Drei Ebenen, die oft vermischt werden
Fast alle Missverständnisse entstehen, weil drei verschiedene Fragen unter einem Wort laufen:
- Wo liegen die Daten? Die Frage nach dem Rechenzentrum. Sie ist am leichtesten zu beantworten und am wenigsten aussagekräftig.
- Wer kontrolliert den Anbieter? Die Frage nach dem Konzernsitz. Sie entscheidet, welchem Recht das Unternehmen unterliegt — unabhängig davon, wo die Server stehen.
- Wer kann Sie zum Handeln zwingen? Die Frage nach der Abhängigkeit. Wenn ein Anbieter Preise, Funktionen oder Bedingungen ändert, wie teuer wäre Ihr Ausstieg?
Ein Betrieb kann bei der ersten Frage vorbildlich dastehen und bei der zweiten und dritten trotzdem vollständig abhängig sein.
Wo stehen die Server?
- Standort des Rechenzentrums
- steht meist auf der Anbieterseite
- sagt allein wenig aus
- schützt nicht vor Zugriff des Mutterkonzerns
Wem gehört der Anbieter?
- Konzernsitz, nicht Serverstandort
- entscheidet über das anwendbare Recht
- im Impressum und Handelsregister prüfbar
- beantwortet die Zugriffsfrage wirklich
Warum „EU-Rechenzentrum“ allein wenig aussagt
Der US CLOUD Act von 2018 verpflichtet US-Unternehmen, Daten herauszugeben, die sich in ihrer Kontrolle befinden — unabhängig davon, in welchem Land diese Daten gespeichert sind. Damit reicht der Speicherort allein nicht aus, um eine Herausgabe auszuschließen, wenn der Anbieter einem US-Mutterkonzern gehört.
Bemerkenswert ist, dass das inzwischen auch von Anbieterseite eingeräumt wird: Microsoft bestätigte in einer Anhörung vor dem französischen Senat, dass eine vollständige Garantie gegen Zugriffe unter dem CLOUD Act nicht gegeben werden kann. In der Fachdebatte hat sich für die entgegengesetzte Marketingdarstellung der Begriff Sovereignty-Washing etabliert.
Statt „Wo stehen die Server?" fragen Sie: „Wem gehört das Unternehmen, das die Schlüssel verwaltet, und welchem Recht unterliegt es?" Diese Frage lässt sich mit einem Blick ins Impressum und in die Konzernstruktur beantworten — und sie führt zu einer belastbaren Antwort.
Was das für Microsoft 365 heißt — sachlich eingeordnet
Hier ist Genauigkeit wichtig, weil das Thema oft verkürzt wird.
Die Datenschutzkonferenz der deutschen Aufsichtsbehörden kam im November 2022 zu dem Ergebnis, dass der damals gültige Datenschutznachtrag von Microsoft die Anforderungen des Artikel 28 DSGVO nicht vollständig erfüllte. Diese Bewertung bezog sich auf den Einsatz bei öffentlichen Stellen.
Seither hat sich einiges bewegt: Das EU-US Data Privacy Framework ist in Kraft, Microsoft hat nachgebessert und Hilfsmittel zur datenschutzkonformen Konfiguration veröffentlicht. Die hessische Aufsichtsbehörde hat 2026 die Auffassung vertreten, dass ein datenschutzgerechter Einsatz möglich ist, wenn er dokumentiert, sauber konfiguriert und fortlaufend gepflegt wird.
Es wäre falsch zu behaupten, Microsoft 365 sei pauschal unzulässig. Ebenso falsch wäre es, den strukturellen Konflikt zwischen CLOUD Act und DSGVO für erledigt zu erklären; er besteht fort. Für den einzelnen Betrieb heißt das: Es ist eine Abwägung, keine Verbotsfrage. Diese Seite ist eine Einordnung aus der Praxis und ersetzt keine Rechtsberatung — für die verbindliche Bewertung Ihres Falls ist Ihr Datenschutzbeauftragter oder ein Fachanwalt zuständig.
Die vier Stufen der Datenklassifizierung
Souveränität ist keine Alles-oder-nichts-Entscheidung. In der Praxis funktioniert es am besten, die eigenen Daten in vier Töpfe zu sortieren und für jeden Topf getrennt zu entscheiden:
| Stufe | Beispiele | Sinnvoller Ort |
|---|---|---|
| Öffentlich | Website, Prospekte, Stellenanzeigen | Cloud — Reichweite ist hier ein Vorteil |
| Intern | Projektablage, Kalender, Notizen | Beides vertretbar |
| Vertraulich | Verträge, Kalkulationen, Personalakten | Eigener Server |
| Besonders geschützt | Gesundheits-, Mandanten-, Beschäftigtendaten | Eigener Server, mit strengen Rechten |
Die meisten Betriebe stellen bei dieser Übung fest, dass der Großteil ihrer Daten in die oberen beiden Stufen fällt — und dass die wirklich heiklen Bestände klein und gut eingrenzbar sind. Genau diese lassen sich mit überschaubarem Aufwand ins Haus holen.
