Kategorie: Informationssicherheit

Worum es in Teil 3 geht

Teil 2 unserer Linkedin-Serie hat gezeigt, dass die Transferfrage rechtlich vertagt, aber nicht gelöst ist. Auf der technischen Ebene ist Microsofts wichtigste Antwort darauf die EU Data Boundary. Dieser Teil ordnet ein, was sie leistet, wo ihre Grenzen liegen und wie die deutschen und europäischen Aufsichtsbehörden das Ergebnis bewerten. Es ist eine fachliche Einordnung und keine Rechtsberatung.

Die EU Data Boundary: Umfang und Fertigstellung

Microsoft hat die EU Data Boundary in drei Phasen errichtet und im Februar 2025 für vollständig erklärt. Die erste Phase umfasste die Speicherung und Verarbeitung von Kundendaten für die Kerndienste, die zweite erweiterte den Umfang auf pseudonymisierte personenbezogene Daten wie systemgenerierte Protokolle, die dritte bezog die Support-Daten ein. Geografisch umfasst die Grenze EU und EFTA. Das ist ein erheblicher und dokumentierter Fortschritt gegenüber dem Zustand von 2022.

Die dokumentierten Ausnahmen

Entscheidend für eine belastbare Bewertung ist, dass die Grenze nicht hermetisch ist. Microsoft dokumentiert selbst mehrere Kategorien von Datenflüssen, die sie verlassen. Zum einen bestimmte Transfers im Rahmen globaler Sicherheitsoperationen, etwa der Bedrohungsanalyse, der Fernzugriff von Personal außerhalb der EU auf pseudonymisierte Daten sowie fortlaufende, designbedingte Teiltransfers einzelner Dienste. Zum anderen ausdrücklich ausgenommene Dienste, vor allem im Security-Umfeld: Teile der Defender-Familie und Security Copilot verarbeiten Daten teils außerhalb der EU. Und schließlich ein wenig bekannter Punkt, wonach die Nutzung von Multi-Geo einen Tenant für Microsoft 365 aus dem Geltungsbereich der Grenze herausfallen lässt, selbst bei einem EU-Tenant.

Daraus folgt eine klare Konsequenz für die eigene Dokumentation. Eine Datenschutz-Folgenabschätzung, die sich pauschal auf den Satz stützt, die Daten blieben in Europa, greift zu kurz. Sie muss die dokumentierten Ausnahmen dienstbezogen abbilden. Und sie muss berücksichtigen, dass die Grenze Datenflüsse bindet, nicht Rechtspflichten. Die CLOUD-Act-Frage aus Teil 2 besteht innerhalb der Grenze fort. Wichtig ist zudem, dass diese Zusagen auf vertraglichen und auditierten Angaben des Anbieters beruhen. Eine vollständige technische Nachprüfung durch den Kunden ist bei proprietärer Software nur eingeschränkt möglich.

Die kundenseitigen Schutzhebel

Dem strukturellen Restrisiko stehen mehrere Schutzinstrumente gegenüber. Technisch sorgt Customer Lockbox dafür, dass Microsoft-Personal in den davon erfassten Support-Szenarien nur mit ausdrücklicher Freigabe des Kunden auf Inhaltsdaten zugreifen kann. Mit Customer Key und vor allem der Double Key Encryption kann ein Teil der Schlüsselhoheit beim Kunden verbleiben. Bei der Double Key Encryption liegt ein zweiter Schlüssel ausschließlich beim Kunden, sodass Microsoft die betroffenen Inhalte technisch nicht im Klartext herausgeben kann.

Diese stärkste Variante hat allerdings ihren Preis. So geschützte Inhalte sind für serverseitige Verarbeitung, Suche und KI-Funktionen wie Copilot weitgehend nicht nutzbar. Das ist ein echter Zielkonflikt zwischen maximaler Souveränität und Funktionsumfang. Vertraglich ergänzt Microsoft dies um Zusagen, behördliche Anordnungen anzufechten, Kunden soweit zulässig zu informieren und im Fall einer rechtswidrigen Offenlegung finanziell zu entschädigen. Halbjährliche Transparenzberichte dokumentieren Art und Umfang behördlicher Anfragen. Diese Hebel verschieben das Risiko, beseitigen es aber nicht vollständig, denn Zusagen bleiben Zusagen, und die wirksamste technische Maßnahme ist gerade für die modernen KI-Szenarien kaum praktikabel.

