Ein ehemaliger Mitarbeitender kann noch auf Projektdateien zugreifen. Ein Team teilt versehentlich einen Ordner zu weit. Vertrauliche HR-Daten landen in einem Teams-Chat, der nie in die vorgesehenen Prozesse integriert wurde. Solche Situationen entstehen selten durch einen einzelnen grossen Fehler. Meist fehlen klare Einstellungen, Zuständigkeiten und Kontrollen. Wer Datenschutz in Microsoft 365 ernst nimmt, muss deshalb Technik, Arbeitsabläufe und Datenschutzorganisation zusammen denken.
Für Schweizer KMU ist Microsoft 365 oft die zentrale Arbeitsumgebung für E-Mail, Dokumente, Besprechungen und Zusammenarbeit. Damit bearbeitet die Organisation zwangsläufig Personendaten: Kontaktdaten, Personalunterlagen, Kundenkorrespondenz, Vertragsdokumente oder Informationen aus Projekten. Das Datenschutzgesetz verlangt in Art. 8 DSG eine dem Risiko angemessene Datensicherheit durch technische und organisatorische Massnahmen. Bei Kundschaft, Mitarbeitenden oder Geschäftspartnern in der EU kann zusätzlich die DSGVO relevant sein.
Datenschutz in der Cloud ist eine Führungsaufgabe
Ein verbreiteter Irrtum ist, Datenschutz sei mit dem Abschluss des Cloud-Vertrags erledigt. Microsoft stellt die Plattform bereit und schützt deren Infrastruktur. Das Unternehmen entscheidet aber selbst, welche Daten es dort bearbeitet, wer Zugriff erhält, wie lange Inhalte aufbewahrt werden und ob externe Personen Dateien weitergeben dürfen. Für diese Entscheidungen bleibt es als Verantwortlicher im Sinne des DSG haftbar.
Die Aufgabenteilung sollte intern klar geregelt sein. Die Geschäftsleitung definiert den Rahmen und stellt Ressourcen bereit. IT oder ein externer IT-Partner setzt die Einstellungen um. Fachbereiche legen fest, welche Informationen sie benötigen und wie sie damit arbeiten. Datenschutzverantwortliche koordinieren die Dokumentation und prüfen Risiken. Die entscheidende Frage lautet daher nicht «Ist Microsoft 365 datenschutzkonform?», sondern: Welche Daten bearbeitet unser Unternehmen darin, wer braucht Zugriff, und welche Schutzmassnahmen passen zu unseren Prozessen?
Zuerst den Rahmen klären
Bevor Einstellungen verändert werden, braucht es eine kurze, aber belastbare Bestandsaufnahme. Welche Dienste sind tatsächlich im Einsatz? Neben Exchange und SharePoint gehören dazu häufig Teams, OneDrive, Forms, Planner, Power Automate, Copilot oder mobile Apps. Gerade Funktionen, die Mitarbeitende selbst aktivieren können, bleiben oft unberücksichtigt.
Daten und Bearbeitungen sichtbar machen
Erfassen Sie, welche Arten von Personendaten in welchen Bereichen liegen. Ordnernamen genügen dafür nicht. Relevant ist, ob dort Bewerbungsunterlagen, Gesundheitsangaben, Lohninformationen, Kundenlisten oder Zugangsdaten gespeichert sind. Diese Übersicht gehört mit den Fachbereichen abgeglichen: Die IT kennt die Speicherorte, weiss aber nicht automatisch, welche Daten im HR-Team oder im Vertrieb besonders schützenswert sind.
Die Ergebnisse fliessen in das Bearbeitungsverzeichnis, in die Dokumentation der TOMs und bei erhöhtem Risiko in die Prüfung einer Datenschutz-Folgenabschätzung ein. Ein Team für die Personalrekrutierung braucht andere Berechtigungen und Aufbewahrungsregeln als ein Projektteam, das mit Lieferanten zusammenarbeitet. Ein pauschaler Standard für alle Daten ist bequem, aber entweder zu offen oder unnötig restriktiv.
Rollen und Verantwortlichkeiten festlegen
Viele Probleme beginnen mit zu weitreichenden Administrationsrechten. Benennen Sie klar, wer Konfigurationen ändern, Sicherheitsmeldungen bearbeiten und Zugriffe genehmigen darf. Globale Administratorkonten sind nicht für die tägliche E-Mail- und Dokumentenarbeit da; sie gehören auf separate Konten mit strenger Authentisierung.
