Microsoft 365: Neue Datenschutzklausel löst Debatte über Cloud-Daten aus

Das aktualisierte Data Protection Addendum für Microsoft 365, das seit dem 1. November 2026 gilt, hat bei Nutzern und Rechtsexperten Debatten über die datenschutzrechtliche Konformität ausgelöst. Der US-Konzern nahm eine neue Bestimmung in das Vertragswerk auf, die für erhebliche Verwirrung in Fachkreisen und bei Unternehmenskunden sorgt.

Die neu eingefügte Regelung gestattet es Microsoft, bei seinen Online-Diensten festgestellte, offensichtlich rechtswidrige Inhalte im Zusammenhang mit sexuellem Kindesmissbrauch an Organisationen wie das National Center for Missing & Exploited Children sowie an staatliche Ermittlungsbehörden zu übermitteln.

In Fachblogs und sozialen Netzwerken wurde dieser Passus unmittelbar nach Bekanntwerden diskutiert und teilweise als mögliches Einfallstor für eine systematische Überwachung und Durchsuchung sämtlicher in der Cloud gespeicherter Daten interpretiert.

Keine Befugnis zu automatisierter Durchsuchung

Rechtsberater treten diesen Befürchtungen jedoch entgegen und betonen, dass die Neuerung keine rechtliche Erlaubnis darstelle, Kundeninhalte in der Cloud anlasslos oder flächendeckend zu durchkämmen. Eine entsprechende Meldung an Behörden setze zwingend voraus, dass Microsoft den betroffenen Inhalt zuvor tatsächlich zur Kenntnis genommen habe.

Wer sich mit der rechtssicheren Dokumentation von Datenverarbeitungen in der Cloud befasst, muss die strengen Vorgaben des Art. 30 DSGVO genau kennen. Diese kostenlose Excel-Vorlage hilft Verantwortlichen dabei, das notwendige Verarbeitungsverzeichnis zeitsparend und vollständig zu erstellen. Kostenlose Muster-Vorlage und Anleitung jetzt herunterladen

Ein auf IT-Recht spezialisierter Rechtsanwalt warnte vor verfrühten Überreaktionen und verwies darauf, dass die Befugnis zur systematischen Durchsuchung der Kundenserver nach illegalem Material im Vertragswerk gerade nicht verankert sei.

An der grundlegenden vertraglichen Struktur ändert sich durch den Passus nach rechtlicher Einschätzung wenig. Für die reguläre Bereitstellung der Cloud-Infrastruktur agiert Microsoft weiterhin als klassischer Auftragsverarbeiter, der strikt an die Weisungen der Firmenkunden gebunden ist.

Die im Rahmen der Datenschutz-Grundverordnung etablierte Rollenverteilung zwischen dem Cloud-Dienstleister und den verantwortlichen Unternehmen bleibt damit im gewöhnlichen Betrieb unverändert bestehen.

Handlungsempfehlungen für Unternehmenskunden

Gleichwohl sehen Branchenbeobachter organisatorischen Anpassungsbedarf auf Seiten der Unternehmenskunden. Ein Fachjurist für Informationstechnologierecht empfiehlt Firmen, ihre bestehenden Datenschutzhinweise vorsorglich zu ergänzen und laufende Datenschutz-Folgenabschätzungen auf den neuesten Stand zu bringen.

Da Anpassungen bei großen Cloud-Anbietern oft eine Aktualisierung der eigenen Risikoanalyse erfordern, sollten Unternehmen ihre Dokumentation regelmäßig prüfen. Dieser kostenlose Report liefert Antworten auf die wichtigsten Fragen zur Datenschutz-Folgenabschätzung und enthält direkt einsetzbare Muster-Vorlagen. Rechtssichere Muster-DSFA jetzt kostenlos anfordern

Zudem sollten Unternehmen klare interne Richtlinien und Verfahrensschritte definieren, um für etwaige Verdachtsfälle rechtssicher aufgestellt zu sein.