Microsoft-DPA: Neue Meldeklausel verunsichert Unternehmen
Seit 1. November steht im Datenschutznachtrag von Microsoft eine Klausel zu Missbrauchsmaterial. Melden darf der Konzern, informieren muss er den Kunden nicht. Was sie regelt, was offen ist und was Unternehmen jetzt tun sollten.
Microsoft hat seinen Datenschutznachtrag für Microsoft 365 und andere Dienste geändert, und ein neuer Absatz sorgt für Streit. Der Konzern darf nun Material zu sexuellem Kindesmissbrauch an Stellen außerhalb des Kundenverhältnisses melden, ohne den Kunden vorher zu informieren. In Fachblogs und sozialen Medien wurde daraus schnell die Sorge vor einer Durchsuchung aller Cloud-Daten. So weit tragen die bisherigen juristischen Einschätzungen nicht, offene Fragen bleiben aber.
Was neu im DPA steht
Die aktuelle Fassung des Data Protection Addendum (DPA) trägt das Datum 1. November 2026. Das Portal LegalCheck hat die Änderungen verglichen: Neben einer angepassten Definition von Vorschauversionen ist im Kapitel „Disclosure of Processed Data“ (deutsch: „Offenlegung verarbeiteter Daten“) ein Absatz hinzugekommen. Sein Kern lautet nach LegalCheck:
„Microsoft may report such material to the National Center for Missing and Exploited Children or other authority.“
Das National Center for Missing and Exploited Children (NCMEC) ist eine private US-Organisation mit gesetzlicher Meldeaufgabe. Den Originaltext konnte ich bei Microsoft nicht abrufen, deshalb stützt sich dieser Beitrag auf die zitierten Auswertungen. Eine Stellungnahme von Microsoft habe ich nicht gefunden.
Melden heißt nicht automatisch suchen
Heise berichtete am 6. November über die Debatte. Rechtsanwalt Stefan Hessel warnt dort vor Überreaktionen: Eine Meldung setze voraus, dass Microsoft von den Inhalten Kenntnis habe. Die Klausel regle die Offenlegung, sie begründe keine Befugnis zur systematischen Suche und zeige auch nicht, dass Daten von Unternehmenskunden routinemäßig kontrolliert würden.
Vorsichtiger liest das Gutachten von Johannes Nehlsen, IT-Rechtler für die staatlichen Hochschulen in Bayern, Stand 3. November. Danach regelt der Wortlaut nicht eindeutig, ob auch eine aktive Suche erfasst ist. Eine freiwillige Erkennung im Cloud-Bereich hält Nehlsen für vertretbar, höchstrichterlich geklärt sei das aber nicht. LegalCheck-Autor Olaf Koglin sieht im Wortlaut eher Zufallsfunde, eine aktive Suche sei jedoch nicht ausgeschlossen. Microsoft setze PhotoDNA nach seiner Darstellung nur bei Consumer-Diensten ein.
Wo die echten Probleme liegen
Drei Punkte verdienen trotzdem Aufmerksamkeit:
- Keine Information des Kunden: Die Klausel sieht laut Gutachten keine Benachrichtigung vor einer Meldung vor. Bei Anfragen von Strafverfolgungsbehörden soll Microsoft dagegen zunächst auf den Kunden verweisen. LegalCheck sieht darin auch einen Konflikt mit dem Programm EU Data Boundary.
- Weiter Empfängerkreis: „Other authority“ ist nicht näher bestimmt. Koglin hält das für eine sehr weite Befugnis eines Auftragsverarbeiters.
- Unklarer Maßstab: Ob „apparent“ offensichtliche oder nur mutmaßliche Fälle meint, ist offen. Die deutsche Fassung sagt „offensichtlich“, das Gutachten hält diese Übersetzung nicht für verlässlich.
Besonders betroffen sind Einrichtungen, deren Dokumente solche Inhalte legitim enthalten können, etwa Kliniken, psychotherapeutische Dienste oder NGOs mit Berichten von Betroffenen. Bei der Rollenverteilung bleibt Microsoft für den normalen Betrieb der Dienste laut Hessel und Nehlsen Auftragsverarbeiter. Für Erkennung und Meldung sieht das Gutachten Microsoft als eigenständig Verantwortlichen, weist aber darauf hin, dass die Datenschutzkonferenz strenger urteilt.
Ab wann das für Sie gilt
Nach dem Gutachten gelten DPA-Änderungen grundsätzlich erst bei Erneuerung oder Neuabschluss, während der Laufzeit bleibt es bei den Bedingungen der Buchung. Gesetzliche Pflichten aus dem Digital Services Act gelten laut Nehlsen schon unabhängig vom Vertrag. Für Kommunikationsdienste wie Exchange und Teams stützt er eine Erkennung nur auf die befristete Verordnung (EU) 2026/1881, die bis 3. April 2028 gilt. Das Gutachten ist für Hochschulen geschrieben, die Fragen stellen sich in Unternehmen aber ähnlich. Prüfen Sie Ihren eigenen Vertrag mit Ihrem Datenschutzbeauftragten.
Was das für Ihr Unternehmen heißt
- Keine Panik, keine Abschaltung: Hessel sieht kein grundsätzliches Datenschutzproblem für die Nutzung von Microsoft 365. Auch Koglin hält es für zu früh, den rechtskonformen Einsatz infrage zu stellen.
- Vertragsstand klären: Halten Sie fest, wann Ihr Vertrag verlängert wird und welche DPA-Fassung dann gilt.
- Folgenabschätzung fortschreiben: Das empfiehlt Nehlsen vor allem für sensible Daten wie Gesundheits- und Personaldaten.
- Datenschutzhinweise prüfen: Ein kurzer ergänzender Hinweis schafft Transparenz. Eine Rechtspflicht besteht laut Gutachten nicht, Nehlsen empfiehlt ihn trotzdem.
- Internen Ablauf festlegen: Klären Sie, wer im Verdachtsfall zuständig ist, wie Sie dokumentieren und wer Zugriff auf welche Bereiche hat. Hessel nennt klare Zugriffsrechte und interne Abläufe als das Wichtigste.
- Bei Verhandlungen nachfassen: Größere Kunden können Klarstellungen zu Kenntnisschwelle, Empfängern und einer Benachrichtigung ansprechen.
Vertragsbedingungen bei Microsoft ändern sich laufend, zuletzt auch bei den Limits von Copilot Chat. Ein fester Termin für die jährliche Prüfung lohnt sich deshalb.
Fazit
Dass Microsoft Unternehmensdaten routinemäßig durchsucht, belegt die Klausel nicht. Sie ist aber unscharf formuliert, und der Kunde erfährt von einer Meldung womöglich nichts. Am 10. November findet dazu ein Webinar statt, Koglin erwartet weitere Diskussion und möglicherweise Klarstellungen von Microsoft. Wenn Sie klären möchten, wie Ihre Microsoft-Umgebung und Ihre KI-Abläufe datenschutzsauber zusammenpassen, sprechen Sie mich gern an.