Auch für Fachbereiche braucht es eine einfache Regel: Wer darf neue Teams, Gruppen oder externe Freigaben anlegen? Wer prüft regelmässig Mitgliedschaften? Ohne diese Verantwortung bleiben Berechtigungen bestehen, obwohl sich Projekte oder Arbeitsverhältnisse längst verändert haben.
Verträge und Datenflüsse ins Ausland einordnen
Microsoft bearbeitet die Daten im Auftrag des Unternehmens. Damit greift Art. 9 DSG: Die Auftragsbearbeitung braucht eine vertragliche Grundlage, und der Auftragsbearbeiter darf die Daten nur so bearbeiten, wie es der Verantwortliche selbst dürfte. Bei Microsoft 365 erfüllen das Data Protection Addendum und die Produktbedingungen diese Funktion. Sie müssen nicht neu verhandelt, aber gelesen, abgelegt und im Bearbeitungsverzeichnis referenziert werden. Unser Leitfaden zur Auftragsbearbeitung bei Cloud-Diensten zeigt, worauf dabei zu achten ist.
Die Frage nach dem Speicherort allein greift zu kurz. Auch wenn die Daten in Schweizer oder EU-Rechenzentren liegen, kann für Support, Betrieb oder Telemetrie ein Zugriff aus den USA erfolgen. Das ist eine Bekanntgabe ins Ausland nach Art. 16 DSG. Seit September 2024 anerkennt der Bundesrat das Swiss-U.S. Data Privacy Framework; Microsoft ist darunter zertifiziert, womit die Übermittlung an zertifizierte US-Stellen ohne zusätzliche Garantien zulässig ist. Dokumentieren Sie diese Einordnung trotzdem, denn die Rechtslage kann sich ändern, und die Angabe gehört ohnehin in die Datenschutzerklärung und ins Bearbeitungsverzeichnis.
Eine einfache Regel hilft im Alltag: Neue Funktionen nicht aktivieren, nur weil sie verfügbar sind. Vor dem Einsatz sollte geklärt sein, welche Daten die Funktion bearbeitet, welchen Nutzen sie bringt und welche Einstellungen nötig sind. Das gilt besonders für Copilot, automatische Transkriptionen von Besprechungen und Analysewerkzeuge. Was bei KI und Datenschutz zu beachten ist, haben wir separat zusammengefasst.
Identitäten und Zugriffe konsequent absichern
Ein gestohlenes Passwort kann ausreichen, um auf E-Mails, Dateien und interne Kommunikation zuzugreifen. Die Absicherung der Benutzerkonten ist deshalb der wirksamste Ausgangspunkt.
Mehrfaktor-Authentisierung gehört für alle Konten aktiviert, ohne Ausnahme für die Geschäftsleitung, und mit besonders strengen Anforderungen für administrative Zugänge. Wo es die Arbeitssituation verlangt, ergänzen risikobasierte Anmeldebedingungen (Conditional Access) den Schutz: strengere Prüfungen bei neuen Geräten, ungewöhnlichen Anmeldeorten oder beim Zugriff auf sensible Bereiche. Mitarbeitende im Aussendienst brauchen dabei andere Abläufe als Personen an verwalteten Büroarbeitsplätzen.
Achten Sie auf den Eintritts- und Austrittsprozess. Neue Mitarbeitende erhalten nur die Rollen und Gruppen, die sie benötigen. Bei einem Austritt wird das Konto am letzten Arbeitstag gesperrt, aktive Sitzungen werden beendet, Geräte zurückgenommen und Weiterleitungsregeln geprüft. Das Prinzip der geringsten Berechtigung ist dabei praxisnah: Nicht jede Person braucht Zugriff auf alle Teamablagen, nicht jede Projektleitung braucht administrative Rechte. Kleine, klar strukturierte Gruppen sind einfacher zu kontrollieren als eine historisch gewachsene Sammlung pauschaler Zugriffe.
Externe Freigaben und Zusammenarbeit bewusst steuern
Dateifreigaben sind notwendig, brauchen aber Leitplanken. Definieren Sie, ob externe Empfänger grundsätzlich zugelassen sind, welche Freigabearten verwendet werden dürfen und wann eine Freigabe abläuft. Anonyme Links ohne Anmeldung («Jeder mit dem Link») sind bequem, aber bei vertraulichen Informationen kaum nachvollziehbar. Für die meisten Fälle ist eine Freigabe an konkret eingeladene Personen mit Ablaufdatum die bessere Wahl.
