Microsoft 365 DSGVO-konform einsetzen. Ohne Compliance-Risiken

Microsoft 365 kann datenschutzkonform eingesetzt werden, wenn rechtliche, organisatorische und technische Voraussetzungen geprüft und dokumentiert sind.

Entscheidend sind nicht nur die Lizenzen und Verträge mit Microsoft, sondern auch die konkrete Nutzung im Unternehmen, in der Kommune, Hochschule oder öffentlichen Einrichtung.

Dazu gehören Berechtigungen, Konfiguration, Datenarten, Zwecke, Löschkonzepte, Auftragsverarbeitung und interne Nutzungsregeln.

Eine Datenschutz-Folgenabschätzung für Microsoft 365 kann nach Art. 35 DSGVO erforderlich sein, wenn durch Art, Umfang, Zwecke oder Umstände der Nutzung ein hohes Risiko für betroffene Personen entsteht. Das kann insbesondere bei sensiblen Daten, umfangreicher Beschäftigtendatenverarbeitung, zentraler Cloud-Nutzung, Protokollierung, KI-Funktionen oder Microsoft 365 Copilot relevant werden. actago prüft, ob eine DSFA erforderlich ist, und erstellt eine nachvollziehbare Risikobewertung.

Wir begleiten Unternehmen während des gesamten Einführungsprozesses von Microsoft 365. Dazu zählen die datenschutzkonforme Konfiguration der Systeme, die Anpassung interner Prozesse und Richtlinien sowie Schulungen für Mitarbeitende zum sicheren Umgang mit der Plattform und ihren Anwendungen.

Für einen datenschutzkonformen Einsatz von Microsoft 365 sollten insbesondere VVT-Einträge, eine Risikobewertung, gegebenenfalls eine DSFA, ein Berechtigungskonzept, interne Richtlinien, Orientierungshilfen, technische und organisatorische Maßnahmen sowie ein Maßnahmenplan vorliegen. Ziel ist eine prüffähige Dokumentation, die Leitung, Personal- und Betriebsrat, Datenschutz, Informationssicherheit und IT-Verwaltung als Entscheidungsgrundlage nutzen können.

actago prüft die geplante oder bestehende Microsoft 365 Nutzung aus Datenschutz-, Informationssicherheits- und Organisationssicht sowie den gesetzlichen Anforderungen zur KI-Nutzung. Dazu gehören Datenarten, Nutzergruppen, Rechtsgrundlagen, Auftragsverarbeitung, Berechtigungen, Adminrollen, Teams, SharePoint, OneDrive, Exchange, Entra ID, Konfigurationen und Copilot-Readiness. Das Ergebnis ist keine pauschale Einschätzung, sondern ein konkreter Maßnahmenplan für den weiteren Einsatz.

Microsoft 365 lebt von Zusammenarbeit, Freigaben und gemeinsamen Datenräumen. Ohne klares Berechtigungskonzept können sensible Informationen für zu viele Personen sichtbar werden – besonders in Teams, SharePoint, OneDrive und beim Einsatz von Microsoft 365 Copilot. Ein gutes Berechtigungskonzept regelt Rollen, Zugriffe, Freigaben, Adminrechte und Verantwortlichkeiten nachvollziehbar und reduziert Datenschutz- und Sicherheitsrisiken.

Kommunen und öffentliche Einrichtungen sollten vor dem Einsatz von Microsoft 365 prüfen, welche Daten verarbeitet werden, welche Rechtsgrundlagen einschlägig sind, ob eine DSFA erforderlich ist und wie Datenschutz, Informationssicherheit und interne Freigabe dokumentiert werden. Besonders wichtig sind Bürgerdaten, Beschäftigtendaten, Rollen- und Berechtigungskonzepte, Protokollierung, Dienstanweisungen und die organisatorische Einbindung der IT-Verwaltung.

Hochschulen und Universitäten verarbeiten häufig Daten von Studierenden, Beschäftigten, Forschenden, Lehrbeauftragten und externen Partnern. Beim Einsatz von Microsoft 365 sollten daher Datenschutzdokumentation, Berechtigungen, Forschungsdaten, Lehrbetrieb, Kollaboration, Microsoft 365 Copilot und interne Governance geprüft werden. Wichtig ist eine Lösung, die Datenschutz, wissenschaftliche Zusammenarbeit und praktische Nutzbarkeit miteinander verbindet.

actago prüft alle datenschutzrelevanten Aspekte rund um Microsoft 365 – von Systemeinstellungen über Berechtigungskonzepte bis hin zu Datenverarbeitungsprozessen – und sorgt dafür, dass alle gesetzlichen Anforderungen zuverlässig eingehalten werden.

Microsoft 365 Copilot kann auf Inhalte zugreifen, für die Nutzer in Microsoft 365 bereits Berechtigungen besitzen. Deshalb sind saubere Datenablagen, Berechtigungen, SharePoint-Strukturen, Sensibilisierung und klare Nutzungsregeln vor der Aktivierung besonders wichtig. Zusätzlich sollten KI-Governance, Datenschutzdokumentation, Dienstanweisung, Risikobewertung und Anforderungen aus der EU-KI-Verordnung berücksichtigt werden.

Die Datenschutz- und Compliance-Beratung erfolgt durch actago. Für technische Umsetzung, Tenantverwaltung und Lizenzierung kann die actago4IT GmbH als Microsoft Cloud Solution Provider-Partner eingebunden werden. So können Beratung, Lizenzfragen und Umsetzung sinnvoll aufeinander abgestimmt werden, ohne Datenschutzbewertung und technische Implementierung miteinander zu vermischen.

Das Ergebnis ist eine strukturierte Entscheidungs- und Umsetzungsgrundlage für den datenschutzkonformen Einsatz von Microsoft 365. Je nach Bedarf umfasst sie Bestandsaufnahme, DSFA, VVT, Berechtigungskonzept, Konfigurationsleitfaden, Richtlinien, Maßnahmenplan und Copilot-Readiness. Ziel ist ein risikobewerteter, organisatorisch freigegebener und nachvollziehbar dokumentierter Microsoft 365 Einsatz.