Was darf Microsoft mit Ihren Daten in Microsoft 365 und Azure AI tun? Garantien, Verträge und Zertifizierungen

In Gesprächen mit größeren Kunden fällt fast immer dieselbe Frage. Nicht „Ist Ihre App sicher?“ – das haben wir auf der Seite Sicherheit der Anwendungen (auf Englisch) beschrieben. Gefragt wird eine Ebene tiefer: Wenn unsere Daten in Microsoft 365 liegen und wir sie über Azure AI verarbeiten wollen – woher wissen wir, dass Microsoft sie nicht für eigene Zwecke nutzt, dass sie nicht an Dritte gehen und dass kein Modell aus ihnen lernt? Und wo steht das so, dass man es einem Prüfer, der oder dem Datenschutzbeauftragten oder einer Aufsichtsbehörde zeigen kann?

Die kurze Antwort: Diese Garantien gibt es, sie stehen im Vertrag und lassen sich belegen. Absolut sind sie aber nicht, sie haben einige Ausnahmen, über die wenig gesprochen wird, und ein großer Teil der Verantwortung bleibt bei Ihnen. Dieser Artikel geht beides durch – was Microsoft garantiert, wo Sie es finden und wo die Garantie endet. Am Ende finden Sie eine Übersicht nach Branchen: öffentliche Verwaltung, Verteidigung, Gesundheitswesen, Pharma und klinische Forschung, Banken.

Stand: 11. November 2026. Microsoft ändert Verträge und Dokumentation mehrmals im Jahr – allein 2026 hat sich die Regel für KI-Unterauftragsverarbeiter geändert, in Copilot sind neue Modellanbieter hinzugekommen und die Azure-AI-Dienste wurden umbenannt. Zu jeder Aussage verlinken wir deshalb die Quelle. Prüfen Sie vor einer wichtigen Entscheidung die aktuelle Fassung.

Wo Sie die Garantien finden: im Vertrag, nicht im Marketing

Präsentationen und Blogs eignen sich zur Orientierung, verbindlich sind sie aber nicht. Für die Onlinedienste von Microsoft bilden diese Dokumente den Vertragsrahmen:

• Product Terms – die Bedingungen der einzelnen Produkte, einschließlich des Teils Privacy and Security Terms (Datenstandort, EU Data Boundary, Liste der Normen) und der Bedingungen für Onlinedienste einschließlich generativer KI.
• Data Protection Addendum (DPA) – der Nachtrag zum Datenschutz (kurz aka.ms/DPA). Die aktuelle Fassung stammt vom 1. November 2026. Sie enthält auch die Vertragsklauseln nach Art. 28 DSGVO. Das DPA wird nicht gesondert unterschrieben, sondern ist automatisch Bestandteil jedes Unternehmensvertrags.
• SLA – Garantien für die Verfügbarkeit.
• Für regulierte Finanzinstitute zusätzlich das Financial Services Amendment und seit 2025 das DORA Addendum (siehe Zuordnung der Verträge zu DORA).

Prüfberichte und Zertifikate finden Sie im Service Trust Portal. Die meisten Dokumente lassen sich nach der Anmeldung herunterladen, und zwar auch mit einem gewöhnlichen Firmenkonto.

Microsoft 365 und SharePoint: was Microsoft mit Ihren Daten tun darf

Sie sind Verantwortlicher, Microsoft ist Auftragsverarbeiter

Das DPA verteilt die Rollen eindeutig: Der Kunde ist Verantwortlicher, Microsoft Auftragsverarbeiter. Microsoft verarbeitet personenbezogene Daten nur auf Grundlage Ihrer dokumentierten Weisungen. Die Daten bleiben Ihre – laut DPA behalten Sie „all right, title and interest“, und Microsoft erwirbt daran keine Rechte außer denen, die Sie selbst einräumen.

Ein Detail, das bei App-Anbietern wichtig ist: Das DPA gilt nur für die Verarbeitung in der Umgebung, die Microsoft und seine Unterauftragsverarbeiter kontrollieren. Schickt eine App eines Drittanbieters Ihre Daten an einen eigenen Server, gilt dafür das DPA von Microsoft nicht. Danach sollten Sie jeden Anbieter fragen.

Nur zwei Zwecke – und keine Werbung

Nach dem aktuellen DPA darf Microsoft Ihre Daten nur für zwei Zwecke verwenden:

1. Zur Bereitstellung des Dienstes – damit er funktioniert, aktuell, leistungsfähig und sicher ist, einschließlich der Behebung von Problemen.
2. Für Geschäftsvorgänge, die mit der Bereitstellung des Dienstes zusammenhängen – und die sind heute eng gefasst. Microsoft darf aus pseudonymisierten Daten aggregierte Statistiken erstellen, „ohne Zugriff auf den Inhalt oder dessen Analyse“, und zwar nur für Abrechnung und Kontoverwaltung, Vergütung, internes Reporting und Kapazitätsplanung sowie Finanzberichterstattung.

Ausdrücklich ausgeschlossen sind Profilbildung von Nutzern, Werbung und ähnliche kommerzielle Zwecke sowie Marktforschung, die auf neue Funktionen zielt.

