Ist Microsoft 365 DSGVO-konform?
Ja, weitgehend: Bei Microsoft 365 sind ein EU-Vertragspartner oder EU-Hosting der Standard.
Die Fakten auf einen Blick
- Einstufung
- EU-nativ / EU-Hosting als Standard
- Vertragspartner
- Microsoft (Konzernsitz USA)
- Serverstandort
- EU-Datengrenze: Speicherung und Verarbeitung in EU/EFTA für Mandanten mit Registrierung in der EU
- AVV nach Art. 28 DSGVO
- Verfügbar
- EU-Hosting
- Ja, als Standard
Der wichtigste Haken
Die EU-Datengrenze greift laut Microsoft automatisch, wenn dein Mandant in einem EU- oder EFTA-Land registriert ist. Das Land siehst du im Microsoft 365 Admin Center. Microsoft nennt aber begrenzte Fälle, in denen Daten die Grenze trotzdem verlassen, und Mandanten mit Multi-Geo fallen ganz heraus. Microsoft Copilot prüfen wir in einem eigenen Eintrag.
So stellst du Microsoft 365 datenschutzfreundlich ein
- Prüfe im Microsoft 365 Admin Center, in welchem Land euer Mandant registriert ist. Steht dort ein EU- oder EFTA-Land, gilt die EU-Datengrenze automatisch, ohne dass du etwas einschalten musst.
- Wo eure Daten tatsächlich liegen, zeigt die Datenspeicherortkarte im Admin Center, getrennt nach Diensten wie Exchange Online, Teams sowie SharePoint und OneDrive.
- Kauft ihr Multi-Geo dazu, fällt der Mandant laut Microsoft aus der EU-Datengrenze heraus, auch wenn er in der EU registriert ist.
- Für Microsoft 365 Copilot und Copilot Chat führt Microsoft eigene Angaben zum Speicherort. Die stehen in unserem Copilot-Check.
Quelle: Microsoft: Was ist die EU-Datengrenze?, Microsoft: Datenspeicherorte für Microsoft 365-Dienste, gelesen am 21. Oktober 2026.
Microsoft 365 AVV: so schließt du ihn ab
Du musst nichts unterschreiben. Laut Microsoft ist das Data Protection Addendum (DPA) ein Zusatz zu den Produktbedingungen und legt die Datenschutz- und Sicherheitsbedingungen für Abos über diese Bedingungen fest. Aktuelle und frühere Fassungen kannst du herunterladen.
Danach: AVV ablegen und Microsoft 365 im Verzeichnis der Verarbeitungstätigkeiten eintragen (Art. 30 DSGVO).
Quelle: Microsoft: Products and Services DPA, gelesen am 21. Oktober 2026.
Nutzt du neben Microsoft 365 weitere Tools? Mit der AVV-Checkliste alle Verträge auf einmal erfassen →
Quellen zum Nachlesen
Aufgerufen am 21. Oktober 2026. Keine Rechtsberatung: Prüfe die aktuelle Fassung vor einer Entscheidung selbst.
Häufige Fragen
Gibt es für Microsoft 365 einen Auftragsverarbeitungsvertrag?+
Ja. Du musst nichts unterschreiben. Laut Microsoft ist das Data Protection Addendum (DPA) ein Zusatz zu den Produktbedingungen und legt die Datenschutz- und Sicherheitsbedingungen für Abos über diese Bedingungen fest. Aktuelle und frühere Fassungen kannst du herunterladen.
Wo werden die Daten von Microsoft 365 verarbeitet?+
EU-Datengrenze: Speicherung und Verarbeitung in EU/EFTA für Mandanten mit Registrierung in der EU. EU-Hosting ist hier der Normalfall.
Worauf muss ich bei Microsoft 365 besonders achten?+
Die EU-Datengrenze greift laut Microsoft automatisch, wenn dein Mandant in einem EU- oder EFTA-Land registriert ist. Das Land siehst du im Microsoft 365 Admin Center. Microsoft nennt aber begrenzte Fälle, in denen Daten die Grenze trotzdem verlassen, und Mandanten mit Multi-Geo fallen ganz heraus. Microsoft Copilot prüfen wir in einem eigenen Eintrag.