{"id":3689,"date":"2026-10-05T22:26:33","date_gmt":"2026-10-05T20:26:33","guid":{"rendered":"https:\/\/eu.klytic.com\/?page_id=3689"},"modified":"2026-10-06T17:22:01","modified_gmt":"2026-10-06T15:22:01","slug":"dsgvo-microsoft-365","status":"publish","type":"page","link":"https:\/\/eu.klytic.com\/de\/dsgvo-microsoft-365\/","title":{"rendered":"DSGVO und Microsoft 365: Was ein Unternehmen pr\u00fcfen muss"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-page\" data-elementor-id=\"3689\" class=\"elementor elementor-3689 elementor-3215\" data-elementor-post-type=\"page\">\n\t\t\t\t<div class=\"elementor-element elementor-element-804f14a e-con-full kly-g e-flex e-con e-parent\" data-id=\"804f14a\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-6e34e43 e-con-full kly-g-hero e-flex e-con e-parent\" data-id=\"6e34e43\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-24426ef e-con-full kly-g-hero-in e-flex e-con e-parent\" data-id=\"24426ef\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-2f2bbb9 elementor-widget elementor-widget-text-editor\" data-id=\"2f2bbb9\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-crumb\"><a href=\"\/de\/\">Startseite<\/a><span>\u203a<\/span><a href=\"\/de\/ratgeber\/\">Ratgeber<\/a><span>\u203a<\/span><a href=\"\/de\/ratgeber\/#souverainete\">Souver\u00e4nit\u00e4t<\/a><\/p><p class=\"kly-g-pill\" style=\"--pill:#38bdf8\">Souver\u00e4nit\u00e4t<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-864133f elementor-widget elementor-widget-heading\" data-id=\"864133f\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"heading.default\">\n\t\t\t\t\t<h1 class=\"elementor-heading-title elementor-size-default\">DSGVO und Microsoft 365: Was ein Unternehmen pr\u00fcfen muss<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-692e527 elementor-widget elementor-widget-text-editor\" data-id=\"692e527\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-lead\">Microsoft 365 kann im Rahmen der DSGVO (Datenschutz-Grundverordnung) genutzt werden. Die Verordnung verbietet amerikanische Softwarehersteller nicht. Sie verlangt, zu wissen, wer was verarbeitet, auf welcher Grundlage die Daten die Union verlassen und wie die betroffenen Personen ihre Rechte aus\u00fcben. Hier steht, was ein Unternehmen der Reihe nach pr\u00fcfen muss und was es in das Verzeichnis eintragen sollte.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-892c23f elementor-widget elementor-widget-text-editor\" data-id=\"892c23f\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-meta\"><span>Aktualisiert im <b>Oktober 2026<\/b><\/span><span><b>9 Min.<\/b> Lesezeit<\/span><span>Mit offiziellen Quellen<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-d4901f3 e-con-full kly-g-body e-flex e-con e-parent\" data-id=\"d4901f3\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-439a95e e-con-full kly-g-article e-flex e-con e-parent\" data-id=\"439a95e\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-8654d25 elementor-widget elementor-widget-text-editor\" data-id=\"8654d25\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>1. Die Rolle jedes Beteiligten<\/h2><p>F\u00fcr die Inhalte der Postf\u00e4cher, der Dateien und der Teams, die Sie administrieren, ist der Kunde in der Regel Verantwortlicher. Microsoft ist Auftragsverarbeiter. F\u00fcr bestimmte Konto-, Abrechnungs-, Sicherheits- und Dienstmessungsdaten kann Microsoft eigenst\u00e4ndig Verantwortlicher sein. Das Data Processing Addendum und das Microsoft Privacy Statement trennen diese F\u00e4lle.<\/p><p><strong>So pr\u00fcfen Sie.<\/strong> Die Rolle bestimmt die Pflichten. Lesen Sie beide Dokumente nebeneinander und ordnen Sie jede Datenkategorie einem Feld zu. Eine Steuerberatungs- und Wirtschaftspr\u00fcfungskanzlei mit 25 Mitarbeitenden hat zum Beispiel auf der einen Seite die E-Mails und Kundenakten (Microsoft als Auftragsverarbeiter), auf der anderen die Abrechnung des Abonnements (Microsoft als eigenst\u00e4ndiger Verantwortlicher).