Dritte und Behörden

Laut DPA macht Microsoft die Daten niemandem zugänglich, es sei denn, Sie weisen es an oder das Gesetz verlangt es. Kommt eine Anfrage einer Behörde, versucht Microsoft, sie an Sie zu verweisen, und wird Microsoft zur Herausgabe gezwungen, informiert es Sie unverzüglich – sofern das Gesetz dies nicht verbietet. Niemandem gewährt Microsoft „direkten, indirekten, pauschalen oder uneingeschränkten“ Zugriff auf die Daten oder die Verschlüsselungsschlüssel der Plattform. Mehr zum Zugriff von Regierungen weiter unten.

Unterauftragsverarbeiter – und eine Neuerung vom Mai 2026

Microsoft führt eine öffentliche Liste der Unterauftragsverarbeiter und kündigt einen neuen Unterauftragsverarbeiter mit Zugriff auf Ihre Daten mindestens 6 Monate im Voraus an.

Achtung, Änderung im DPA vom 22. Mai 2026: Bei Unterauftragsverarbeitern, die Funktionen der künstlichen Intelligenz bereitstellen, genügt eine Ankündigung 30 Tage im Voraus. Die Administration kann einen solchen Unterauftragsverarbeiter abschalten, und zwar mindestens bis sechs Monate nach der Ankündigung. Praktisch heißt das: Von einem neuen Anbieter von KI-Modellen sollte jemand im Unternehmen rechtzeitig erfahren und darüber entscheiden. Auf diesem Weg sind im Sommer 2026 Modelle in Copilot gekommen, die direkt die Firma OpenAI betreibt (siehe unten).

Sicherheitsvorfall und Vertragsende

• Bei einem Sicherheitsvorfall informiert Microsoft Sie unverzüglich, spätestens innerhalb von 72 Stunden (DPA, Anhang A).
• Nach Ende des Abonnements stehen die Daten noch 90 Tage in einem Konto mit eingeschränkter Funktionalität zum Export bereit. Danach löscht Microsoft sie spätestens innerhalb weiterer 90 Tage.
• Kunden mit Rechnungsadresse im EWR können nach dem europäischen Data Act zu einem anderen Anbieter oder in eine eigene Umgebung wechseln. Microsoft berechnet für den Wechsel nichts über die üblichen Gebühren hinaus, die Kündigung kann mit 60 Tagen Vorlauf erfolgen, und die Gebühren für ausgehende Datenübertragung werden nach den gesetzlichen Vorgaben gesenkt.

Lernt die KI aus unseren Daten?

Das ist die häufigste Frage, und hier ist die Antwort eindeutig. In den Product Terms (Abschnitt Microsoft Generative AI Services) steht, dass Microsoft Kundendaten nicht zum Training eines generativen Basismodells verwendet – es sei denn, Sie weisen es selbst an. Im selben Teil steht auch, dass KI-Ausgaben Kundendaten sind und Microsoft sie nicht besitzt.

Für Microsoft 365 Copilot wird die Dokumentation noch konkreter: Prompts, Antworten und über Microsoft Graph verfügbare Daten werden nicht zum Training großer Sprachmodelle verwendet, auch nicht der Modelle, die Copilot selbst nutzt. Freiwilliges Feedback der Nutzer (Daumen hoch/runter) darf Microsoft zur Verbesserung des Produkts nutzen, aber nicht zum Training von Sprachmodellen. Die Administration kann es einschränken. Dieselbe Zusage gilt für Copilot Chat mit Schutz von Unternehmensdaten.

Auf derselben Seite steht noch ein Satz, den man kennen sollte: Copilot zeigt nur das, wofür der Nutzer mindestens Leserechte hat. Copilot fügt also keine neuen Berechtigungen hinzu, er beschleunigt nur den Zugang über die bestehenden. Hat versehentlich das ganze Unternehmen Zugriff auf den Ordner mit den Gehältern, findet Copilot ihn schneller als ein Mensch. Die Sicherheit von Copilot beginnt deshalb mit dem Aufräumen der Berechtigungen in SharePoint.

Drei Ausnahmen aus dem Jahr 2026, die die Administration prüfen muss

1. Flex Routing. Bei Mandanten in der EU darf Microsoft in Spitzenzeiten eine Anfrage an Copilot (die Inferenz des Sprachmodells) in den USA, in Kanada oder in Australien verarbeiten. Bei Mandanten, die nach dem 25. März 2026 angelegt wurden, ist das standardmäßig eingeschaltet. Gespeicherte Daten bleiben in der EU. Die Einstellung finden Sie im Microsoft 365 Admin Center → Copilot → Settings.
2. Modelle von Anthropic (Claude) in Copilot. Anthropic ist Unterauftragsverarbeiter von Microsoft, es gelten also Product Terms und DPA. Die Claude-Modelle liegen aber außerhalb der EU Data Boundary und sind in der EU standardmäßig ausgeschaltet. Die gesonderte Variante „Anthropic models with Data Retention“ unterliegt überhaupt nicht dem Vertrag mit Microsoft – Anthropic tritt darin als eigenständiger Verarbeiter nach eigenen Bedingungen auf und speichert Eingaben bis zu 30 Tage. Sie bleibt ausgeschaltet, bis die Administration sie ausdrücklich einschaltet.
3. OpenAI als Unterauftragsverarbeiter. Seit Sommer 2026 bietet Copilot auch Modelle an, die direkt OpenAI betreibt. Seit dem 24. Juli 2026 sind sie bei berechtigten kommerziellen Kunden für alle Nutzer eingeschaltet, sofern die Administration sie nicht abschaltet. Sie fallen unter die EU Data Boundary, die Zertifizierungen dafür sind aber die von OpenAI, nicht die von Microsoft. Modelle, die Microsoft in Azure betreibt, betrifft dieser Schalter nicht.

