Neues Microsoft DPA 2025: Das solltest Du über die Änderungen wissen

Wer Microsoft 365 nutzt, kommt am Data Protection Addendum (DPA) nicht vorbei. Das Dokument ist mehr als nur ein Auftragsverarbeitungsvertrag – es fasst die zentralen Regeln zur Datenverarbeitung und zum Datenschutz zusammen und wird regelmäßig überarbeitet. Am 1. September 2025 hat Microsoft eine neue Version veröffentlicht, die mehrere relevante Anpassungen enthält.

Die wichtigsten Änderungen im Überblick

Appendix D: Microsoft ficht staatliche Abschaltanordnungen an

Mit dem neuen Appendix D verpflichtet sich Microsoft, staatliche Anordnungen zur Abschaltung von Online-Diensten für öffentliche Stellen rechtlich anzufechten („Challenges to Orders“). Das stärkt die digitale Souveränität – insbesondere für Behörden und Regierungsorganisationen. Unternehmen im Privatsektor sind hiervon in der Praxis kaum betroffen.

EU Data Act: Mehr Datenmobilität und Cloud Switching

Das aktualisierte DPA berücksichtigt den EU Data Act mit dem Ziel, den Export von kundengenerierten Daten sowie den Wechsel zwischen Cloud-Anbietern (Cloud Switching) zu erleichtern. Wie effektiv diese Regelungen im Alltag greifen, wird die Praxis zeigen.

Erweiterte EU Data Boundary

Die EU Data Boundary wurde angepasst: Daten dürfen nun nicht nur innerhalb der EU, sondern im gesamten Europäischen Wirtschaftsraum (EWR) verarbeitet werden – also auch in Norwegen, Island und Liechtenstein. Für Unternehmen bedeutet das mehr Flexibilität ohne erkennbare Nachteile.

Telekommunikationsdienste: Einwilligungen bleiben Kundensache

Microsoft stellt klar, dass die Verantwortung für das Einholen notwendiger Einwilligungen bei Telekommunikationsdiensten weiterhin bei den Kunden liegt. Organisationen sollten prüfen, ob ihre Prozesse hier rechtssicher aufgestellt sind.

Mehr Übersicht durch „Summary of Changes“

Erstmals enthält das DPA eine „Summary of Changes“ am Anfang des Dokuments. Änderungen lassen sich dadurch schneller nachvollziehen, ohne den gesamten Text vergleichen zu müssen.

Was bedeutet das für Unternehmen?

Für die meisten Unternehmen ergeben sich keine gravierenden Änderungen. Dennoch ist es sinnvoll, das neue DPA sorgfältig zu prüfen und interne Abläufe zu aktualisieren – speziell in folgenden Bereichen:

• Nutzung und Dokumentation von Telekommunikationsdiensten (Einwilligungen, Prozesse)
• Cloud-Migration und Datenexport im Lichte des EU Data Act
• Bewertung der EU/EWR-Datenstandorte in Verträgen und Verarbeitungsverzeichnissen
• Besondere behördliche Anforderungen im öffentlichen Sektor

Fazit

Das neue Microsoft DPA stärkt die digitale Souveränität und bringt mehr Transparenz, während sich für private Unternehmen nur wenige praktische Änderungen ergeben. Wer Microsoft 365 nutzt, sollte die Anpassungen dokumentieren und bei Unklarheiten datenschutzrechtlichen Rat einholen.

Nächste Schritte: Prüfe Eure Datenschutzdokumentation, passt interne Richtlinien an und bewertet, ob der EU Data Act neue Optionen für Cloud Switching und Datenexport eröffnet.