Die politische und strategische Ebene
Nach den grundsätzlichen und den technischen Fragen richtet sich dieser Teil unserer Linkedin-Serie auf die politische und strategische Ebene. Drei Streitpunkte gehören zusammen: die Bewertung der Aufsichtsbehörden, die Frage, was Souveränität überhaupt bedeutet, und die Frage, ob es ernsthafte Alternativen gibt. Wie in der ganzen Reihe stehen das Kontra und das Pro nebeneinander, gefolgt von einer Einordnung. Es ist eine fachliche Einordnung und keine Rechtsberatung.
Streitpunkt 5: Die aufsichtsbehördliche Lage
Kontra. Die positiven Signale von 2025 tragen weniger weit, als die mediale Rezeption nahelegt. Die Festlegung der Datenschutzkonferenz von 2022 ist nicht förmlich aufgehoben, eine bundesweit einheitliche Neubewertung fehlt. Der Bericht des Hessischen Beauftragten spricht nur für Hessen und beruht auf einer rechtlichen Würdigung ohne technische Prüfung, und Baden-Württemberg hält seine kritische Linie aufrecht. Die Einstellung des Verfahrens durch den Europäischen Datenschutzbeauftragten betrifft die individuell nachverhandelten Konditionen der EU-Kommission und ist ausdrücklich keine generelle Konformitätsbestätigung. Hinzu kommt die strukturelle Unsicherheit der Transfergrundlage.
Pro. Die Bewegung der Aufsichtsbehörden weist klar in Richtung nutzbar mit Auflagen. Mit dem Europäischen Datenschutzbeauftragten hat die Datenschutzbehörde der EU selbst ein Verfahren eingestellt, nachdem Microsoft strukturelle Nachbesserungen vorgenommen und über verbesserte Vertragskonditionen allen Kunden zugänglich gemacht hat. Der Hessische Beauftragte hat seine Bewertung mit dem Bayerischen Landesamt abgestimmt. Die Festlegung von 2022 datiert vor der EU Data Boundary und dem überarbeiteten Datenschutznachtrag und gilt zunehmend als überholt. Die Latombe-Entscheidung hat das Framework bestätigt, und eine generelle behördliche Untersagung existiert nicht.
Einordnung. Belegt ist, dass die Festlegung von 2022 fortbesteht, dass der Europäische Datenschutzbeauftragte sein Verfahren eingestellt und dabei eine Gesamtbestätigung ausdrücklich vermieden hat und dass mit dem Hessischen Beauftragten erstmals eine deutsche Aufsichtsbehörde eine positive, rechtliche und nicht technische Gesamtbewertung abgegeben hat. Die Lage ist uneinheitlich und in Bewegung. Die Positionen unterscheiden sich darin, ob das Glas als halb leer oder halb voll gelesen wird. Eine konsolidierte bundesweite Neubewertung steht aus.
Streitpunkt 6: Digitale Souveränität
Kontra. Microsofts Souveränitätsangebote adressieren die Jurisdiktionsfrage, bleiben aber Microsoft-Technologie unter Microsoft-Lizenz, Updatehoheit und geistigem Eigentum. Eine über Updates und proprietäre Technologie fortbestehende Abhängigkeit relativiert die Souveränität, denn Kontrolle über den Betrieb ist nicht dasselbe wie Kontrolle über die Technologie. Hinzu kommt die Bindung an den Anbieter als eigenständiges Souveränitätsrisiko, denn proprietäre Formate, der zentrale Identitäts-Layer und tiefe Abhängigkeiten in den Schnittstellen erzeugen eine strukturelle Abhängigkeit mit geopolitischer Hebelwirkung.
