Entscheidung des Europäischen Datenschutzbeauftragten (EDSB) Microsoft 365 und der Datenschutz: Ist die Lösung gefunden?

Die Europäische Kommission bringt die Nutzung von Microsoft 365 in Einklang mit Datenschutzvorschriften für EU-Organe und -Einrichtungen, so der Europäische Datenschutzbeauftragte. Zuvor waren eine Reihe von Verstößen festgestellt und der EU-Kommission Abhilfemaßnahmen auferlegt worden. Wir erklären, welche Maßnahmen von der EU-Kommission und Microsoft ergriffen wurden.

Wir erinnern uns: Eine Entscheidung des EDSB hatte in 2024 besonderes Aufsehen erregt. Die EU-Kommission habe bei Nutzung von Microsoft 365 gegen Vorgaben des EU-Datenschutzes verstoßen, so der Europäische Datenschutzbeauftragte.

Im Juli 2025 kam dann die Mitteilung des EDSB, dass die in der Entscheidung des EDSB von 2024 festgestellten Verstöße behoben wurden. Wojciech Wiewiórowski, Europäischer Datenschutzbeauftragter, erklärte dazu: „Dank unserer gründlichen Untersuchung und der Folgemaßnahmen der Kommission haben wir gemeinsam zu einer deutlichen Verbesserung der Datenschutzkonformität bei der Nutzung von Microsoft 365 durch die Kommission beigetragen.“

Er wertete die Entwicklung wie folgt: „Wir würdigen außerdem die Bemühungen von Microsoft, die Anforderungen der Kommission aufgrund der Entscheidung des EDSB vom März 2024 zu erfüllen. Dies ist ein bedeutender und gemeinsamer Erfolg und ein starkes Signal dafür, was durch konstruktive Zusammenarbeit und wirksame Aufsicht erreicht werden kann.“

Was genau ist geschehen, um die in 2024 festgestellten Verstöße zu beheben? Auch dazu hat der EDSB Auskunft gegeben.

Diese Abhilfemaßnahmen wurden ergriffen

In seiner Erklärung nennt der EDSB eine Reihe von Maßnahmen, die von der EU-Kommission ergriffen wurden, um die zuvor genannten Verstöße zu beseitigen. Da der EDSB diese Maßnahmen als erfolgreich bewertet hat, lohnt es sich besonders, sie genauer anzusehen. Dazu gehören:

• Zweckbindung: Die EU-Kommission hat demnach die Arten der verarbeiteten personenbezogenen Daten und die Zwecke der Verarbeitung im Rahmen ihrer Nutzung von Microsoft 365 explizit festgelegt. Durch aktualisierte vertragliche, technische und organisatorische Maßnahmen hat sie laut EDSB nun sichergestellt, dass Microsoft und Unterauftragsverarbeiter Daten ausschließlich auf Grundlage dokumentierter Anweisungen und nur für festgelegte Zwecke im öffentlichen Interesse verarbeiten. Die EU-Kommission hat zudem sichergestellt, dass die weitere Verarbeitung innerhalb des Europäischen Wirtschaftsraums (EWR) gemäß den Vorschriften der EU oder der Mitgliedstaaten oder außerhalb des EWR gemäß dem Recht eines Drittlandes erfolgt, das ein dem EWR im Wesentlichen gleichwertiges Schutzniveau gewährleistet, so der EDSB. Damit bezieht man sich auf den Angemessenheitsbeschluss der EU-Kommission zu den USA.

• Übermittlungen in Drittländer: Die EU-Kommission hat außerdem die konkreten Empfänger und Zwecke festgelegt, für die personenbezogene Daten im Rahmen ihrer Nutzung von Microsoft 365 übermittelt werden. Ergänzt wird dies laut EDSB durch technische und organisatorische Maßnahmen der EU-Kommission und Microsoft, wodurch die Möglichkeit von Übermittlungen in Drittländer, für die kein Angemessenheitsbeschluss vorliegt, verringert wird. Übermittlungen außerhalb der EU/des EWR sind nun auf die im geänderten Vertrag aufgeführten Länder beschränkt und stützen sich entweder auf Angemessenheitsbeschlüsse oder die Ausnahmeregelung aus wichtigen Gründen des öffentlichen Interesses (gemäß Artikel 50 Absatz 1 Buchstabe d der Verordnung (EU) 2018/1725). Die EU-Kommission hat Microsoft und seinen Unterauftragsverarbeitern diesbezüglich auch verbindliche Anweisungen erteilt.

