M365: Neue Datenschutzklausel – Entwarnung mit Aufgaben

Wer Microsoft 365 im Unternehmen einsetzt, dürfte in diesen Tagen über Schlagzeilen stolpern, die beunruhigen: Durchsucht Microsoft künftig die Cloud-Inhalte seiner Kunden? Hintergrund ist ein aktualisierter Datenschutznachtrag, das sogenannte „Data Protection Addendum“ (DPA), das seit dem 1. November 2026 gilt. Eine darin präzisierte Klausel zur Offenlegung von Daten sorgt seitdem für Debatten unter IT- und Rechtsexperten – und für Verwirrung bei Anwendern. Wie heise online berichtet, geben Rechtsexperten allerdings weitgehend Entwarnung. Was genau geändert wurde, was das für Ihr Unternehmen bedeutet und was Sie jetzt tun sollten, ordnen wir hier ein.

Was steht in der neuen Klausel?

Es geht um eine Ergänzung zu den Meldepflichten bei der Verarbeitung von Daten. Dem Bericht zufolge kann Microsoft bei der Bereitstellung seiner Online-Dienste offensichtlich rechtswidrige Inhalte im Zusammenhang mit sexuellem Kindesmissbrauch an zuständige Stellen melden – etwa an das National Center for Missing and Exploited Children (NCMEC) oder an Behörden.

Genau diese Formulierung wurde in Fachblogs und sozialen Medien rasch als mögliches Einfallstor für eine systematische Durchsuchung sämtlicher Cloud-Inhalte interpretiert. Die Befürchtung dahinter: Microsoft könnte künftig flächendeckend die Daten seiner Kunden kontrollieren. Diese Lesart sorgt verständlicherweise für Unruhe – schließlich liegen in Microsoft 365 bei vielen Unternehmen praktisch sämtliche Dokumente, E-Mails und die interne Kommunikation.

Warum Experten Entwarnung geben

Der Rechtsanwalt Stefan Hessel warnt vor Überreaktionen. Zwar könne Microsoft entsprechende Inhalte tatsächlich melden. Doch sei das ausdrücklich an eine Voraussetzung geknüpft: Microsoft muss davon Kenntnis haben.

Entscheidend ist dabei die Unterscheidung zwischen einer aktiven Durchsuchung und einer passiven Kenntniserlangung. Die Änderung regele allein die Offenlegung von Daten, nachdem Microsoft bereits auf entsprechende Inhalte aufmerksam geworden sei. Sie schaffe weder eine Befugnis zur systematischen Suche nach illegalen Inhalten auf Kundenservern, noch belege sie, dass der Konzern die Daten von Unternehmenskunden routinemäßig kontrolliert. Aus der Klausel lasse sich daher kein grundsätzliches Datenschutzproblem für die Nutzung von Microsoft 365 ableiten.

Auch die datenschutzrechtliche Rollenverteilung bleibt nach Hessels Einschätzung unverändert. Für die reguläre Bereitstellung der Cloud-Dienste ist Microsoft grundsätzlich Auftragsverarbeiter und handelt nach den Weisungen seiner Firmenkunden. Entscheidet Microsoft dagegen selbst über Zweck und Mittel einer Datenverarbeitung, handelt der Konzern als eigenständiger Verantwortlicher – und muss dann selbst die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllen. Die neue Klausel ändert an dieser grundsätzlichen Rollenverteilung nichts.

Was das für Ihr Unternehmen bedeutet

Für Unternehmen mit zehn bis hundert Mitarbeitern heißt das zunächst: Es gibt keinen Anlass für Schnellschüsse. Niemand muss jetzt überstürzt die eigene Cloud-Strategie hinterfragen oder Systeme abschalten. Die Experteneinschätzungen zeichnen ein klares Bild – die Klausel erweitert nicht die Kontrollrechte von Microsoft, sondern regelt, wie der Konzern mit bereits bekannt gewordenen, offensichtlich rechtswidrigen Inhalten umgeht.

Gleichzeitig ist die Debatte ein guter Anlass, die eigene Dokumentation und die internen Abläufe rund um Microsoft 365 einmal zu prüfen. Denn auch wenn Entwarnung gilt, bleiben konkrete Hausaufgaben. Der IT-Rechtler Johannes Nehlsen empfiehlt Unternehmen drei Dinge: ergänzende Datenschutzhinweise, die Überprüfung bestehender Folgenabschätzungen und interne Verfahren für Verdachtsfälle. Hessel ergänzt, nötig seien bei gewerblichen Nutzern vor allem klar geregelte Zugriffsrechte und interne Abläufe.

