Security · 16.9.2026
Der Einsatz von Microsoft 365 in Unternehmen erfordert eine sorgfältige Konfiguration, um die strengen Anforderungen der DSGVO im DACH-Raum zuverlässig zu erfüllen.
Die datenschutzkonforme Nutzung von Microsoft 365 bleibt für Unternehmen im DACH-Raum eine dauerhafte Herausforderung. Da die Cloud-Dienste standardmäßig kontinuierlich Telemetriedaten und Diagnoseinformationen an US-Server übertragen, geraten Verantwortliche schnell in Konflikt mit den strengen Vorgaben der Datenschutz-Grundverordnung (DSGVO). Eine sorgfältige technische und organisatorische Anpassung der Standardeinstellungen ist daher unerlässlich, um rechtliche Risiken zu minimieren.
Für IT-Verantwortliche und Datenschutzbeauftragte in Deutschland, Österreich und der Schweiz ist das Thema hochgradig brisant. Behörden und Gerichte bewerten den unregulierten Einsatz von US-Cloud-Diensten regelmäßig kritisch. Ohne gezielte Absicherung drohen Unternehmen nicht nur empfindliche Bußgelder, sondern auch ein Reputationsschaden oder im schlimmsten Fall der behördlich angeordnete Stopp der Microsoft-Nutzung. Da Microsoft 365 in fast allen Branchen als Standard-Infrastruktur dient, ist der rechtssichere Betrieb eine Kernaufgabe moderner IT-Compliance geworden.
Um die Compliance-Anforderungen der DSGVO technisch abzubilden, müssen Administratoren gezielte Anpassungen vornehmen. Zunächst sollte die Übertragung von Diagnosedaten auf das absolute Minimum ('Required') beschränkt werden. Zudem ist es ratsam, im Microsoft Purview Compliance Portal strenge Aufbewahrungs- und Vertraulichkeitsbezeichnungen (Sensitivity Labels) einzurichten, um Datenabflüsse zu verhindern. Auch die Aktivierung der Customer-Key-Funktion, bei der Unternehmen ihre eigenen Verschlüsselungsschlüssel verwalten, erhöht die Datensouveränität erheblich. Darüber hinaus müssen Verträge zur Auftragsverarbeitung (AVV) sowie die Standardvertragsklauseln (SCCs) mit Microsoft fortlaufend auf dem aktuellen Stand gehalten und durch eine formelle Datenschutz-Folgenabschätzung (DSFA) dokumentiert werden.
Microsoft 365 lässt sich im geschäftlichen Umfeld nicht 'Out of the Box' DSGVO-konform betreiben. Es erfordert ein proaktives Handeln der IT-Abteilung, um die Cloud-Dienste durch restriktive Telemetrie-Einstellungen, lokale Datenhaltung und starke Verschlüsselungstechnologien an den europäischen Rechtsrahmen anzupassen. Nur so lässt sich ein nachhaltiger und rechtssicherer Betrieb gewährleisten.
Quelle: Golem Security