Neue Datenschutzklausel bei Microsoft 365: Was Unternehmer jetzt wissen sollten

Neue Datenschutzklausel bei Microsoft 365 sorgt für Verwirrung

In den letzten Tagen löste eine Änderung in den Datenschutzbestimmungen von Microsoft 365 (M365) einiges Aufsehen aus. Unternehmer, Datenschutzbeauftragte und IT-Verantwortliche fragten sich, ob Microsoft damit künftig weiter gehend auf Kundeninhalte zugreift oder diese weitergibt. Rechtsexperten geben teils Entwarnung: Die neue Formulierung ist eher als vertragliche Klarstellung zu verstehen, nicht unbedingt als technologischer Richtungswechsel. Trotzdem sollten Entscheider in kleinen und mittleren Unternehmen (KMU) aufmerksam prüfen, ob Handlungsbedarf besteht.

Was wurde geändert?

Microsoft hat die Datenschutzerklärung um eine Klausel ergänzt, die beschreibt, unter welchen Bedingungen Inhalte verarbeitet werden können – etwa zur Sicherheitsüberprüfung, zur Erfüllung gesetzlicher Pflichten oder zur Verbesserung von Diensten. Die Formulierungen sind zum Teil weit gefasst, was Unsicherheit schafft: Kunden fragen sich, ob E-Mails, Dokumente oder Chat-Inhalte stärker automatisiert ausgewertet oder von Mitarbeitenden eingesehen werden könnten.

Wichtig ist: Es handelt sich primär um eine vertragliche Klarstellung in der öffentlichen Datenschutzerklärung; die konkreten Regelungen zur Datenverarbeitung für Bestandskunden stehen meist in separaten Datenverarbeitungsvereinbarungen (DPA) und Lizenzverträgen.

Wie bewerten Rechtsexperten die Änderung?

Juristen und Datenschützer sehen die Lage differenziert:

• Viele sehen die Klausel als Präzisierung bestehender Regelungen, nicht als grundsätzliche Neuerung.
• Wichtiger als die Web-Datenschutzerklärung sind die individuellen Verträge (DPA) zwischen Microsoft und dem Kunden, die Zugriff, Zweckbindung und Verantwortlichkeiten detaillierter regeln.
• Für EU-Kunden gelten zusätzlich die Vorgaben der DSGVO. Eine Klausel in einer Datenschutzerklärung darf nicht dazu führen, dass ein Anbieter gegen diese Vorschriften verstößt.

Gleichwohl sind ungenaue Formulierungen juristisch problematisch, weil sie Interpretationsspielräume eröffnen — etwa bei Behördenanfragen oder Sicherheitsvorfällen.

Praktische Auswirkungen für KMU

Für viele Unternehmen dürften die Auswirkungen begrenzt sein, dennoch sind einige Punkte relevant:

• Vertragsprüfung: Überprüfen Sie Ihre DPA und sonstigen Vereinbarungen mit Microsoft — dort finden sich oft konkrete Zusagen zur Datenverarbeitung.
• Sensible Daten identifizieren: Bestimmen Sie, welche Informationen besonders schützenswert sind (z. B. Gesundheitsdaten, Finanzdaten, personenbezogene Stammdaten) und vermeiden Sie, diese unnötig in gemeinsam genutzten Cloud-Diensten zu platzieren.
• Technische Schutzmaßnahmen: Nutzen Sie verfügbare Sicherheitsfunktionen wie Verschlüsselung, Conditional Access, Multi-Faktor-Authentifizierung und Data Loss Prevention (DLP), um Zugriff und Weitergabe zu steuern.
• Dokumentation und Nachweis: Halten Sie fest, welche Daten in der Cloud liegen, wer darauf zugreift und zu welchem Zweck die Verarbeitung erfolgt.

Kurz-Checkliste für Entscheider

• Prüfen Sie Ihre bestehenden Microsoft-Verträge (DPA, Nutzungsbedingungen).
• Klären Sie mit Ihrem IT-Dienstleister oder Datenschutzbeauftragten, ob die neuen Formulierungen Auswirkungen auf Ihre Compliance haben.
• Entscheiden Sie, ob zusätzliche technische Schutzmaßnahmen nötig sind (z. B. Verschlüsselung, eingeschränkte Zugriffsrechte).
• Schulen Sie Mitarbeitende zum Umgang mit sensiblen Daten in E-Mails, Teams und geteilten Dokumenten.
• Dokumentieren Sie Prozesse zu Datenschutz und Datenaufbewahrung.

Klares Regelwerk und technische Schutzmaßnahmen reduzieren Unsicherheit — nicht nur in der Cloud.

Wie Eulah IT Sie unterstützen kann

Als IT-Dienstleister für KMU bieten wir pragmatische Unterstützung:

• Audit Ihrer M365-Konfiguration auf Datenschutz und Compliance,
• Implementierung von DLP- und Verschlüsselungsstrategien,
• Schulungen für Mitarbeitende zur sicheren Nutzung von Cloud-Diensten,
• Beratung zu datenschutzkonformen Ergänzungen oder Alternativen.

Dabei geht es nicht um Panikmache, sondern um umsetzbare Maßnahmen, die Ihren täglichen Betrieb absichern.

Fazit

Die neue Klausel in den M365-Datenschutzbestimmungen hat für Verunsicherung gesorgt, stellt nach Einschätzung vieler Experten aber eher eine Klarstellung bestehender Regelungen dar. Für Unternehmen bleibt dennoch wichtig: Verträge prüfen, sensible Daten schützen und technische sowie organisatorische Maßnahmen umsetzen. So behalten Sie Kontrolle und reduzieren Risiken, unabhängig davon, wie Anbieter ihre Bedingungen formulieren.

Quelle

• heise