Nichts davon ist ein Skandal – alles ist dokumentiert. Es bedeutet nur, dass der Satz „Copilot verarbeitet alles in der EU nach dem Vertrag mit Microsoft“ erst stimmt, nachdem man drei Einstellungen geprüft hat.

Wo die Daten physisch liegen

Microsoft hat im Februar 2025 die EU Data Boundary fertiggestellt: Daten von Kunden aus der EU und der EFTA (Microsoft 365, Azure, Dynamics 365, Power Platform) werden in der EU und der EFTA gespeichert und auch verarbeitet, einschließlich der Daten des technischen Supports. Ausnahmen, die sich grundsätzlich nicht einhalten lassen (z. B. globale Telefonnummern in Teams oder ein Chat mit einer anderen Organisation), sind öffentlich aufgeführt.

Konkret für Tschechien:

• Microsoft hat kein Rechenzentrum in Tschechien. Die Daten eines tschechischen Mandanten liegen in der Geografie Europäische Union/EFTA – in Rechenzentren zum Beispiel in Irland, den Niederlanden, Österreich, Polen, Deutschland, Frankreich oder Schweden, gegebenenfalls auch in Norwegen und der Schweiz. Einen bestimmten Staat garantiert Microsoft nicht.
• Das Add-on Advanced Data Residency (kostenpflichtige Speicherung in einem einzigen Land) ist für Tschechien nicht verfügbar, weil es dort keine lokale Region gibt. Die Übersicht der Angebote nennt für „European Union“ nur die Zusage in den Product Terms und Multi-Geo.
• Multi-Geo und EU Data Boundary schließen sich aus. Ein Mandant mit Multi-Geo fällt nicht unter die EU Data Boundary.

Und vor allem: Datenstandort ist nicht dasselbe wie Rechtshoheit. Die EU Data Boundary regelt, wo die Daten liegen, nicht, wessen Recht auf sie zugreifen kann.

Kann die US-Regierung an die Daten gelangen?

Microsoft ist ein US-Unternehmen, und der US-amerikanische CLOUD Act kann es verpflichten, Daten herauszugeben, die es kontrolliert – unabhängig davon, wo sie liegen. Das kann kein Vertrag ändern. Er kann aber festlegen, was Microsoft in einem solchen Fall tut:

• Verweisen und informieren. Die Behörde wird zuerst an Sie verwiesen, und muss Microsoft dennoch herausgeben, sagt es Ihnen Bescheid – sofern das Gesetz es nicht verbietet (DPA).
• Die Anordnung anfechten. Nach dem DPA-Nachtrag Additional Safeguards Addendum wird Microsoft „alle rechtlich zulässigen Anstrengungen“ (all lawful efforts) unternehmen, um die Anordnung anzufechten, nur das notwendige Minimum herausgeben und die betroffenen Personen entschädigen, falls die Herausgabe in ein Land außerhalb der EU gegen Kapitel V DSGVO verstoßen würde.
• Zahlen veröffentlichen. Laut dem Bericht über Anfragen von Regierungen für das 2. Halbjahr 2025 hat Microsoft US-Behörden Inhaltsdaten von drei Unternehmenskunden außerhalb der USA herausgegeben, davon einem in der EU/EFTA. Die Zahl ist klein, aber nicht null.
• Keine Versprechen, die sich nicht halten lassen. Der Rechtsdirektor von Microsoft in Frankreich sagte im Juni 2025 unter Eid vor dem französischen Senat, er könne nicht garantieren, dass Daten französischer Kunden niemals an US-Behörden herausgegeben werden.

Im April 2025 hat Microsoft europäische digitale Zusagen verkündet: einen europäischen Verwaltungsrat ausschließlich aus Europäerinnen und Europäern, der den Betrieb der europäischen Rechenzentren beaufsichtigt, eine Sicherungskopie des Quellcodes in der Schweiz und die Zusage, sich vor Gericht zu wehren, falls eine Regierung anordnen sollte, den Betrieb in Europa einzustellen. Achtung: Vertraglich gilt diese letzte Zusage (DPA, Anhang D) nur für staatliche Institutionen – staatliche, föderale und regionale Behörden der EU-Länder (sowie der Beitrittskandidaten, der EFTA-Staaten, des Vereinigten Königreichs, Monacos und des Vatikans) – und für die Europäische Kommission, nicht für private Unternehmen.

Was vor erzwungenem Zugriff tatsächlich schützt: Verschlüsselung mit einem Schlüssel, den Microsoft nicht hat (Double Key Encryption, siehe unten), und in der Cloud nur das zu speichern, was wirklich dort sein muss.