Die Aufsichtsbehörden: Drei Ebenen, drei Geschwindigkeiten

Die aufsichtsbehördliche Lage ist heterogen, aber in Bewegung. Die Festlegung der Datenschutzkonferenz von 2022 ist bis heute nicht förmlich revidiert. Auf europäischer Ebene hat der Europäische Datenschutzbeauftragte sein Verfahren gegen die EU-Kommission im Juli 2025 eingestellt, nachdem präzisierte Verarbeitungszwecke, dokumentierte Weisungen und begrenzte Drittlandtransfers vereinbart worden waren. Er betont aber ausdrücklich, dass dies keine generelle Konformitätsbestätigung ist, sondern die konkrete, nachverhandelte Lage der Kommission betrifft. Der Vorgang zeigt gleichwohl, welche Vertragsstandards erreichbar sind.

In Deutschland kam der Hessische Beauftragte im November 2025 in einem 137 Seiten starken Bericht zu dem Ergebnis, Microsoft 365 könne datenschutzkonform genutzt werden, die wesentlichen Kritikpunkte von 2022 seien ausgeräumt. Die Grenze dieser Bewertung benennt der Bericht selbst: Es wurde keine technische Untersuchung einzelner Dienste durchgeführt, die Prüfung ist eine rechtliche Würdigung auf Basis der Zusagen und Dokumente von Microsoft. Genau daran setzt die Kritik aus der Datenschutz-Community an.

Der Gegenpol und eine Personalie mit Gewicht

Den Gegenpol bildet Baden-Württemberg. Nach einem Pilotprojekt riet die dortige Aufsichtsbehörde 2021 wegen hoher Risiken von der Nutzung an Schulen ab und legte 2022 detaillierte Vorgaben nach. Formal betrifft diese Position nur Schulen, ein generelles Verbot für andere Stellen wurde nie ausgesprochen. Zurückgenommen wurde die kritische Linie aber ebenso wenig, und eine Neubewertung nach Fertigstellung der EU Data Boundary ist nicht dokumentiert. Bemerkenswert für die weitere Entwicklung: Baden-Württemberg führt 2026 den Vorsitz der Datenschutzkonferenz, und ihm käme damit bei einer etwaigen bundesweiten Neubewertung eine Schlüsselrolle zu.

Zwischenfazit

Die EU Data Boundary ist ein erheblicher Fortschritt, aber ein Zusagen-Gerüst mit definierten Öffnungen, kein hermetischer Raum. Wer Microsoft 365 einsetzt, kann sich auf eine deutlich verbesserte Argumentationsbasis stützen, sollte aber wissen, dass die Festlegung von 2022 formal fortbesteht und die positive hessische Bewertung auf einer rechtlichen, nicht technischen Prüfung beruht. Wie sehr sich die Bewertung mit Copilot noch einmal von der Plattform auf die einzelnen KI-Modelle verlagert, zeigt Teil 4.

In dieser Serie

Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit.

Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Juni 2026 wieder und stellt keine Rechtsberatung dar.

Worum es in Teil 2 geht

Im ersten Teil unserer Linkedin-Serie haben wir die Ausgangslage und den deutschen Rechtsrahmen skizziert. Der eigentliche Kern der Debatte liegt aber jenseits des Atlantiks: Es geht um die Frage, ob und wie US-Behörden auf Daten zugreifen können und ob Übermittlungen in die USA zulässig sind. Auch dieser Teil ist eine fachliche Einordnung und keine Rechtsberatung.

Zwei US-Normen strukturieren die Debatte

Der CLOUD Act aus dem Jahr 2018 verpflichtet US-Anbieter, Daten in ihrem Besitz oder unter ihrer Kontrolle auf behördliche Anordnung herauszugeben, unabhängig vom Speicherort. Eine europäische Datengrenze ändert an dieser Rechtspflicht des Anbieters nichts. Sie verändert nur die tatsächlichen und vertraglichen Rahmenbedingungen. Bemerkenswert ist eine Aussage des Rechtsdirektors von Microsoft France, der im Juni 2025 vor dem französischen Senat unter Eid einräumte, nicht garantieren zu können, dass Daten französischer Bürger niemals ohne Zustimmung an US-Behörden übermittelt werden. Microsoft verweist dem gegenüber auf seine vertraglichen Zusagen, Anordnungen anzufechten und Kunden soweit rechtlich zulässig zu informieren.