Pro. Souveränität ist ein Spektrum, kein binärer Zustand. Die Angebote, von Microsoft 365 Local bis zur netzgetrennten Variante, die von SAP und Arvato betriebene Delos Cloud und die externe Schlüsselverwaltung, senken den US-Zugriff für Organisationen mit hohem Schutzbedarf real und gestuft. Eine Bindung an den Anbieter besteht bei jeder Plattform, auch bei quelloffenen Lösungen entstehen Migrationskosten und Know-how-Bindung, und der EU Data Act sowie Standardformate mildern sie regulatorisch. Das geopolitische Szenario eines Abschaltens ist spekulativ und hätte für Microsoft selbst erhebliche rechtliche und kommerzielle Folgen.
Einordnung. Unstrittig ist, dass die Souveränitätsangebote die US-Jurisdiktion organisatorisch und technisch zurückdrängen, ohne die technologische Lieferkette vom Hersteller zu lösen. Die Kontroverse betrifft die Definition von Souveränität. Die kritische Seite setzt sie mit Kontrolle über die Technologie gleich, die Gegenseite mit einem abstufbaren Grad an Kontrolle über Daten und Betrieb. Die Bindung an den Anbieter ist als Tatsache belegt, ihre geopolitische Zuspitzung ist prognostisch und damit nicht belegbar, sondern Gegenstand der Risikoeinschätzung.
Streitpunkt 7: Die Verfügbarkeit von Alternativen
Kontra. Die Behauptung, zu Microsoft 365 gebe es keine ernsthafte Alternative, ist empirisch nicht mehr haltbar. Frankreich hält Microsoft 365 per Verwaltungsdoktrin aus der sensiblen Staatsverwaltung heraus und baut eigene souveräne Lösungen auf. In Deutschland sind Nextcloud und die vom Bundesinnenministerium getragene Suite openDesk produktiv im Einsatz, bis hin zur Bundeswehr und zur Bundescloud, und Schleswig-Holstein hat einen Großteil seiner Arbeitsplätze auf freie Software umgestellt. Wer in der eigenen Risikoanalyse zu einem kritischen Ergebnis kommt, hat damit dokumentierte, erprobte Auswege.
Pro. Die Alternativen haben dokumentierte Grenzen: Funktionslücken vor allem bei KI und Integration, in der Vollkostenrechnung oft höhere Gesamtkosten und die Tatsache, dass sie das Risiko verschieben, statt es zu beseitigen, denn im Eigenbetrieb gehören alle Sicherheits- und Verfügbarkeitsfehler der Organisation selbst. Die zitierten Erfolge stammen überwiegend aus dem öffentlichen, teils geförderten Sektor und sind teils noch im Aufbau. Die Übertragbarkeit auf privatwirtschaftliche Organisationen mit anderer Ressourcenlage ist nicht ohne Weiteres gegeben.
Einordnung. Belegt ist die produktive Existenz europäischer und quelloffener Alternativen in mehreren großen Organisationen, womit die Aussage der Alternativlosigkeit als Pauschalbehauptung widerlegt ist. Belegt sind ebenso die Unterschiede bei Funktion, Kosten und Betrieb. Die Positionen unterscheiden sich nicht im Ob, sondern in der Eignung für einen konkreten Anwendungsfall. Ob eine Alternative trägt, hängt von Schutzbedarf, IT-Kompetenz, Funktionsanforderungen und Gesamtkosten ab und ist damit eine fallbezogene Abwägung.
In dieser Reihe
Teil 6: Vertrauen und Zugriff. Teil 7: Copilot und Telemetrie. Teil 8: Aufsicht, Souveränität und Alternativen. Teil 9: Beschäftigte und Gesamtbild. Am Ende der Reihe erscheint ein eigenes Gesamtdokument mit allen Quellen und Verzeichnissen.
Einstieg verpasst? Schauen Sie unsere Einordnungsserie Teil 1: Warum die Frage neu zu stellen ist, Teil 2: Der lange Arm der USA, Teil 3: Die EU Data Boundary und die Aufsichtsbehörden, Teil 4: Copilot, die KI-Modelle und die Mitbestimmung, Teil 5: Digitale Souveränität und das Fazit.
Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.
Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Juni 2026 wieder, ist eine fachliche Einordnung und stellt keine Rechtsberatung dar.