Wer bei Microsoft an die Daten herankommt und wie sie verschlüsselt sind

• Kein dauerhafter Zugriff. Das DPA hält fest, dass Mitarbeitende von Microsoft keinen dauerhaften Zugriff auf Kundendaten haben („no standing access“). Braucht ein Techniker Zugriff, um ein Problem zu lösen, beantragt er ihn über das interne Lockbox mit Begründung, Zeitlimit und Genehmigung. Der Zugriff wird automatisch wieder entzogen, und alles wird protokolliert.
• Customer Lockbox. Mit einer Lizenz für Microsoft 365 E5 (oder dem Purview-Add-on) können Sie verlangen, dass jeder solche Zugriff auf Inhalte von jemandem bei Ihnen genehmigt wird. Eine nicht genehmigte Anfrage verfällt nach 12 Stunden.
• Verschlüsselung im Ruhezustand und bei der Übertragung. Die Datenträger sind mit BitLocker verschlüsselt. Dateien in SharePoint und OneDrive werden zusätzlich in Teile zerlegt, und jeder Teil ist mit einem eigenen AES-256-Schlüssel verschlüsselt. Die Schlüssel liegen getrennt vom Inhalt. Übertragungen laufen über TLS.
• Customer Key. Die Hauptschlüssel können Sie selbst bereitstellen, aus Ihrem eigenen Azure Key Vault. Das hat zwei Einschränkungen. Microsoft hält einen „availability key“ als Reserve für die Wiederherstellung. Und in SharePoint schützt Customer Key Dateien, nicht Listenelemente und Metadaten – diese sind durch eine Verschlüsselung geschützt, deren Schlüssel Microsoft verwaltet. Das ist bei Apps wichtig, die Datensätze in Listen speichern, auch bei unseren.
• Double Key Encryption (DKE). Die einzige Variante, bei der Microsoft den Inhalt nicht lesen kann: Zum Entschlüsseln braucht man zwei Schlüssel, und einen davon haben nur Sie. Der Preis ist hoch – solche Inhalte findet die Suche nicht, Copilot sieht sie nicht, und sie lassen sich nicht in der Webversion von Office öffnen. Das eignet sich für die wenigen Prozent der sensibelsten Dokumente, nicht für alles.

Azure AI: was gilt, wenn Modelle in Azure Ihre Daten verarbeiten

Wenn ein Unternehmen einen eigenen KI-Assistenten für seine Dokumente aufbaut, nutzt es meist Modelle in Azure – früher Azure OpenAI, heute den Dienst Microsoft Foundry. Die Regeln ähneln denen von Microsoft 365, unterscheiden sich aber im Detail.

Was Microsoft garantiert

Laut der Seite Data, privacy, and security (Aktualisierung Juni 2026) gilt für Ihre Prompts, Antworten, Embeddings und Trainingsdaten:

• sie sind nicht für andere Kunden zugänglich,
• sie sind nicht für OpenAI zugänglich und auch nicht für andere Modellanbieter, die Microsoft vertreibt,
• sie werden nicht zur Verbesserung von OpenAI-Modellen oder von Produkten von Microsoft oder Dritten verwendet,
• sie werden nicht zum Training generativer Modelle verwendet, ohne dass Sie zustimmen oder es anweisen.

Die Modelle laufen in Azure und kommunizieren nicht mit den Diensten von OpenAI. Sie sind „stateless“, merken sich also nichts aus Ihren Anfragen. Ein Modell, das Sie selbst feinabstimmen (Fine-Tuning), gehört nur Ihnen.

Missbrauchskontrolle: wann ein Mensch einen Prompt ansehen kann

Azure überwacht standardmäßig, ob der Dienst missbraucht wird – es klassifiziert Inhalte automatisch und sucht nach Mustern von Regelverstößen. Die automatische Prüfung speichert nichts. Nur wenn das System etwas markiert und die Automatik sich nicht sicher ist, kann sich eine autorisierte Person bei Microsoft eine Stichprobe ansehen. Bei Bereitstellungen im Europäischen Wirtschaftsraum sind das Prüferinnen und Prüfer aus dem EWR. Der Speicher für diese Prüfung ist für jede Ressource getrennt und liegt in ihrer Geografie. Eine konkrete Aufbewahrungsfrist nennt die heutige Dokumentation nicht (die frühere Angabe „bis zu 30 Tage“ ist daraus verschwunden).

Details beschreibt die Seite Abuse monitoring. Wer Speicherung und menschliche Prüfung abschalten muss (typischerweise im Gesundheitswesen oder bei Rechtsdienstleistungen), kann das sogenannte modified abuse monitoring beantragen. Es steht nur Kunden offen, die vom Vertriebsteam von Microsoft betreut werden oder zu einem ausgewählten Programm gehören, und die Genehmigung lässt sich am Attribut ContentLogging=false überprüfen. Zum Vergleich: Bei Microsoft 365 Copilot ist die menschliche Prüfung laut Dokumentation abgeschaltet.

Wo die Daten verarbeitet werden: Der Bereitstellungstyp entscheidet

Hier passiert der häufigste Fehler. Entscheidend ist der Bereitstellungstyp des Modells, nicht die Region, die Sie im Portal auswählen (Bereitstellungstypen):

Bereitstellungstyp	Wo die Anfrage verarbeitet wird	Hinweis
Standard (regional)	in der Geografie der gewählten Region	eine Geografie kann mehrere Staaten umfassen (z. B. „Europe“)
Data Zone EU	in der EU, kann auch die EFTA einschließen	Microsoft darf Regionen ohne Ankündigung hinzufügen
Global	überall auf der Welt	gespeicherte Daten bleiben in der Geografie, die Verarbeitung nicht
Developer	ohne Standortgarantie	nur zur Bewertung feinabgestimmter Modelle, die Bereitstellung erlischt nach 24 Stunden

Microsoft selbst empfiehlt, mit dem Typ Global zu beginnen, weil neue Modelle dort zuerst verfügbar sind. Für europäische Daten ist aber Data Zone EU oder regionales Standard die richtige Wahl. Die Global-Typen lassen sich im ganzen Unternehmen per Azure Policy verbieten.