<\/p><p><strong>Im Verzeichnis.<\/strong> Eine Zeile pro Verarbeitung, mit der Rolle von Microsoft und dem Dokument, auf dem sie beruht.<\/p><p><strong>H\u00e4ufiger Fehler.<\/strong> \u201eMicrosoft ist unser Auftragsverarbeiter\u201c f\u00fcr den gesamten Dienst schreiben.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-33358bf elementor-widget elementor-widget-text-editor\" data-id=\"33358bf\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>2. Der DPA ist unterzeichnet und deckt die tats\u00e4chlich aktivierten Dienste ab<\/h2><p>Der DPA von Microsoft ist in die Online-Bedingungen einbezogen. Pr\u00fcfen Sie, ob er die Dienste abdeckt, die Sie eingeschaltet haben: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate und jeden Konnektor.<\/p><p><strong>So pr\u00fcfen Sie.<\/strong> Ein Tenant entwickelt sich \u00fcber die urspr\u00fcngliche Bestellung hinaus. Vergleichen Sie die Liste der im Admin Center eingeschalteten Dienste mit dem Geltungsbereich des DPA, und archivieren Sie die zum Pr\u00fcfdatum geltende Fassung des DPA.<\/p><p><strong>Im Verzeichnis.<\/strong> Der Dienst, das Aktivierungsdatum, der Zweck. Ein Dienst, den ein Administrator \u201ezum Ausprobieren\u201c aktiviert hat, geh\u00f6rt ab dem Tag in das Verzeichnis, an dem er Daten Ihrer Mitarbeitenden oder Ihrer Kunden verarbeitet.<\/p><p><strong>H\u00e4ufiger Fehler.<\/strong> Annehmen, dass ein Konnektor zu einem Drittwerkzeug unter den DPA von Microsoft f\u00e4llt. Der Dritte hat eigene Bedingungen, die gesondert zu lesen sind.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-5f8dcb5 elementor-widget elementor-widget-text-editor\" data-id=\"5f8dcb5\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>3. Wo die Daten liegen, Dienst f\u00fcr Dienst<\/h2><p>F\u00fcr einen berechtigten Tenant beschreibt Microsoft die EU Data Boundary: Kundendaten und pseudonymisierte personenbezogene Daten, die in der EU oder der EFTA gespeichert und verarbeitet werden, Daten professioneller Dienstleistungen, die in dieser Zone im Ruhezustand gespeichert werden. Drei Pr\u00fcfungen verhindern, dass die Ank\u00fcndigung f\u00fcr einen vollst\u00e4ndigen Geltungsbereich gehalten wird.<\/p><ul><li>Liegt der Tenant im Geltungsbereich? Ein Multi-Geo-Kunde liegt laut der Dokumentation von Microsoft nicht darin, auch wenn das Registrierungsland europ\u00e4isch ist.<\/li><li>Welche Ausnahmen bestehen fort? Fernzugriff des Supports von au\u00dferhalb der Zone bei bestimmten Vorf\u00e4llen, au\u00dferhalb der Zone gespeicherte Elemente eskalierter Tickets, Sprachnachrichten an den Support, optionale Funktionen.<\/li><li>Welche Dienste au\u00dferhalb des Kerns (Copilot, Teams-Telefonie, Konnektoren) l\u00f6sen eine \u00dcbermittlung aus, weil der Administrator sie aktiviert hat?<\/li><\/ul><p><strong>Warum.<\/strong> Die Grenze ist ein Geltungsbereich mit ver\u00f6ffentlichten Ausnahmen, und genau diese Ausnahmen muss Ihr Verzeichnis abbilden. Die Seite <a href='\/de\/daten-in-europa-gehostet\/'>in Europa gehostete Daten<\/a> erl\u00e4utert, warum diese Liste das eigentliche Thema ist.<\/p><p><strong>So pr\u00fcfen und dokumentieren Sie.<\/strong> Gleichen Sie die Konfiguration des Tenants (Multi-Geo oder nicht, aktivierte optionale Funktionen) Zeile f\u00fcr Zeile mit der Ausnahmenseite von Microsoft ab, und tragen Sie die Sie betreffenden Ausnahmen in das Verzeichnis ein.<\/p><p><strong>H\u00e4ufiger Fehler.