Microsoft-365 & Datenschutz
Im Hinblick auf die Integration von Microsoft-365-Cloud-Anwendungen ergeben sich besondere Anforderungen aus dem Datenschutz- und dem Berufsrecht.
Die nachfolgenden Ausführungen von SPECTRUM stellen dabei keine Rechtsberatung dar!
Der Einsatz von Microsoft-365 ist in vielen Kanzleien und Unternehmen heute weit verbreitet.
Microsoft-365 ist eine Produktivitätssuite von Microsoft, die cloud-basierte Dienste und lokale Programm-Anwendungen bietet. Microsoft-365 ist eine Weiterentwicklung von Microsoft-Office (MS-Word, MS-Excel, MS-PowerPoint, MS-Outlook) und bietet eine Vielzahl von zusätzlichen Tools und Diensten, die es Benutzern ermöglichen, effizient zu arbeiten, Informationen zu teilen, zusammenzuarbeiten und auf verschiedene Dateien und Anwendungen von praktisch jedem Gerät mit Internetzugang zuzugreifen. Durch die zusätzlichen Produkte MS-OneDrive und MS-SharePoint sowie MS-Exchange-Online ist auch die Speicherung von Informationen und Dateien innerhalb der Microsoft-365-Umgebung in der Microsoft-Cloud in Microsoft-Rechenzentren möglich.
Microsoft-365-Einsatz bei Steuerberatern
Der Einsatz von Microsoft 365 ist für Angehörige der steuerberatenden Berufe und die damit einhergehende Auftragsverarbeitung von personenbezogenen und dem Berufsgeheimnis unterliegenden Daten unter bestimmten Voraussetzungen grundsätzlich möglich.
Microsoft-365 ist heute ein de facto Marktstandard, zu dem es fast keine Alternativen gibt - so wie z.B. auch die Cloud-Telefonie - auch wenn einige Datenschützer weiterhin noch ernst zu nehmende Bedenken äußern.
Die Datenschutz-Aufsichtsbehörden mahnten in der Vergangenheit immer wieder mit Schärfe gegen den Einsatz von Microsoft-365. Dabei entwickelte sich in der Vergangenheit ein regelrechtes Hin & Her von Forderungen der Datenschutz-Behörden auf der einen Seite und Nachbesserungen von Microsoft auf der anderen Seite.
1. Die Vertragsgestaltung der zugrundeliegenden Microsoft-Geschäftsbedingungen waren dabei ein wesentliches Thema. Als Folge hat Microsoft die “Online Service Terms (OST)” und das “Data Processing Addendum (DPA)” mehrfach in den letzten Jahren angepasst und derzeit gibt es keine Beanstandungen der Datenschützer, die deswegen die Nutzung von Microsoft-365 generell ausschließen.
2. Die Übermittlung von personenbezogenen Daten in Drittstaaten sowie die “etwaigen extraterritorial wirkende Rechtsvorschriften der USA” (z.B. US-Cloud-Act) ist hierbei eines der weiteren Hauptargumente der Datenschutz-Behörden. Microsoft hat zugesichert, dass die Daten von deutschen Microsoft-365-Kunden ausschließlich auf Microsoft-Rechenzentren in Deutschland gespeichert werden und damit diese Gegenargumente entkräftigt. Microsoft setzt für den Transfer personenbezogener Daten die aktuell in der EU geltenden Standardvertragsklauseln als ein zulässiges Transfervehikel ein.
3. Außerdem hat Microsoft für Berufsgeheimnisträger unter Microsoft-Online im Internet Zusatz-Informationen bereitgestellt, die für Berufsgeheimnisträger notwendig sind, um den Anforderungen des § 203 StGB gerecht zu werden.
Hinweis:
- Steuerberater müssen der Rechenschaftspflicht aus Art. 5 Abs. 2 der EU-DSGVO nachkommen und die Nutzung von Microsoft-365 inklusive der technischen, organisatorischen sowie vertraglichen Maßnahmen zur Risikoreduzierung sorgfältig dokumentieren. Sprechen Sie Ihren Datenschutzbeauftragten an.
