Der Hessische Beauftragte für Datenschutz und Informationssicherheit (HBDI) hat mit seinem Bericht vom 15. November 2025 erstmals offiziell bestätigt: Microsoft 365 kann – unter bestimmten Bedingungen – datenschutzkonform betrieben werden. Grundlage sind veränderte rechtliche Rahmenbedingungen, Aktualisierungen des Microsoft-DPA sowie Verbesserungen bei Transparenz und Sicherheitsmaßnahmen. Dennoch bleibt der Bericht eine orientierende Einschätzung und ersetzt keine konkrete technische oder organisatorische Umsetzungshilfe. Viele zentrale Anforderungen – etwa Konfigurationsvorgaben, DSFA-Vorlagen, Sicherheitskonzepte, KI-Bewertungen oder Dokumentationsstandards – werden nicht bereitgestellt und verbleiben vollständig in der Verantwortung der Organisationen.
Genau hier setzt Provectus gemeinsam mit PRW Legal Tech an: Mit dem PRW Compliance Set liefern wir die fehlenden Leitlinien, Auditvorlagen, Sicherheitsstandards und KI-spezifischen Bewertungen, die notwendig sind, um Microsoft 365 rechtssicher und prüfbar zu betreiben, in Hessen wie bundesweit. Während der HBDI-Bericht bestätigt, dass M365 datenschutzkonform nutzbar ist, liefern wir, wie es konkret umgesetzt wird. Dieser Bericht markiert damit einen wichtigen Meilenstein, zeigt aber zugleich deutlich den Bedarf an praktikablen Lösungen für eine vollumfängliche M365-Compliance.
Cloud-Dienste sind heutzutage Standard – auch für öffentliche Verwaltungen und Unternehmen. Der Einsatz von Microsoft 365 wirft jedoch noch immer für vielen Unternehmen Fragen hinsichtlich des Datenschutzes auf: Werden personenbezogene Daten ordnungsgemäß verarbeitet? Gibt es ausreichende Vorgaben und Garantien?
Im Juli 2025 hat Microsoft das sogenannte „M365-Kit“ veröffentlicht – auch bekannt als das DSGVO-Kit für Microsoft 365. Hierzu haben wir in unserem Blog im Oktober eine Einschätzung unseres Partners PRW Legal Tech bereits Bezug genommen.
Jetzt gibt es noch eine weitere Einschätzung vom HBDI. Mit dem Bericht vom 15. November 2025 stellt dieser nun klar: Ja – unter bestimmten Bedingungen lässt sich Microsoft 365 datenschutzkonform einsetzen.
Der HBDI begleitete seit Januar 2025 Verhandlungen mit Microsoft Corporation zum Datenschutz von Microsoft 365. Anlass war u. a. eine frühere Einschätzung der Datenschutzkonferenz (DSK) vom November 2022: Demnach erfüllte der damals gültige Datenschutznachtrag (Data Protection Addendum – DPA) von Microsoft vom 15. September 2022 nicht die Anforderungen von Artikel 28 der Datenschutz‑Grundverordnung (DSGVO).
Damit stand insbesondere die Frage im Raum: Wie lässt sich ein Cloud-Dienst wie Microsoft 365 in öffentlichen Stellen oder Wirtschaftsunternehmen in Deutschland rechtssicher nutzen?
Der HBDI stellt in seinem Bericht fest, dass sich mehrere zentrale Rahmenbedingungen geändert haben – und Microsoft nachgebessert hat:
Die sieben Kritikpunkte der DSK und wie sie adressiert wurden
Der HBDI listet die ursprünglichen Kritikpunkte der DSK auf und erläutert, wie Microsoft diesen begegnet ist:
Die zentrale Aussage des HBDI ist eindeutig: Microsoft 365 kann datenschutzkonform eingesetzt werden, vorausgesetzt, Verantwortliche (Unternehmen wie Behörden) berücksichtigen und erfüllen die angepassten Rahmenbedingungen.
Der Bericht des HBDI schafft wichtige Klarheit, ersetzt jedoch keine technische Anleitung für eine vollständig compliance-fähige M365-Umgebung. Das ist weder Aufgabe von Microsoft noch der Aufsichtsbehörde. Die Verantwortung für die datenschutzkonforme Umsetzung bleibt klar bei den Verantwortlichen selbst.
Dass ein datenschutzkonformer Betrieb von Microsoft 365 möglich ist, postulieren wir bei Provectus seit langem und haben dies bereits in zahlreichen Projekten erfolgreich umgesetzt, insbesondere im hochregulierten Sozialdatenumfeld.
Entscheidend bleibt jedoch die richtige technische und organisatorische Umsetzung, unabhängig davon, ob in Hessen oder in anderen Bundesländern.
