Datenschutz bei Microsoft 365: Was Unternehmen beachten sollten

Microsoft 365 bündelt Anwendungen wie Outlook, Teams, SharePoint und OneDrive in einer cloudbasierten Arbeitsumgebung. Die Dienste erleichtern Zusammenarbeit und Kommunikation, verarbeiten dabei jedoch zahlreiche personenbezogene und geschäftliche Daten. Wer Microsoft 365 nutzt, sollte deshalb Datenschutz und Informationssicherheit von Anfang an mitdenken.

Die Nutzung der Plattform macht ein Unternehmen nicht automatisch datenschutzkonform. Entscheidend sind unter anderem die Art der verarbeiteten Daten, die gewählten Einstellungen, die Zugriffsrechte und die internen Abläufe. Unternehmen bleiben dafür verantwortlich, ihre Verarbeitungstätigkeiten rechtmäßig und sicher zu gestalten.

Welche Daten verarbeitet Microsoft 365?

Je nach verwendeten Diensten und Funktionen können unterschiedliche Daten anfallen, zum Beispiel:

• Kontaktdaten und Benutzerkonten, etwa Name, geschäftliche E-Mail-Adresse und Rollen;
• Inhalte in E-Mails, Chats, Dokumenten und Besprechungen;
• Diagnose-, Nutzungs- und Protokolldaten;
• Informationen über Zugriffe, Geräte und Anmeldeversuche;
• Inhalte, die Nutzer in Zusatzfunktionen oder KI-Diensten eingeben.

Welche Daten tatsächlich verarbeitet werden, hängt von den eingesetzten Diensten, den Vertragsbedingungen und der Konfiguration des Mandanten ab. Eine sorgfältige Bestandsaufnahme ist daher ein sinnvoller erster Schritt.

Verantwortlichkeiten und Vertragsgrundlagen

Bei vielen geschäftlichen Nutzungsszenarien bestimmt das Unternehmen die Zwecke und wesentlichen Mittel der Verarbeitung und ist damit datenschutzrechtlich verantwortlich. Microsoft kann je nach Dienst und Verarbeitung als Auftragsverarbeiter oder in einer anderen Rolle tätig sein. Die konkrete Einordnung sollte anhand der aktuellen Vertragsunterlagen und der jeweiligen Verarbeitung geprüft werden.

Unternehmen sollten insbesondere sicherstellen, dass die erforderlichen Vereinbarungen zur Auftragsverarbeitung vorliegen und die relevanten Vertragsbedingungen verstanden sind. Auch die eigene Datenschutzerklärung, das Verzeichnis von Verarbeitungstätigkeiten und gegebenenfalls eine Datenschutz-Folgenabschätzung müssen zur tatsächlichen Nutzung passen.

Speicherorte und internationale Datenübermittlungen

Microsoft bietet für bestimmte Dienste und Kundengruppen Auswahlmöglichkeiten zur Speicherung von Daten in bestimmten Regionen. Daraus folgt jedoch nicht automatisch, dass sämtliche Daten, Supportvorgänge oder Verarbeitungen ausschließlich dort stattfinden. Welche Regelungen gelten, hängt unter anderem vom Dienst, dem Vertrag und der gewählten Konfiguration ab.

Prüfen Sie deshalb die aktuellen Informationen zu Datenstandorten, Unterauftragnehmern und internationalen Übermittlungen. Dokumentieren Sie Ihre Bewertung und berücksichtigen Sie dabei auch, welche Daten in den einzelnen Diensten abgelegt werden.

Wichtige Einstellungen für mehr Datenschutz

Viele Datenschutzrisiken lassen sich durch eine passende Konfiguration verringern. Besonders wichtig sind:

• Zugriffsrechte begrenzen: Vergeben Sie nur die Berechtigungen, die für die jeweilige Aufgabe erforderlich sind. Prüfen Sie regelmäßig, ob Konten und Rollen noch benötigt werden.
• Mehr-Faktor-Authentifizierung aktivieren: Eine zusätzliche Anmeldebestätigung erschwert unbefugte Zugriffe, insbesondere bei gestohlenen oder erratenen Passwörtern.
• Externe Freigaben kontrollieren: Legen Sie fest, wer Dateien mit Personen außerhalb der Organisation teilen darf. Nutzen Sie passende Ablaufdaten und prüfen Sie bestehende Freigabelinks.
• Aufbewahrung und Löschung regeln: Definieren Sie, wie lange E-Mails, Chats und Dokumente aufbewahrt werden müssen und wann sie gelöscht werden sollen.
• Protokollierung und Warnmeldungen nutzen: Geeignete Protokolle können helfen, verdächtige Aktivitäten zu erkennen und Sicherheitsvorfälle aufzuklären.
• Geräte absichern: Aktualisierte Systeme, Verschlüsselung und klare Regeln für private oder mobile Geräte reduzieren das Risiko eines Datenverlusts.