Ebenso wichtig ist die Trennung von interner und externer Zusammenarbeit. Ein Architekturbüro muss Pläne mit Bauherren und Fachplanern austauschen können; das Team für Personalthemen darf dagegen nicht denselben Freigabestandard haben. Sensible Daten gehören in klar abgegrenzte Bereiche mit engeren Zugriffsregeln, für die sich Sensitivitätsbezeichnungen und Verschlüsselung eignen, sofern sie vorher getestet werden, damit sie die Arbeit nicht blockieren.
Bei Gästen ist regelmässig zu prüfen, ob die Zusammenarbeit noch besteht. Ein Projektende sollte nicht nur auf der Aufgabenliste stehen, sondern auch die Entfernung externer Zugriffe auslösen.
Geräte, Daten und Kommunikation gemeinsam schützen
Datenschutz endet nicht im Browser. Wenn E-Mails und Dateien auf private oder ungeschützte Geräte synchronisiert werden, verlagert sich das Risiko aus der zentralen Umgebung hinaus. Legen Sie fest, welche Geräte auf Unternehmensdaten zugreifen dürfen und welche Mindestanforderungen gelten: aktuelle Updates, Bildschirmsperre, Verschlüsselung und die Möglichkeit, bei Verlust Geschäftsdaten zu entfernen.
Für mobile Nutzung ist eine abgestufte Lösung sinnvoll. Nicht jede App muss auf jedem privaten Gerät verfügbar sein. Besonders vertrauliche Informationen können auf verwaltete Geräte oder geschützte Apps beschränkt werden. Auch der Versand verdient Aufmerksamkeit: Regeln gegen automatische Weiterleitungen an private Adressen und ein klarer Umgang mit Fehladressierungen reduzieren typische Alltagsrisiken. Technische Hinweise ersetzen aber keine Schulung. Mitarbeitende müssen wissen, wann sie einen sicheren Freigabeweg wählen und an wen sie sich bei Unsicherheit wenden.
Aufbewahrung, Löschung und Protokolle planen
Mehr Speicherplatz ist kein Grund, Daten unbegrenzt aufzubewahren. Art. 6 Abs. 4 DSG verlangt, Personendaten zu vernichten oder zu anonymisieren, sobald sie nicht mehr erforderlich sind. Aufbewahrungs- und Löschregeln in Microsoft 365 sollten deshalb an die internen Vorgaben und gesetzlichen Aufbewahrungspflichten angepasst werden. Ein Bewerbungsdossier, eine Kundenkorrespondenz und eine Vertragsakte haben nicht dieselbe Aufbewahrungsdauer.
Dabei ist zwischen Sicherung und Aufbewahrung zu unterscheiden. Ein Backup dient der Wiederherstellung nach Verlust oder Fehlern. Es ersetzt kein geregeltes Löschen und legt nicht fest, wie lange Informationen fachlich benötigt werden. Prüfen Sie, ob gelöschte Inhalte während einer definierten Frist wiederherstellbar bleiben und wer solche Wiederherstellungen auslösen darf.
Protokolle zu Anmeldungen, Freigaben oder administrativen Änderungen schaffen Transparenz. Sie müssen nicht permanent von Hand ausgewertet werden. Wichtig ist ein Prozess für auffällige Ereignisse: Wer erhält Meldungen, wer klärt sie ab, und wie fliessen Erkenntnisse in die Konfiguration zurück? Ohne Zuständigkeit bleiben Protokolle reine Datensammlung.
Vorfälle vorbereiten, statt improvisieren
Trotz Schutzmassnahmen kommt es zu Fehlversänden, kompromittierten Konten oder falsch freigegebenen Dokumenten. Dann zählt ein ruhiger, dokumentierter Ablauf. Mitarbeitende müssen wissen, an wen sie sich sofort wenden. Die zuständige Stelle klärt, welche Daten betroffen sind, wer Zugriff hatte und welche Sofortmassnahmen nötig sind. Führt der Vorfall voraussichtlich zu einem hohen Risiko für die betroffenen Personen, ist er nach Art. 24 DSG so rasch als möglich dem EDÖB zu melden, über das Meldeportal des EDÖB.
Ein solcher Prozess sollte nicht erst nach dem Vorfall entstehen. Eine kurze interne Meldeanweisung, klare Kontaktpersonen und ein Protokoll für die Erfassung reichen als Anfang. Wichtig ist, technische Wiederherstellung und datenschutzrechtliche Beurteilung zusammenzudenken: Ein Passwort zurückzusetzen beantwortet noch nicht die Frage, welche Informationen offengelegt worden sein könnten.