Wo Daten vorübergehend gespeichert werden

„Das Modell merkt sich nichts“ heißt nicht, dass nirgendwo etwas gespeichert wird. Einige Funktionen halten Daten vor:

• Die Responses API speichert Antworten standardmäßig 30 Tage. Microsoft schreibt selbst, dass auch store=false „keine pauschale Garantie für null Aufbewahrung“ ist.
• Prompt Caching hält die Anfänge von Anfragen im Zwischenspeicher. Bei älteren Modellen meist für Minuten, höchstens eine Stunde; mit erweiterter Aufbewahrung (bei einigen neueren Modellen standardmäßig eingeschaltet) bis zu 24 Stunden. Bei den neuesten Modellen nennt die Dokumentation nur eine Mindestdauer der Aufbewahrung, keine Obergrenze.
• Dateien, Vektorspeicher und Threads von Agenten liegen in Ihrer Foundry-Ressource, in Ihrem Mandanten und Ihrer Geografie, und Sie können sie löschen.
• Andere Dienste haben eigene Fristen: Document Intelligence 24 Stunden, Language bis zu 48 Stunden, Content Safety nichts außer den Listen gesperrter Begriffe, die Sie selbst hochladen.
• Funktionen in der Vorschau erfüllen laut Microsoft möglicherweise nicht alle oben genannten Regeln.

Modelle anderer Anbieter in Azure: Achten Sie auf den Vertrag

Der Foundry-Katalog enthält Modelle vieler Hersteller, und nicht für alle gelten dieselben Regeln:

• Direkt von Microsoft vertriebene Modelle („Foundry Models sold by Azure“ – alle Modelle von OpenAI und ausgewählte Modelle von Meta, Mistral, DeepSeek, xAI, Cohere und weiteren) unterliegen den Product Terms und dem DPA von Microsoft.
• Bei Partnermodellen über die Serverless API ist Microsoft Auftragsverarbeiter und gibt Prompts nicht an den Modellanbieter weiter.
• Claude von Anthropic wird in Foundry von Anthropic vertrieben, und es gilt das DPA von Anthropic, nicht das von Microsoft. Die auf der Infrastruktur von Anthropic gehostete Variante kann Daten außerhalb von Azure und außerhalb der gewählten Geografie verarbeiten.
• Das Agenten-Tool Grounding with Bing schickt die Anfrage an die Suchmaschine Bing, und das DPA gilt dafür nicht.

Was Sie bei sich einstellen sollten

• Anmeldung über Microsoft Entra ID und Managed Identity, abgeschaltete Zugriffsschlüssel.
• Private Endpoint und abgeschalteter öffentlicher Zugriff.
• Eigene Verschlüsselungsschlüssel (CMK), wenn Ihre Richtlinien sie verlangen.
• Defender for AI Services und Microsoft Purview für Foundry. Purview speichert erfasste Prompts allerdings im Postfach des Nutzers, sodass eine weitere Kopie der Daten entsteht.

Für das Urheberrecht gilt das Customer Copyright Commitment: Microsoft verteidigt Sie, wenn jemand eine KI-Ausgabe wegen einer Urheberrechtsverletzung angreift, sofern Sie die vorgeschriebenen Schutzmaßnahmen eingeschaltet haben. Die Seite nennt ausdrücklich Azure OpenAI, bei anderen Modellen sollten Sie den Umfang prüfen.

Zertifizierungen: was Microsoft hat und wo Sie sie herunterladen

Norm / Nachweis	Was sie belegt	Hinweis
ISO/IEC 27001, 27017, 27018, 27701	Informationssicherheitsmanagement, Cloud-Sicherheit, Schutz personenbezogener Daten	das DPA verpflichtet Microsoft, die Normen 27001, 27002 und 27018 einzuhalten
ISO 22301	Betriebskontinuität
SOC 1, SOC 2 Type II, SOC 3	unabhängige Prüfung der Kontrollen	SOC 1 und 2 für Microsoft 365 sind direkt in den Product Terms aufgeführt
CSA STAR	Cloud-Sicherheit
C5 (Deutschland, BSI)	Anforderungskatalog für Cloud-Dienste	Type-2-Bericht für Microsoft 365
ENS High (Spanien)	nationales Sicherheitsschema	einschließlich SharePoint und Copilot
HDS (Frankreich)	Hosting von Gesundheitsdaten	Microsoft 365, Version 2.0 seit Oktober 2025
ISO/IEC 42001	Managementsystem für KI	Microsoft Foundry und die Copilot-Familie; Azure OpenAI wird nicht gesondert genannt
HITRUST, HIPAA BAA	US-Gesundheitswesen	das BAA ist Bestandteil des DPA

Was Microsoft 365 nicht hat: die französische Qualifizierung SecNumCloud (darum bemüht sich die separat betriebene Cloud Bleu, Microsoft 365 kommt dort erst in einer späteren Phase). Das europäische Schema EUCS wurde bisher nicht verabschiedet. Und eine GxP-Zertifizierung für Cloud-Anbieter gibt es überhaupt nicht – siehe Pharma weiter unten.

Den Zertifizierungsumfang nach einzelnen Azure-Diensten finden Sie im Dokument Microsoft Azure Compliance Offerings im Service Trust Portal und auf der Seite Dienste im Prüfumfang.

