Verstößt ein Arbeitgeber mit Microsoft Teams 2027 gegen die DSGVO?
Datenschutzexperte Frank Müns erklärt
Viele Geschäftsführer und IT-Verantwortliche in mittelständischen Unternehmen verlassen sich auf einen einfachen Satz: „Microsoft Teams ist DSGVO-konform.“ Dieser Satz klingt beruhigend, ist aber gefährlich unvollständig. Microsoft 365 kann in Deutschland durchaus datenschutzkonform betrieben werden, doch diese Konformität stellt sich nicht automatisch ein, sobald Sie die Software einführen. Sie entsteht erst durch bewusste Entscheidungen, klare Regeln und dokumentierte Prozesse in Ihrem eigenen Unternehmen.
Seit 2026 hat sich die Lage zusätzlich verschärft. Microsoft hat seine Datenschutzerklärung aktualisiert und erfasst nun ausdrücklich Interaktionen, Geräte- und Nutzungsdaten sowie den tatsächlichen Inhalt von Nachrichten und Dateien. Das bedeutet: Als Arbeitgeber haben Sie technisch Zugriff auf deutlich mehr Daten Ihrer Mitarbeitenden, als viele Unternehmen annehmen. Wer Teams mit Werkseinstellungen betreibt und Funktionen wie automatische Standorterkennung, Transkription, Aufzeichnung oder Viva Insights aktiviert, ohne die rechtlichen Voraussetzungen zu prüfen, bewegt sich schnell auf unsicherem Terrain.
Wo der rechtliche Boden dünn wird
Besonders heikel ist die neue Standorterkennung in Teams. Sie kann erfassen, ob Mitarbeitende im Büro oder remote arbeiten, und verknüpft diese Information mit dem Mitarbeiterprofil. Damit handelt es sich um eine Verarbeitung personenbezogener Daten im Sinne der DSGVO. Das Feature ist zwar standardmäßig deaktiviert, muss aber von der IT bewusst aktiviert werden und erfordert zusätzlich die individuelle Zustimmung der Nutzer. Ohne diese Voraussetzungen ist der Einsatz schlicht nicht zulässig.
Verstößt ein Arbeitgeber mit Microsoft Teams 2027 gegen die DSGVO?
In Unternehmen mit Betriebsrat kommt eine weitere Hürde hinzu: Die automatische Standorterkennung unterliegt dem Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Ohne Betriebsvereinbarung dürfen Sie das Feature nicht aktivieren. Die DSGVO verlangt zudem, dass personenbezogene Daten rechtmäßig, zweckgebunden und transparent verarbeitet werden. Eine fortlaufende Standortaufzeichnung ohne konkreten Anlass verstößt gegen genau diese Grundsätze.
Ähnlich verhält es sich mit der Teams-Transkription. Spracherkennung, Zwischenspeicherung, Erstellung des Transkripts und Ablage in OneDrive sind jeweils eigenständige Verarbeitungen nach der DSGVO. Ohne Einwilligung, Betriebsvereinbarung und Datenschutz-Folgenabschätzung riskieren Sie nicht nur Bußgelder, sondern im Extremfall sogar Strafbarkeit nach § 201 StGB.
Warum Vertrauen keine Strategie ist
Ein Auftragsverarbeitungsvertrag mit Microsoft schafft eine wichtige rechtliche Grundlage, beantwortet aber nicht die Frage, welche Funktionen in Ihrem Unternehmen aktiviert werden dürfen und ob diese mit dem Betriebsrat abgestimmt sind. Auch EU-Rechenzentren reduzieren das Risiko, beseitigen aber nicht alle Fragen, denn selbst bei EU-Hosting können Daten für Support oder Entwicklung in die USA fließen. Zertifikate wie ISO 27001 oder SOC 2 zeigen zwar eine gewisse Sicherheitslage, ersetzen aber keine konkrete Prüfung Ihrer Datenflüsse und Rechtsgrundlagen.
Die Aussage „Wir vertrauen Microsoft, dass die Daten sicher sind“ ist keine Strategie. Vertrauen ersetzt keine Rechtsgrundlage, keine Transparenz und keine Dokumentation. Genauso wenig reicht es aus, wenn sich die Geschäftsführung darauf verlässt, dass „die IT das schon eingestellt hat“. Ihre IT kann Funktionen technisch konfigurieren, sie darf aber nicht allein entscheiden, ob diese Funktionen im deutschen Arbeits- und Datenschutzrecht zulässig sind.