Konfiguration dokumentieren und regelmässig prüfen
Die beste Einstellung verliert an Wirkung, wenn niemand mehr weiss, weshalb sie gewählt wurde. Dokumentieren Sie die zentralen Entscheidungen: aktivierte Schutzmassnahmen, Berechtigungskonzept, Freigaberegeln, Rollen, Verantwortlichkeiten und Prüfintervalle. Das erleichtert Audits, interne Übergaben und die Beantwortung von Kundenfragen. Diese Dokumentation ist zugleich der Nachweis für die TOMs nach Art. 8 DSG.
Für KMU bewährt sich ein überschaubarer Rhythmus: kritische Konten, Gäste und aktive Freigabelinks vierteljährlich prüfen, die gesamte Konfiguration jährlich sowie bei grösseren Veränderungen. Ein neues HR-System, eine Fusion oder die Einführung von Copilot sind konkrete Anlässe, den Rahmen zu aktualisieren.
Ein pragmatischer Start in vier Etappen
Beginnen Sie nicht mit allen Funktionen gleichzeitig. Verschaffen Sie sich zuerst einen Überblick über Dienste, Daten, Rollen und die grössten offenen Zugriffe. Sichern Sie danach Identitäten und Administrationskonten ab. Im dritten Schritt regeln Sie externe Freigaben, Gerätezugriffe und sensible Arbeitsbereiche. Anschliessend dokumentieren Sie die Entscheidungen und legen fest, wer die Kontrollen künftig durchführt.
Für die laufende Organisation hilft es, Nachweise und Aufgaben zentral zu führen: Bearbeitungsverzeichnis, TOMs, Auftragsbearbeitungen, Prüfintervalle und Schulungsstände sollten nicht über einzelne Ordner und Postfächer verteilt sein. Eine Lösung wie DSMS+ kann diese Arbeitsschritte zusammenführen und Zuständigkeiten sichtbar machen.
Der sinnvollste nächste Schritt ist meist nicht die nächste technische Spezialfunktion. Es ist ein gemeinsamer Termin von Geschäftsleitung, IT und den wichtigsten Fachbereichen, um die drei kritischsten Datenflüsse in Microsoft 365 festzulegen. Wer dort Klarheit schafft, schafft eine tragfähige Grundlage für effiziente Zusammenarbeit und nachvollziehbaren Datenschutz.
Häufige Fragen
Ist Microsoft 365 in der Schweiz datenschutzkonform nutzbar?
Ja, sofern das Unternehmen seine eigenen Pflichten erfüllt. Microsoft ist Auftragsbearbeiter nach Art. 9 DSG; das Data Protection Addendum deckt die vertragliche Seite ab. Verantwortlich für Berechtigungen, Freigaben, Aufbewahrung und die Information der betroffenen Personen bleibt aber das Unternehmen. Eine Standardkonfiguration ohne MFA und ohne Freigaberegeln erfüllt Art. 8 DSG nicht.
Dürfen Daten in Microsoft 365 in die USA gelangen?
Auch bei Speicherung in Schweizer oder EU-Rechenzentren kann Microsoft für Support oder Betrieb aus den USA zugreifen. Das ist eine Bekanntgabe ins Ausland nach Art. 16 DSG. Seit September 2024 anerkennt die Schweiz das Swiss-U.S. Data Privacy Framework, unter dem Microsoft zertifiziert ist. Die Übermittlung ist damit zulässig, sollte aber im Bearbeitungsverzeichnis und in der Datenschutzerklärung dokumentiert sein.
Welche Einstellungen haben den grössten Effekt für den Datenschutz?
Mehrfaktor-Authentisierung für alle Konten, separate Administratorkonten, die Einschränkung anonymer Freigabelinks mit Ablaufdatum, ein geregelter Austrittsprozess mit sofortiger Kontosperrung und Aufbewahrungsregeln für Postfächer und SharePoint. Diese fünf Massnahmen schliessen die häufigsten Lücken in KMU.
Muss ein Fehlversand oder ein gehacktes Konto dem EDÖB gemeldet werden?
Nur wenn die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt (Art. 24 DSG), etwa bei Gesundheits- oder Lohndaten oder bei vielen Betroffenen. Die Meldung erfolgt so rasch als möglich über das Meldeportal des EDÖB. Jeder Vorfall ist aber intern zu dokumentieren, auch wenn keine Meldung nötig ist.