Neue Datenschutzklausel bei M365 sorgt für Verwirrung

Die Diskussion über den datenschutzkonformen Einsatz von Microsoft 365 in Unternehmen und Behörden erhält erneut Zunder. Seit dem 1. November 2026 gilt der aktualisierte Datenschutznachtrag „Data Protection Addendum“ (DPA). Eine darin präzisierte Klausel zur Offenlegung von Daten sorgt für Debatten unter IT- und Rechtsexperten.

Dabei geht es um eine Ergänzung zu den Meldepflichten bei der Verarbeitung von Daten. Demnach kann Microsoft bei der Bereitstellung seiner Online-Dienste offensichtlich rechtswidrige Inhalte im Zusammenhang mit sexuellem Kindesmissbrauch an zuständige Stellen wie das National Center for Missing and Exploited Children (NCMEC) oder Behörden melden. In Fachblogs und sozialen Medien wurde die Formulierung rasch als mögliches Einfallstor für eine systematische Durchsuchung sämtlicher Cloud-Inhalte interpretiert. Das sorgt für Unruhe.

Der IT-Rechtler Johannes Nehlsen empfiehlt Unternehmen zumindest ergänzende Datenschutzhinweise, die Überprüfung bestehender Folgenabschätzungen und interne Verfahren für Verdachtsfälle.

Rechtsanwalt Stefan Hessel warnt vor Überreaktionen. Zwar könne Microsoft entsprechende Inhalte melden, schreibt er in einem Newsletter. Doch sei das ausdrücklich an die Voraussetzung geknüpft, dass Microsoft davon Kenntnis habe. Daraus sei kein grundsätzliches Datenschutzproblem für die Nutzung von Microsoft 365 abzuleiten.

Keine Befugnis zur systematischen Überwachung

Entscheidend ist laut Hessel die Unterscheidung zwischen einer aktiven Durchsuchung und einer passiven Kenntniserlangung. Die Änderung regele allein die Offenlegung von Daten, nachdem Microsoft bereits auf entsprechende Inhalte aufmerksam geworden sei. Sie schaffe weder eine Befugnis zur systematischen Suche nach illegalen Inhalten auf Kundenservern noch belege sie, dass der Konzern die Daten von Unternehmenskunden routinemäßig kontrolliere.

Auch die datenschutzrechtliche Rollenverteilung müsse differenziert betrachtet werden, führt Hessel aus. Entscheide Microsoft selbst über Zweck und Mittel einer Datenverarbeitung, handele das Unternehmen als eigenständiger Verantwortlicher. Dabei müsse es die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllen. Für die reguläre Bereitstellung der Cloud-Dienste bleibe Microsoft dagegen grundsätzlich Auftragsverarbeiter und handele nach den Weisungen seiner Firmenkunden.

Die neue Klausel ändert so nach Hessels Einschätzung nichts an der grundsätzlichen Rollenverteilung bei Microsoft 365. Nötig seien bei gewerblichen Nutzern vor allem klar geregelte Zugriffsrechte und interne Abläufe.