--- title: "Microsoft 365 DSGVO-konform nutzen: Was deutsche Unternehmen wissen müssen" description: "Microsoft 365 DSGVO-konform betreiben: AVV, EU Data Boundary, DSK-Geschichte, DSFA und Betriebsrat — vollständiger Leitfaden für 2026." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/microsoft-365-dsgvo/" language: "de" --- ![Microsoft 365 DSGVO Deutschland — AVV, EU Data Boundary und DSK-Leitfaden](https://compound.law/assets/images/tools/tools_3.webp) tools # Microsoft 365 DSGVO-konform nutzen: Was deutsche Unternehmen wissen müssen 15\. April 2026 Kurzantwort Microsoft 365 kann DSGVO-konform betrieben werden: EU Data Boundary aktivieren, AVV mit Microsoft abschließen, ggf. DSFA durchführen. Das LfD Niedersachsen bestätigte 2025 diesen Weg für private Unternehmen; für den öffentlichen Sektor gelten strengere Anforderungen. - Den Microsoft Auftragsverarbeitungsvertrag (AVV) abschließen und prüfen, ob er alle genutzten M365-Dienste und Datenkategorien abdeckt. - EU Data Boundary aktivieren — hält Exchange, SharePoint und Teams in der EU; prüfen, welche Telemetriedaten weiterhin übermittelt werden. - Vor dem Rollout von Teams-Monitoring, Viva Insights oder Produktivitätsanalysen eine Betriebsvereinbarung mit dem Betriebsrat aushandeln. **Microsoft 365 kann von deutschen Unternehmen DSGVO-konform betrieben werden — allerdings stellt sich diese Konformität nicht automatisch ein.** Erforderlich sind: die aktivierte EU Data Boundary für den Mandanten, ein abgeschlossener und geprüfter Auftragsverarbeitungsvertrag (AVV), eine Datenschutz-Folgenabschätzung (DSFA) wo geboten sowie eine Betriebsvereinbarung vor dem Einsatz von Mitarbeiter-Monitoring-Funktionen. Das Urteil der Landesbeauftragten für den Datenschutz Niedersachsen (LfD Niedersachsen) aus dem Jahr 2025 hat einen klaren rechtlichen Weg für Privatunternehmen bestätigt. Eine Übersicht über weitere geprüfte Unternehmenstools finden Sie in unserer [KI-Tool-Übersicht von Compound Law](https://compound.law/de-DE/tools/). ## Dürfen deutsche Unternehmen Microsoft 365 DSGVO-konform nutzen? Ja — mit der richtigen Konfiguration. Microsoft 365 ist für deutsche Privatunternehmen DSGVO-konform einsetzbar, wenn vier Voraussetzungen erfüllt sind: 1. **Der Microsoft Auftragsverarbeitungsvertrag (AVV) ist abgeschlossen.** Er begründet die Auftragsverarbeitungsbeziehung nach Art. 28 DSGVO und regelt Pflichten zu Sicherheit, Subunternehmern, Datenpannenmeldung und Löschung. 2. **Die EU Data Boundary ist aktiviert.** Zentrale Kundendaten — E-Mail-Inhalte in Exchange Online, Dateien in SharePoint, Teams-Chats — müssen im EU/EWR-Raum gespeichert und verarbeitet werden. 3. **Eine geeignete Rechtsgrundlage nach Art. 6 DSGVO liegt vor** — für den betrieblichen Einsatz regelmäßig Art. 6 Abs. 1 lit. b (Vertragserfüllung) oder lit. f (berechtigte Interessen). 4. **Eine DSFA wurde durchgeführt**, wo umfangreiche Verarbeitung personenbezogener Daten — insbesondere Beschäftigtendaten über Teams-Monitoring oder Viva Insights — stattfindet. Für öffentliche Stellen ist die Rechtslage komplexer. Schulen, Behörden und sonstige Einrichtungen des öffentlichen Sektors unterliegen in mehreren Bundesländern zusätzlichen Einschränkungen und sollten vorab die zuständige Landesdatenschutzbehörde konsultieren. ## Die DSK-Debatte: Geschichte und aktueller Stand Die Compliance-Diskussion rund um Microsoft 365 in Deutschland begann 2021, als die **Kultusministerkonferenz (KMK)** und Landesdatenschutzbehörden