Gemeinsam mit unserem Partner PRW Legal Tech bieten wir eine Lösung, die genau diese Umsetzung ermöglicht, rechtskonform, technisch fundiert und auditfähig. Während der HBDI-Bericht aufzeigt, was erforderlich ist, liefert unsere Lösung, wie es konkret umzusetzen ist.
Im Folgenden zeigen wir auf, welche Fragen der HBDI offenlässt – und wie unsere M365-Compliance-Lösung diese Lücken schließt.
Was fehlt im Bericht des HBDI:
Was wir liefern:
Vollständige, auditfähige Konfigurationsleitfäden und technische Baselines für alle relevanten M365-Komponenten.
Was fehlt im HBDI-Bericht:
Was wir liefern:
Vorgefertigte DSFA-Bausteine für alle M365-Dienste – strukturiert, nachvollziehbar und individuell anpassbar.
Was fehlt im Bericht:
Was wir liefern:
Vollständige rechtssichere Dokumente:
Was fehlt im Bericht:
Was wir liefern:
KI-bezogene DSFA, Risikobewertungen, Prozesse und Governance-Vorgaben, speziell für Copilot und andere KI-Funktionen.
Was fehlt im HBDI-Bericht:
Der Bericht verweist weitgehend auf Microsoft, ohne eigene technische Prüfung. Es fehlen Vorgaben u. a. zu:
Was wir liefern:
Vollständige Sicherheitsstandards, Konzepte und Umsetzungsvorlagen.
Was fehlt im Bericht:
Was wir liefern:
Fertige Aufbewahrungs- und Löschkonzepte, abgestimmt auf M365-Mechanismen.
Was fehlt im Bericht:
Was wir liefern:
Verständliche Entscheidervorlagen, Risikoargumentationen und Maßnahmenempfehlungen für Führungskräfte.
Was fehlt im Bericht:
Was wir liefern:
Bundesweit harmonisierte Compliance-Standards und einheitliche M365-Umsetzungsmodelle.
Was fehlt im Bericht:
Was wir liefern:
Laufende Aktualisierungen und åeinen Evergreen-Service, der neue Microsoft-Änderungen bewertet und konkrete Handlungsempfehlungen bereitstellt.
Der Bericht des HBDI markiert einen wichtigen Meilenstein: Der Einsatz von Microsoft 365 in Hessen ist nicht grundsätzlich datenschutzrechtlich ausgeschlossen – er ist möglich und rechtssicher machbar. Voraussetzung ist jedoch, dass die vertraglichen, technischen und organisatorischen Voraussetzungen eingehalten werden.
Damit unterstreicht der HBDI unsere Sicht auf den datenschutzkonformen Einsatz von Microsoft 365: Es ist möglich, wenn man die richtigen Maßnahmen trifft!
Für Verantwortliche stellt sich aus unserer Sicht längst nicht mehr die Frage, ob ein datenschutzkonformer Einsatz möglich ist, sondern vielmehr, wie er konkret und sicher umgesetzt werden kann. Der von Microsoft weiterentwickelte DPA, die bereitgestellten Informationsmaterialien sowie die vom HBDI veröffentlichten Handlungsempfehlungen bilden inzwischen ein zunehmend tragfähiges Fundament. Allerdings stellen die Aufsichtsbehörden keine prüfbaren Vorgaben für Konfiguration, Risikoanalysen oder Dokumentationspflichten bereit. Der HBDI-Bericht sorgt in vielen Bereichen für mehr Orientierung, ersetzt jedoch keine vollständige Compliance – und das ist weder Aufgabe von Microsoft noch des HBDI. Die letztendliche Verantwortung bleibt weiterhin bei den Verantwortlichen selbst.
Genau hier setzen wir an. Provectus unterstützt seit vielen Jahren gemeinsam mit unserem Partner PRW Legal Tech insbesondere stark regulierte Unternehmen und begleitet sie erfolgreich auf ihrem datenschutzkonformen Weg in die Cloud.
Quelle: datenschutz.hessen.de
Sie wollen wissen, wie sie M365 datenschutzkonform betreiben. Wir beraten Sie gerne.
Ihr persönlicher Ansprechpartner
Brauchen Sie weitere Informationen zu unseren Leistungen und Produkten? Oder suchen Sie nach einer passenden Lösung für Ihren Anwendungsfall? Dann zögern Sie nicht uns zu kontaktieren.
JAKOB BECKMANN | Sales Manager
Wollen Sie immer up2date sein? Dann melden Sie sich jetzt zu unserem Newsletter an
Bleiben Sie auf dem Laufenden. Wir informieren Sie regelmäßig über aktuelle Trends und technologische Neuerungen sowie geplante Webinare und Events. Sie erhalten Einblick in interessante Kundenprojekte und werfen einen Blick hinter die Kulissen. Melden Sie sich jetzt an.
