Microsoft 365 datenschutzkonform einsetzen – kaum ein Thema beschäftigt Unternehmen derzeit stärker. Microsoft 365 gehört zu den am häufigsten eingesetzten Cloud-Lösungen in Deutschland und bietet leistungsstarke Anwendungen wie Outlook, Word, Excel, Teams, SharePoint und OneDrive. Gleichzeitig werden bei der Nutzung zahlreiche personenbezogene Daten verarbeitet. Unternehmen müssen daher sicherstellen, dass der Einsatz von Microsoft 365 den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entspricht.
Die gute Nachricht: Microsoft 365 kann heute datenschutzkonform eingesetzt werden. Allerdings geschieht dies nicht automatisch. Die Verantwortung für die Einhaltung der DSGVO liegt weiterhin beim Unternehmen als Verantwortlichem. Wer Microsoft 365 nutzt, sollte die technischen Einstellungen prüfen, die Datenverarbeitung dokumentieren und geeignete organisatorische Maßnahmen umsetzen.
Ist Microsoft 365 DSGVO-konform?
Diese Frage wurde in den vergangenen Jahren intensiv diskutiert. Die Datenschutzkonferenz (DSK) hatte 2022 erhebliche Kritik an den damaligen Vertragsbedingungen und Datenflüssen geäußert. Inzwischen hat Microsoft zahlreiche Änderungen vorgenommen. Hierzu gehören unter anderem:
- Einführung der EU Data Boundary für viele Datenverarbeitungen,
- Anpassung der Vertragsunterlagen und des Datenschutznachtrags,
- erweiterte Dokumentations- und Transparenzmöglichkeiten,
- zusätzliche technische Sicherheitsmaßnahmen.
Ein generelles Verbot von Microsoft 365 besteht nicht. Datenschutzaufsichtsbehörden betonen jedoch weiterhin, dass Unternehmen selbst nachweisen müssen, dass ihr konkreter Einsatz datenschutzkonform erfolgt.
Welche datenschutzrechtlichen Pflichten bestehen?
Der Einsatz von Microsoft 365 erfordert mehr als den Abschluss eines Lizenzvertrages. Unternehmen sollten insbesondere folgende Punkte berücksichtigen:
1. Auftragsverarbeitung prüfen
Der Datenschutznachtrag von Microsoft muss Bestandteil der Vertragsbeziehung sein. Gleichzeitig ist zu prüfen, bei welchen Verarbeitungsvorgängen Microsoft als Auftragsverarbeiter und bei welchen Vorgängen Microsoft eigene Verantwortlichkeiten wahrnimmt.
2. Verzeichnis der Verarbeitungstätigkeiten aktualisieren
Die Nutzung von Outlook, Teams, SharePoint, OneDrive oder Exchange sollte im Verzeichnis der Verarbeitungstätigkeiten vollständig dokumentiert werden.
3. Datenflüsse analysieren
Unternehmen müssen wissen,
- welche personenbezogenen Daten verarbeitet werden,
- welche Microsoft-Dienste tatsächlich genutzt werden,
- ob Übermittlungen in Drittländer stattfinden,
- welche technischen Schutzmaßnahmen bestehen.
Gerade diese Dokumentation wird von Datenschutzaufsichtsbehörden regelmäßig überprüft.
4. Technische und organisatorische Maßnahmen (TOMs)
Eine datenschutzkonforme Konfiguration umfasst unter anderem:
- Mehr-Faktor-Authentifizierung (MFA),
- rollenbasierte Berechtigungskonzepte,
- Verschlüsselung,
- Protokollierung,
- Löschkonzepte,
- Einschränkung nicht benötigter Telemetriedaten,
- regelmäßige Sicherheitsupdates.
5. Datenschutz-Folgenabschätzung (DSFA)
Je nach eingesetzten Diensten kann eine Datenschutz-Folgenabschätzung erforderlich sein, beispielsweise bei umfangreicher Verarbeitung von Beschäftigtendaten oder beim Einsatz bestimmter KI-Funktionen.
Microsoft Teams und Beschäftigtendatenschutz
Besondere Aufmerksamkeit verdient Microsoft Teams. Chatverläufe, Besprechungen, Anwesenheitsinformationen und Nutzungsdaten können personenbezogene Daten von Beschäftigten enthalten.
Unternehmen sollten deshalb:
- klare Nutzungsrichtlinien erstellen,
- den Betriebsrat frühzeitig einbinden,
- Mitarbeiter transparent informieren,
- Protokollierungs- und Überwachungsfunktionen sorgfältig konfigurieren.
Microsoft Copilot und Künstliche Intelligenz
Mit Microsoft Copilot gewinnt auch der Datenschutz weiter an Bedeutung. KI-Anwendungen greifen auf Unternehmensdaten zu und können Inhalte aus E-Mails, Dokumenten oder Chats verarbeiten.
Vor der Einführung sollten Unternehmen insbesondere prüfen:
- welche Daten Copilot verwenden darf,
- ob Berechtigungskonzepte aktuell sind,
- welche Informationen für KI-Anwendungen freigegeben werden,
- ob ergänzende Datenschutzinformationen erforderlich sind,
- ob Vorgaben des AI Acts zu beachten sind.
Typische Fehler beim Einsatz von Microsoft 365
In der Beratungspraxis zeigen sich immer wieder dieselben Schwachstellen:
- fehlende Dokumentation,
- unzureichende Berechtigungskonzepte,
- keine Risikoanalyse,
- fehlende oder unvollständige Datenschutzhinweise,
- ungeprüfte Standardkonfigurationen,
- fehlende Löschkonzepte,
- keine regelmäßige Überprüfung der Sicherheitseinstellungen.
Gerade diese Punkte können bei einer Prüfung durch die Datenschutzaufsichtsbehörde zu Beanstandungen führen.
Unsere Beratung zum Datenschutz bei Microsoft 365
Wir unterstützen Unternehmen dabei, Microsoft 365 rechtssicher einzusetzen. Unsere Beratung umfasst insbesondere:
- Prüfung der DSGVO-Konformität,
- Erstellung und Prüfung der Datenschutzdokumentation,
- Bewertung von Datenübermittlungen,
- Unterstützung bei Datenschutz-Folgenabschätzungen,
- Beratung zum Einsatz von Microsoft Teams und Microsoft Copilot,
- Begleitung bei Prüfungen durch Datenschutzaufsichtsbehörden,
- Schulungen für Geschäftsleitung und Beschäftigte.
Fazit
Microsoft 365 ist aus dem modernen Arbeitsalltag kaum noch wegzudenken. Datenschutzrechtlich ist der Einsatz heute deutlich besser abgesichert als noch vor einigen Jahren. Dennoch gilt: Eine datenschutzkonforme Nutzung setzt eine sorgfältige technische Konfiguration, eine vollständige Dokumentation und eine regelmäßige rechtliche Überprüfung voraus.
Sie möchten Microsoft 365 datenschutzkonform einsetzen oder Ihre bestehende Umgebung überprüfen lassen? Wir beraten Unternehmen, Vereine und öffentliche Einrichtungen bei der rechtssicheren Einführung und Nutzung von Microsoft 365 und unterstützen Sie dabei, die Anforderungen der DSGVO praxisnah und effizient umzusetzen.