AVV mit Microsoft 365: Pflicht-Anpassungen 2026

Hauptartikel: AVV-Vorlage Art. 28 DSGVO — dort stehen die vollständige Liste der acht Pflichtinhalte und die Vertragsvorlage; dieser Artikel behandelt die sechs Mindest-Festlegungen des Art. 28 Abs. 3 DSGVO und die Microsoft-365-spezifischen Anpassungen. Die beiden Zahlen meinen also nicht dieselbe Liste.

Was Art. 28 DSGVO für den AVV mindestens verlangt

Art. 28 DSGVO verlangt zweierlei: Sie dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1), und die Verarbeitung muss auf einem Vertrag oder einem anderen Rechtsinstrument mit gesetzlich vorgegebenem Mindestinhalt beruhen (Abs. 3).

Die Auswahlentscheidung nach Absatz 1 und die Vertragsgestaltung nach Absatz 3 sind zwei getrennte Schritte. Ein unterschriebenes Standarddokument beantwortet nur den zweiten. Mindestens diese Angaben muss der Vertrag festlegen; die vollständige Liste der Pflichtinhalte steht im Hauptartikel:

Genau hier liegt die Arbeit bei Microsoft 365: Gegenstand, Art der Daten und Kategorien betroffener Personen sind in jedem Unternehmen andere, während ein Anbieterdokument sie nur allgemein fassen kann. Praxisempfehlung: Führen Sie die sechs Angaben pro Tenant in einem eigenen, datierten Anhang und verweisen Sie darin auf die sechs folgenden Anpassungen.

Alle Angaben zu Microsoft-Produkten und -Funktionen in diesem Artikel geben den Stand vom 2. Mai 2026 wieder; vertieft wurden die rechtlichen Anforderungen.

1. EU Data Boundary aktivieren

Aktivieren Sie die EU Data Boundary (verfügbar seit 02/2024) als Tenant-Setting im Admin-Center, sodass Daten und Telemetrie in der EU verarbeitet werden, und halten Sie den Verarbeitungsort zusätzlich vertraglich fest — eine Tenant-Einstellung ist eine technische Konfiguration, keine vertragliche Festlegung.

Warum das in den Vertrag gehört: Art. 28 Abs. 3 DSGVO verlangt, dass Gegenstand sowie Art und Zweck der Verarbeitung festgelegt sind; den Verarbeitungsort nennt dieser Mindestkatalog nicht — ihn zusätzlich vertraglich festzuhalten, ist eine Praxisempfehlung. Der Verarbeitungsort entscheidet zugleich darüber, ob überhaupt eine Drittlandübermittlung vorliegt; im Verarbeitungsverzeichnis ist die Drittlandübermittlung samt Garantie ein eigenes Feld (Art. 30 Abs. 1 DSGVO). Verlässt der Datenfluss die EU, gilt der Nachweisweg aus Punkt 4.

Praxisempfehlung: Legen Sie den Konfigurationsnachweis mit Datum, Tenant-Bezeichnung und verantwortlicher Person ab. Wiederholen Sie den Export bei jeder Änderung an der Tenant-Konfiguration und bei jedem Versionswechsel der Microsoft-DPA; ein ereignisgebundener Auslöser ist einfacher nachzuhalten als ein Kalenderintervall. Halten Sie die gewählten Auslöser schriftlich fest — das stützt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

2. Copilot-Tenant-Isolation

Setzen Sie Sensitive Labels für personenbezogene Bestände (PII) und beschränken Sie den Copilot-Zugang nach Rollen, bevor Sie den Dienst freigeben; ohne diese Isolation kann Copilot auf alle Tenant-Daten zugreifen. Ziehen Sie die Freigabe zusätzlich als eigene Verarbeitung in den AVV-Anhang nach.

Der rechtliche Kern: Art. 28 Abs. 3 DSGVO verlangt die Festlegung von Art und Zweck der Verarbeitung, der Art der personenbezogenen Daten und der Kategorien betroffener Personen. Greift ein Dienst tenantweit auf vorhandene Ablagen zu, decken sich diese Angaben nicht mehr mit dem, was für Postfach und Dateiablage vereinbart wurde. Hinzu kommt Art. 9 Abs. 1 DSGVO: Gesundheitsdaten, Gewerkschaftszugehörigkeit oder Daten über religiöse Überzeugungen unterliegen einem grundsätzlichen Verarbeitungsverbot mit engen Ausnahmen — betriebliche Ablagen enthalten solche Daten regelmäßig, etwa in Personalordnern. Ob zusätzlich eine Datenschutz-Folgenabschätzung nötig ist, entscheidet die Risikolage; Art. 35 Abs. 1 DSGVO nennt die Verwendung neuer Technologien ausdrücklich als typischen Anlass für die Vorabprüfung.

