Microsoft 365 DSGVO-konform betreiben

Microsoft 365 verarbeitet die sensibelsten Daten eines Unternehmens: E-Mails, Dokumente, Kalender, Kontakte. Wer es als MSP für Kunden betreibt, trägt Mitverantwortung dafür, dass das DSGVO-konform geschieht. Die gute Nachricht: Microsoft liefert die Bausteine dafür. Die schlechte: Sie greifen nicht automatisch – Verträge, Einstellungen und Nachweise müssen aktiv gesetzt werden. Dieser Leitfaden ordnet ein, was MSPs und ihre Kunden beachten müssen.

Auftragsverarbeitung: der AVV mit Microsoft

Sobald Microsoft im Auftrag deines Kunden personenbezogene Daten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag (AVV). Microsoft stellt diesen über die Data Protection Addendum (DPA) bereit, die Bestandteil der Microsoft-Produktbedingungen ist. Für MSPs entsteht dabei oft eine Kette: Der Kunde ist Verantwortlicher, der MSP ist Auftragsverarbeiter, und Microsoft (sowie Tools wie TenantSecure) sind Unterauftragsverarbeiter. Diese Kette muss vertraglich sauber abgebildet sein – inklusive AVV zwischen Kunde und MSP.

• Kunde ↔ MSP: eigener AVV, der die MSP-Leistungen abdeckt.
• MSP ↔ Microsoft: über die DPA/Produktbedingungen.
• Unterauftragsverarbeiter: transparent auflisten und genehmigen lassen.

Datenlokalisierung: wo die Daten liegen

Die DSGVO verbietet EU-Datentransfers nicht pauschal, verlangt aber ein angemessenes Schutzniveau. Microsoft bietet mit der EU Data Boundary die Möglichkeit, Kern-Kundendaten von Microsoft 365 innerhalb der EU zu speichern und zu verarbeiten. Für datenschutzsensible Kunden – Behörden, Gesundheitswesen, Rechtsbranche – ist das oft ein entscheidendes Kriterium. Als MSP solltest du wissen, in welcher Region der Tenant deines Kunden provisioniert ist, denn das lässt sich nachträglich nur schwer ändern.

Metadaten vs. Inhalte: der entscheidende Unterschied

Nicht jede Sicherheitsauswertung greift gleich tief in personenbezogene Daten ein. Ein zentraler Datenschutz-Hebel ist die Frage: Werden Inhalte (der Text einer E-Mail, ein Dokument) verarbeitet – oder nur Metadaten (dass eine Weiterleitungsregel angelegt wurde, von welcher IP sich jemand angemeldet hat, wann)? Wer für die Bedrohungserkennung mit Metadaten auskommt, minimiert die Verarbeitung nach dem Grundsatz der Datenminimierung – und muss deutlich weniger rechtfertigen. Genau nach diesem Prinzip erkennt man etwa riskante OAuth-Apps allein anhand von Berechtigungen und Nutzungsdaten, ohne je ein Postfach zu lesen.

Admin-Consent und Datenschutz

Wenn ein Sicherheits-Tool auf einen Kunden-Tenant zugreift, geschieht das über Admin-Consent: Ein Administrator gewährt der Anwendung definierte Berechtigungen. Aus Datenschutzsicht zählen hier drei Dinge: Die Berechtigungen sollten dem Prinzip der geringsten Rechte folgen (nur so viel wie nötig, bevorzugt lesend), sie sollten transparent dokumentiert sein, und sie müssen widerrufbar bleiben – ein Klick im Entra Admin Center, und der Zugriff endet. Wer Nutzer-Zustimmung generell einschränkt, verhindert zugleich, dass unbemerkt Datenzugriffe entstehen; wie das geht, zeigt der Leitfaden zur Baseline über mehrere Mandanten.

Was TenantSecure zum Datenschutz beiträgt

• EU-Hosting in Frankfurt: Betrieb und Datenhaltung erfolgen in der EU – kein Umweg über Drittländer.
• Nur Metadaten: TenantSecure wertet Regelnamen, Zieladressen, Zeitstempel, IP-Herkunft und Berechtigungen aus – niemals E-Mail-Inhalte oder Dokumente.
• Widerrufbarer Zugriff: Der Admin-Consent lässt sich jederzeit im Entra Admin Center entziehen; danach hat TenantSecure keinen Zugriff mehr.
• Geringste Rechte: Es werden nur die Berechtigungen angefordert, die für Auditing und Erkennung nötig sind.

Details dazu, wie wir mit Zugriff, Verschlüsselung und Datenhaltung umgehen, stehen auf unserer Sicherheitsseite.

Ehrlich bleiben: Tool ist kein Ersatz für Rechtsberatung

Ein Werkzeug wie TenantSecure unterstützt beim technischen Datenschutz und liefert Nachweise – es ersetzt aber weder den AVV noch eine juristische Prüfung. Ob eine konkrete Verarbeitung rechtmäßig ist, welche Rechtsgrundlage greift und wie das Verzeichnis von Verarbeitungstätigkeiten aussieht, gehört mit Datenschutzbeauftragten und Fachanwälten geklärt. Verkaufe „DSGVO-Konformität" deshalb nie als abgehaktes Feature, sondern als gemeinsamen, dokumentierten Prozess.

Mit TenantSecure

TenantSecure ist so gebaut, dass es den Datenschutz deiner Kunden respektiert: EU-Hosting in Frankfurt, ausschließlich Metadaten, widerrufbarer Zugriff nach dem Prinzip der geringsten Rechte. Sieh dir am besten selbst an, welche Daten das Cockpit zeigt – und welche nicht: die Live-Demo ansehen.