- Außerdem ist die Einhaltung der Anforderungen aus der berufsrechtlichen Verschwiegenheitspflicht unerlässlich. Hierzu gehört vor allem der Abschluss einer Verschwiegenheitsvereinbarung mit Microsoft, die eine solche Vereinbarung bereitstellen.
Bisher hat die Bundessteuerberaterkammer BStBK (im Gegensatz z.B. zur Bundesrechtsanwaltskammer BRAK - siehe weiter unten) keine berufsspezifische Richtlinie oder Empfehlung zum Einsatz von Microsoft-365 in Steuerberaterkanzleien herausgegeben.
Uns ist jedoch bekannt, dass "aus Sicht der Bundessteuerberaterkammer (BStBK) der Einsatz von Microsoft-365 für Angehörige steuerberatender Berufe (Berufsträger) und die damit einhergehende Auftragsverarbeitung von personenbezogenen und dem Berufsgeheimnis unterliegenden Daten mit Restrisiken grundsätzlich denkbar ist. Über den Einsatz muss der Berufsträger aufgrund einer jeweils individuell vorzunehmenden Abwägung entscheiden. Die BStBK empfiehlt für den Fall des Einsatzes die Vornahme von zusätzlichen Maßnahmen".
- Die BStBK empfiehlt u.a. eine grundsätzliche Unterrichtung der Mandanten über den Einsatz von Microsoft-365, per Rundschreiben, in den AGBs oder auf der Homepage (nicht aber die Einholung der Zustimmung von Mandanten).
- Außerdem empfiehlt die BStBK die Deaktivierung nicht benötigter zusätzlicher Features (Beispiel Diktierfunktion), soweit diese nicht benötigt werden (siehe hierzu "SPECTRUM-Hinweise zu den technischen Sicherheitseinstellungen bei der Installation vonMicrosoft-365-Business-Premium").
Die DATEV e.G. stellt allerdings eine Stellungnahme zur Nutzung von Microsoft-365-Cloud-Services zur Verfügung (Wichtig: Die DATEV weist explizit darauf hin, dass es sich nicht um keine Rechtsberatung handelt):
Stellungsnahme der DATEV zur Nutzung von M365
Darüberhinaus bietet die DATEV den Anwendern weitergehende Unterstützungen und Hilfen zur Nutzung von Microsoft-365 an:
Microsoft-365-Einsatz bei Rechtsanwälten
Die Bundesrechtsanwaltskammer BRAK informiert auf Ihrer Internetseite, dass die Datenschutzkonferenz im November 2022 auf der Grundlage der damals geltenden Microsoft-Datenschutzbedingungen eine datenschutzkonforme Nutzung von Microsoft-365 für unmöglich erklärt hatte. Dann ist Microsoft dem mit einer Stellungnahme entgegengetreten und hat eine überarbeitete Datenschutzbedingungen vorgelegt.
Gemäß Aussage der BRAK sind derzeit danach keine konkreten aufsichtsbehördlichen Beanstandungen für den Einsatzes von Microsoft-365 in Rechtsanwaltskanzleien bekannt:
Die BRAK weist jedoch darauf hin, dass sich dies nach Prüfung der neuen Microsoft-Bedingungen durch die Datenschutzaufsichtsbehörden durchaus jedoch wieder ändern kann; dann könnten öffentlich-rechtliche Stellen, potenziell aber auch Rechtsanwaltskanzleien von Aufsichtsmaßnahmen betroffen sein.
BRAK-Hinweise zur Nutzung von M365 in Anwaltskanzleien
BRAK-Hinweise zum Umgang mit Microsoft-365-Cloud
Hinweis: Die berufsrechtlichen Datenschutz- und Offenbarungsverbotsrichtlinien gelten für Berufsgeheimnisträger (Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Notare, Ärzte usw.) gleichermaßen.
Cloud-Einsatz bei Notaren (inkl. M365)
Die Bundesnotarkammer (BNotK) hat in ihrem Rundschreiben Nr. 1/2026 ausführlich erklärt, unter welchen Voraussetzungen jetzt auch Cloud-Lösungen im Notariat zulässig eingesetzt werden können. Damit besteht jetzt ein klarer, rechtssicherer Rahmen für die Nutzung cloudbasierter IT im Notariats-Kanzleialltag.