Die zweite Norm ist FISA Section 702, die zentrale Rechtsgrundlage der US-Auslandsüberwachung und ein Kernkritikpunkt des Europäischen Gerichtshofs im Schrems-II-Urteil. Sie wurde 2024 mit Auslaufdatum 20. April 2026 verlängert. Hochaktuell und offen: Im Frühjahr 2026 konnte sich der US-Kongress nicht auf eine langfristige Neuregelung einigen, sodass Section 702 nach mehreren kurzen Verlängerungen zum Redaktionsschluss Mitte Juni 2026 erneut auszulaufen drohte. Diese US-Rechtslage ist stark in Bewegung; der hier wiedergegebene Stand ist eine Momentaufnahme. Dieser Schwebezustand ist in beide Richtungen relevant. Eine Reform mit stärkerer richterlicher Kontrolle könnte die Transferlage verbessern, eine unveränderte Verlängerung zementiert die bekannte Kritik.

Vom Privacy Shield zum Data Privacy Framework

Mit dem Schrems-II-Urteil von 2020 erklärte der Europäische Gerichtshof den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Die US-Überwachungsprogramme seien nicht auf das zwingend erforderliche Maß beschränkt, und Betroffenen fehle ein wirksamer Rechtsbehelf. Standardvertragsklauseln blieben gültig, verlangen aber eine einzelfallbezogene Prüfung des Schutzniveaus und gegebenenfalls zusätzliche Maßnahmen.

Die Antwort der EU-Kommission war der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023, gestützt auf US-Reformen und einen neu geschaffenen Rechtsbehelfsmechanismus. Microsoft ist unter diesem Framework zertifiziert, sodass Übermittlungen auf seiner Grundlage nach derzeitiger Rechtslage grundsätzlich tragfähig erscheinen.

Die erste gerichtliche Prüfung ist bestanden, die zweite läuft

Das Framework hat seine erste gerichtliche Prüfung überstanden. Das Gericht der Europäischen Union wies im September 2025 eine Nichtigkeitsklage ab und hielt den neu geschaffenen Data Protection Review Court für hinreichend unabhängig. Aus Schrems II folge keine Pflicht zu einer vorherigen Genehmigung von Massendatenerhebungen, eine wirksame nachträgliche gerichtliche Kontrolle genüge.

Zwei Risikofaktoren bleiben und gehören dokumentiert. Gegen dieses Urteil ist seit Oktober 2025 ein Rechtsmittel beim Europäischen Gerichtshof anhängig. Nach Safe Harbor und Privacy Shield wäre eine erneute Aufhebung die dritte in Folge. Und die zuständigen US-Aufsichtsgremien sind institutionell geschwächt, was die Kritik an der Belastbarkeit des Frameworks nährt. Vorsichtige Verantwortliche halten deshalb die Standardvertragsklauseln samt Transfer-Folgenabschätzung als Rückfallebene dokumentiert vor, so wie es auch das Vertragswerk von Microsoft als Fallback vorsieht.

Die deutschen Gerichte: Kein Ausschluss wegen bloßer Konzernzugehörigkeit

Für die Praxis wichtig ist ein Beschluss des Oberlandesgerichts Karlsruhe vom 7. September 2022 (Aktenzeichen 15 Verg 8/22). Eine Vergabekammer hatte zuvor den Ausschluss eines Angebots verlangt, weil als Unterauftragnehmerin die Luxemburger Tochter eines US-Konzerns mit Hosting in Frankfurt vorgesehen war und allein deshalb ein latentes Zugriffsrisiko bestehe. Das Oberlandesgericht hob diese Entscheidung auf. Die bloße Konzernzugehörigkeit zu einer US-Mutter und ein abstraktes Zugriffsrisiko rechtfertigen keinen Ausschluss, und die bloße Zugriffsmöglichkeit ist noch keine Übermittlung im Sinne der Artikel 44 folgende.

Diese Linie entlastet den Einsatz von EU-Einheiten US-amerikanischer Anbieter, entbindet aber nicht von der konkreten Prüfung. Die Datenschutzkonferenz hat in ihrer Reaktion darauf betont, dass die Zugriffsmöglichkeit von Drittlandsbehörden zwar keine Übermittlung darstellt, bei der Zuverlässigkeitsprüfung des Auftragsverarbeiters aber mit besonders hohen Anforderungen zu berücksichtigen ist.