Was das für Ihre Branche bedeutet

Öffentliche Verwaltung in Tschechien

• Das tschechische Gesetz Nr. 264/2025 Slg. über die Cybersicherheit (Umsetzung von NIS2) ist seit dem 1. November 2025 in Kraft und verschärft unter anderem das Lieferantenmanagement.
• Tschechische Träger öffentlicher Gewalt dürfen nur Cloud-Dienste nutzen, die im Cloud-Computing-Katalog (auf Tschechisch) eingetragen sind, den die tschechische Digital- und Informationsagentur (DIA) führt. Die Bedingungen für die Eintragung legt seit 2026 die Verordnung Nr. 505/2025 Slg. fest; als Nachweis erkennt sie unter anderem ISO 27001, SOC 2 Type 2 und C5 an.
• Microsoft Ireland Operations Limited ist im Katalog mit Angeboten auf Sicherheitsstufe 3 („hoch“) eingetragen, nicht auf Stufe 4 („kritisch“). Für Systeme der höchsten Stufe reicht das öffentliche Microsoft 365 also nicht.
• Die vertragliche Zusage, sich gegen eine Anordnung zur Einstellung der Dienste zu wehren (DPA, Anhang D), gilt für staatliche Institutionen der EU-Mitgliedstaaten.
• Der Europäische Datenschutzbeauftragte hat 2024 Verstöße der Europäischen Kommission gegen die Regeln bei der Nutzung von Microsoft 365 festgestellt. Im Juli 2025 schloss er das Verfahren mit der Feststellung ab, dass die Kommission die Mängel in Zusammenarbeit mit Microsoft behoben hat. Für Behörden ist das ein nützlicher Präzedenzfall dafür, worauf man in Vertrag und Konfiguration achten sollte.
• Die NÚKIB (tschechische Behörde für Cyber- und Informationssicherheit) hat laut ihrer Antwort vom Juni 2026 (auf Tschechisch) bislang keine umfassenden Materialien zur Abhängigkeit von Cloud und KI von Anbietern außerhalb der EU. Sie behandelt das Thema im Rahmen der Sicherheit der Lieferkette.

Streitkräfte, kritische Infrastruktur, Verschlusssachen

Hier reicht die öffentliche Cloud meist nicht, und Microsoft bietet drei Modelle der Microsoft Sovereign Cloud an:

• Sovereign Public Cloud – die üblichen europäischen Rechenzentren und zusätzlich Data Guardian: Fernzugriffe von Technikern bei Microsoft genehmigen und überwachen Mitarbeitende mit Wohnsitz in der EU/EFTA. Wann das für Microsoft 365 vollständig verfügbar sein wird, haben wir anhand einer Primärquelle nicht überprüft.
• Sovereign Private Cloud – Azure Local und Microsoft 365 Local (Exchange und SharePoint Server) in Ihrem Rechenzentrum. Seit Februar 2026 lässt sich das auch vollständig ohne Verbindung betreiben.
• Nationale Partner-Clouds – Bleu in Frankreich und Delos in Deutschland werden von unabhängigen lokalen Unternehmen betrieben.

Für KI ohne Internetverbindung ist Foundry Local auf Azure Local vorgesehen (prüfen Sie den Stand der Verfügbarkeit, ein Teil der Dokumentation führt es als Preview). Container für den Betrieb ohne Verbindung gibt es nur für ausgewählte Dienste (Sprache, Übersetzung, Textanalyse, Lesen von Dokumenten), und Azure OpenAI gehört nicht dazu.

Gesundheitswesen

• Gesundheitsdaten sind eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Rechnen Sie mit einer Datenschutz-Folgenabschätzung (DSFA) und mit der Frage, wer im Mandanten tatsächlich Zugriff auf die Daten hat.
• Microsoft 365 hat die französische Zertifizierung HDS und die US-amerikanische HITRUST. Der BAA-Vertrag für den US-amerikanischen HIPAA ist Bestandteil des DPA. Dass sich das BAA ausdrücklich auch auf Azure OpenAI erstreckt, haben wir auf der offiziellen Seite nicht gefunden – falls Sie das brauchen, klären Sie es mit Microsoft.
• Dient die KI als Medizinprodukt (Diagnostik, Therapieentscheidungen), gelten die MDR-Verordnung und der AI Act, und verantwortlich ist der Hersteller der Software, nicht Microsoft. Laut Zusammenfassungen von Anwaltskanzleien zur Änderung des AI Act (Digital Omnibus, 2026) verschieben sich die Pflichten für Hochrisiko-KI in regulierten Produkten auf den 2. August 2028.
• Für die Missbrauchskontrolle bei Azure OpenAI sollten Sie einen Antrag auf modified abuse monitoring erwägen (siehe oben).