| Trugschluss | Warum er nicht ausreicht |
|---|---|
| „Wir haben einen AVV mit Microsoft“ | Regelt Auftragsverarbeitung, nicht die Zulässigkeit einzelner Funktionen |
| „Wir hosten in der EU“ | Datenflüsse in die USA sind trotzdem möglich |
| „Wir haben ein Sicherheitszertifikat“ | Zeigt Sicherheitsniveau, keine Rechtsgrundlage |
| „Die IT hat das eingestellt“ | Technische Konfiguration ersetzt keine rechtliche Prüfung |
Der Weg zu einem beherrschbaren Teams-Einsatz
Die gute Nachricht: Sie können den Einsatz von Teams so gestalten, dass er rechtssicher und nachvollziehbar bleibt. Der erste Schritt ist eine ehrliche Bestandsaufnahme. Klären Sie, welche Teams-Funktionen in Ihrem Unternehmen aktiv sind, welche Daten dabei verarbeitet werden und welche Mitarbeitenden betroffen sind. Prüfen Sie anschließend, ob ein gültiger Auftragsverarbeitungsvertrag mit Microsoft besteht, der die tatsächlich genutzten Dienste auch explizit abdeckt.
Video-Konferenz-Tools, wie Microsoft Teams, sind in vielen Unternehmen heute nicht mehr wegzudenken.
Aktivieren Sie die EU Data Boundary für Ihre Nutzer, damit Daten vorrangig innerhalb der EU verarbeitet werden. Funktionen wie automatische Standorterkennung, Aufzeichnung oder Transkription sollten Sie deaktivieren, solange sie nicht rechtlich geprüft sind. Binden Sie den Betriebsrat frühzeitig ein und verhandeln Sie eine Betriebsvereinbarung für alle mitbestimmungspflichtigen Funktionen, bevor Sie diese scharf schalten.
Wichtig ist außerdem eine Datenschutz-Folgenabschätzung, sobald eine systematische Beobachtung der Beschäftigten stattfindet. Dokumentieren Sie die Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten: Welche Daten werden erfasst, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange werden sie gespeichert? Informieren Sie Ihre Mitarbeitenden transparent über Art, Umfang und Zweck der Datenverarbeitung in Teams. Im Detail warten dabei zahlreiche Stolperfallen, etwa bei Datenresidenz, Sub-Auftragsverarbeitern und internationalen Datentransfers, die Sie am besten anhand Ihrer konkreten Organisation im Gespräch mit einem Datenschutzexperten klären.
Fazit: Kontrolle statt blindes Vertrauen
Die eigentliche Frage lautet nicht, ob Microsoft Teams grundsätzlich gegen die DSGVO verstößt. Die eigentliche Frage lautet, unter welchen Bedingungen Ihr Unternehmen die Software einsetzen darf. Ein verantwortungsbewusstes Unternehmen nutzt Teams nicht blind, sondern gesteuert. Es kann jederzeit benennen, welche Funktionen aktiv sind, welche Daten verarbeitet werden und wer darauf Zugriff hat. Es kommuniziert offen gegenüber der Belegschaft und kann gegenüber Behörden nachweisen, dass es die Verarbeitung tatsächlich beherrscht.
Nehmen Sie sich deshalb noch diese Woche Zeit für eine erste Bestandsaufnahme Ihrer Teams-Einstellungen. Prüfen Sie, welche Funktionen aktiv sind, sprechen Sie mit Ihrem Betriebsrat und holen Sie sich bei Unsicherheiten datenschutzrechtlichen Rat. Der Unterschied zwischen einem riskanten und einem sicheren Einsatz von Teams liegt selten in der Technik, sondern fast immer in der Sorgfalt Ihrer Vorbereitung.
Ist Microsoft Teams grundsätzlich DSGVO-konform?
Teams kann datenschutzkonform betrieben werden, diese Konformität ergibt sich aber nicht automatisch, sondern hängt von der konkreten Konfiguration, den aktivierten Funktionen und der Dokumentation in Ihrem Unternehmen ab.
Dürfen wir die automatische Standorterkennung einfach aktivieren?
Nein, das Feature erfordert die individuelle Zustimmung der Nutzer und unterliegt in Unternehmen mit Betriebsrat der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, sodass ohne Betriebsvereinbarung keine Aktivierung erfolgen darf.
Reicht ein Auftragsverarbeitungsvertrag mit Microsoft aus?
Ein AVV regelt die Auftragsverarbeitung, beantwortet aber nicht, welche einzelnen Funktionen intern zulässig sind und ob diese mit dem Betriebsrat abgestimmt wurden.
Welche Strafen drohen bei Verstößen?
Der Bußgeldrahmen nach Art. 83 DSGVO reicht bei schweren Verstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, bei der Transkription ist zusätzlich eine Strafbarkeit nach § 201 StGB denkbar.
Was ist der erste sinnvolle Schritt für unser Unternehmen?
Starten Sie mit einer Bestandsaufnahme aller aktiven Teams-Funktionen und der verarbeiteten Daten, denn erst darauf lassen sich Rechtsgrundlagen, Betriebsvereinbarungen und Dokumentation sinnvoll aufbauen.