Teams, OneDrive und SharePoint im Arbeitsalltag

In Teams, OneDrive und SharePoint entstehen häufig große Mengen gemeinsam genutzter Informationen. Achten Sie auf eine nachvollziehbare Ablagestruktur und legen Sie fest, wer Teams, Gruppen und SharePoint-Websites erstellen darf. Überprüfen Sie regelmäßig Mitgliederlisten und externe Zugriffe.

Besondere Vorsicht ist bei sensiblen Informationen geboten. Gesundheitsdaten, Personalunterlagen oder Finanzinformationen sollten nur in dafür vorgesehenen Bereichen und mit angemessenen Schutzmaßnahmen gespeichert werden. Mitarbeitende sollten wissen, welche Inhalte geteilt werden dürfen und wie sie versehentliche Freigaben melden können.

KI-Funktionen und sensible Informationen

KI-Funktionen können Inhalte zusammenfassen oder Informationen aus Arbeitsdokumenten erschließen. Vor ihrer Einführung sollte geprüft werden, welche Daten verarbeitet werden, welche Berechtigungen zugrunde liegen und welche vertraglichen Bedingungen gelten. Eine KI-Funktion kann vorhandene Berechtigungsprobleme sichtbar machen, wenn Mitarbeitende Zugriff auf mehr Inhalte haben, als für ihre Arbeit erforderlich ist.

Erstellen Sie klare Regeln dazu, welche personenbezogenen oder vertraulichen Daten in KI-Funktionen eingegeben werden dürfen. Informieren Sie Mitarbeitende über die geltenden Vorgaben und prüfen Sie die jeweils aktuellen Produkt- und Datenschutzhinweise.

Mitarbeitende informieren und Vorfälle vorbereiten

Technische Einstellungen allein reichen nicht aus. Mitarbeitende sollten verständlich darüber informiert werden, welche Microsoft-365-Dienste eingesetzt werden, welche Daten dabei verarbeitet werden und an wen sie sich bei Fragen wenden können. Schulungen zu Phishing, sicherem Teilen und dem Umgang mit vertraulichen Informationen helfen, alltägliche Risiken zu reduzieren.

Zusätzlich sollte ein Ablauf für Datenschutz- und Sicherheitsvorfälle feststehen. Dazu gehören klare Meldewege, Zuständigkeiten und Schritte zur Eindämmung eines Vorfalls. So kann das Unternehmen schneller beurteilen, ob eine Datenschutzverletzung vorliegt und welche Maßnahmen erforderlich sind.

Fazit

Datenschutz bei Microsoft 365 entsteht durch das Zusammenspiel von Verträgen, technischer Konfiguration und verantwortungsbewusstem Verhalten. Unternehmen sollten ihre Datenflüsse kennen, Berechtigungen regelmäßig prüfen, Speicher- und Löschfristen festlegen und Mitarbeitende einbeziehen. Da sich Dienste und Einstellungen weiterentwickeln, empfiehlt sich eine regelmäßige Überprüfung der Microsoft-365-Umgebung und der dazugehörigen Datenschutzdokumentation.

Hinweis: Dieser Beitrag bietet allgemeine Informationen und ersetzt keine individuelle rechtliche oder datenschutzfachliche Beratung.

 

Häufig gestellte Fragen zum Datenschutz in Microsoft 365

1. Ist Microsoft 365 mit der DSGVO vereinbar?
2. Welche personenbezogenen Daten verarbeitet Microsoft 365?
3. Wo speichert Microsoft 365 meine Daten?
4. Benötigt mein Unternehmen einen Auftragsverarbeitungsvertrag mit Microsoft?
5. Wie kann ich Microsoft 365 datenschutzfreundlich konfigurieren?
6. Dürfen Beschäftigte personenbezogene oder vertrauliche Daten in Microsoft Teams speichern?
7. Was müssen Unternehmen beim Einsatz von KI-Funktionen in Microsoft 365 datenschutzrechtlich beachten?

Ist Microsoft 365 mit der DSGVO vereinbar?

Microsoft 365 kann grundsätzlich DSGVO-konform eingesetzt werden, die Nutzung ist jedoch nicht automatisch mit der Verordnung vereinbar. Unternehmen müssen unter anderem die passenden Vertragsgrundlagen prüfen, die Verarbeitung und Speicherorte der Daten bewerten, datenschutzfreundliche Einstellungen wählen und Zugriffsrechte sowie Aufbewahrungsfristen festlegen. Welche Maßnahmen erforderlich sind, hängt von den genutzten Diensten und den verarbeiteten Daten ab. Eine regelmäßige Überprüfung der Konfiguration und der aktuellen Vertrags- und Datenschutzinformationen ist daher wichtig.

Welche personenbezogenen Daten verarbeitet Microsoft 365?

