Microsoft Office 365 und Datenschutz – es geht voran

Dieser Artikel wurde bereits 205x gelesen...

Beim Thema Datenschutz und Microsoft 365 kommt Bewegung ins Spiel. Im Juli 2025 kam eine Mitteilung des Europäischen Datenschutzbeauftragten Wojciech Wiewiórowski, dass die festgestellten Verstöße behoben wurden. Gemeinsam mit Microsoft habe man zu einer deutlichen Verbesserung der Datenschutzkonformität bei der Nutzung von Microsoft 365 beigetragen.

In seiner Erklärung nennt der EDSB eine Reihe von Maßnahmen, die von der EU-Kommission ergriffen wurden, um die zuvor genannten Verstöße zu beseitigen.

• Zweckbindung: Die EU-Kommission hat die Arten der verarbeiteten personenbezogenen Daten und die Zwecke der Verarbeitung im Rahmen ihrer Nutzung von Microsoft 365 explizit festgelegt. Ebenso ist sichergestellt, dass bei Microsoft Office 365 die weitere Verarbeitung innerhalb des Europäischen Wirtschaftsraums (EWR) gemäß den Vorschriften der EU oder der Mitgliedstaaten oder außerhalb des EWR gemäß dem Recht eines Drittlandes erfolgt, das ein dem EWR im Wesentlichen gleichwertiges Schutzniveau gewährleistet.
• Übermittlungen in Drittländer: Die EU-Kommission hat die konkreten Empfänger und Zwecke festgelegt, für die personenbezogene Daten im Rahmen ihrer Nutzung von Microsoft 365 übermittelt werden. Übermittlungen außerhalb der EU/des EWR sind nun auf die im geänderten Vertrag aufgeführten Länder beschränkt und stützen sich entweder auf Angemessenheitsbeschlüsse oder die Ausnahmeregelung aus wichtigen Gründen des öffentlichen Interesses (gemäß Artikel 50 Absatz 1 Buchstabe d der Verordnung (EU) 2018/1725).
• Offenlegungen und Benachrichtigungen: Zusätzliche vertragliche Bestimmungen stellen sicher, dass nur das Recht der EU oder der Mitgliedstaaten Microsoft oder seine Unterauftragsverarbeiter dazu verpflichten kann, die Kommission nicht über Offenlegungs­anfragen zu personenbezogenen Daten zu informieren, die im Rahmen der Nutzung von Microsoft 365 durch die Kommission innerhalb des EWR verarbeitet werden, oder diese Daten offenzulegen, so der EDSB.

Von den deutschen Datenschutzaufsichtsbehörden liegt diesbezüglich noch keine Stellungnahme vor.