<\/strong> \u201eDaten in Europa\u201c in die Datenschutzerkl\u00e4rung \u00fcbernehmen, ohne den Support oder die optionalen Funktionen zu erw\u00e4hnen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-e86430c elementor-widget elementor-widget-text-editor\" data-id=\"e86430c\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>4. Die Rechtsgrundlage der \u00dcbermittlung<\/h2><p>Wenn personenbezogene Daten von den Vereinigten Staaten aus zug\u00e4nglich sind oder an eine amerikanische Organisation \u00fcbermittelt werden, braucht die \u00dcbermittlung eine Rechtsgrundlage: Angemessenheitsbeschluss, Standardvertragsklauseln oder ein anderes Instrument nach Artikel 46 DSGVO.<\/p><p>Mit Stand vom 5. Oktober 2026 ist der Beschluss (EU) 2023\/1795 (Data Privacy Framework) f\u00fcr zertifizierte amerikanische Organisationen in Kraft. Er wird vor dem Gerichtshof angefochten und ist Gegenstand einer politischen \u00dcberpr\u00fcfung. Nach einem Kommentar der Anwaltskanzlei WilmerHale hat das Gericht der Europ\u00e4ischen Union am 3. September 2025 eine Nichtigkeitsklage abgewiesen, und am 31. Oktober 2025 wurde ein Rechtsmittel beim Gerichtshof eingelegt. Die Kanzlei DAC Beachcroft fasst die Lage im Titel ihres eigenen Kommentars zusammen: vorerst Stabilit\u00e4t, danach Unsicherheit. Solange der Beschluss weder zur\u00fcckgenommen noch f\u00fcr nichtig erkl\u00e4rt ist, k\u00f6nnen sich die von ihm erfassten \u00dcbermittlungen darauf st\u00fctzen.<\/p><p>Der Pr\u00e4zedenzfall erkl\u00e4rt die Vorsicht. Am 16. Juli 2020 hat der Gerichtshof im Urteil C-311\/18 (sogenanntes Schrems-II-Urteil) den Beschluss 2016\/1250 (Privacy Shield) f\u00fcr ung\u00fcltig erkl\u00e4rt, insbesondere wegen des Umfangs der amerikanischen \u00dcberwachungsprogramme und des Fehlens eines wirksamen Rechtsbehelfs. Die Standardvertragsklauseln blieben g\u00fcltig, erfordern aber eine Einzelfallpr\u00fcfung.<\/p><p>Der CLOUD Act wird nicht im DPA \u201eunterzeichnet\u201c. Er gilt gegebenenfalls f\u00fcr Microsoft als amerikanische Gesellschaft, die die Daten besitzt oder kontrolliert. Artikel 48 DSGVO sieht seinerseits vor, dass eine Entscheidung eines Gerichts oder einer Beh\u00f6rde eines Drittlands, mit der die Offenlegung personenbezogener Daten verlangt wird, nur dann anerkannt oder vollstreckbar ist, wenn sie auf eine internationale \u00dcbereinkunft gest\u00fctzt ist, etwa ein Rechtshilfeabkommen, die zwischen diesem Land und der Union oder dem Mitgliedstaat in Kraft ist. Ein in Europa t\u00e4tiger amerikanischer Dienstleister kann sich also zwischen zwei Regeln wiederfinden. Artikel 48 beschreibt diesen Konflikt; er l\u00f6st ihn nicht.<\/p><p>Am 10. Juni 2025 wurde der Direktor f\u00fcr \u00f6ffentliche und rechtliche Angelegenheiten von Microsoft France vor dem Untersuchungsausschuss des Senats zum \u00f6ffentlichen Beschaffungswesen gefragt, ob er unter Eid garantieren k\u00f6nne, dass die Daten franz\u00f6sischer B\u00fcrger, die Microsoft \u00fcber die Ugap anvertraut wurden, niemals infolge einer Anordnung der amerikanischen Regierung ohne die ausdr\u00fcckliche Zustimmung der franz\u00f6sischen Beh\u00f6rden \u00fcbermittelt w\u00fcrden. Er antwortete: \u201eNein, das kann ich nicht garantieren, aber, noch einmal, das ist bisher noch nie vorgekommen.\u201c Die Einzelheiten finden Sie unter <a href='\/de\/unternehmen-vor-cloud-act-schuetzen\/'>ein Unternehmen vor dem CLOUD Act sch\u00fctzen<\/a>.<\/p><p><strong>Im Verzeichnis.<\/strong> Die Rechtsgrundlage jeder \u00dcbermittlung und der Ausweichplan: das Instrument nach Artikel 46, auf das Sie sich st\u00fctzen w\u00fcrden, falls der Beschluss wegfiele.<\/p><p><strong>H\u00e4ufiger Fehler.<\/strong> Den Speicherort (Punkt 3) mit der Rechtsgrundlage der \u00dcbermittlung verwechseln. In Europa gespeicherte Daten k\u00f6nnen von den Vereinigten Staaten aus zug\u00e4nglich bleiben.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-b58336a elementor-widget elementor-widget-text-editor\" data-id=\"b58336a\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>5. Die Betroffenenrechte in der Praxis<\/h2><p>Mitarbeitende oder Kunden k\u00f6nnen Auskunft, Berichtigung, L\u00f6schung, Einschr\u00e4nkung oder Daten\u00fcbertragbarkeit verlangen. Bei Microsoft 365 erfolgt ein Teil davon im Admin Center und im Werkzeug f\u00fcr die Inhaltssuche.