Worum es in Teil 3 geht
Teil 2 unserer Linkedin-Serie hat gezeigt, dass die Transferfrage rechtlich vertagt, aber nicht gelöst ist. Auf der technischen Ebene ist Microsofts wichtigste Antwort darauf die EU Data Boundary. Dieser Teil ordnet ein, was sie leistet, wo ihre Grenzen liegen und wie die deutschen und europäischen Aufsichtsbehörden das Ergebnis bewerten. Es ist eine fachliche Einordnung und keine Rechtsberatung.
Die EU Data Boundary: Umfang und Fertigstellung
Microsoft hat die EU Data Boundary in drei Phasen errichtet und im Februar 2025 für vollständig erklärt. Die erste Phase umfasste die Speicherung und Verarbeitung von Kundendaten für die Kerndienste, die zweite erweiterte den Umfang auf pseudonymisierte personenbezogene Daten wie systemgenerierte Protokolle, die dritte bezog die Support-Daten ein. Geografisch umfasst die Grenze EU und EFTA. Das ist ein erheblicher und dokumentierter Fortschritt gegenüber dem Zustand von 2022.
Die dokumentierten Ausnahmen
Entscheidend für eine belastbare Bewertung ist, dass die Grenze nicht hermetisch ist. Microsoft dokumentiert selbst mehrere Kategorien von Datenflüssen, die sie verlassen. Zum einen bestimmte Transfers im Rahmen globaler Sicherheitsoperationen, etwa der Bedrohungsanalyse, der Fernzugriff von Personal außerhalb der EU auf pseudonymisierte Daten sowie fortlaufende, designbedingte Teiltransfers einzelner Dienste. Zum anderen ausdrücklich ausgenommene Dienste, vor allem im Security-Umfeld: Teile der Defender-Familie und Security Copilot verarbeiten Daten teils außerhalb der EU. Und schließlich ein wenig bekannter Punkt, wonach die Nutzung von Multi-Geo einen Tenant für Microsoft 365 aus dem Geltungsbereich der Grenze herausfallen lässt, selbst bei einem EU-Tenant.
Daraus folgt eine klare Konsequenz für die eigene Dokumentation. Eine Datenschutz-Folgenabschätzung, die sich pauschal auf den Satz stützt, die Daten blieben in Europa, greift zu kurz. Sie muss die dokumentierten Ausnahmen dienstbezogen abbilden. Und sie muss berücksichtigen, dass die Grenze Datenflüsse bindet, nicht Rechtspflichten. Die CLOUD-Act-Frage aus Teil 2 besteht innerhalb der Grenze fort. Wichtig ist zudem, dass diese Zusagen auf vertraglichen und auditierten Angaben des Anbieters beruhen. Eine vollständige technische Nachprüfung durch den Kunden ist bei proprietärer Software nur eingeschränkt möglich.
Die kundenseitigen Schutzhebel
Dem strukturellen Restrisiko stehen mehrere Schutzinstrumente gegenüber. Technisch sorgt Customer Lockbox dafür, dass Microsoft-Personal in den davon erfassten Support-Szenarien nur mit ausdrücklicher Freigabe des Kunden auf Inhaltsdaten zugreifen kann. Mit Customer Key und vor allem der Double Key Encryption kann ein Teil der Schlüsselhoheit beim Kunden verbleiben. Bei der Double Key Encryption liegt ein zweiter Schlüssel ausschließlich beim Kunden, sodass Microsoft die betroffenen Inhalte technisch nicht im Klartext herausgeben kann.
Diese stärkste Variante hat allerdings ihren Preis. So geschützte Inhalte sind für serverseitige Verarbeitung, Suche und KI-Funktionen wie Copilot weitgehend nicht nutzbar. Das ist ein echter Zielkonflikt zwischen maximaler Souveränität und Funktionsumfang. Vertraglich ergänzt Microsoft dies um Zusagen, behördliche Anordnungen anzufechten, Kunden soweit zulässig zu informieren und im Fall einer rechtswidrigen Offenlegung finanziell zu entschädigen. Halbjährliche Transparenzberichte dokumentieren Art und Umfang behördlicher Anfragen. Diese Hebel verschieben das Risiko, beseitigen es aber nicht vollständig, denn Zusagen bleiben Zusagen, und die wirksamste technische Maßnahme ist gerade für die modernen KI-Szenarien kaum praktikabel.
Die Aufsichtsbehörden: Drei Ebenen, drei Geschwindigkeiten
Die aufsichtsbehördliche Lage ist heterogen, aber in Bewegung. Die Festlegung der Datenschutzkonferenz von 2022 ist bis heute nicht förmlich revidiert. Auf europäischer Ebene hat der Europäische Datenschutzbeauftragte sein Verfahren gegen die EU-Kommission im Juli 2025 eingestellt, nachdem präzisierte Verarbeitungszwecke, dokumentierte Weisungen und begrenzte Drittlandtransfers vereinbart worden waren. Er betont aber ausdrücklich, dass dies keine generelle Konformitätsbestätigung ist, sondern die konkrete, nachverhandelte Lage der Kommission betrifft. Der Vorgang zeigt gleichwohl, welche Vertragsstandards erreichbar sind.
In Deutschland kam der Hessische Beauftragte im November 2025 in einem 137 Seiten starken Bericht zu dem Ergebnis, Microsoft 365 könne datenschutzkonform genutzt werden, die wesentlichen Kritikpunkte von 2022 seien ausgeräumt. Die Grenze dieser Bewertung benennt der Bericht selbst: Es wurde keine technische Untersuchung einzelner Dienste durchgeführt, die Prüfung ist eine rechtliche Würdigung auf Basis der Zusagen und Dokumente von Microsoft. Genau daran setzt die Kritik aus der Datenschutz-Community an.
Der Gegenpol und eine Personalie mit Gewicht
Den Gegenpol bildet Baden-Württemberg. Nach einem Pilotprojekt riet die dortige Aufsichtsbehörde 2021 wegen hoher Risiken von der Nutzung an Schulen ab und legte 2022 detaillierte Vorgaben nach. Formal betrifft diese Position nur Schulen, ein generelles Verbot für andere Stellen wurde nie ausgesprochen. Zurückgenommen wurde die kritische Linie aber ebenso wenig, und eine Neubewertung nach Fertigstellung der EU Data Boundary ist nicht dokumentiert. Bemerkenswert für die weitere Entwicklung: Baden-Württemberg führt 2026 den Vorsitz der Datenschutzkonferenz, und ihm käme damit bei einer etwaigen bundesweiten Neubewertung eine Schlüsselrolle zu.
Zwischenfazit
Die EU Data Boundary ist ein erheblicher Fortschritt, aber ein Zusagen-Gerüst mit definierten Öffnungen, kein hermetischer Raum. Wer Microsoft 365 einsetzt, kann sich auf eine deutlich verbesserte Argumentationsbasis stützen, sollte aber wissen, dass die Festlegung von 2022 formal fortbesteht und die positive hessische Bewertung auf einer rechtlichen, nicht technischen Prüfung beruht. Wie sehr sich die Bewertung mit Copilot noch einmal von der Plattform auf die einzelnen KI-Modelle verlagert, zeigt Teil 4.
In dieser Serie
Teil 1: Warum die Frage neu zu stellen ist. Teil 2: Der lange Arm der USA. Teil 3: Die EU Data Boundary und die Aufsichtsbehörden. Teil 4: Copilot, die KI-Modelle und die Mitbestimmung. Teil 5: Digitale Souveränität und das Fazit.
Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.
Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Juni 2026 wieder und stellt keine Rechtsberatung dar.