Microsoft 365: Datenschutzkonformität beginnt bei der Konfiguration

Eine lange offene Frage – und endlich eine belastbare Antwort

Immer wieder wurde ich gefragt, ob Microsoft 365 datenschutzkonform genutzt werden kann. Lange wich ich einer pauschalen Antwort aus. Die Frage kann sehr komplex werden, und frühere Analysen von Aufsichtsbehörden und Datenschützern enthielten immer wieder Hinweise auf mögliche Unzulässigkeiten oder nicht ausreichend geklärte Vertrags- und Datenflüsse.

In der Beratungspraxis ließen sich konkrete Risiken und Einstellungen besprechen. Eine klare Aussage im Sinne von „Ja, das geht unter nachvollziehbaren Bedingungen“ war aber schwierig, solange die Aufsichtsbehörden selbst keine entsprechend belastbare Position veröffentlicht hatten.

Im November 2025 hat der Hessische Beauftragte für Datenschutz und Informationsfreiheit einen Bericht vorgelegt, nach dem Microsoft 365 datenschutzkonform genutzt werden kann. Das ist eine wichtige Entwicklung – nicht als Freibrief, sondern als dokumentierte Grundlage für eine risikoorientierte Umsetzung.

Das Risiko liegt häufig im Wie, nicht nur im Ob

Wie bei fast allen komplexen Systemen hängt die Bewertung davon ab, welche Funktionen tatsächlich genutzt und wie sie konfiguriert werden. Ein Unternehmen muss nicht jede theoretisch verfügbare Funktion aktivieren. Es muss aber wissen, welche Dienste freigeschaltet sind, welche Daten dort verarbeitet werden und wer Einstellungen ändern darf.

Vertragliche Bedingungen, technische Konfiguration und interne Nutzungsregeln beeinflussen sich gegenseitig. Ein Vertrag kann eine zu weit gefasste Berechtigung nicht korrigieren. Eine gute technische Einstellung ersetzt wiederum keine Information der Beschäftigten und keine Regel für externe Freigaben.

Sechs Prüfpunkte für die eingesetzte Microsoft-365-Umgebung

Die konkrete Prüfung hängt von Größe, Branche und Nutzung ab. Für fast jedes Unternehmen beginnen die entscheidenden Fragen aber an denselben Stellen.

• Welche Dienste und optionalen Funktionen sind tatsächlich aktiviert?
• Gibt es ein Rollen- und Berechtigungskonzept nach dem Minimalprinzip?
• Wie werden externe Freigaben, Gastkonten und gemeinsam genutzte Bereiche kontrolliert?
• Welche Protokolle, Aufbewahrungsregeln und Löschfristen sind eingestellt?
• Was passiert mit Konten, Daten und mobilen Geräten beim Austritt von Beschäftigten?
• Wer bewertet neue Funktionen – insbesondere Copilot- und andere KI-Dienste – vor der Freigabe?

Eine Prüfung muss für die IT umsetzbar enden

Ein konkreter Prüfauftrag kann lauten: Die IT legt in einem vorgesehenen Testbereich eine Datei mit fiktivem Inhalt ab und prüft mit einem Test-Gastkonto, wer sie öffnen kann. Anschließend wird die Freigabe entzogen und erneut getestet. Dokumentiert werden Freigabeart, berechtigter Personenkreis, Einstellungen und tatsächliches Ergebnis. Eine erfolgreiche Zugriffsprüfung belegt allerdings nicht die Löschung bereits heruntergeladener Kopien.

Für den Austrittsprozess wird entsprechend geprüft, ob alle vorgesehenen Schritte erfasst sind: Anmeldung sperren, bestehende Sitzungen behandeln, Geräte und weitere Zugänge berücksichtigen sowie Geschäftsdaten nach den festgelegten Regeln übergeben, aufbewahren oder löschen. Die verantwortliche IT legt fest, wie das im eingesetzten Mandanten sicher getestet werden kann; allein eine entfernte Lizenz ist kein vollständiger Nachweis.

Damit die IT mit einem Prüfergebnis weiterarbeiten kann, sollten notwendige Änderungen konkret benannt werden. Eine Maßnahmenliste hält Priorität, zuständige Person, Termin und Nachweis fest. Restrisiken werden benannt und der zuständigen Leitung zur Entscheidung vorgelegt.

Änderungen am Mandanten sollten dokumentiert und später erneut überprüft werden. Microsoft 365 verändert sich laufend. Eine einmalige Prüfung bleibt daher nur dann wertvoll, wenn das Unternehmen auch für neue Dienste, geänderte Standardeinstellungen und zusätzliche Schnittstellen einen Freigabeweg hat.

Die kurze Antwort auf die alte Frage lautet damit: Ja, ein datenschutzkonformer Einsatz ist möglich. Ob der eigene Einsatz diese Bedingungen erfüllt, lässt sich aber nur anhand der konkreten Verträge, Einstellungen und Prozesse beurteilen.

Solche technischen Fragen gehören für mich in die laufende Datenschutzbetreuung. Microsoft-365-Kenntnisse helfen dabei, mit Ihrer IT auf Augenhöhe zu sprechen und Datenschutzanforderungen in den Betrieb einzuordnen. Im Mittelpunkt steht meine Arbeit als Ihr externer Datenschutzbeauftragter, nicht ein gesondertes Microsoft-365-Angebot.