Data protection
Neue Einschätzung des EDSB zur Nutzung von Microsoft 365
by Redaktion
Die Europäische Kommission (EU-Kommission) hat nach einer Rüge des Europäischen Datenschutzbeauftragten (EDSB) Maßnahmen ergriffen, um den Einsatz von Microsoft 365 datenschutzkonform zu gestalten. Als Organ der Europäischen Union (EU) ist sie verpflichtet, ein hohes Datenschutzniveau sicherzustellen und die Vorgaben der einschlägigen Datenschutzregelungen einzuhalten. In Zusammenarbeit mit Microsoft hat die EU-Kommission hierzu einen umfassenden Maßnahmenkatalog entwickelt. Dieser enthält mehrere zentrale Punkte, die für eine datenschutzkonforme Nutzung von Microsoft 365 von besonderer Bedeutung sein können.
Der EDSB stellte am 08.03.2024 diverse Datenschutzverstöße durch die EU-Kommission aufgrund der Nutzung von Microsoft 365 fest.1
In der Folge eröffnete der EDSB ein Verfahren gegen die EU-Kommission und ließ alle Datentransfers im Rahmen der Nutzung von Microsoft 365 an Microsoft oder Tochtergesellschaften und Unterauftragsverarbeiter mit Sitz in Drittstaaten ohne Angemessenheitsbeschluss aussetzen. Darüber hinaus erließ der EDSB einen ersten Maßnahmenkatalog, welcher die Nutzung von Microsoft 365 mit der Verordnung 2018/1725 in Einklang bringen sollte. Die Verordnung 2018/1725 regelt den Datenschutz bei der Verarbeitung personenbezogener Daten durch Organe, Einrichtungen und sonstige Stellen der EU.
Der Maßnahmenkatalog umfasste unter anderem die Durchführung einer Übertragungsanalyse, um Zwecke und Garantien von Datenübermittlungen in Drittstaaten zu bestimmen. Zudem war sicherzustellen, dass Datentransfers in Drittstaaten ausschließlich zur Erfüllung der Aufgaben erfolgen, die in der Verantwortung der EU-Kommission liegen. Schließlich sollte der Auftragsverarbeitungsvertrag zwischen der EU-Kommission und Microsoft gemäß Art. 29 Abs. 3 der Verordnung 2018/1725 angepasst und durch technische und organisatorische Maßnahmen ergänzt werden. Folgende Anpassungen waren davon umfasst:
-
Zweckbindung der Datenerhebung
-
Hinreichende Bestimmung der Datenkategorien in Bezug auf den Verarbeitungszweck
-
Datenverarbeitung durch Microsoft nur auf Grundlage einer dokumentierten Anweisung der Kommission oder aufgrund von EU-, Mitgliedstaaten- oder Drittstaatenrecht auf europäischem Datenschutzniveau
-
Verbot der Weiterverarbeitung zu einem anderen Zweck vgl. Art. 6 der Verordnung 2018/1725
-
Übermittlung an Microsoftstandorte mit Sitz im Europäischen Wirtschaftsraum (EWR) nur im öffentlichen Interesse vgl. Art. 9 der Verordnung 2018/1725
-
Eine Offenlegung von personenbezogenen Daten durch Microsoft ist aufgrund von EU-Recht, dem Recht eines Mitgliedstaats oder einem Drittstaatenrecht mit gleichwertigem Schutzniveau möglich
-
Ein Mitteilungsverbot im Rahmen einer Offenlegungsanfrage gegenüber der EU-Kommission ist nur zulässig, wenn es auf EU‑Recht, dem Recht eines Mitgliedstaats oder einem Drittstaatenrecht mit gleichwertigem Schutzniveau beruht
Im Dezember 2024 legte die EU-Kommission einen ersten Fortschrittsbericht vor. Dieser stellte eine Reaktion auf das im März vom EDSB eingeleitete Verfahren dar. Darin wurden die vom EDSB angemahnten Verstöße, insbesondere die rechtswidrige Nutzung von Microsoft 365, überprüft und die Umsetzung des Maßnahmenkatalogs vorbereitet, um den EDSB von der Bereitschaft der EU-Kommission zur Einhaltung des Datenschutzes zu überzeugen. In einem weiteren Schreiben vom 03.07.2025 konkretisierte die EU-Kommission ihre Bemühungen zum Schutz der personenbezogenen Daten. Davon umfasst waren bereits umgesetzte sowie noch geplante Datenschutzmaßnahmen von der EU-Kommission und Microsoft.