die Nutzung von M365 an Schulen nach dem Schrems-II-Urteil des EuGH intensiv unter die Lupe nahmen. Die **Datenschutzkonferenz (DSK)** — das Gremium der deutschen Bundes- und Landesdatenschutzbehörden — veröffentlichte 2021 und 2022 Orientierungshilfen, die grundlegende Bedenken an der Übermittlung von Diagnose- und Telemetriedaten in die USA äußerten. Im Kern stand die Frage, ob Microsofts Standardvertragsklauseln (SCC) nach Schrems II ausreichten, um den in die USA fließenden Datenstrom zu legitimieren. Diese Haltung erzeugte erhebliche Rechtsunsicherheit für Unternehmen in Deutschland. **Die Wende 2025:** Anfang 2025 veröffentlichte die **Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen)** eine positive Bewertung von Microsoft 365 für den privatwirtschaftlichen Einsatz. Die Einschätzung kam zu dem Ergebnis, dass M365 bei korrekt konfigurierter EU Data Boundary und aktuell abgeschlossenem AVV die DSGVO-Anforderungen für gewerbliche Unternehmen erfüllt. Dies war das erste klare Signal einer deutschen Datenschutzbehörde für den privatwirtschaftlichen Einsatz. **Privatwirtschaft vs. öffentlicher Sektor:** Die LfD-Niedersachsen-Bewertung gilt für private Unternehmen. Öffentliche Stellen — insbesondere Schulen und Behörden — unterliegen in mehreren Bundesländern weiterhin strengeren Anforderungen. Die Kultusministerien von Baden-Württemberg und Bayern haben Leitlinien veröffentlicht, die den M365-Einsatz an Schulen einschränken oder an Bedingungen knüpfen. Einen Überblick über die regulatorischen Rahmenbedingungen für Einrichtungen des öffentlichen Sektors bietet unser [Leitfaden zum öffentlichen Sektor und KI-Act](https://compound.law/de-DE/ai-act/public-sector/). **Zur Schuldebatte:** Das Bundesministerium für Bildung und Forschung sowie mehrere Kultusministerien haben seit 2021 begleitende Diskussionen geführt. Die Kernfrage für Schulen bleibt, ob Schülerdaten als besonders sensible Daten einer Minderjährigen einer strikteren Bewertung bedürfen — unabhängig von der privatwirtschaftlichen Einschätzung der LfD Niedersachsen. ## EU Data Boundary: Was Sie wirklich bedeutet Die **EU Data Boundary** ist Microsofts Verpflichtung, zentrale Kundendaten innerhalb der EU und des Europäischen Wirtschaftsraums (EWR) zu speichern und zu verarbeiten. Sie startete am 1. Januar 2023 und wurde bis Ende 2024 auf alle Microsoft-365-Dienste ausgerollt. **Was innerhalb der EU bleibt:** | Datenkategorie | EU Data Boundary | Hinweis | | -------------------------------- | ------------------------------------------- | ---------------------------------------- | | Exchange Online (E-Mail-Inhalte) | Ja — Speicherung und Verarbeitung in der EU | E-Mail-Text, Anhänge | | SharePoint Online (Dateien) | Ja — Speicherung und Verarbeitung in der EU | Auch OneDrive for Business | | Microsoft Teams (Chats, Dateien) | Ja — Speicherung und Verarbeitung in der EU | Chat-Inhalte, Besprechungsaufzeichnungen | | Kontodaten | Ja | Mandanten- und Nutzerkonten | | Systemgenerierte Protokolle | Ja | Audit-Logs, Anmeldeprotokolle | **Was weiterhin übermittelt werden kann:** - **Diagnosedaten und Telemetrie** — Microsoft erhebt begrenzte Servicediagnosedaten, die außerhalb der EU-Grenze verarbeitet werden können. Microsoft gibt an, diese Daten seien pseudonymisiert und in ihrem Umfang begrenzt. Rechts- und Datenschutzteams sollten Microsofts aktuelle Telemetriedokumentation prüfen und dies in der DSFA berücksichtigen. - **Support-Interaktionen** — Beim