Was ein eigener Server tatsächlich löst
Damit hier keine falsche Erwartung entsteht — eine ehrliche Bilanz:
Gelöst wird: die Frage der Drittlandübermittlung für die betroffenen Verarbeitungen; der Zugriff Dritter auf ruhende Daten; die Abhängigkeit von Preis- und Funktionsänderungen; die Frage, was bei einer Kündigung mit Ihren Beständen passiert.
Nicht gelöst wird: Ihre übrigen DSGVO-Pflichten. Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Löschkonzept, Rechte der Betroffenen, Meldewege bei Datenpannen — all das bleibt. Ein eigener Server macht diese Pflichten teilweise einfacher zu erfüllen, aber er erfüllt sie nicht für Sie.
Neu hinzu kommt: Verantwortung für Betrieb, Updates und Backup. Wir richten das ein und schulen Ihr Team darauf — aber jemand bei Ihnen muss es annehmen.
Quellen und weiterführende Einordnung
- Datenschutzkonferenz (DSK), Festlegung zu Microsoft 365, November 2022 — Bewertung des damaligen Datenschutznachtrags im Hinblick auf Art. 28 DSGVO, bezogen auf öffentliche Stellen.
- Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI), Einordnung 2026 zur Möglichkeit eines datenschutzgerechten Einsatzes bei dokumentierter Konfiguration.
- US CLOUD Act (2018) — Herausgabepflicht für Daten unter der Kontrolle US-amerikanischer Unternehmen, unabhängig vom Speicherort.
- Anhörung von Microsoft vor dem französischen Senat zur Frage garantierter Datensouveränität unter dem CLOUD Act.
- EU-US Data Privacy Framework als aktuelle Grundlage für Übermittlungen in die USA.
Der Stand der Bewertung ändert sich. Diese Seite gibt den Stand vom August 2026 wieder; prüfen Sie bei konkreten Entscheidungen die jeweils aktuelle Lage.
Häufige Fragen
Ist Microsoft 365 nun DSGVO-konform oder nicht?
Pauschal lässt sich das nicht beantworten, und Anbieter, die das tun, vereinfachen. Die Festlegung der Datenschutzkonferenz von 2022 bezog sich auf öffentliche Stellen und den damaligen Vertragsstand. Seither hat sich die Lage verändert; einzelne Aufsichtsbehörden halten einen datenschutzgerechten Einsatz bei sauberer Konfiguration für möglich. Der strukturelle Konflikt mit dem CLOUD Act besteht daneben fort. Für Ihren konkreten Fall ist eine rechtliche Prüfung nötig.
Reicht es nicht, einen deutschen Anbieter zu wählen?
Das ist ein deutlicher Schritt, aber prüfen Sie den Konzernsitz und nicht nur den Standort des Rechenzentrums. Ein deutsches Rechenzentrum unter US-amerikanischer Konzernkontrolle unterliegt weiterhin dem Zugriffsrecht des Mutterlands.
Betrifft das auch kleine Betriebe?
Rechtlich gelten die DSGVO-Pflichten unabhängig von der Größe. Praktisch stellt sich die Frage vor allem dort, wo besonders geschützte Daten verarbeitet werden — in Praxen, Kanzleien, im Personalwesen. Für einen Betrieb ohne solche Daten ist Souveränität eher eine Kosten- und Abhängigkeitsfrage als eine Datenschutzfrage.
Ersetzt diese Seite eine Rechtsberatung?
Nein. Wir sind IT-Dienstleister und beschreiben hier den Stand, wie wir ihn für unsere Arbeit einordnen. Die verbindliche Bewertung Ihres Einzelfalls gehört zu Ihrem Datenschutzbeauftragten oder einem Fachanwalt für IT-Recht.
Was ist der erste sinnvolle Schritt?
Die Datenklassifizierung aus dem Abschnitt oben. Sie kostet einen halben Tag, braucht keine Investition und zeigt Ihnen, wie groß Ihr eigentliches Problem ist. Häufig ist es kleiner als befürchtet und lässt sich gezielt lösen.