Pharma und klinische Forschung (GxP, CRO)

Das gilt für Arzneimittelhersteller und für CROs – Auftragsforschungsinstitute, die für Pharmaunternehmen klinische Prüfungen durchführen:

• Eine GxP-Zertifizierung für die Cloud gibt es nicht. Microsoft schreibt das selbst und stellt stattdessen Prüfberichte und Qualifizierungsleitfäden für Office 365 und Azure bereit, die die Firma Montrium erstellt hat. Sie beschreiben die Aufteilung der Verantwortung und empfohlene Kontrollen auf Kundenseite.
• Sie decken die Anforderungen von 21 CFR Part 11 (USA) und EU GMP Annex 11 ab. Die Systemvalidierung (CSV/CSA) sowie das Design von Audit Trail, elektronischen Signaturen und SOPs bleiben bei Ihnen. Microsoft liefert Nachweise über eine qualifizierte Infrastruktur.
• ICH E6(R3) (Gute klinische Praxis) ist in der EU seit dem 23. Juli 2025 rechtlich wirksam (Grundsätze und Anhang 1; Anhang 2 ab dem 15. Januar 2027). Die Leitlinie legt Wert auf Datenmanagement, risikobasierte Validierung computergestützter Systeme und klar verteilte Verantwortlichkeiten zwischen Sponsor, CRO und Lieferanten. Ein spezifisches Dokument von Microsoft zu E6(R3) haben wir nicht gefunden.
• KI in der GMP: Die Europäische Kommission und PIC/S haben im Juli 2025 den Entwurf eines neuen Annex 22 zur künstlichen Intelligenz, den die Inspektions-Arbeitsgruppen von EMA und PIC/S ausgearbeitet haben, zusammen mit einer Überarbeitung von Annex 11 in die öffentliche Konsultation gegeben. Nach dem Entwurf dürfen in kritischen GMP-Anwendungen nur statische, deterministische Modelle eingesetzt werden – generative KI und große Sprachmodelle gehören nicht in kritische GMP-Anwendungen. Die endgültige Fassung ist mit Stand November 2026 noch nicht erschienen.

Praktisch heißt das: Ein KI-Assistent für Dokumente eignet sich für nicht kritische Aufgaben (Suche in SOPs, Textentwürfe, Zusammenfassungen), wenn ein Mensch das Ergebnis prüft. Aufzeichnungen mit Auswirkungen auf Qualität, Patientensicherheit oder Datenintegrität gehören in validierte Systeme.

Banken, Versicherungen und Finanzsektor

• DORA gilt seit dem 17. Januar 2025. Die Europäischen Aufsichtsbehörden haben Microsoft Ireland am 18. November 2025 als kritischen IKT-Drittdienstleister eingestuft (CTPP), sodass es unter direkter europäischer Aufsicht steht.
• Microsoft bietet das DORA Addendum (Unterauftragsverarbeiter, Kündigungsrechte, Monitoring) und das Financial Services Amendment mit einem Prüfungsrecht für Sie und für die Aufsichtsbehörde. Die Zuordnung der Verträge zu Art. 30 DORA finden Sie im Service Trust Portal.
• Die Verantwortung für die Einhaltung von DORA bleibt bei der Institution. Microsoft liefert Verträge, Prüfberichte und Werkzeuge; das Informationsregister, das Risikomanagement und die Exit-Strategie müssen aber Sie haben.
• In Tschechien ist die Tschechische Nationalbank (ČNB) die zuständige Behörde; methodische Materialien zu DORA (auf Tschechisch) finden Sie auf ihrer Website. Eine besondere Empfehlung der ČNB zu generativer KI haben wir nicht gefunden.

Was bei Ihnen bleibt

Bei SaaS ist Microsoft für Rechenzentren, Netzwerke und den Betrieb des Dienstes verantwortlich. Daten, Identitäten, Konten und Einstellungen liegen immer bei Ihnen. Bevor Sie einem Prüfer antworten „Das haben wir bei Microsoft“, gehen Sie Folgendes durch:

1. Mehrstufige Authentifizierung, die gegen Phishing resistent ist, und Richtlinien für bedingten Zugriff.
2. Möglichst wenige Administratorrollen und deren regelmäßige Überprüfung.
3. Freigaben und Berechtigungen in SharePoint – Links für „Jeder“, die Gruppe „Jeder außer externen Benutzern“, Gäste. Dabei helfen die Berichte zur Data Access Governance.
4. Vertraulichkeitsbezeichnungen und DLP, einschließlich einer Regel, damit Copilot gekennzeichnete Dokumente nicht zusammenfasst.
5. Aufbewahrungsrichtlinien und Überwachungsprotokoll.
6. Customer Lockbox, wenn Sie eine E5-Lizenz haben.
7. Einstellungen von Copilot: Flex Routing, Modelle von Anthropic und OpenAI.
8. Bereitstellungstypen in Azure: Global per Azure Policy verbieten, wenn die Daten in der EU bleiben müssen.
9. Apps von Drittanbietern: welche Berechtigungen sie in Entra ID erhalten haben und ob sie Daten aus dem Mandanten hinausschicken.
10. Validierung und DSFA entsprechend Ihrer Branche.