<\/p><p><strong>So pr\u00fcfen Sie.<\/strong> Die Frist betr\u00e4gt einen Monat. Der Auftragsverarbeiter stellt die Mittel bereit; der Verantwortliche antwortet der betroffenen Person. Machen Sie einen Probelauf: Die benannte Person extrahiert f\u00fcr ein Testkonto das Postfach, das OneDrive und die Teams-Dateien.<\/p><p><strong>Im Verzeichnis.<\/strong> Das Verfahren, der Name der zust\u00e4ndigen Person und ihrer Vertretung.<\/p><p><strong>H\u00e4ufiger Fehler.<\/strong> Warten, bis ein ehemaliger Mitarbeiter in einem Rechtsstreit einen Antrag stellt, um das Suchwerkzeug zu entdecken.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-74768fa elementor-widget elementor-widget-text-editor\" data-id=\"74768fa\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>6. Aufbewahrungsdauer und Ausstieg<\/h2><p>Aufbewahrung der freigegebenen Postf\u00e4cher, der Protokolle, der Besprechungsaufzeichnungen und der Kopien im Rahmen eines Litigation Hold. Was geschieht bei der K\u00fcndigung mit dem Tenant, innerhalb welcher Frist, und in welchem Format erhalten Sie die Nachrichten, die Dateien und das, was sich nicht exportieren l\u00e4sst (vollst\u00e4ndiger Verlauf der Teams-Unterhaltungen, bestimmte Power-Automate-Flows)?<\/p><p><strong>So pr\u00fcfen Sie.<\/strong> Erfassen Sie die tats\u00e4chlich konfigurierten Fristen, nicht die der internen Richtlinie, und testen Sie den vollst\u00e4ndigen Export eines Kontos.<\/p><p><strong>Im Verzeichnis.<\/strong> Eine Frist pro Kategorie, die Begr\u00fcndung jedes Litigation Hold, das Ausstiegsverfahren.<\/p><p><strong>H\u00e4ufiger Fehler.<\/strong> Einen Litigation Hold noch Jahre nach dem Ende des Rechtsstreits aktiv lassen, der ihn gerechtfertigt hat.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-bc62d4e elementor-widget elementor-widget-text-editor\" data-id=\"bc62d4e\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>7. Die Vorgaben f\u00fcr die Nutzer<\/h2><p>Copilot und die Analysefunktionen verarbeiten die Inhalte, die Sie ihnen anvertrauen. Wenn Sie sie aktivieren, geh\u00f6ren die Information der Mitarbeitenden und der Nutzungsrahmen zur Konformit\u00e4t. Dieser Punkt ist intern in Ihrem Unternehmen. Er h\u00e4ngt nicht vom Land des Rechenzentrums ab.<\/p><p><strong>So pr\u00fcfen Sie.<\/strong> Gibt es ein Informationsschreiben, und legt eine Regel fest, welche Daten diesen Funktionen \u00fcbergeben werden d\u00fcrfen?<\/p><p><strong>H\u00e4ufiger Fehler.<\/strong> Einen Copilot-Pilotversuch f\u00fcr ein Team \u00f6ffnen, ohne die anderen Personen zu informieren, deren Daten in den verarbeiteten Dateien enthalten sind.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-7a4fee2 elementor-widget elementor-widget-text-editor\" data-id=\"7a4fee2\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>H\u00e4ufige Fragen<\/h2><h3>Verbietet die DSGVO Microsoft 365?<\/h3><p>Nein. Die Verordnung regelt die Rollen, die \u00dcbermittlungen und die Rechte der betroffenen Personen. Sie verbietet keinen Softwarehersteller wegen seiner Nationalit\u00e4t; sie verlangt, dass Sie dokumentieren, was Sie tun und auf welcher Grundlage.<\/p><h3>L\u00f6st die EU Data Boundary die Frage des CLOUD Act?<\/h3><p>Nein. Sie beschreibt, wo bestimmte Daten gespeichert und verarbeitet werden. Microsoft bleibt eine amerikanische Gesellschaft, und 18 U.S.C. \u00a7 2713 erfasst Daten, die ein Dienstleister besitzt oder kontrolliert, wo auch immer sie sich befinden.<\/p><h3>Was tun, wenn das Data Privacy Framework f\u00fcr nichtig erkl\u00e4rt wird?<\/h3><p>Das Verzeichnis muss es bereits festhalten. Nach Schrems II blieben die Standardvertragsklauseln g\u00fcltig, mit einer Einzelfallpr\u00fcfung. Wer diese im Voraus vorbereitet, muss sie nicht unter Zeitdruck verfassen.