Kontakt mit dem Microsoft-Support können außerhalb der EU tätige Support-Mitarbeitende auf Daten zugreifen, sofern entsprechende rollenbasierte Zugriffskontrollen gelten. - **Drittanbieter-Konnektoren und Integrationen** — Daten, die über an M365 angebundene Drittanbieter-Apps fließen, richten sich nach den Bedingungen dieser Anbieter, nicht nach der Microsoft EU Data Boundary. **So prüfen Sie, ob die EU Data Boundary aktiviert ist:** Rufen Sie im Microsoft 365 Admin Center **Einstellungen → Organisationseinstellungen → Sicherheit & Datenschutz → Datenspeicherort** auf. Dort sollten Ihre Mandantenregion und der Status der EU Data Boundary angezeigt werden. Wenn Ihr Mandant vor Januar 2023 bereitgestellt wurde, prüfen Sie, ob die Migration auf die EU Data Boundary abgeschlossen ist. ## Die AVV-Aktualisierung 2025: Wesentliche Verbesserungen Microsoft hat seine **Microsoft-Produktbedingungen und das Datenschutzaddendum** 2025 aktualisiert. Wesentliche Änderungen mit Relevanz für deutsche Unternehmen: - **EU-US Data Privacy Framework (DPF) integriert.** Nach dem Angemessenheitsbeschluss der EU-Kommission vom Juli 2023 enthält der aktualisierte AVV das DPF als Übermittlungsmechanismus für verbleibende Datenflüsse in die USA — ergänzend zu den Standardvertragsklauseln (SCC). - **EU Data Act berücksichtigt.** Der aktualisierte AVV enthält Regelungen zu Cloud-Wechselrechten und Datenportabilitätspflichten nach dem **EU Data Act**, der im September 2025 in Kraft getreten ist. - **EWR-Länder einbezogen.** Norwegen, Island und Liechtenstein sind nun ausdrücklich in den Geltungsbereich der EU Data Boundary und des AVV aufgenommen — relevant für DACH-Unternehmen mit Standorten in diesen Ländern. - **Verbessertes Subunternehmer-Management.** Microsoft informiert nun 30 Tage im Voraus über Änderungen bei Subunternehmern (bisher nur für Streichungen), mit dokumentiertem Widerspruchsrecht. Deutsche Rechtsabteilungen sollten prüfen, ob die aktualisierten AVV-Bedingungen unter ihrem Microsoft Enterprise Agreement oder Microsoft Customer Agreement akzeptiert sind, da die automatische Akzeptanz je nach Vertragstyp variieren kann. ## Datenschutz-Folgenabschätzung (DSFA) Eine **Datenschutz-Folgenabschätzung (DSFA)** nach Art. 35 DSGVO ist vorgeschrieben, wenn die Verarbeitung voraussichtlich ein hohes Risiko für natürliche Personen mit sich bringt. Für Microsoft 365 lösen folgende Szenarien typischerweise eine DSFA aus: - **Systematische Überwachung von Beschäftigten** über Teams-Anrufanalysen, Viva-Insights-Produktivitätskennzahlen oder Anwesenheitsverfolgung - **Umfangreiche Verarbeitung sensibler Daten** — Gesundheitsdaten, Mandatsinhalte oder Finanzdaten in erheblichem Umfang - **Unternehmen ab 250 Mitarbeitenden**, die M365 als primäre E-Mail- und Kollaborationsinfrastruktur nutzen Die **DSK empfiehlt eine DSFA für M365 als Vorsichtsmaßnahme**, auch wenn die gesetzliche Schwelle des Art. 35 nicht zwingend überschritten ist — angesichts des Umfangs der personenbezogenen Daten und der Komplexität der Datenflüsse. **Was deutsche Datenschutzbehörden von einer DSFA zu M365 erwarten:** 1. **Zweck und Umfang** — Alle genutzten M365-Dienste und ihre Verarbeitungszwecke erfassen 2. **Datenflussbeschreibung** — Nachvollziehen, wohin personenbezogene Daten gelangen, einschließlich Telemetrie und Support 3. **Erforderlichkeit und Verhältnismäßigkeit** — Prüfen, ob die genutzten M365-Funktionen auf das Notwendige beschränkt sind 4. **Risikobewertung** — Risiken