„Ein datenschutzkonformer Einsatz von Microsoft 365 bleibt weiterhin möglich. Weder die politischen Entwicklungen in den USA noch die aktuellen Debatten um digitale Souveränität ändern diese rechtliche Bewertung. Der Angemessenheitsbeschluss für die USA ist weiter in Kraft und legitimiert Drittlandübermittlungen in die USA, sofern die Empfänger nach dem DPF zertifiziert sind. Das abstrakte Risiko, basierend auf der Unterstellung, europäische Tochtergesellschaften amerikanischer Unternehmen würden europäisches Recht brechen, vermag keine pauschale Unzuverlässigkeit von Auftragsverarbeitern zu begründen, die deren Einsatz rechtswidrig machen würde. Auch den in der Vergangenheit geäußerten Kritikpunkten deutscher Datenschutzaufsichtsbehörden am Microsoft DPA lassen sich, nicht zuletzt auch im Hinblick auf Verbesserungen am DPA von Microsoft, überzeugende rechtliche Argumente entgegensetzen.
Unternehmen und andere Stellen, die Microsoft 365 einsetzen, sollten sich daher weniger um das „Ob“ als um das „Wie“ eines datenschutzkonformen Einsatzes von Microsoft 365 Gedanken machen. Sofern der Einsatz von Microsoft 365 voraussichtlich mit einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen verbunden ist, ist gemäß Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Ziel einer DSFA ist es, die Risiken, die sich aus bestimmten Verarbeitungstätigkeiten ergeben, systematisch zu identifizieren, zu bewerten und geeignete Abhilfemaßnahmen zu ermitteln, um die Risiken auf ein akzeptables Maß zu reduzieren. Ob eine DSFA im konkreten Fall erforderlich ist, hängt von der Art, dem Umfang, den Umständen und den Zwecken der jeweiligen Datenverarbeitung ab. Eine Verpflichtung besteht nicht bei jeder Nutzung von Microsoft 365. Aufgrund der Komplexität des Dienstes, der Vielzahl möglicher Verarbeitungsvorgänge, der regelmäßig umfangreichen Verarbeitung personenbezogener Daten sowie der potenziellen Einbindung schutzbedürftiger Personengruppen kann jedoch in vielen Fällen ein hohes Risiko im Sinne von Art. 35 Abs. 1 DSGVO nicht ausgeschlossen werden. Neben der DSFA bestehen weitere datenschutzrechtliche Anforderungen, die unabhängig vom Risikoniveau zu erfüllen sind. Insbesondere sind den betroffenen Personen die gesetzlich vorgeschriebenen Informationen gemäß Art. 13 und 14 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form bereitzustellen. Darüber hinaus sind – je nach konkretem Anwendungsfall – weitere Dokumentations- und Nachweispflichten zu beachten, etwa im Rahmen des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO) sowie der technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Soweit diese Vorgaben eingehalten werden, kann Microsoft 365 datenschutzkonform eingesetzt werden.“
Stefan Hessel, Christina Ziegler-Kiefer und Moritz Schneider in der Kommunikation & Recht Ausgabe Dezember 2025.
Den vollständigen Artikel finden Sie hier.
zurück