<\/p><h3>Wer antwortet einem Mitarbeiter, der seine Daten anfordert?<\/h3><p>Sie, als Verantwortlicher. Microsoft stellt die Extraktionswerkzeuge bereit; die Antwort und die Monatsfrist obliegen Ihnen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-900e0a3 elementor-widget elementor-widget-text-editor\" data-id=\"900e0a3\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>Wenn die Pr\u00fcfung mit \u201ewir bleiben\u201c endet<\/h2><p>So endet sie, wenn die Microsoft-Nutzungen im Kern des Gesch\u00e4fts stehen, der DPA vorhanden ist, der Residenz-Geltungsbereich verstanden ist und das Verzeichnis die verbleibenden \u00dcbermittlungen dokumentiert. Ein Wechsel der Suite wird nicht allein deshalb zur DSGVO-Pflicht, weil der Softwarehersteller amerikanisch ist.<\/p><p>Die Argumente f\u00fcr das Bleiben sind ernst zu nehmen. Ein Konstruktionsb\u00fcro, das mit fortgeschrittenem Excel, Power BI und Teams arbeitet, w\u00fcrde bei einem Wechsel der Suite Funktionen verlieren, und eine Migration birgt eigene Risiken. Ein gut dokumentierter Microsoft-Tenant ist konformer als eine schlecht dokumentierte Alternative. Die Entscheidung wird neu gepr\u00fcft, wenn sich die Rechtsgrundlage der \u00dcbermittlungen \u00e4ndert. Die Abw\u00e4gungen werden unter <a href='\/de\/microsoft-365-vs-souveraene-loesung\/'>Microsoft 365 behalten oder verlassen<\/a> erl\u00e4utert.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-8f6276a elementor-widget elementor-widget-text-editor\" data-id=\"8f6276a\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>Wenn die Pr\u00fcfung mit \u201ewir wechseln den Betreiber\u201c endet<\/h2><p>So endet sie, wenn die Gesch\u00e4ftsf\u00fchrung will, dass eine europ\u00e4ische Gesellschaft die Inhalte besitzt, oder wenn die Ausnahmen bei \u00dcbermittlungen und Supportzugriffen \u00fcber das hinausgehen, was das Verzeichnis abbilden kann. Der Ansto\u00df kann auch von Kunden kommen: Eine Ausschreibung, die einen europ\u00e4ischen Betreiber verlangt, entscheidet die Frage f\u00fcr den betroffenen Bereich.<\/p><p>Auch diese Schlussfolgerung hat ihre Argumente. Ist der Betreiber europ\u00e4isch und h\u00e4ngt er f\u00fcr den Besitz der Daten nicht von einem amerikanischen Konzern ab, stellt sich der unter Punkt 4 beschriebene Konflikt f\u00fcr diese Daten nicht mehr, sofern seine Unterauftragnehmer nicht wieder einen amerikanischen Dienstleister einf\u00fchren. Von nichts anderem entbindet sie: Auftragsverarbeitungsvertrag, Verzeichnis, Verfahren f\u00fcr die Betroffenenrechte und getesteter Ausstieg bleiben notwendig. Die Seite <a href='\/de\/migration-von-microsoft-365\/'>von Microsoft 365 migrieren<\/a> beschreibt, was dieser Wechsel mit sich bringt, ohne ihn als Automatismus darzustellen, und die <a href='\/de\/checkliste-migration-microsoft-365\/'>Migrations-Checkliste<\/a> gliedert ihn in Schritte.<\/p><p>Klytic, betrieben von der franz\u00f6sischen Gesellschaft Dedicace Software, ist eine der Optionen, wenn sich die Nutzungen auf E-Mail-Dienst, Dokumente (Freigabe, Online-Bearbeitung allein oder gemeinsam, Versionsverlauf), Videokonferenz, CRM und Telefonie beschr\u00e4nken. Die Dienste werden einzeln erworben; man kann auch Microsoft 365 behalten und nur die vorgeschaltete Filterung Klytic MTA hinzuf\u00fcgen. Das Hosting erfolgt in jeder geografischen Zone, die der anwendbaren Rechtsordnung entspricht, vorbehaltlich der Verf\u00fcgbarkeit der ben\u00f6tigten Dienste, zum Beispiel in Europa oder auf Mauritius, oder auf den Servern des Kunden. Die Daten liegen beim Kunden oder bei Klytic in seinem Auftrag und sind nativ oder nach seiner Wahl verschl\u00fcsselt; der Schl\u00fcssel liegt beim Kunden oder wird in seinem Konto verwahrt, und Klytic hat keinen Zugriff darauf. Die Schritte, bei denen die Verschl\u00fcsselung von Klytic verwaltet wird, sind auf der Seite <a href='\/de\/unternehmen-vor-cloud-act-schuetzen\/'>ein Unternehmen vor dem CLOUD Act sch\u00fctzen<\/a> beschrieben. Der Vertrag muss diese Verwahrung und diese Verschl\u00fcsselung beschreiben. Klytic bildet weder fortgeschrittenes Excel noch Power BI noch Teams nach. Es ist nicht nach SecNumCloud qualifiziert, und ein franz\u00f6sischer Betreiber unterliegt weiterhin franz\u00f6sischem Recht.