Schließlich stellte der EDSB am 11.07.2025 fest, dass die Kommission alle Bedenken bezüglich der Nutzung von Microsoft 365 ausgeräumt habe.2 In der Begründung bezog sich der EDSB auf folgende Datenschutzmaßnahmen, die ihn zur neuen Einschätzung veranlassten:
1. Zweckbindung und Drittstaatenübermittlung
Zunächst hat die EU-Kommission die Art und den Zweck der Datenverarbeitung durch Microsoft 365 nunmehr ausdrücklich festgelegt. Dies wurde durch eine Änderung des Auftragsverarbeitungsvertrages erreicht, welcher insbesondere auch neue technische und organisatorische Maßnahmen (TOM) zur Wahrung des Datenschutzes vorsieht. Microsoft und seine Unterauftragsverarbeiter dürfen personenbezogene Daten lediglich auf Grundlage von dokumentierten Anweisungen der EU-Kommission verarbeiten. Insbesondere die Verarbeitung aufgrund einer Weisung der EU-Kommission im öffentlichen Interesse ist davon umfasst. Darüber hinaus ist eine Weiterverarbeitung in einem Drittstaat nur dann möglich, wenn sich das Datenschutzniveau des Drittstaats am europäischen Schutzniveau orientiert.
Neben der Zweckbindung der Datentransfers, welche auch im Rahmen der Drittlandsübermittlungen eine Rolle spielen, wurden zwischen der EU-Kommission und Microsoft konkrete Datenempfänger vereinbart.
Die EU-Kommission hat Microsoft außerdem verpflichtende Vorgaben erteilt, nach denen Datenübermittlungen künftig nur noch in vertraglich festgelegte Drittstaaten zulässig sind. Zusätzlich ist hierfür entweder ein Angemessenheitsbeschluss oder eine Ausnahmegenehmigung aus wichtigen öffentlichen Interessen gemäß Art. 50 Abs. 1 lit. d der Verordnung 2018/1725 erforderlich.
Die Möglichkeit der Drittlandsübermittlungen ohne einen entsprechenden Angemessenheitsbeschluss soll durch die Etablierung von technischen und organisatorischen Maßnahmen eingeschränkt werden. Darüber hinaus können gem. Art. 48 Abs. 2 der Verordnung 2018/1725 auch Standard-Vertragsklauseln als Grundlage für Drittlandsübermittlungen dienen.
2. Offenlegung und Benachrichtigung
Wenn eine staatliche Stelle, insbesondere eine US-Behörde, die Offenlegung personenbezogener Daten verlangt, die im Zusammenhang mit der Nutzung von Microsoft 365 durch die EU-Kommission innerhalb des EWR verarbeitet werden, verpflichtet sich Microsoft grundsätzlich, die EU-Kommission darüber zu informieren. Von dieser Benachrichtigungspflicht kann Microsoft ausschließlich durch EU-Recht oder das Recht eines EU-Mitgliedstaats entbunden werden.
Für Datenverarbeitungen in Drittstaaten gilt, dass eine Ausnahme von dieser Verpflichtung nur zulässig ist, wenn der betroffene Staat ein mit dem europäischem Datenschutzniveau vergleichbares Schutzniveau gewährleistet.
3. Abschluss des Verfahrens
Aufgrund der getroffenen Maßnahmen sieht der EDSB erhebliche Veränderung zur Sachlage vom 08.03.2024. Daraus folgt, dass die Verstöße behoben wurden und das Verfahren gegen die EU-Kommission eingestellt wird.
Fazit
Obwohl sich die Verordnung 2018/1725 ausschließlich auf den Schutz von personenbezogenen Daten bei der Verarbeitung durch Organe, Einrichtungen und sonstige Stellen der EU bezieht, können auch private Unternehmen und öffentliche Stellen der Mitgliedstaaten von den Einschätzungen des EDSB profitieren. Die Verordnung 2018/1725 wurde ebenso wie die DSGVO mit dem Ziel erlassen, einen Beitrag zur Harmonisierung des europäischen Datenschutzes zu leisten, vgl. Erwägungsgrund 3 der DSGVO und Erwägungsgrund 10 der Verordnung 2018/1725. So können einerseits andere europäische Institutionen bei der datenschutzkonformen Nutzung von Microsoft 365 nachziehen. Andererseits kann die Entscheidung des EDSB eine Signalwirkung für die datenschutzkonforme Nutzung von Microsoft 365 in der Privatwirtschaft haben.
Die Maßnahmen können ein Bestandteil von zukünftigen Verträgen zwischen europäischen Unternehmen und öffentlichen Stellen der Mitgliedstaaten mit Akteuren/ Unternehmen aus Drittstaaten sein.
Letztendlich kann die Entscheidung des EDSB nicht als Freifahrtschein für alle Unternehmen und europäischen Institutionen gesehen werden. Vielmehr kommt es auf eine Einzelfallprüfung des Datenschutzniveaus an. Die von der EU-Kommission zusammen mit Microsoft getroffenen Maßnahmen sind ein gutes Vorbild für die datenschutzkonforme Gestaltung von Verträgen, aber sie dienen nicht als Garantie für ein datenschutzkonformes Handeln. Schließlich entscheiden auf der Ebene der Mitgliedstaaten die Aufsichtsbehörden nach eigenem Ermessen. Nichtsdestotrotz hat die Entscheidung des EDSB Signalwirkung.