HBDI gibt grünes Licht für Microsoft 365 – unter Bedingungen
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) hat mit seinem am 15. November 2025 veröffentlichten Bericht bestätigt, dass Microsoft 365 unter bestimmten Bedingungen datenschutzkonform genutzt werden kann.
Hintergrund der Einschätzung
Nach früherer Kritik der Datenschutzkonferenz (DSK), wonach das Vertragswerk (Data Protection Addendum, DPA) von Microsoft im Jahr 2022 nicht den Anforderungen des Art. 28 DS-GVO genügen habe, hat der HBDI in intensiven Gesprächen mit Microsoft neu bewertet, ob und unter welchen Voraussetzungen ein rechtskonformer Betrieb möglich ist.
Microsoft hat demnach sein Datenschutzkonzept ergänzt: Die sogenannte „EU-Datengrenze“ soll sicherstellen, dass nahezu alle personenbezogenen Daten im Europäischen Wirtschaftsraum bleiben. Das DPA wurde überarbeitet, und mit dem bereitgestellten „M365-Kit“ bekommen Nutzer Hilfsmittel an die Hand, um ihre Dokumentations‑ und Compliancepflichten datenschutzkonform zu erfüllen.
Wichtige Voraussetzungen für Datenschutzkonformität
Die Freigabe gilt – vorbehaltlich folgender Rahmenbedingungen:
- Verantwortliche (Behörden oder Unternehmen) müssen den überarbeiteten DPA mit Microsoft schließen.
- Eine datenschutzgerechte Konfiguration und operative Umsetzung sind erforderlich; der Bericht basiert nicht auf einer tiefgehenden technischen Prüfung aller M365‑Dienste, sondern auf rechtlichen und organisatorischen Zusagen.
- Für öffentliche Stellen in Hessen ergibt sich eine rechtliche und handlungspraktische Orientierung, keine automatische DSGVO‑Konformität für alle Nutzungsszenarien.
Für Datenschutzbeauftragte und IT‑Verantwortliche in Unternehmen oder Behörden bedeutet die Einschätzung des HBDI: Microsoft 365 kann, sofern die Rahmenbedingungen eingehalten werden, ein zulässiges und nutzbares Tool sein. Allerdings ersetzt die Stellungnahme keine eigenständige rechtliche Bewertung und keine konkrete Risikoanalyse.
(Foto: IB Photography – stock.adobe.com)
Das könnte Sie auch interessieren
-
Folge 90: KI Omnibus Update März 2026 reloaded: Reallabore Spezial
Im DataAgenda-Podcast Folge 89 hat Kai Zenner über die anstehenden Änderungen der KI-Verordnung berichtet, die im August 2026 Geltung erlangen sollen. Einer der Gegenstände der Änderung betrifft das sog. New Legal Framework in Anhang 1. Die dort unter Abschnitt A aufgelisteten Harmonisierungsvorschriften führen zu einer Doppelregulierung. Deshalb sollen die dort aufgeführten Produkte in Abschnitt B
Mehr erfahren -
Folge 89: KI Omnibus Update März 2026
Änderungen der KI-VO stehen in den Startblöcken. So wie es aussieht, wird das am 1. August 2024 in Kraft getretene EU-Gesetz geändert, noch bevor der Großteil der maßgeblichen Pflichten am 2. August 2026 Geltung erlangt. Kai Zenner, Büroleiter von MdEP Axel Voss berichtet am Tag der Ausschussabstimmung im Europäischen Parlament tagesaktuell von Zeitplan und Inhalten
Mehr erfahren -
Folge 88: „NIS-2: Regulierung als Chance oder Bürokratiemonster?“
Mit der fortschreitenden Digitalisierung wachsen nicht nur die Risiken für die Datensicherheit, sondern auch die regulatorischen Anforderungen. Dr. Judith Nink, Fachbereichsleiterin Cybersicherheit bei Unternehmen, Digitale Sicherheit beim Bundesamt für Sicherheit in der Informationstechnologie (BSI), erläutert NIS-2 im europäischen Regulierungskontext. Warum ist NIS-2 notwendig? Was ist zu tun? Wie können Unternehmen das Recht umsetzen und welche
Mehr erfahren