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-8f4c58e kly-g-disclaimer elementor-widget elementor-widget-text-editor\" data-id=\"8f4c58e\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<p>Diese Seite beschreibt einen allgemeinen Rahmen. Sie stellt keine Rechtsberatung dar.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-0ad8fa3 kly-g-legal elementor-widget elementor-widget-text-editor\" data-id=\"0ad8fa3\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<p><b>Rechtsstand: 5. Oktober 2026.<\/b> Dieser Text ersetzt keine Vertragspr\u00fcfung. Der Angemessenheitsbeschluss EU\u2013USA (EU) 2023\/1795 ist in Kraft. Er wird angefochten. F\u00fcr SecNumCloud ist der Katalog der ANSSI ma\u00dfgeblich.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-94df573 kly-g-sources elementor-widget elementor-widget-text-editor\" data-id=\"94df573\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>Quellen<\/h2><p>Abgerufen im Oktober 2026.<\/p><ul><li>Verordnung (EU) 2016\/679, Artikel 28 (Auftragsverarbeiter), 44 bis 49 (\u00dcbermittlungen), darunter Artikel 48 (Entscheidungen von Beh\u00f6rden aus Drittl\u00e4ndern). <a href='https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX:32016R0679' rel='noopener' target='_blank'>EUR-Lex<\/a><\/li><li>Microsoft, Nachtrag zum Datenschutz (DPA). <a href='https:\/\/www.microsoft.com\/licensing\/docs\/view\/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA' rel='noopener' target='_blank'>Microsoft Licensing<\/a><\/li><li>Microsoft, EU Data Boundary: Geltungsbereich, Berechtigung, Ausschluss von Multi-Geo. <a href='https:\/\/learn.microsoft.com\/en-us\/privacy\/eudb\/eu-data-boundary-learn' rel='noopener' target='_blank'>Microsoft Learn<\/a><\/li><li>Microsoft, Ausnahmen bei \u00dcbermittlungen, darunter der Support. <a href='https:\/\/learn.microsoft.com\/en-us\/privacy\/eudb\/eu-data-boundary-transfers-for-all-services' rel='noopener' target='_blank'>Microsoft Learn<\/a><\/li><li>Beschluss (EU) 2023\/1795. <a href='https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX:32023D1795' rel='noopener' target='_blank'>EUR-Lex<\/a><\/li><li>Gerichtshof der Europ\u00e4ischen Union, 16. Juli 2020, C-311\/18 (Schrems II). <a href='https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX:62018CJ0311' rel='noopener' target='_blank'>EUR-Lex<\/a><\/li><li>Zum Rechtsstreit um das Data Privacy Framework, Kommentar von Anw\u00e4lten, keine Entscheidung: WilmerHale, \u201eEuropean Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework\u201c, 1. Dezember 2025. <a href='https:\/\/www.wilmerhale.com\/en\/insights\/blogs\/wilmerhale-privacy-and-cybersecurity-law\/20251201-european-court-of-justice-to-review-challenge-to-eu-us-data-privacy-framework' rel='noopener' target='_blank'>wilmerhale.com<\/a><\/li><li>Zum Rechtsstreit und zur laufenden \u00dcberpr\u00fcfung, Kommentar von Anw\u00e4lten, keine Entscheidung: DAC Beachcroft, \u201eThe EU\u2013US Data Privacy Framework: stability for now, uncertainty ahead\u201c. <a href='https:\/\/www.dacbeachcroft.com\/en\/What-we-think\/The-EU-US-Data-Privacy-Framework-Stability-for-now-uncertainty-ahead' rel='noopener' target='_blank'>dacbeachcroft.com<\/a><\/li><li>18 U.S.C. \u00a7 2713. <a href='https:\/\/www.govinfo.gov\/content\/pkg\/USCODE-2023-title18\/html\/USCODE-2023-title18-partI-chap121-sec2713.htm' rel='noopener' target='_blank'>govinfo<\/a><\/li><li>Franz\u00f6sischer