Ein eigener Server – wie in den meisten Notariaten heute noch üblich - klingt erst einmal nach Kontrolle und einer Hands-On-Security. Doch ständige Administration, Wartung und Software-Updates, redundante Klimatechnik, Stromausfall-Vorkehrungen, Einbruchschutz, aufwendige Cyber-Security-Maßnahmen, kontinuierliche Daten-Sicherung, -Rücksicherungstests und deren Kontrolle, Arbeitszeitausfälle und weitere Aufwendungen kosten und im Fall eines Datenverlustes kann man auch einmal vor einem richtigen GAU stehen. Die mit dem BNotK-Rundschreiben verbundenen Vorgaben eröffnen nun neue Möglichkeiten für den Einsatz digitaler, cloudbasierter Arbeitsweisen – sofern man einen Partner hat, der sich auf die Besonderheiten dieses Geschäftes versteht. Unsere Reputation aus dem Steuerberatermarkt dürfte da wohl eine besondere Empfehlung sein.
Das Rundschreiben ger BNotK und das Merkblatt gehen auch auf die Besonderheiten der Microsoft-365- bzw. normalen MS-Office-Anwendung für NotARIATS-Berufsgeheimnisträger ein.
Datenschutz-Aufsichtsbehörden
Die deutsche Datenschutzkonferenz DSK - dies ist der Zusammschluss der Datenschutzaufsichtsbehörden der 16 Bundesländer zusammen mit dem Bundesdatenschutzbeauftragten - hat diverse Bewertungen zum Einsatz der Microsoft-365 Cloud Dienste durchgeführt und die zu Grunde liegenden “Online Service Terms (OST)” sowie die Datenschutzbestimmungen für Microsoft-Onlinedienste, das “Data Processing Addendum / DPA” hinsichtlich der Erfüllung der Anforderungen der EU-DSGVO überprüft und Stellungsnahmen abgegeben.
Die “Online Service Terms (OST)” und das “Data Processing Addendum (DPA)” von Microsoft wurden mehrfach in den letzten Monaten angepasst, um die Anforderungen der DSK zu erfüllen. Derzeit steht noch ein abschließender Bericht der DSK hierzu aus.
Für die Übermittlung von personenbezogenen Daten in Drittländer sind außerdem neue Garantien in Form des “EU-U.S. Data Privacy Framework (EU-US DPF)” implementiert und für die extraterritorial wirkenden Rechtsvorschriften der USA hat der US-Präsident die Executive Order “Enhancing Safeguards for United States Signals Intelligence Activities” unterzeichnet, die diese erheblich einschränken.
Statements der deutschen Datenschutzkonferenz DSK zur Nutzung von Microsoft-365:
Festlegung der DSK vom 24.11.2022
DSK-Zusammenfassung Microsoft-Onlinedienste vom 24.11.2022
Pressemitteilung vom 2.10.2020 seitens der Datenschutzaufsichtsbehörden Baden-Württembergs,
Bayerns, Hessens und des Saarlandes mit Kritikpunkten am DSK-Papier:
Bewertung der Datenschutz-konferenz zu undifferenziert
Entscheidung des Europäischen Datenschutzbeauftragten (EDSB) über die
Nutzung von Microsoft-365 vom 11.3.2024:
European Commission’s use of Microsoft-365
Da das gesamte Thema sehr komplex und undurchsichtig ist, hat Microsoft Deutschland eine Stellungnahme zur datenschutzrechtlichen Bewertung von Microsoft-365 durch die DSK erstellt.
Stellungnahme von Microsoft zu den diversen Ausführungen der DSK:
Microsoft-Stellungnahme zur DSK
Es wird allen Anwendern von Microsoft-365 empfohlen, die laufenden Gespräche der DSK Arbeitsgruppe mit Microsoft zu verfolgen. Soweit sich neue Erkenntnisse hieraus in Bezug auf rechtliche Risiken ergeben, sollte dann darauf reagiert werden.