• Offenlegungen und Benachrichtigungen: Zusätzliche vertragliche Bestimmungen stellen sicher, dass nur das Recht der EU oder der Mitgliedstaaten Microsoft oder seine Unterauftragsverarbeiter dazu verpflichten kann, die Kommission nicht über Offenlegungs­anfragen zu personenbezogenen Daten zu informieren, die im Rahmen der Nutzung von Microsoft 365 durch die Kommission innerhalb des EWR verarbeitet werden, oder diese Daten offenzulegen, so der EDSB. Für Daten, die außerhalb des EWR verarbeitet werden, kann das Gleiche nach dem Recht eines Drittlandes verlangt werden, sofern es einen im Wesentlichen gleichwertigen Schutz bietet. All dies ergänzt laut EDSB die bestehenden technischen und organisatorischen Maßnahmen der EU-Kommission und von Microsoft für personenbezogene Daten, die innerhalb und außerhalb des EWR verarbeitet werden.

Der EDSB hat das Verfahren eingestellt, denn angesichts der ergriffenen Maßnahmen habe sich die Sachlage im Vergleich zu der in der Entscheidung des EDSB aus 2024 untersuchten Sachlage erheblich geändert. Der EDSB forderte andere EU-Einrichtungen, die Microsoft 365-Dienste in Erwägung ziehen oder bereits nutzen, auf, ähnliche Bewertungen durchzuführen und vergleichbare technische und organisatorische Maßnahmen wie die der EU-Kommission zu ergreifen.

Was das für Unternehmen bedeutet

Der EDSB prüft die Einhaltung der Verordnung (EU) 2018/1725; sie bildet den Datenschutzrahmen für die Organe, Einrichtungen und sonstigen Stellen der EU. Es handelt sich dabei nicht um die DSGVO. Dennoch könnten Unternehmen aus den Bewertungen des EDSB gewisse Schlüsse ziehen. Wichtig ist aber, dass es nicht zielführend ist, einfach das „Modell“ der EU-Kommission übernehmen zu wollen.

Unternehmen müssen nun zum einen auf die Bewertung durch die für sie zuständigen Aufsichtsbehörden warten. Derweil gilt: „Unabhängig vom Angemessenheitsbeschluss obliegt es jedem Verantwortlichen, die technischen und organisatorischen Maßnahmen zu treffen, die im Interesse der Datensparsamkeit eine Übermittlung personenbezogener Daten in ein Drittland reduzieren“, so die Aufsichtsbehörden. Die von den deutschen Aufsichtsbehörden empfohlenen Maßnahmen sollten also weiterhin im Blick sein.

Zum anderen wurden neue Fragen aufgeworfen, wie der Beitrag „Microsoft-Vertreter bestätigt unter Eid Risiko für europäische Daten“ zeigt.

Es bleibt aber festzuhalten, dass eine Datenschutzaufsichtsbehörde, der EDSB, in einem speziellen Fall (der EU-Kommission) erklärt hat, dass „die Nutzung von Microsoft 365 mit Datenschutzvorschriften für EU-Organe und -Einrichtungen in Einklang gebracht wurde“, jedoch mit dem Hinweis: „Der Abschluss des Verfahrens bedeutet nicht, dass der EDSB die allgemeine Einhaltung anderer Bestimmungen der Verordnung durch die Kommission, die nicht Teil dieser Prüfung waren, bewertet oder bestätigt hat.“

Die Fragen zum Datenschutz bei Microsoft 365 haben sich also weiterentwickelt, man darf aber auch weiter gespannt sein, was sich in diesem Themen noch tun wird.

(ID:50563301)