für Beschäftigte und Nutzer, insbesondere durch Monitoring-Funktionen, bewerten 5. **Abhilfemaßnahmen dokumentieren** — Konfiguration der EU Data Boundary, AVV-Regelungen und genutzte Admin-Kontrollen festhalten 6. **Restrisiko abzeichnen** — Vor dem Produktiveinsatz Abzeichnung durch den Datenschutzbeauftragten ## Betriebsrat und Mitbestimmung Der Einsatz von Microsoft-365-Funktionen, die Beschäftigte betreffen, setzt in deutschen Unternehmen die **Beteiligung des Betriebsrats** nach dem **Betriebsverfassungsgesetz (BetrVG)** voraus. Dies ist keine freiwillige Maßnahme — wer mitbestimmungspflichtige Funktionen ohne Betriebsrat einführt, riskiert eine einstweilige Verfügung auf Unterlassung. **M365-Funktionen, die § 87 Abs. 1 Nr. 6 BetrVG auslösen können:** - **Microsoft Teams** — Anrufprotokolle, Besprechungsanwesenheit, Anwesenheits- und Verfügbarkeitstracking - **Viva Insights** — individuelle und teambezogene Produktivitätsdaten, Besprechungseffektivität, Focus-Time-Kennzahlen - **Exchange Online Mail Tracking** — Lesebestätigungsrichtlinien, Zustellanalysen auf Einzelpersonenebene - **Microsoft Purview** — Überwachung von Mitarbeiterkommunikation, Postfach-Durchsuchungen für Compliance-Zwecke **Was in eine Betriebsvereinbarung zu M365 gehört:** - Zulässige und unzulässige M365-Funktionen im Hinblick auf Mitarbeiterüberwachung - Erhobene Datenkategorien und Verarbeitungszwecke - Einzel- vs. aggregierte Auswertungen (Viva-Insights-Individualdaten sind besonders sensibel) - Aufbewahrungsfristen für Teams-Anrufprotokolle und Audit-Logs - Auskunfts- und Berichtigungsrechte der Beschäftigten - Zugriffskontrolle: wer darf Daten auf Einzelpersonenebene einsehen Den übergreifenden rechtlichen Rahmen für digitales Monitoring am Arbeitsplatz in Deutschland erläutert unser [Leitfaden zum KI-Monitoring von Mitarbeitenden](https://compound.law/de-DE/compliance/ai-employee-monitoring/). Für Teams-spezifische KI-Funktionen wie Besprechungstranskription und Anrufanalyse durch Copilot lesen Sie den [Microsoft Teams Copilot Compliance-Leitfaden](https://compound.law/de-DE/tools/teams-copilot/). **§ 26 BDSG bei Beschäftigtendaten:** Wenn Microsoft 365 personenbezogene Daten von Beschäftigten verarbeitet — Produktivitätsdaten, E-Mail-Metadaten, HR-Workflows — gilt das **Bundesdatenschutzgesetz (BDSG) § 26** neben der DSGVO. Es verlangt eine spezifische Rechtsgrundlage und beschränkt die zulässigen Zwecke auf die Verwaltung des Beschäftigungsverhältnisses. Arbeitsrechtlich besteht eine erhöhte Schutzpflicht gegenüber den Arbeitnehmerinnen und Arbeitnehmern. ## Unsere Einschätzung Für **privatwirtschaftliche Unternehmen** in Deutschland ist der DSGVO-konforme Einsatz von Microsoft 365 mit der richtigen Konfiguration umsetzbar. Das Urteil der LfD Niedersachsen 2025 hat die erhebliche Rechtsunsicherheit beseitigt, die seit 2021 bestand. Die Checkliste ist nicht kurz — AVV-Prüfung, Aktivierung der EU Data Boundary, DSFA, Betriebsvereinbarung — aber jeder Schritt ist erreichbar. Für **öffentliche Einrichtungen und Schulen** ist die Lage weiterhin komplex. Mehrere Landesdatenschutzbehörden erheben weiterhin Bedenken oder knüpfen den Einsatz an Bedingungen. Prüfen Sie vorab die Empfehlungen Ihrer Landesdatenschutzbehörde. **Schritte für den DSGVO-konformen Einsatz von Microsoft 365:** 1. Microsoft Auftragsverarbeitungsvertrag (AVV) abschließen und Umfang prüfen 2. EU Data Boundary für Ihren Mandanten aktivieren und Migration