Microsoft M365-Kit im Praxistest

Microsofts neues „M365-Kit“

Im Juli 2025 hat Microsoft das sogenannte „M365-Kit“ veröffentlicht – auch bekannt als das DSGVO-Kit für Microsoft 365. Es richtet sich insbesondere an kleine und mittelständische Unternehmen, die mit dem Einsatz von M365 beginnen.

Laut Microsoft soll das Kit als erste Orientierungshilfe für Datenschutz und Compliance dienen. Es enthält praxisnahe Beispiele und Vorlagen, die in Abstimmung mit dem Bayerischen Landesamt für Datenschutzaufsicht und dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit erstellt wurden. Allerdings weist Microsoft ausdrücklich darauf hin, dass es sich dabei nicht um Rechtsberatung handelt.

Im folgenden Blogbeitrag hat unser Partner PRW Rechtsanwälte das M365-Kit geprüft und mit dem Compliance Check PRW® Compliance Set: M365 verglichen.

In unserem Blog stellen wir Ihnen die wichtigsten Erkenntnisse vor.

Erste Bewertung: Ein Schritt in die richtige Richtung – aber mit Grenzen

Das M365-Kit ist ein sinnvoller Anfang für Organisationen, die ihre Datenschutz-Dokumentation strukturieren möchten. Besonders positiv fällt auf, dass es erstmals einheitliche Vorlagen und Mustertexte bietet, die grundlegende Anforderungen der Rechenschaftspflicht unterstützen.

Allerdings bleibt das Kit stark Microsoft-zentriert. Wesentliche Themen – etwa Diagnosedaten, Drittlandtransfers, Speicherbegrenzung, KI-Risiken oder auch Fragen der Mitbestimmung – werden nur oberflächlich behandelt. Verantwortliche bleiben damit weiterhin verpflichtet, eigene Prüfungen und Anpassungen vorzunehmen, etwa bei Löschfristen, Telemetriedaten oder Datenübermittlungen in die USA.

Microsoft M365-Kit vs. M365 Compliance Check mit dem PRW® Compliance Set

Wir haben das M365-Kit mit unserem PRW® Compliance Set: M365 verglichen – einem umfassenden, rechtsverbindlich geprüften Compliance-Paket für Behörden, Unternehmen und KRITIS-Einrichtungen.

Die zentralen Unterschiede im Überblick:

1. Rechtsrahmen & Praxisnähe

• Microsoft-Kit: Nur Beispieltexte mit Platzhaltern, ohne Rechtsverbindlichkeit; Fokus auf Standardfälle.
• PRW Compliance Set: Enthält einsatzfähige, geprüfte Dokumente – von AV-Verträgen über DSFA-Muster bis hin zu Betriebsvereinbarungen.

Vorteil: Sofort nutzbare, rechtssichere Texte – ohne Lücken.

2. Datenschutz-Folgenabschätzung (DSFA)

• Microsoft-Kit: Meist Ergebnis „keine DSFA nötig“; Risiken wie KI oder US-Transfers werden verharmlost.
• PRW Compliance Set: Vollständige DSFA-Vorlagen mit Risikobewertung und branchenspezifischen Kriterien.

Vorteil: Nachweisbare DSFA, die auch einer Aufsichtsprüfung standhält.

3. Drittlandtransfers & US-Risikoanalyse

• Microsoft-Kit: Verweist nur auf das EU-US Data Privacy Framework.
• PRW Compliance Set: Enthält Transfer Impact Assessments (TIA), konkrete Risikoanalysen und Maßnahmen wie kundenseitige Verschlüsselung.

Vorteil: Haftungssichere Dokumentation internationaler Datenübermittlungen.

4. Lösch- und Aufbewahrungsfristen

• Microsoft-Kit: Nutzt Standardwerte (z. B. 90/120 Tage), ohne Bezug zur DSGVO.
• PRW Compliance Set: Enthält praxisgerechte Löschkonzepte gemäß Art. 17 DSGVO.

Vorteil: Hohe Rechtssicherheit und Datenminimierung.

5. Beschäftigtendatenschutz & Betriebsrat

• Microsoft-Kit: Nur allgemeiner Hinweis auf mögliche Betriebsvereinbarung.
• PRW Compliance Set: Fertige Muster und Vereinbarungen, inklusive Zweckbindung und Ausschluss von Leistungs-/Verhaltenskontrollen.

Vorteil: DSGVO- und arbeitsrechtskonforme Lösungen „out of the box“.

6. KI / Copilot

• Microsoft-Kit: Erwähnt Copilot, ohne auf Risiken einzugehen.
• PRW Compliance Set: Eigene Compliance-Bausteine für Copilot, inklusive DSFA-Module und Risikobewertung (Bias, Transparenz, Datenminimierung).

Vorteil: KI wird realistisch im Einklang mit EU-KI-Verordnung bewertet.

7. Ganzheitlicher Ansatz

• Microsoft-Kit: Orientierungshilfe für Einsteiger.
• PRW Compliance Set: End-to-End-Paket – abgestimmt auf Recht, Organisation und Technik.

Vorteil: Praktische Entlastung und geprüfte Rechtssicherheit.

Fazit

Microsofts M365-Kit ist ein nützlicher Einstieg in die Datenschutzdokumentation, jedoch eher ein „Starter-Kit“ als eine umfassende Lösung. Es bleibt theoretisch und unverbindlich.

Unternehmen, die ein praxisreifes, rechtskonformes und haftungssicheres Gesamtpaket benötigen, das Verantwortlichen in Behörden und Unternehmen echte Sicherheit und Entlastung bietet, sollten einen Schritt weiter gehen und die Compliance ihrer Microsoft 365 Umgebung ganzheitlicher prüfen und absichern.

Sie wollen den M365 Compliance Check kennenlernen? Wir beraten Sie gerne!