Microsoft 365: Datenschutzkonformität beginnt bei der Konfiguration

Eine lange offene Frage – und endlich eine belastbare Antwort

Immer wieder wurde ich gefragt, ob Microsoft 365 datenschutzkonform genutzt werden kann. Lange wich ich einer pauschalen Antwort aus. Die Frage kann sehr komplex werden, und frühere Analysen von Aufsichtsbehörden und Datenschützern enthielten immer wieder Hinweise auf mögliche Unzulässigkeiten oder nicht ausreichend geklärte Vertrags- und Datenflüsse.

In der Beratungspraxis ließen sich konkrete Risiken und Einstellungen besprechen. Eine klare Aussage im Sinne von „Ja, das geht unter nachvollziehbaren Bedingungen“ war aber schwierig, solange die Aufsichtsbehörden selbst keine entsprechend belastbare Position veröffentlicht hatten.

Im November 2025 hat der Hessische Beauftragte für Datenschutz und Informationsfreiheit einen Bericht vorgelegt, nach dem Microsoft 365 datenschutzkonform genutzt werden kann. Das ist eine wichtige Entwicklung – nicht als Freibrief, sondern als dokumentierte Grundlage für eine risikoorientierte Umsetzung.

Das Risiko liegt häufig im Wie, nicht nur im Ob

Wie bei fast allen komplexen Systemen hängt die Bewertung davon ab, welche Funktionen tatsächlich genutzt und wie sie konfiguriert werden. Ein Unternehmen muss nicht jede theoretisch verfügbare Funktion aktivieren. Es muss aber wissen, welche Dienste freigeschaltet sind, welche Daten dort verarbeitet werden und wer Einstellungen ändern darf.

Vertragliche Bedingungen, technische Konfiguration und interne Nutzungsregeln beeinflussen sich gegenseitig. Ein Vertrag kann eine zu weit gefasste Berechtigung nicht korrigieren. Eine gute technische Einstellung ersetzt wiederum keine Information der Beschäftigten und keine Regel für externe Freigaben.

Sechs Punkte, die ich im Mandanten sehen möchte

Die konkrete Prüfung hängt von Größe, Branche und Nutzung ab. Für fast jedes Unternehmen beginnen die entscheidenden Fragen aber an denselben Stellen.

• Welche Dienste und optionalen Funktionen sind tatsächlich aktiviert?
• Gibt es ein Rollen- und Berechtigungskonzept nach dem Minimalprinzip?
• Wie werden externe Freigaben, Gastkonten und gemeinsam genutzte Bereiche kontrolliert?
• Welche Protokolle, Aufbewahrungsregeln und Löschfristen sind eingestellt?
• Was passiert mit Konten, Daten und mobilen Geräten beim Austritt von Beschäftigten?
• Wer bewertet neue Funktionen – insbesondere Copilot- und andere KI-Dienste – vor der Freigabe?

Eine Prüfung muss für die IT umsetzbar enden

Ein vierzigseitiges Gutachten hilft wenig, wenn niemand weiß, welche Einstellung am Montag geändert werden soll. Ich bevorzuge deshalb eine priorisierte Maßnahmenliste: Entscheidung, Verantwortlicher, Termin und Nachweis. Kritische Punkte werden zuerst behandelt; vertretbare Restrisiken werden benannt und durch die zuständige Leitung entschieden.

Änderungen am Mandanten sollten dokumentiert und später erneut überprüft werden. Microsoft 365 verändert sich laufend. Eine einmalige Prüfung bleibt daher nur dann wertvoll, wenn das Unternehmen auch für neue Dienste, geänderte Standardeinstellungen und zusätzliche Schnittstellen einen Freigabeweg hat.

Die kurze Antwort auf die alte Frage lautet damit: Ja, ein datenschutzkonformer Einsatz ist möglich. Ob der eigene Einsatz diese Bedingungen erfüllt, lässt sich aber nur anhand der konkreten Verträge, Einstellungen und Prozesse beurteilen.