bestätigen 3. Genutzte M365-Dienste inventarisieren, nicht benötigte Funktionen deaktivieren 4. DSFA für alle aktiven M365-Dienste durchführen 5. Diagnosedaten-Erhebung in den Admin-Einstellungen prüfen und einschränken 6. Betriebsrat einbinden und Betriebsvereinbarung für Mitarbeiter-Funktionen aushandeln 7. Rechtsgrundlage für jeden Verarbeitungszweck im Verarbeitungsverzeichnis dokumentieren 8. Subunternehmerliste prüfen und Übermittlungsmechanismen auf Aktualität kontrollieren 9. Prozess für die jährliche Überprüfung von AVV-Aktualisierungen etablieren **Hinweis zu Microsoft 365 Copilot:** Dieser Leitfaden behandelt Microsoft-365-Kerndienste — Exchange Online, SharePoint und Teams. Die KI-gestützte Copilot-Schicht bringt zusätzliche Anforderungen mit sich, die separat erläutert werden. Den spezifischen Leitfaden finden Sie im [Microsoft 365 Copilot Compliance-Leitfaden](https://compound.law/de-DE/tools/copilot-microsoft-365/). ## Wie Compound Law unterstützt - **AVV-Prüfung und Gap-Analyse** — Verifizierung, dass der Microsoft-AVV Ihre spezifischen Dienste, Ihren Vertragstyp und Ihre Datenkategorien abdeckt - **EU-Data-Boundary-Konfigurationsreview** — Bestätigung, dass die Datenresidenz-Einstellungen korrekt umgesetzt und dokumentiert sind - **DSFA-Scope und -Durchführung** — Umfangsbestimmung, Durchführung und Erstellung der Dokumentation, die deutsche Datenschutzbehörden erwarten - **Betriebsratsstrategie** — Entwurf von Betriebsvereinbarungen zu M365 und Begleitung von Mitbestimmungsverfahren - **Öffentlicher Sektor** — Bewertung der Regulierungslage Ihres Bundeslandes und Beratung zum geeigneten Einsatzansatz ## Häufig gestellte Fragen ### Ist Microsoft 365 DSGVO-konform? Microsoft 365 kann von deutschen Unternehmen DSGVO-konform genutzt werden, wenn die EU Data Boundary aktiviert ist, der Auftragsverarbeitungsvertrag mit Microsoft abgeschlossen wurde, eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorliegt und — wo erforderlich — eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt wurde. Die LfD Niedersachsen hat 2025 diesen Weg für private Unternehmen bestätigt. Die Konformität stellt sich nicht automatisch ein. ### Gibt es einen Auftragsverarbeitungsvertrag (AVV) für Microsoft 365? Ja. Microsoft stellt einen Auftragsverarbeitungsvertrag über die Microsoft-Produktbedingungen und das Datenschutzaddendum bereit. Er erfasst die Pflichten eines Auftragsverarbeiters nach Art. 28 DSGVO, einschließlich Subunternehmer, technisch-organisatorischer Maßnahmen, Meldepflichten bei Datenpannen, Prüfrechten und Datenlöschung. Unternehmen sollten prüfen, dass der AVV die konkret eingesetzten M365-Dienste und ihren Vertragstyp umfasst. ### Dürfen deutsche Schulen Microsoft 365 nutzen? Dies ist weiterhin umstritten. Für private Unternehmen hat die LfD Niedersachsen 2025 den Einsatz mit geeigneter Konfiguration bestätigt. Schulen und Behörden unterliegen strengeren Anforderungen — mehrere Kultusministerien, darunter Baden-Württemberg, haben den M365-Einsatz an Schulen eingeschränkt oder an Bedingungen geknüpft. Öffentliche Einrichtungen sollten die zuständige Landesdatenschutzbehörde konsultieren, bevor sie M365 einsetzen. ### Was ist die EU Data Boundary? Die EU Data Boundary ist Microsofts Verpflichtung, zentrale Kundendaten — darunter Exchange-E-Mail-Inhalte, SharePoint-Dateien und Teams-Chats — innerhalb der EU und des EWR zu speichern und zu verarbeiten. Sie startete am 1. Januar 2023 und wurde bis Ende 2024 