Datenschutz-Unterlagen von Microsoft:
Microsoft-Datenschutzbestimmungen:
Microsoft-Datenschutzbestimmungen
Zusatzvereinbarung für Berufsgeheimnisträger:
- Die Microsoft-Zusatzvereinbarung für Berufsgeheimnisträger (z. B. Ärzte, Rechtsanwälte, Steuerberater usw. - sog. Berufsgeheimnisträger nach § 203 StGB)) ergänzt den “Microsoft-Kundenvertrag (MCA)” und stellt sicher, dass Cloud-Dienste (wie M365) gesetzeskonform gemäß § 203 StGB genutzt werden können.
- Die Zusatzvereinbarung verpflichtet Microsoft vertraglich zur strengen Verschwiegenheit, regelt Datenschutzaspekte als Auftragsverarbeiter und ist zwingend nötig für den sicheren, rechtssicheren Einsatz.
- Diese Zusatzvereinbarung hat den Zweck zur Erfüllung der strengen berufsrechtlichen Anforderungen und Verhinderung strafrechtlicher Konsequenzen bei Datennutzung in der Cloud.
- Die Zusatzvereinbarung definiert Microsoft als Auftragsverarbeiter, regelt technische/organisatorische Maßnahmen (TOMs), Subunternehmer und Datensicherheit. Die Zusatzvereinbarung kann mit dem nachfolgenden Link heruntergeladen werden.
- Die Zusatzvereinbarung wird einfach durch aktive Annahme durch den Endkunden wirksam.
Downlad: Microsoft-Zusatzvereinbarung-Berufsgehheimnistraeger
Der Microsoft-Kundenvertrag MCA legt die Nutzungsbedingungen für Microsofts Cloud-Dienste fest
und beinhaltet unter anderem Haftungs- und Vertraulichkeitsklauseln.
Download: Microsoft-Kundenvertrag (MCA)
Geography: “Germany”, Language: “German”, Purchase Channel: "CSP", Audience: "Audience" = "Microsoft-Kundenvertrag"
Eine Ergänzung zum Microsoft-Kundenvertrag MCA enthält spezielle Datenschutzklauseln und definiert Microsofts Rolle
als Auftragsverarbeiter, die technischen und organisatorischen Maßnahmen, die von Microsoft
zugelassenen Subunternehmer und die Rechte und Pflichten der Parteien:
Microsoft Datenschutznachtrag für Produkte und Services - April2025
Microsoft-Zusage:
Microsoft wird Daten von Unternehmenskunden aus der EU nur innerhalb der EU verarbeiten und speichern.
In anderen Worten: Microsoft wird keine Daten dieser Kunden aus der EU heraus transferieren.
Diese Zusage gilt für alle zentralen Cloud-Dienste von Microsoft – Azure, Microsoft-365 und Dynamics-365.
Microsoft speichert Daten ausschließlich in der EU
Stellungnahme von Microsoft Deutschland zur Datenschutzkonformität von Microsoft-365 und MS-Teams:
Datenschutzkonformität von Microsoft-365
Mit der "Defending your data"-Zusicherung hat Microsoft weitere Maßnahmen zur Verhinderung von
Behördenzugriffen zugesichert, jede Anfrage einer staatlichen Stelle nach persönlichen Daten eines
EU-Kunden aus der freien Wirtschaft anzufechten:
“Defending your data”-Zusicherung
Am 4. Juni 2021 hat die EU-Kommission im Hinblick auf das EuGH-Urteil Schrems II die sog.
“Standardvertragsklauseln” zur Übermittlung von personenbezogenen Daten in ein Drittland
geändert. Microsoft hat noch am Tag der Veröffentlichung der Standardvertragsklauseln 2021
durch die EU-Kommission bekannt gegeben, dass sie die Standardvertragsklauseln
2021 übernehmen werden.
Microsoft und EU-Standard-Vertragsklauseln
Daten, Datenschutz und Sicherheit für Microsoft 365 Copilot:
Daten, Datenschutz und Sicherheit für Microsoft 365 Copilot