Kaum ein Thema polarisiert im Datenschutz so zuverlässig wie Microsoft 365: Für die einen unverzichtbarer Standard, für die anderen prinzipiell unzulässig. Die Praxis der Aufsichtsbehörden ist differenzierter — und die Realität in den Unternehmen sowieso: M365 ist da, und die eigentliche Frage lautet, wie man es verantwortbar konfiguriert und dokumentiert. Genau darauf konzentrieren wir uns in Mandaten. Die wichtigsten Stellschrauben:
1. Vertragliche Basis sauber ziehen
Grundlage ist Microsofts Datenschutznachtrag (DPA) mit den Standardvertragsklauseln — er gehört als geprüfter Bestandteil in Ihre AV-Vertragsdokumentation, samt der Subunternehmerliste. Dazu die bewusste Entscheidung zur Datenresidenz: Die EU Data Boundary hält Verarbeitung für Kerndienste weitgehend in der EU — „weitgehend” ist dabei das ehrliche Wort, Restflüsse (etwa Support-Szenarien) bleiben und gehören in die Risikobewertung statt unter den Teppich.
2. Telemetrie und Werbe-Funktionen abdrehen
Der Standard-Tenant sendet mehr, als er muss. Zu den Basics gehören: Diagnosedaten auf die niedrigste Stufe, optionale verbundene Erlebnisse deaktivieren bzw. bewusst freigeben, Werbe-IDs und LinkedIn-Verknüpfungen aus, Viva-/Auswertungsfunktionen mit Personenbezug (Stichwort Produktivitäts-Scores) kritisch prüfen — Leistungskontrolle ist mitbestimmungspflichtig und braucht den Betriebsrat am Tisch.
3. Zugriffe härten wie jeden Cloud-Dienst
M365 ist das Haupttor zum Unternehmen und verdient die volle Behandlung: Mehr-Faktor-Authentifizierung für alle, phishing-resistent für Admins, Conditional Access, getrennte Admin-Konten, deaktivierte Alt-Protokolle. Die schönste Datenschutz-Konfiguration ist wertlos, wenn das Konto übernommen wird — dann steht statt der Compliance-Frage die 72-Stunden-Meldung an.
4. Aufbewahrung und Löschung aktiv gestalten
Ohne eigene Regeln sammelt der Tenant unbegrenzt: Postfächer, Teams-Chats, SharePoint-Versionen. Aufbewahrungsrichtlinien nach dem eigenen Löschkonzept, Umgang mit ausgeschiedenen Mitarbeitern (Postfach-Frist statt Ewigkeits-Archiv) und klare Regeln für Gast-Freigaben gehören konfiguriert — und im Verarbeitungsverzeichnis dokumentiert.
Copilot & Co. nicht nebenbei aktivieren: KI-Assistenten im Tenant erben alle Berechtigungsfehler — wer per Copilot plötzlich das falsch freigegebene Gehalts-Sheet findet, hat kein KI-Problem, sondern ein Berechtigungsproblem mit Verstärker. Vor der Aktivierung gehören Berechtigungs-Hygiene, eine DSFA und die AI-Act-Einordnung auf den Tisch (was der EU AI Act verlangt).
5. Dokumentieren, was man entschieden hat
Aufsichtsbehörden fragen nicht „Nutzen Sie M365?”, sondern „Zeigen Sie Ihre Konfigurationsentscheidungen und deren Begründung.” Ein Tenant-Steckbrief — getroffene Einstellungen, Restrisiken, Prüfturnus — verwandelt die Grauzone in dokumentierte Verantwortung. Erfahrungsgemäß zwei Arbeitstage Aufwand, die sich bei jeder Prüfung und jedem Audit auszahlen.
Fazit
Zwischen „M365 ist verboten” und „läuft doch” liegt der vertretbare Korridor: Vertragsbasis geprüft, Telemetrie minimiert, Zugriffe gehärtet, Löschung geregelt, alles dokumentiert. Wer zusätzlich für besonders sensible Bereiche souveräne Alternativen im Werkzeugkasten hat, entscheidet aus Stärke statt aus Abhängigkeit — genau diese Kombination ist unser Beratungsansatz.