auf alle Microsoft-365-Dienste ausgerollt. Mandanten müssen prüfen, ob sie aktiviert ist. Begrenzte Diagnosetransfers können weiterhin stattfinden. ### Brauche ich für Microsoft 365 eine Datenschutz-Folgenabschätzung (DSFA)? Die deutschen Datenschutzbehörden empfehlen, für Microsoft-365-Einsätze mit umfangreicher Verarbeitung von Beschäftigtendaten — insbesondere bei Teams-Monitoring, Viva Insights oder großangelegter E-Mail-Verarbeitung — eine DSFA nach Art. 35 DSGVO durchzuführen. Auch unterhalb der gesetzlichen Schwelle empfiehlt die DSK eine DSFA als Vorsichtsmaßnahme. ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV tools](https://compound.law/de-DE/tools/hubspot/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) ## Häufige Fragen Microsoft 365 kann von deutschen Unternehmen DSGVO-konform genutzt werden, wenn die EU Data Boundary aktiviert ist, der Auftragsverarbeitungsvertrag mit Microsoft abgeschlossen wurde, eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorliegt und — wo erforderlich — eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt wurde. Die LfD Niedersachsen hat 2025 diesen Weg für private Unternehmen bestätigt. Die Konformität stellt sich nicht automatisch ein, sondern hängt von der konkreten Konfiguration und dem vertraglichen Setup ab. Ja. Microsoft stellt einen Auftragsverarbeitungsvertrag über die Microsoft-Produktbedingungen und das Datenschutzaddendum (Data Protection Addendum) bereit. Er erfasst die Pflichten eines Auftragsverarbeiters nach Art. 28 DSGVO, einschließlich Subunternehmer, technisch-organisatorischer Maßnahmen, Meldepflichten bei Datenpannen, Prüfrechten und Datenlöschung. Unternehmen sollten prüfen, dass der AVV die konkret eingesetzten M365-Dienste und ihren Vertragstyp umfasst. Dies ist weiterhin umstritten. Für private Unternehmen hat die LfD Niedersachsen 2025 den Einsatz mit geeigneter Konfiguration bestätigt. Schulen und Behörden unterliegen strengeren Anforderungen — mehrere Kultusministerien und Landesdatenschutzbehörden, darunter Baden-Württemberg, haben den M365-Einsatz an Schulen beschränkt oder an Bedingungen geknüpft. Öffentliche Stellen sollten vor dem Einsatz die zuständige Landesdatenschutzbehörde konsultieren. Die EU Data Boundary ist Microsofts Verpflichtung, zentrale Kundendaten — darunter Exchange-E-Mail-Inhalte, SharePoint-Dateien und Teams-Chats — innerhalb der EU und des EWR zu speichern und zu verarbeiten. Sie startete am 1. Januar 2023 und wurde bis Ende 2024 auf alle Microsoft 365-Dienste ausgerollt. Mandanten müssen prüfen, ob die EU Data Boundary für ihren Tenant aktiviert ist. Begrenzte Diagnosedaten (Telemetriedaten) können weiterhin außerhalb der EU verarbeitet werden. Die deutschen Datenschutzbehörden empfehlen, für Microsoft-365-Deployments mit umfangreicher Verarbeitung von Beschäftigtendaten — insbesondere bei Teams-Monitoring, Viva Insights oder großangelegter E-Mail-Verarbeitung — eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen. Auch unterhalb der gesetzlichen Schwelle empfiehlt die DSK eine DSFA als Vorsichtsmaßnahme für M365. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Microsoft 365 DSGVO-konform nutzen: Was deutsche Unternehmen wissen müssen", "description": "Microsoft 365 DSGVO-konform betreiben: AVV, EU Data Boundary, DSK-Geschichte, DSFA und Betriebsrat — vollständiger Leitfaden für 2026.", "image": "https://compound.law/assets/images/tools/tools_3.webp", "datePublished": "2026-04-15T00:00:00.000Z", "dateModified": "2026-04-15T00:00:00.000Z", "author": { "@type": "Person", "name": "Julian Jantze", "image": "https://compound.law/assets/images/team/julianjantze.