Neues Data Protection Addendum (DPA) von Microsoft

24/09/2025

Microsoft hat am 1. September 2025 eine aktualisierte Version seines Data Protection Addendum (DPA) veröffentlicht. Dieses wichtige Dokument für den Datenschutz bei Microsoft 365 ist mehr als nur ein Auftragsverarbeitungsvertrag, denn es fasst die wesentlichen Regeln zur Datenverarbeitung zusammen und wird regelmäßig überarbeitet.

Eine bedeutende Neuerung ist der Appendix D: Microsoft verpflichtet sich, staatliche Anordnungen zur Abschaltung von Online-Diensten für öffentliche Stellen rechtlich anzufechten („Challenges to Orders“). Diese Regelung stärkt die digitale Souveränität, insbesondere für Behörden und Regierungsorganisationen. Unternehmen im Privatsektor sind hiervon in der Praxis nicht betroffen.

Außerdem wurde der EU Data Act berücksichtigt. Ziel ist es, den Export von kundengenerierten Daten sowie den Wechsel zwischen Cloud-Anbietern („Cloud Switching“) zu erleichtern. Wie effektiv diese Anpassungen sind, wird sich jedoch erst im Alltag zeigen.

Die EU Data Boundary wurde ebenfalls angepasst: Daten dürfen nun nicht nur innerhalb der EU, sondern im gesamten Europäischen Wirtschaftsraum gespeichert und verarbeitet werden – also auch in Norwegen, Island und Liechtenstein. Für Unternehmen bedeutet das keine Nachteile, sondern mehr Flexibilität.
Hilfreich ist, dass das DPA erstmals eine „Summary of Changes“ am Anfang des Dokuments enthält. So können Anpassungen schneller nachvollzogen werden, ohne jedes Mal den gesamten Text vergleichen zu müssen.

Was bedeutet das für Unternehmen?

Für die meisten Unternehmen gibt es keine wesentlichen Änderungen. Trotzdem ist es ratsam, das neue DPA sorgfältig zu prüfen und die internen Abläufe zu überprüfen – besonders wenn es um die Verarbeitung von Telekommunikationsdaten oder die Migration von Cloud-Daten geht. Auch Behörden und öffentliche Einrichtungen sollten sich mit den neuen Schutzmaßnahmen vertraut machen.

Fazit

Das neue DPA stärkt die digitale Souveränität, bringt jedoch nur wenige praktische Änderungen für Unternehmen. Wer Microsoft 365 nutzt, sollte die Anpassungen dokumentieren und im Zweifelsfall datenschutzrechtlichen Rat einholen.  

Alle Artikel anzeigen