Ein Befund, der selbst ein Befund ist

Bemerkenswert ist, was sich nicht finden lässt. Eine höchstrichterliche deutsche Entscheidung, die die DSGVO-Konformität von Microsoft 365 selbst zum Gegenstand hätte, existiert nach unserer Recherche nicht. Auch verwaltungsgerichtliche Entscheidungen speziell zu M365 mit verifizierbarem Aktenzeichen konnten wir nicht auffinden. Die bekannten Konflikte verliefen aufsichtsbehördlich, nicht gerichtlich. Die vielzitierte Rechtsunsicherheit ist damit bislang vor allem eine aufsichtsbehördliche und wissenschaftliche Debatte, keine judizierte.

Zwischenfazit

Die Transferfrage ist nicht erledigt, sondern vertagt. Das Data Privacy Framework gilt und hat die erste Instanz überstanden, steht aber erneut vor dem Europäischen Gerichtshof, während FISA 702 in den USA nur befristet verlängert war und der CLOUD Act unverändert fortgilt. Verantwortliche bewegen sich auf einer derzeit tragfähigen, aber nicht abschließend gesicherten Grundlage. Wie Microsoft dieser Lage auf der technischen Ebene begegnet, mit der EU Data Boundary, und wie die Aufsichtsbehörden sie bewerten, ist Thema von Teil 3.

Beachten Sie an dieser Stelle auch die aktuellste Entwicklung, die wir in einem eigenen Beitrag verlinkt haben und welche die Situation in Deutschland noch einmal verschärft: US-Urteil Trump v. Slaughter setzt EU-US-Datentransfer unter Druck.

In dieser Serie

Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit.

Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Mitte Juni 2026 wieder und stellt keine Rechtsberatung dar.

Über diese Serie

Kaum ein Thema im betrieblichen Datenschutz wird so hitzig diskutiert wie der Einsatz von Microsoft 365. Die Positionen reichen von „längst kein Problem mehr“ bis „grundsätzlich nicht rechtskonform betreibbar“. In dieser fünfteiligen Serie ordnen wir den Stand 2026 sachlich ein, Schritt für Schritt und mit Blick auf die Quellen. Am Ende der Serie veröffentlichen wir den vollständigen Bericht mit allen Nachweisen.

Dieser Beitrag ist der Auftakt unserer Linkedin-Serie und eine fachliche Einordnung und keine Rechtsberatung. Wir sprechen bewusst keine Empfehlung für oder gegen Microsoft 365 aus. Diese Entscheidung liegt beim Verantwortlichen im Sinne der DSGVO, beraten durch Datenschutz, Informationssicherheit und, wo einschlägig, den Betriebsrat.

Der Ausgangspunkt: Die Festlegung von 2022

Die deutsche Debatte war jahrelang von der Festlegung der Datenschutzkonferenz vom November 2022 geprägt. Die Konferenz kam damals zu dem Schluss, auf Basis des seinerzeitigen Auftragsverarbeitungsvertrags von Microsoft lasse sich ein datenschutzkonformer Betrieb nicht nachweisen. Dieser Satz hat die Diskussion über Jahre bestimmt und wird bis heute zitiert.

Wichtig ist der genaue Wortlaut. Es ging nicht um die Aussage, Microsoft 365 sei rechtswidrig, sondern um die fehlende Nachweisbarkeit auf Grundlage des damaligen Vertragswerks. Genau an diesem Punkt hat sich seither am meisten bewegt.

Was sich seit 2022 verändert hat

Drei Entwicklungen haben die Lage verschoben. Microsoft hat die EU Data Boundary im Februar 2025 fertiggestellt, also die vertraglich zugesagte Verarbeitung von Kundendaten innerhalb von EU und EFTA. Der Europäische Datenschutzbeauftragte hat sein Durchsetzungsverfahren gegen die EU-Kommission im Juli 2025 nach umfangreichen Nachverhandlungen eingestellt. Und mit dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit hat sich im November 2025 erstmals eine deutsche Aufsichtsbehörde positiv zur Nutzbarkeit geäußert.

Dem steht eine gegenläufige Bewegung gegenüber. Mit Microsoft 365 Copilot und der Einbindung von KI-Modellen mehrerer Anbieter sind neue Verarbeitungsszenarien entstanden, die teils außerhalb der mühsam errichteten europäischen Datengrenze stattfinden. Eine seriöse Bestandsaufnahme muss deshalb beide Richtungen abbilden: die deutlichen Verbesserungen auf der Plattformebene und die neuen Unschärfen auf der Ebene einzelner Dienste und Modelle. Genau das leistet diese Serie.