Praxisempfehlung: Erst Labels auf die Ablagen mit Personal- und Gesundheitsbezug ausrollen, dann eine begrenzte Pilotgruppe freischalten, Ergebnis dokumentieren, danach erst breit freigeben.

3. US-Sub-Verarbeiter dokumentieren

Führen Sie die rund 150 US-Sub-Verarbeiter als eigenen, datierten AVV-Anhang, gleichen Sie ihn monatlich gegen die Liste im Microsoft Trust Center ab (Praxis-Kadenz; Microsoft aktualisiert die Liste monatlich) und spiegeln Sie jede Änderung in Ihr Verarbeitungsverzeichnis — so muss im Prüffall nicht allein auf eine Anbieterquelle verwiesen werden.

Warum die Spiegelung: Das Verarbeitungsverzeichnis enthält die Kategorien der Empfänger und die Drittlandübermittlungen samt Garantien als eigene Felder (Art. 30 Abs. 1 DSGVO); wer selbst als Auftragsverarbeiter tätig wird, dokumentiert Drittlandübermittlungen einschließlich geeigneter Garantien nach Art. 30 Abs. 2 lit. c DSGVO. Genau an dieser Stelle liegen zwei häufige Fehler: veraltete Empfänger-Listen und fehlende Drittland-Hinweise bei US-Diensten.

Praxisempfehlung: Ein Änderungsprotokoll nach dem Muster aus Punkt 1; entscheidend ist, dass die im VVT genannten Empfänger-Kategorien mitgezogen werden.

4. Schrems II / DPF-Anhang

Dokumentieren Sie für jede Übermittlung in ein Drittland, welche Garantie sie trägt, und legen Sie diese Prüfung als datierten Anhang zum AVV ab — Microsoft ist DPF-zertifiziert, ein eigener Anhang bleibt trotzdem empfohlen; EDSA 03/2026 bestätigt diesen Bedarf.

Der Prüfmaßstab: Übermittlungen in Drittländer brauchen eine Garantie — in der Praxis Standardvertragsklauseln (SCC), das Data Privacy Framework (DPF) oder verbindliche interne Datenschutzvorschriften (BCR). Diese Garantie ist nicht nur zu wählen, sondern zu dokumentieren: Im Verarbeitungsverzeichnis steht sie in derselben Zeile wie die Übermittlung, für Auftragsverarbeiter verlangt Art. 30 Abs. 2 lit. c DSGVO die Dokumentation ausdrücklich. Ohne diese Zuordnung lässt sich bei einer Anfrage nicht zeigen, worauf ein einzelner Datenfluss gestützt ist.

Praxisempfehlung: Halten Sie zusätzlich fest, ob die gewählte Garantie im Empfängerland tatsächlich trägt — diese Prüfung wird als Transfer Impact Assessment (TIA) bezeichnet. Praktisch ist das ein Blatt je Garantie: welcher Datenfluss, welche Garantie, Datum der Prüfung, Quelle, geplante Wiedervorlage. Das ist zugleich die Grundlage, um im Ernstfall schnell auf eine andere Garantie umzustellen.

5. Right-to-Audit

Halten Sie im AVV fest, wie Sie die Einhaltung überprüfen: welchen Nachweis Sie erhalten, wer ihn liest und was gilt, wenn er ausbleibt. Microsoft erlaubt nur die Einsicht in den SOC-2-Bericht; dokumentieren Sie entweder, dass Sie diese Prüfform annehmen, oder erweitern Sie das Kontrollrecht um ein Vor-Ort-Audit mit Validierung des ISO-27001-Zertifikats.

Warum die Kontrollfrage nicht nachrangig ist: Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Diese Auswahlentscheidung wirkt fort und ist über die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) zu belegen — und sie ist der Punkt, an dem eine Aufsichtsprüfung nach AVV und Verarbeitungsverzeichnis als Nächstes ansetzt: beim TOM-Konzept und seiner Passung zur Risikolage der Verarbeitungen.