Übersetzt in den Unternehmensalltag bedeutet das:

Datenschutzhinweise prüfen und ergänzen. Ihre Mitarbeitenden sollten wissen, welche Daten in der Cloud verarbeitet werden und unter welchen Bedingungen ein Anbieter Inhalte offenlegen kann. Wenn Ihre bisherigen Datenschutzhinweise die neue Klausel nicht abbilden, ist eine Ergänzung sinnvoll.

Vorhandene Folgenabschätzungen aktualisieren. Falls Ihr Unternehmen für Microsoft 365 eine Datenschutz-Folgenabschätzung erstellt hat, sollten Sie prüfen, ob die neue Klausel darin berücksichtigt ist. Ob Ihr Unternehmen überhaupt eine solche Folgenabschätzung benötigt, hängt von Ihrer individuellen Verarbeitung ab – das lässt sich pauschal nicht beantworten und sollte mit Ihrem Datenschutzbeauftragten geklärt werden.

Interne Verfahren für Verdachtsfälle festlegen. Wer entscheidet in Ihrem Unternehmen, was passiert, wenn tatsächlich ein entsprechender Verdachtsfall auftaucht? Wer wird informiert, wer dokumentiert, wer kommuniziert? Solche Abläufe sollten nicht erst im Ernstfall improvisiert werden.

Zugriffsrechte klären. Klar geregelte Zugriffsrechte gehören ohnehin zur guten Praxis: Wer hat auf welche Daten Zugriff, und sind diese Berechtigungen dokumentiert und aktuell? Die Debatte um die Klausel ist ein guter Moment, das einmal sauber durchzugehen.

Was noch unklar ist

Einige Fragen lässt die aktuelle Meldung offen, und es wäre unseriös, hier Antworten zu erfinden. Etwa: Wie erlangt Microsoft in der Praxis typischerweise Kenntnis von solchen Inhalten – durch Hinweise von Nutzern, durch technische Erkennungsmechanismen oder auf anderen Wegen? Der Bericht nennt dazu keine Details. Ebenso offen ist, was genau unter „offensichtlich rechtswidrig“ zu verstehen ist und nach welchen Kriterien diese Einschätzung im Einzelfall getroffen wird. Und schließlich: Ob und wie betroffene Kunden informiert werden, falls Microsoft tatsächlich eine Meldung an eine Stelle wie das NCMEC vornimmt, geht aus der Meldung ebenfalls nicht hervor.

Diese offenen Punkte sind kein Grund zur Beunruhigung, aber gute Argumente dafür, die Klausel im Detail mit einem Fachmann durchzugehen, statt sich auf Schlagzeilen zu verlassen.

Was Sie jetzt konkret tun sollten

Fassen wir zusammen: Die neue Klausel im Data Protection Addendum ist nach Einschätzung der zitierten Rechtsexperten kein grundsätzliches Datenschutzproblem für die Nutzung von Microsoft 365. Sie ändert nichts an der Rollenverteilung zwischen Microsoft als Auftragsverarbeiter und Ihnen als Verantwortlichem. Panik ist fehl am Platz – Untätigkeit aber auch.

Unsere Empfehlung für Unternehmen, die Microsoft 365 einsetzen:

1. Nehmen Sie die neue Klausel zum Anlass, Ihren Datenschutznachtrag und Ihre bestehenden Vereinbarungen zur Auftragsverarbeitung einmal gemeinsam mit Ihrem Datenschutzbeauftragten oder Ihrem IT-Dienstleister durchzugehen.
2. Prüfen Sie, ob Ihre Datenschutzhinweise für Mitarbeitende ergänzt werden sollten.
3. Aktualisieren Sie gegebenenfalls vorhandene Folgenabschätzungen.
4. Definieren Sie interne Verfahren für Verdachtsfälle und stellen Sie sicher, dass Zugriffsrechte klar geregelt und dokumentiert sind.

Damit sind Sie nicht nur für diese Klausel gerüstet, sondern stärken die Datenschutz-Organisation Ihres Unternehmens insgesamt – ein Aufwand, der sich unabhängig von der aktuellen Debatte lohnt.

Quelle

Neue Datenschutzklausel bei M365 sorgt für Verwirrung — heise Newsticker

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.