Senat, Untersuchungsausschuss zum \u00f6ffentlichen Beschaffungswesen, Protokoll der Woche vom 9. Juni 2025 (Anh\u00f6rung vom 10. Juni 2025). <a href='https:\/\/www.senat.fr\/compte-rendu-commissions\/20250609\/ce_commande_publique.html' rel='noopener' target='_blank'>senat.fr<\/a><\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-9567761 e-con-full kly-g-aside e-flex e-con e-parent\" data-id=\"9567761\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-95110b3 elementor-widget elementor-widget-html\" data-id=\"95110b3\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"html.default\">\n\t\t\t\t\t<nav class=\"kly-g-toc\" aria-label=\"Inhalt\"><p>Auf dieser Seite<\/p><ol><\/ol><\/nav>\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-d31fe47 elementor-widget elementor-widget-text-editor\" data-id=\"d31fe47\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<div class=\"kly-g-cta\"><h3>Ein franz\u00f6sischer Betreiber f\u00fcr Ihre Daten<\/h3><p>E-Mail, Dokumente, Videokonferenz, CRM und Telefonie, gehostet in der Zone, die Ihrer Rechtsordnung entspricht, zum Beispiel in Europa oder auf Mauritius, oder bei Ihnen vor Ort.<\/p><p><a class=\"kly-g-btn\" href=\"\/de\/kontakt\/\">Mit einem Berater sprechen \u2192<\/a><\/p><p style=\"margin:0\"><a class=\"kly-g-btn ghost\" href=\"\/de\/hosting-souveraenitaet\/\">Das Hosting von Klytic<\/a><\/p><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-15905f6 e-con-full kly-g-related e-flex e-con e-parent\" data-id=\"15905f6\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-5135de5 elementor-widget elementor-widget-text-editor\" data-id=\"5135de5\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t\t\t\t\t\t<h2>Weiterlesen<\/h2><div class=\"kly-g-grid\"><a class=\"kly-g-card\" href=\"\/de\/dsgvo-google-workspace\/\" style=\"--cat:#0077cc\"><span class=\"c\">Souver\u00e4nit\u00e4t<\/span><span class=\"t\">DSGVO und Google Workspace: Was ein Unternehmen pr\u00fcfen muss<\/span><span class=\"q\">Rollen, Datenregionen, Supportzugriff, nicht abgedeckte Protokolle, \u00dcbermittlungen und Ausstieg: was vor dem Abschluss des Themas Google Workspace zu pr\u00fcfen ist.<\/span><span class=\"m\"><span>9 Min. Lesezeit<\/span><b>Lesen \u2192<\/b><\/span><\/a><a class=\"kly-g-card\" href=\"\/de\/was-ist-eine-souveraene-cloud\/\" style=\"--cat:#0077cc\"><span class=\"c\">Souver\u00e4nit\u00e4t<\/span><span class=\"t\">Was ist eine souver\u00e4ne Cloud?<\/span><span class=\"q\">Eine souver\u00e4ne Cloud bemisst sich an Betreiber, anwendbarem Recht, Zugriffskontrolle und Datenexport. Der Standort des Rechenzentrums gen\u00fcgt nicht.<\/span><span class=\"m\"><span>8 Min. Lesezeit<\/span><b>Lesen \u2192<\/b><\/span><\/a><a class=\"kly-g-card\" href=\"\/de\/europaeische-alternativen-microsoft-365\/\" style=\"--cat:#6d28d9\"><span class=\"c\">Vergleiche<\/span><span class=\"t\">Europ\u00e4ische Alternativen zu Microsoft 365: Leitfaden 2026<\/span><span class=\"q\">Auswahlkriterien, dann Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, weitere Anbieter und Klytic. Wann welcher geeignet ist.<\/span><span class=\"m\"><span>17 Min. Lesezeit<\/span><b>Lesen \u2192<\/b><\/span><\/a><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-539316dd e-con e-atomic-element e-div-block-base e-default-div e-c9fd865-4a50 \" data-id=\"539316dd\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"539316dd\" data-e-type=\"e-div-block\" data-id=\"539316dd\">\n    <div class=\"elementor-element elementor-element-4f79afcb e-con e-atomic-element e-div-block-base e-default-div e-4fa9fe-ce86 \" data-id=\"4f79afcb\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"4f79afcb\" data-e-type=\"e-div-block\" data-id=\"4f79afcb\">\n    \t\t\t<p class=\"e-4dcf5c70-2ec7 e-paragraph-base