Mythen und Realität

Mythos	Realität
„Microsoft trainiert Copilot mit unseren Dokumenten.“	Vertraglich nicht. Kundendaten werden nicht zum Training von Basismodellen verwendet.
„OpenAI sieht, was wir in Azure OpenAI fragen.“	Nein. Die Modelle laufen in Azure, und die Daten sind für OpenAI nicht zugänglich.
„Unsere Daten liegen in einem tschechischen Rechenzentrum.“	Microsoft hat in Tschechien kein Rechenzentrum. Die Daten liegen in der EU/EFTA, ein bestimmter Staat ist nicht garantiert.
„EU Data Boundary bedeutet, dass keine US-Behörde an die Daten kommt.“	Sie regelt den Standort, nicht die Rechtshoheit. Schutz bieten die Zusagen im Vertrag und ein eigener Verschlüsselungsschlüssel.
„Copilot verarbeitet alles in der EU.“	Nur wenn Flex Routing und die Modelle von Anthropic abgeschaltet sind.
„Eine Global-Bereitstellung in Azure bleibt in der EU, wenn die Region in der EU liegt.“	Nein. Global verarbeitet überall; in der EU halten die Daten nur Data Zone EU oder regionales Standard.
„Mit Customer Key kann Microsoft die Daten nicht lesen.“	Der Dienst entschlüsselt sie weiterhin, Microsoft hat einen Reserveschlüssel, und Listenelemente in SharePoint schützt der Schlüssel nicht. Das leistet nur DKE.
„Microsoft ist für GxP zertifiziert, also sind wir auf der sicheren Seite.“	Eine GxP-Zertifizierung für die Cloud gibt es nicht. Die Validierung ist Ihre Aufgabe.
„DORA erledigt Microsoft für uns.“	Die Verantwortung bleibt bei der Institution. Microsoft liefert Verträge und Unterlagen.
„Neue Unterauftragsverarbeiter werden immer ein halbes Jahr im Voraus angekündigt.“	Bei Unterauftragsverarbeitern für KI genügen seit Mai 2026 30 Tage.
„Copilot ist an sich ein Sicherheitsrisiko.“	Er zeigt nur, was der Nutzer ohnehin öffnen darf. Das Risiko liegt in zu breiten Freigaben.

So machen wir es bei EasyPortal 365

Unsere Apps bauen wir so, dass alles oben Genannte uneingeschränkt für sie gilt:

• Die Apps speichern Daten in Ihrem SharePoint – in Listen und Bibliotheken auf Ihrer Website. Sie haben keine eigene Datenbank und keinen eigenen Server. Die Daten unterliegen also demselben DPA, derselben EU Data Boundary, Verschlüsselung und denselben Zertifizierungen wie jeder andere Inhalt Ihres SharePoint, und wir haben keinen Zugriff darauf.
• Von uns geladen werden nur der Code der App und statische Dateien aus unserem Content Delivery Network. Die Lizenzprüfung arbeitet nur mit einem Hash der ID Ihres Mandanten. Die Ausnahmen (z. B. eine Fehlermeldung per E-Mail oder optionale Konnektoren) sind auf der Seite Sicherheit der Anwendungen (auf Englisch) aufgeführt.
• Ein ehrlicher Hinweis: Weil die Apps Datensätze in Listen speichern, gilt Customer Key für diese Datensätze nicht (siehe oben). Ist für Sie ein eigener Schlüssel zwingend, sagen Sie es uns – dann besprechen wir, was in die Listen gehört und was nicht.
• Private sichere KI läuft in Ihrem Azure-Abonnement. Das Modell stellen wir standardmäßig als Data Zone EU in der Region Sweden Central bereit, den Typ Global verwenden wir bei Kunden nicht. Unterhaltungen werden in Ihrem SharePoint gespeichert, der Inhalt von Anhängen wird überhaupt nicht gespeichert, und die Diagnose des Dienstes enthält nur technische Angaben (Anzahl der Tokens, Statuscodes, Name und Größe der Datei), keine Fragen und Antworten. An uns geht nur eine tägliche Zusammenfassung der Anzahl von Vorgängen und Tokens für die Abrechnung – ohne Inhalte und ohne Identitäten der Nutzer, und sie lässt sich abschalten. Die Missbrauchskontrolle von Microsoft belassen wir in der Standardeinstellung – ein Kunde, der vom Vertriebsteam von Microsoft betreut wird, kann ihre Anpassung selbst beantragen. Details finden Sie auf der Seite Private sichere KI.

Das Wichtigste zum Mitnehmen

• Die Garantien von Microsoft sind vertraglich und belegbar: DPA, Product Terms und Prüfberichte im Service Trust Portal. Verweisen Sie auf diese Dokumente, nicht auf Marketingseiten.
• KI-Training mit Ihren Daten ist vertraglich ausgeschlossen – für Microsoft 365, Copilot und die von Microsoft in Azure vertriebenen Modelle. Bei Modellen von Dritten (Claude, Bing) prüfen Sie, wessen Vertrag gilt.
• Der Standort in der EU ist real, absolute Souveränität nicht. Vor erzwungenem Zugriff schützen Verschlüsselung mit eigenem Schlüssel und Datenminimierung, nicht die Karte der Rechenzentren.
• 2026 hat neue Standardeinstellungen gebracht, die Daten außerhalb der EU oder außerhalb des Vertrags mit Microsoft schicken können. Prüfen Sie Flex Routing, die Modelle von Anthropic und OpenAI sowie die Bereitstellungstypen in Azure.
• Regulierte Branchen bekommen Compliance nicht fertig geliefert. Microsoft liefert Zertifizierungen, Leitfäden und Vertragsnachträge. Validierung, DSFA, das Register nach DORA und die Berechtigungen sind Ihre Arbeit – und genau dabei helfen wir Ihnen gern.

Wenn Sie gerade ein konkretes Audit oder einen Fragebogen eines Kunden bearbeiten, melden Sie sich bei uns. Wir gehen mit Ihnen durch, was davon für Ihre Umgebung gilt und was eingerichtet werden muss.

Wichtigste Quellen

• Microsoft Products and Services Data Protection Addendum (DPA)
• Product Terms – Privacy and Security Terms
• Data, privacy and security for Microsoft 365 Copilot
• Data, privacy, and security for Azure OpenAI / Foundry Models
• EU Data Boundary
• Übersicht der Zertifizierungen von Microsoft
• Service Trust Portal