Microsoft 365, KI und Compliance 2025

Was ist neu bei Microsoft 365?

Microsoft 365 ist für die meisten Firmen unverzichtbar. 2025 kommen zwei große Dinge zusammen: Neue KI-Tools (wie Copilot) und strengere EU-Regeln (DSGVO & EU AI Act). Microsoft liefert dafür jetzt neue Verträge und klare Anleitungen. Das hilft, die Regeln einzuhalten.

🔧

Säule 1: Das M365-„Tool-Kit“ (Werkzeugkasten)

Was es ist: Ein Paket mit praktischen Vorlagen von Microsoft. Denken Sie an Checklisten, Mustertexte (z.B. für Verarbeitungsverzeichnisse) und Anleitungen. Speziell für den Mittelstand gemacht.

Warum es zählt: Diese Vorlagen sind mit deutschen Datenschutzbehörden (z.B. in Bayern und Hessen) abgestimmt. Das gibt Ihnen viel mehr Sicherheit bei der Umsetzung.

Sofort nutzen:

Muster für Ihr Verzeichnis (VVT) anpassen.
Prüfen, ob Sie eine Datenschutz-Folgenabschätzung (DSFA) brauchen.
Aus Vorlagen feste Regeln (Richtlinien) für Ihr Team machen.

⚖️

Säule 2: Der neue Vertrag (DPA) ab Sept. 2025

Ab 1. September 2025 gilt ein neuer Datenschutz-Vertrag (DPA) von Microsoft. Die Regeln sind klarer, aber wichtig: Die Verantwortung für Einwilligungen, Datenschutz-Prüfungen (DSFA) und Absprachen mit dem Betriebsrat bleibt komplett bei Ihrer Firma.

4 wichtige Punkte für Chefs:

EU Daten-Grenze: Ihre Daten bleiben jetzt garantiert im EWR (EU + Norwegen, Island, Liechtenstein).
EU Data Act: Neue Regeln zum Datenzugriff und -umzug sind schon eingebaut.
Einwilligungen (Consent): Der Vertrag stellt klar: Sie (als Kunde) sind verantwortlich.
Behörden-Anfragen: Microsoft verspricht, sich rechtlich zu wehren.

📚

Säule 3: Das Cloud Compendium 2025

Form: Ein großes Handbuch (als FAQ) für alle Ihre Abteilungen (IT, Recht, Personal). Es hilft bei Datenschutz-Fragen und der KI-Einführung.

Besonders relevant:

Datenschutz-Basics: Klare Antworten zu Speicherorten, Datentransfer und Technik (TOMs).
KI-Regeln: Hilft, die Risiken des neuen EU AI Act und von Copilot besser zu verstehen.
Betriebsrat: Bei der KI-Einführung muss der Betriebsrat mitbestimmen. Microsoft bietet dafür Infos an.

Was heißt das operativ? – 90-Tage-Plan für den Mittelstand

⭐Woche 1–2

Start-Meeting: Wer ist verantwortlich? (Chef, IT, Personal, Betriebsrat). Risiko-Check: Wo wollen wir KI (Copilot) einsetzen?

🚀Woche 3–6

Umsetzung: Vorlagen (VVT) anpassen. Einwilligungen (Consent) prüfen. Alte Verträge mit dem neuen DPA vergleichen.

💡Woche 7–10

Regeln festlegen: Absprache mit dem Betriebsrat zur KI-Nutzung treffen. Entscheiden, ob für KI (z.B. im Personal) eine DSFA nötig ist.

✅Woche 11–13

Test & Nachweis: KI testen. Technische Kontrollen (z.B. Daten-Grenze) prüfen. Team schulen. Alle Nachweise (VVT, DSFA, etc.) sammeln.

⚠️Typische Fehlannahmen – klar gestellt

„Microsoft macht den Datenschutz, wir haben ja einen Vertrag (AVV).“

Falsch. Sie als Firma bleiben voll verantwortlich (Rechenschaftspflicht) und müssen Einwilligungen einholen.

„Die EU Data Boundary löst alle Datenschutz-Probleme.“

Stimmt so nicht. Das Risiko (z.B. US-Zugriff) wird kleiner, aber Sie brauchen trotzdem eine Datenschutz-Folgenabschätzung (DSFA) und klare Regeln (Policies).

„Die KI-Einführung macht die IT-Abteilung allein.“

Nein. Der Betriebsrat hat ein starkes Mitspracherecht. KI ist ein Thema für die Geschäftsführung.

FAQ für Vorstände

Gilt die EU Data Boundary (Daten-Grenze) auch für Support-Daten?

Ja, seit Februar 2025. Wichtige Support-Daten bleiben auch in der EU/EFTA.

Ist die Erweiterung auf den EWR (Norwegen, etc.) vertraglich abgebildet?

Ja, der neue Vertrag (DPA 09/2025) schließt den EWR mit ein. Prüfen Sie, ob Ihre internen Richtlinien das auch tun.

Hilft das Toolkit in einer Datenschutz-Prüfung?

Ja. Die Vorlagen sind behördennah. Das senkt das Risiko bei Diskussionen. Sie müssen die Vorlagen aber an Ihre Firma anpassen!

Brauche ich eine Betriebsvereinbarung für Copilot?

Fast immer: Ja. KI kann Leistung und Verhalten der Mitarbeiter überwachen. Nutzen Sie die Microsoft-Infos als Basis für das Gespräch mit dem Betriebsrat.

Fazit

Microsoft gibt Ihnen mit den Updates (Toolkit, DPA, Compendium) gutes Werkzeug an die Hand. Aber: Die Verantwortung für Datenschutz und Compliance bleibt zu 100% bei Ihnen. Wenn Sie jetzt klare Regeln (Governance), saubere Einwilligungen und den Betriebsrat einbeziehen, können Sie KI sicher und schnell nutzen.

Janus Datenschutz GmbH unterstützt Sie bei der Umsetzung, VVT/DSFA, KI-Governance und Betriebsvereinbarungen – pragmatisch, prüfungssicher, mittelstandsnah.