Microsoft 365 kann – abhängig von den genutzten Diensten und Einstellungen – verschiedene personenbezogene Daten verarbeiten. Dazu gehören Kontaktdaten und Benutzerkennungen, Inhalte aus E-Mails, Chats, Dokumenten und Besprechungen sowie Nutzungs-, Diagnose- und Protokolldaten, etwa Informationen zu Anmeldungen, Geräten oder Zugriffen. Welche Daten im Einzelfall anfallen und wie sie verwendet werden, richtet sich nach den eingesetzten Anwendungen, den vertraglichen Bedingungen und der Konfiguration des Microsoft-365-Mandanten.

Wo speichert Microsoft 365 meine Daten?

Microsoft 365 speichert Daten je nach Dienst, Vertrag, Mandanteneinstellungen und gewählter Datenregion in unterschiedlichen Rechenzentren. Für bestimmte Dienste und Kundengruppen können Speicherorte in der EU oder Deutschland vorgesehen sein. Das bedeutet jedoch nicht automatisch, dass sämtliche Daten und Verarbeitungsvorgänge ausschließlich dort stattfinden: Auch Support, Protokolldaten oder einzelne Zusatzdienste können anderen Regelungen unterliegen. Prüfen Sie deshalb die aktuellen Vertragsunterlagen und Microsoft-Angaben zu Datenstandorten und wählen Sie die passenden Regionseinstellungen für Ihre Organisation.

Benötigt mein Unternehmen einen Auftragsverarbeitungsvertrag mit Microsoft?

In vielen Fällen benötigt Ihr Unternehmen einen Auftragsverarbeitungsvertrag (AVV), wenn Microsoft personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet. Prüfen Sie die geltenden Microsoft-Vertragsbedingungen und Datenschutzunterlagen, um festzustellen, ob die erforderliche Vereinbarung bereits enthalten ist und welche Dienste sowie Verarbeitungen sie abdeckt. Dokumentieren Sie außerdem Ihre Prüfung und klären Sie bei Unsicherheiten, ob einzelne Microsoft-365-Dienste abweichende Regelungen erfordern.

Wie kann ich Microsoft 365 datenschutzfreundlich konfigurieren?

Microsoft 365 lässt sich datenschutzfreundlicher konfigurieren, indem Sie nur benötigte Dienste und Funktionen aktivieren, Zugriffsrechte nach dem Prinzip der geringsten Berechtigung vergeben und externe Freigaben gezielt einschränken. Aktivieren Sie Mehr-Faktor-Authentifizierung, prüfen Sie regelmäßig Benutzerkonten und Freigabelinks und legen Sie klare Aufbewahrungs- und Löschfristen fest. Kontrollieren Sie außerdem Protokollierungs-, Diagnose- und Datenschutzeinstellungen sowie die Regeln für mobile Geräte und KI-Funktionen. Dokumentieren Sie Ihre Entscheidungen und überprüfen Sie die Konfiguration regelmäßig, da sich Dienste und Einstellungen ändern können.

Dürfen Beschäftigte personenbezogene oder vertrauliche Daten in Microsoft Teams speichern?

Beschäftigte dürfen personenbezogene oder vertrauliche Daten in Microsoft Teams speichern, sofern die Nutzung durch den Arbeitgeber freigegeben ist und geeignete Datenschutz- und Sicherheitsmaßnahmen bestehen. Dazu gehören klar geregelte Zugriffsrechte, sichere Freigaben, angemessene Aufbewahrungs- und Löschfristen sowie die Nutzung der dafür vorgesehenen Bereiche. Besonders sensible Daten sollten nur gespeichert werden, wenn dies für den konkreten Zweck erforderlich und organisatorisch sowie technisch abgesichert ist. Im Zweifel sollten Beschäftigte die internen Vorgaben beachten oder Datenschutzbeauftragte beziehungsweise IT-Verantwortliche fragen.

Was müssen Unternehmen beim Einsatz von KI-Funktionen in Microsoft 365 datenschutzrechtlich beachten?

Unternehmen sollten vor dem Einsatz von KI-Funktionen in Microsoft 365 prüfen, welche personenbezogenen oder vertraulichen Daten verarbeitet werden, zu welchen Zwecken dies geschieht und welche Vertrags- und Datenschutzeinstellungen für den jeweiligen Dienst gelten. Wichtig sind eine passende Rechtsgrundlage, transparente Informationen für Betroffene sowie eine Prüfung der Zugriffsrechte: KI kann Inhalte auffindbar machen, auf die Mitarbeitende bereits Zugriff haben, weshalb übermässige Berechtigungen ein zusätzliches Risiko darstellen. Legen Sie klare Regeln fest, welche Daten in KI-Funktionen eingegeben werden dürfen, beziehen Sie Datenschutzbeauftragte und Beschäftigte ein und prüfen Sie, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Da Funktionen und Bedingungen variieren können, sollten die aktuellen Microsoft-Unterlagen und die konkrete Konfiguration regelmässig überprüft werden.