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/microsoft-365-dsgvo/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "Microsoft 365 DSGVO-konform nutzen: Was deutsche Unternehmen wissen müssen", "item": "https://compound.law/de-DE/tools/microsoft-365-dsgvo/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist Microsoft 365 DSGVO-konform?", "acceptedAnswer": { "@type": "Answer", "text": "Microsoft 365 kann von deutschen Unternehmen DSGVO-konform genutzt werden, wenn die EU Data Boundary aktiviert ist, der Auftragsverarbeitungsvertrag mit Microsoft abgeschlossen wurde, eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorliegt und — wo erforderlich — eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt wurde. Die LfD Niedersachsen hat 2025 diesen Weg für private Unternehmen bestätigt. Die Konformität stellt sich nicht automatisch ein, sondern hängt von der konkreten Konfiguration und dem vertraglichen Setup ab." } }, { "@type": "Question", "name": "Gibt es einen Auftragsverarbeitungsvertrag (AVV) für Microsoft 365?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Microsoft stellt einen Auftragsverarbeitungsvertrag über die Microsoft-Produktbedingungen und das Datenschutzaddendum (Data Protection Addendum) bereit. Er erfasst die Pflichten eines Auftragsverarbeiters nach Art. 28 DSGVO, einschließlich Subunternehmer, technisch-organisatorischer Maßnahmen, Meldepflichten bei Datenpannen, Prüfrechten und Datenlöschung. Unternehmen sollten prüfen, dass der AVV die konkret eingesetzten M365-Dienste und ihren Vertragstyp umfasst." } }, { "@type": "Question", "name": "Dürfen deutsche Schulen Microsoft 365 nutzen?", "acceptedAnswer": { "@type": "Answer", "text": "Dies ist weiterhin umstritten. Für private Unternehmen hat die LfD Niedersachsen 2025 den Einsatz mit geeigneter Konfiguration bestätigt. Schulen und Behörden unterliegen strengeren Anforderungen — mehrere Kultusministerien und Landesdatenschutzbehörden, darunter Baden-Württemberg, haben den M365-Einsatz an Schulen beschränkt oder an Bedingungen geknüpft. Öffentliche Stellen sollten vor dem Einsatz die zuständige Landesdatenschutzbehörde konsultieren." } }, { "@type": "Question", "name": "Was ist die EU Data Boundary?", "acceptedAnswer": { "@type": "Answer", "text": "Die EU Data Boundary ist Microsofts Verpflichtung, zentrale Kundendaten — darunter Exchange-E-Mail-Inhalte, SharePoint-Dateien und Teams-Chats — innerhalb der EU und des EWR zu speichern und zu verarbeiten. Sie startete am 1. Januar 2023 und wurde bis Ende 2024 auf alle Microsoft 365-Dienste ausgerollt. Mandanten müssen prüfen, ob die EU Data Boundary für ihren Tenant aktiviert ist. Begrenzte Diagnosedaten (Telemetriedaten) können weiterhin außerhalb der EU verarbeitet werden." } }, { "@type": "Question", "name": "Brauche ich für Microsoft 365 eine Datenschutz-Folgenabschätzung (DSFA)?", "acceptedAnswer": { "@type": "Answer", "text": "Die deutschen Datenschutzbehörden empfehlen, für Microsoft-365-Deployments mit umfangreicher Verarbeitung von Beschäftigtendaten — insbesondere bei Teams-Monitoring, Viva Insights oder großangelegter E-Mail-Verarbeitung — eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen. Auch unterhalb der gesetzlichen Schwelle empfiehlt die DSK eine DSFA als Vorsichtsmaßnahme für M365." } } ] } ] ```