Praxisempfehlung: Koppeln Sie die Durchsicht an den Berichtszeitraum des vorgelegten Nachweises: Liegt ein neuer SOC-2-Bericht vor, wird er gelesen und das Ergebnis mit Datum vermerkt. Wo Sie eine angebotene Prüfform akzeptieren, halten Sie die Entscheidung mit Datum fest, statt die Lücke offenzulassen. Bleibt der Nachweis aus, setzen Sie eine schriftliche Nachfrist, halten Sie das Ausbleiben mit Datum fest und bewerten Sie erneut, ob die Auswahlentscheidung nach Art. 28 Abs. 1 DSGVO noch trägt — diese Bewertung mit Ergebnis und Datum gehört in dieselbe Akte wie der AVV-Anhang.

6. Telemetrie-Konfiguration

Begrenzen Sie die Diagnosedaten zentral über GPO oder Intune auf die Stufe „Required“ und halten Sie die gewählte Stufe samt Ausrollweg im AVV-Anhang fest; in der Standardeinstellung sendet die Telemetrie Diagnosedaten an Microsoft.

Warum das eine eigene Zeile im Vertrag verdient: Diagnosedaten sind eine andere Verarbeitung als die Nutzung der Produktivdaten — anderer Zweck, andere Datenarten, potenziell anderer Empfängerkreis. Art. 28 Abs. 3 DSGVO verlangt aber, dass Art und Zweck der Verarbeitung sowie die Art der personenbezogenen Daten festgelegt sind. Wer nur die Nutzung der Anwendungen beschreibt, hat diese zweite Verarbeitung nicht erfasst. Fließen die Daten in ein Drittland, greift zusätzlich der Garantie- und Dokumentationsweg aus Punkt 4.

Praxisempfehlung: Exportieren Sie den Konfigurationsstand aus der eingesetzten Verwaltungslösung und versionieren Sie ihn zusammen mit dem AVV-Anhang, damit Änderungen an der Stufe nachvollziehbar bleiben.

Österreich: was AT-Unternehmen zusätzlich beachten

Für österreichische Unternehmen gelten dieselben AVV-Pflichten: Art. 28 Abs. 1 und Abs. 3 DSGVO gelten unmittelbar, eine österreichische Sonderregel zur Auftragsverarbeitung gibt es nicht. Unterschiedlich ist der nationale Überbau.

Zusätzlich greift in Österreich das Datengeheimnis nach § 6 DSG: Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter sind zur Geheimhaltung verpflichtet. Für die Bußgeldpraxis ist § 11 DSG relevant: Er sieht eine verhältnismäßige Anwendung des Art. 83 DSGVO vor, insbesondere eine Verwarnung statt einer Geldbuße bei erstmaligen Verstößen. Das ändert nichts am Rahmen des Art. 83 DSGVO.

Nachweisführung: was bei einer Aufsichtsanfrage vorliegen muss

Rechnen Sie mit dieser Prüfreihenfolge: Verarbeitungsverzeichnis, dann AVV, dann TOM-Konzept, dann Datenschutz-Folgenabschätzung — der AVV wird also in aller Regel gegen Ihr Verzeichnis gelesen. Nach dem BfDI-Tätigkeitsbericht 2024 beginnen 85 % aller Aufsichtsanfragen mit der Vorlage des Verzeichnisses.

Die Ausnahme des Art. 30 Abs. 5 DSGVO greift nur kumulativ: weniger als 250 Beschäftigte und kein Risiko für die Rechte und Freiheiten der betroffenen Personen und keine regelmäßige Verarbeitung und keine besonderen Kategorien nach Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen. Wer Personaldaten oder ein CRM betreibt, verarbeitet regelmäßig — dann greift die Ausnahme nicht.

Drei gesetzliche Fristen treffen Sie als Verantwortlichen unabhängig davon, wie schnell ein Anbieter zuliefert:

Praxisempfehlung: Vereinbaren Sie im AVV-Anhang eine interne Zulieferfrist für Auskünfte und Vorfallsinformationen, die deutlich vor den obigen gesetzlichen Fristen liegt. Diese interne Frist ist eine Vereinbarung, keine gesetzliche Frist — sie schützt Sie nur dann, wenn sie zur eigenen Reaktionszeit passt.

Der Rahmen, in dem sich Verstöße gegen die Auftragsverarbeitung bewegen: Art. 83 Abs. 4 DSGVO sieht für Verstöße gegen die Pflichten der Art. 25 bis 39 DSGVO — darunter Art. 28 — Geldbußen von bis zu 10 Mio. EUR oder — bei einem Unternehmen — bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher Betrag höher ist.