stabilisierung von KI-Systemen. 🔗 zum Artikel
Regierungs-Chatbot ohne Halluzinationen Das deutsche Forschungsministerium fördert einen Open-Source-Chatbot, der gezielt „Fabulieren“ (Halluzinationen) vermeiden soll. Proof-of-Concept für vertrauenswürdige KI-Anwendungen. 🔗 zum Artikel
Deutsches KI-Rechenzentrum in Planung Ein Konsortium aus Industrie und Forschungsvorhaben plant ein europäisches KI-Rechenzentrum, um Uptime, Performance und Datenschutz unter EU-Recht zu garantieren. 🔗 zum Artikel
🌍 Nutzung & Befähigung
Geringe berufliche KI-Nutzung in Deutschland Im internationalen Vergleich nutzen Deutschlands Beschäftigte KI-Tools selten im Arbeitsalltag – trotz hoher Awareness. Eine Herausforderung für digitale Bildung und Qualifizierung. 🔗 zum Artikel
Urheberrecht vs. KI-Training Meta-Manager Nick Clegg warnt: Ohne Zustimmung von Urheber:innen würde KI-Training „die Kreativwirtschaft töten“. Ein Appell für faire Nutzungsbedingungen und Lizenzmodelle. 🔗 zum Artikel
„Wilde KI-Woche“ beim Training Institute Ein Zwischenbericht des AI Training Institute fasst eine Woche voller Experimente, Kooperationen und regulatorischer Hürden zusammen – ein stimmungsvoller Blick hinter die Kulissen. 🔗 zum Artikel
Fazit: Digitale Souveränität und KI-Innovation dürfen keine Widersprüche sein. Mit offenen Standards, europäischen Alternativen wie Thunderbird und gezielten Regulierungsschritten kann Europa seine Unabhängigkeit bewahren – ohne den Anschluss an die globale Technologieführung zu verlieren.
Sie möchten Ihre KI-Strategie souverän gestalten und sicher umsetzen? Wir beraten Sie bei Auswahl, Implementierung und Governance – technologieoffen, praxisnah und datenschutzkonform.
(Der Beitrag wurde von KI strukturiert und das Teaserbild von KI generiert)
Ein komprimierter Überblick über die wichtigsten Themen der Woche: neue Bedrohungen im Cyberraum, ambitionierte Schritte in der KI-Entwicklung und Googles Reaktion auf geopolitischen Druck.
Digitale Souveränität: Google reagiert auf politische Unsicherheit
Angesichts wachsender Bedenken europäischer Unternehmen vor möglichem Datenzugriff durch eine künftige US-Regierung intensiviert Google seine Anstrengungen für mehr Datensouveränität. Im Zentrum stehen neue Sicherheitsfunktionen, Rechenzentrumsstrategien und Partnerschaften mit europäischen IT-Dienstleistern. Der Auslöser: die Unsicherheit rund um eine potenzielle zweite Trump-Administration und der daraus resultierende Vertrauensverlust in transatlantische Cloudanbieter. 🔗 Mehr bei golem.de
Cybersicherheit: Warnung vor russischer Spionagekampagne
Das BSI und internationale Partner warnen vor der russischen Hackergruppe APT28 (Fancy Bear), einer GRU-nahen Einheit. Ziel sind IT-Netze westlicher Logistik- und Technologiesektoren. Die Angriffe erfolgen u. a. über Schwachstellen in Open-Source-Komponenten und Standardsoftware. 🔗 Offizielle Warnung des BSI
Besondere Aufmerksamkeit gilt der Manipulation von IP-Kameras: Öffentliche Überwachungssysteme könnten für Spionage gegen kritische Infrastruktur missbraucht werden. Die Behörden rufen Betreiber zur sofortigen Sicherheitsüberprüfung auf. 🔗 Hintergrund bei heise.de
KI: Tools, Milliarden und digitale Bildung
Jules: KI-Programmierhilfe von Google in öffentlicher Beta Mit „Jules“ bringt Google einen Coding-Agenten an den Start, der eigenständig Code analysiert, verbessert, dokumentiert und versioniert. Das System läuft Cloud-basiert, integriert sich u. a. in GitHub und ist auf Sicherheit im Entwicklungskontext ausgelegt. 🔗 Mehr bei heise.de
OpenAI & Jony Ive: 6,5-Mrd.-Dollar-Invest in KI-Hardware OpenAI und das von Apple-Designchef Jony Ive gegründete Start-up „LoveFrom“ gehen eine strategische Partnerschaft ein. Ziel: ein KI-Gerät der nächsten Generation – zwischen iPhone, Home Assistant und persönlichem Agenten. 🔗 Artikel bei heise.de
Gitex Europe: Ruf nach digitaler Resilienz in der Bevölkerung Auf der internationalen Technologiemesse in Berlin fordern Vertreter aus Wirtschaft und Behörden eine breitere digitale Bildung: Cybersicheres Verhalten soll zur Grundkompetenz werden – nicht nur in Unternehmen, sondern auch im Alltag. 🔗 Bericht bei heise.de
Fazit: Digitale Souveränität, Cybersicherheit und verantwortungsvolle KI-Nutzung sind keine Zukunftsthemen – sie bestimmen bereits jetzt, wie sicher und gestaltbar Europas digitale Infrastruktur bleibt. Es braucht klare Strategien – auf Seiten der Anbieter, Regulierer und Unternehmen.
(Der Beitrag wurde von KI strukturiert und das Teaserbild von KI generiert)