e-default-p\" data-interaction-id=\"330a7a35\" data-e-type=\"widget\" data-id=\"330a7a35\">Willkommensangebot<\/p>\n\t\t\t\t\t<h2 data-interaction-id=\"56f1f7d5\" class=\"e-347faa43-4e20 e-heading-base e-default-h2\" data-e-type=\"widget\" data-id=\"56f1f7d5\">30 Tage kostenloser Test, begleitete Migration<\/h2>\n\t\t\t\t\t<p class=\"e-7f6310da-1caa e-paragraph-base e-default-p\" data-interaction-id=\"2ce27288\" data-e-type=\"widget\" data-id=\"2ce27288\">Testangebot ohne Verpflichtung. Ein Berater ruft Sie zur\u00fcck, um Ihre Bed\u00fcrfnisse zu verstehen und Ihren Klytic-Bereich vorzubereiten.<\/p>\n\t\t<div class=\"elementor-element elementor-element-35ea29a1 e-con e-atomic-element e-div-block-base e-default-div e-1cd48b22-e6da \" data-id=\"35ea29a1\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"35ea29a1\" data-e-type=\"e-div-block\" data-id=\"35ea29a1\">\n    \t\t\t<a href=\"https:\/\/eu.klytic.com\/de\/30-tage-kostenlos-testen\/\" target=\"_self\" class=\"e-4a7886e3-652d e-button-base e-default-a\" data-interaction-id=\"19bfa8f1\" data-e-type=\"widget\" data-id=\"19bfa8f1\">\n\t\ud83d\ude80 Kostenlosen Test starten\n<\/a>\n\t\t\t\t\t<a href=\"https:\/\/eu.klytic.com\/de\/preise\/\" target=\"_self\" class=\"e-137e863d-dd0d e-button-base e-default-a\" data-interaction-id=\"326d82ab\" data-e-type=\"widget\" data-id=\"326d82ab\">\n\tPreise ansehen\n<\/a>\n\t\t\n<\/div>\n\n<\/div>\n\n<\/div>\n\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Accueil\u203aGuides\u203aSouverainet\u00e9 Souverainet\u00e9 RGPD et Microsoft 365 : ce qu\u2019une entreprise doit v\u00e9rifier Microsoft 365 peut \u00eatre utilis\u00e9 dans un cadre RGPD. Le r\u00e8glement n\u2019interdit pas les \u00e9diteurs am\u00e9ricains. Il impose de savoir qui traite quoi, sur quelle base les donn\u00e9es quittent l\u2019Union, et comment les personnes exercent leurs droits. Voici ce qu\u2019une entreprise doit v\u00e9rifier, [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"elementor_header_footer","meta":{"_seopress_titles_title":"DSGVO und Microsoft 365: Was ein Unternehmen pr\u00fcfen muss | Klytic","_seopress_titles_desc":"Rollen, DPA, europ\u00e4ische Datengrenze, \u00dcbermittlungen, Betroffenenrechte und Ausstieg: die DSGVO-Pr\u00fcfungen, bevor Sie das Thema Microsoft 365 abschlie\u00dfen.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"DSGVO und Microsoft 365: Was ein Unternehmen pr\u00fcfen muss | Klytic","_seopress_social_fb_desc":"Rollen, DPA, europ\u00e4ische Datengrenze, \u00dcbermittlungen, Betroffenenrechte und Ausstieg: die DSGVO-Pr\u00fcfungen, bevor Sie das Thema Microsoft 365 abschlie\u00dfen.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"DSGVO und Microsoft 365: Was ein Unternehmen pr\u00fcfen muss | Klytic","_seopress_social_twitter_desc":"Rollen, DPA, europ\u00e4ische Datengrenze, \u00dcbermittlungen, Betroffenenrechte und Ausstieg: die DSGVO-Pr\u00fcfungen, bevor Sie das Thema Microsoft 365 abschlie\u00dfen.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"class_list":["post-3689","page","type-page","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/eu.klytic.com\/de\/wp-json\/wp\/v2\/pages\/3689","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/eu.klytic.com\/de\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/eu.klytic.com\/de\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/eu.klytic.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/eu.klytic.com\/de\/wp-json\/wp\/v2\/comments?post=3689"}],"version-history":[{"count":2,"href":"https:\/\/eu.klytic.com\/de\/wp-json\/wp\/v2\/pages\/3689\/revisions"}],"predecessor-version":[{"id":4053,"href":"https:\/\/eu.klytic.com\/de\/wp-json\/wp\/v2\/pages\/3689\/revisions\/4053"}],"wp:attachment":[{"href":"https:\/\/eu.klytic.com\/de\/wp-json\/wp\/v2\/media?parent=3689"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}