HBDI gibt grünes Licht für Microsoft 365 – unter Bedingungen
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) hat mit seinem am 15. November 2025 veröffentlichten Bericht bestätigt, dass Microsoft 365 unter bestimmten Bedingungen datenschutzkonform genutzt werden kann.
Hintergrund der Einschätzung
Nach früherer Kritik der Datenschutzkonferenz (DSK), wonach das Vertragswerk (Data Protection Addendum, DPA) von Microsoft im Jahr 2022 nicht den Anforderungen des Art. 28 DS-GVO genügen habe, hat der HBDI in intensiven Gesprächen mit Microsoft neu bewertet, ob und unter welchen Voraussetzungen ein rechtskonformer Betrieb möglich ist.
Microsoft hat demnach sein Datenschutzkonzept ergänzt: Die sogenannte „EU-Datengrenze“ soll sicherstellen, dass nahezu alle personenbezogenen Daten im Europäischen Wirtschaftsraum bleiben. Das DPA wurde überarbeitet, und mit dem bereitgestellten „M365-Kit“ bekommen Nutzer Hilfsmittel an die Hand, um ihre Dokumentations‑ und Compliancepflichten datenschutzkonform zu erfüllen.
Wichtige Voraussetzungen für Datenschutzkonformität
Die Freigabe gilt – vorbehaltlich folgender Rahmenbedingungen:
- Verantwortliche (Behörden oder Unternehmen) müssen den überarbeiteten DPA mit Microsoft schließen.
- Eine datenschutzgerechte Konfiguration und operative Umsetzung sind erforderlich; der Bericht basiert nicht auf einer tiefgehenden technischen Prüfung aller M365‑Dienste, sondern auf rechtlichen und organisatorischen Zusagen.
- Für öffentliche Stellen in Hessen ergibt sich eine rechtliche und handlungspraktische Orientierung, keine automatische DSGVO‑Konformität für alle Nutzungsszenarien.
Für Datenschutzbeauftragte und IT‑Verantwortliche in Unternehmen oder Behörden bedeutet die Einschätzung des HBDI: Microsoft 365 kann, sofern die Rahmenbedingungen eingehalten werden, ein zulässiges und nutzbares Tool sein. Allerdings ersetzt die Stellungnahme keine eigenständige rechtliche Bewertung und keine konkrete Risikoanalyse.
(Foto: IB Photography – stock.adobe.com)
Das könnte Sie auch interessieren
-
408.000 Euro Bußgeld wegen fehlenden Datenschutzes durch Technikgestaltung
Die spanische Datenschutzbehörde AEPD hat gegen die CaixaBank Geldbußen von insgesamt 510.000 Euro festgesetzt (Verfahren PS-00028-2025). Die Bank hatte bei der Abwicklung von Erbfällen standardmäßig mehr Daten verlangt als erforderlich und die Erben unzureichend informiert. Da sie die Geldbuße freiwillig vorab bezahlte, ermäßigte sich der Betrag um 20 Prozent auf 408.000 Euro. Sachverhalt Nach dem
Mehr erfahren -
Verlorene Papierakte: DS-GVO greift, Schadensersatz aber nicht
Auch Papierakten können unter die DS-GVO fallen. Wenn eine solche Akte verschwindet, begründet das aber nicht automatisch einen Anspruch auf Schmerzensgeld. Das hat das LG Magdeburg mit Urteil vom 25.06.2026 (Az. 10 O 1894/25) entschieden. Das Urteil ist rechtskräftig. Sachverhalt Bei einem Fachaufsichtsbesuch in der JVA Burg fiel auf, dass ein Ordner mit der Einsatzakte
Mehr erfahren -
Standortdaten: 403 Millionen Euro Bußgeld gegen Google
Die irische Datenschutzbehörde (DPC) hat am 21.09.2026 ein Bußgeld von 403 Millionen Euro gegen Google Ireland verhängt. Gegenstand ist die Verarbeitung von Standortdaten über die Kontoeinstellungen „Location History“, „Web & App Activity“ und „Location Accuracy“ im Zeitraum von Mai 2018 bis Februar 2020. Das Verfahren ging auf Beschwerden europäischer Verbraucherverbände zurück, darunter der europäische Dachverband
Mehr erfahren