Der rechtliche Rahmen: Die DSGVO

Maßgeblich für den Einsatz von Microsoft 365 sind vor allem die Grundsätze der DSGVO. Im Zentrum steht die Rechenschaftspflicht aus Artikel 5 Absatz 2, an der sich schon die Kritik von 2022 festmachte. Hinzu kommen die Anforderungen an die Auftragsverarbeitung nach Artikel 28, der Maßstab für das Vertragswerk von Microsoft, die Sicherheit der Verarbeitung nach Artikel 32, die Datenschutz-Folgenabschätzung nach Artikel 35 und das Transferregime der Artikel 44 folgende.

Diese Normen sind der rote Faden der gesamten Bewertung. Sie entscheiden nicht nur über die Zulässigkeit des Betriebs, sondern auch darüber, was der Verantwortliche dokumentieren muss, um seiner Rechenschaftspflicht zu genügen.

Der wunde Punkt: Beschäftigtendaten nach dem Urteil C-34/21

Für die Verarbeitung von Beschäftigtendaten, und um solche geht es im Unternehmenseinsatz ganz überwiegend, galt lange § 26 BDSG als zentrale Norm. Diese Grundlage ist erschüttert. Der Europäische Gerichtshof entschied im März 2023 in der Sache C-34/21 zu einer wortgleich an der DSGVO orientierten Vorschrift des hessischen Landesrechts, dass eine solche Norm keine spezifischere Vorschrift im Sinne des Artikel 88 ist und deshalb unangewendet bleiben muss.

Weil § 26 Absatz 1 Satz 1 BDSG im Wortlaut nahezu identisch ist, gehen Aufsichtsbehörden und die herrschende Literatur davon aus, dass auch diese Norm überwiegend nicht mehr als eigenständige Rechtsgrundlage trägt. Als Rechtsgrundlage kommt seither in der Regel unmittelbar Artikel 6 Absatz 1 der DSGVO in Betracht, im Beschäftigtenkontext vor allem die Buchstaben b und f mit entsprechender Interessenabwägung und Dokumentation. Ein verabschiedetes Beschäftigtendatengesetz existiert nach unserer Recherche bis Juni 2026 nicht. Für M365-Einführungen bedeutet das ganz praktisch: Die Prüfung der Rechtsgrundlage muss direkt an der DSGVO ansetzen, eine pauschale Berufung auf § 26 BDSG genügt nicht mehr.

Der oft übersehene Paragraf 25 TDDDG

Ein Baustein wird in vielen Bewertungen übergangen. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz stellt in § 25 den Zugriff auf Endgeräte grundsätzlich unter Einwilligungsvorbehalt, soweit der Zugriff nicht unbedingt erforderlich ist für den vom Nutzer gewünschten Dienst. Die Norm ist technologieneutral und nicht auf Cookies beschränkt.

Ob und in welchem Umfang die Telemetrie und Diagnosedatenerhebung der M365-Apps und von Windows im Einzelfall darunter fällt, haben die Behörden bislang nicht spezifisch für Microsoft 365 festgestellt. Die technologieneutrale Auslegung spricht dafür, eine ausdrückliche amtliche Aussage fehlt jedoch. Verantwortliche sollten diesen Punkt in der eigenen Prüfung ausdrücklich adressieren, etwa mit Blick auf Telemetriestufen, optionale verbundene Erfahrungen und die Konfiguration der Diagnosedaten.

Zwischenfazit

Die Ausgangslage 2026 ist eine andere als 2022. Die Plattform hat sich messbar verbessert, während der rechtliche Rahmen zugleich anspruchsvoller geworden ist, vor allem bei den Beschäftigtendaten. Damit ist die Bühne bereitet für die eigentlich strittige Frage, die im nächsten Teil im Mittelpunkt steht: der Zugriff durch US-Behörden und die Übermittlung von Daten über den Atlantik.

In dieser Serie

Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit. Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.

Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe, spezialisiert auf Datenschutz, Informationssicherheit und Compliance rund um Microsoft 365. Dieser Beitrag gibt den Recherchestand Mitte Juni 2026 wieder und stellt keine Rechtsberatung dar.