Kurz: Liegt dein Geschäftspostfach bei Microsoft 365, gehört Microsoft in deine Datenschutzerklärung. Nicht wegen der Website, sondern wegen allem, was dir Leute schreiben.
Warum das Postfach in die Erklärung gehört
Dein Kontaktformular schickt jede Anfrage als E-Mail in dein Postfach. Wer dir direkt schreibt, landet ebenfalls dort. Name, E-Mail-Adresse, Telefonnummer und alles, was jemand in die Nachricht schreibt, liegen damit auf den Servern deines Mail-Anbieters. Er ist Empfänger dieser Daten, auch wenn auf der Website selbst nichts von ihm zu sehen ist.
Genau deshalb fehlt er so oft: Ein Scan der Website findet ihn nicht, weil er im Seitencode nicht vorkommt. Er steht nur dann in der Erklärung, wenn jemand danach fragt. In meinem Fragebogen ist das die Frage „Wo liegen deine E-Mails und Dateien?“.
Was Microsoft bekommt
- Jede E-Mail, die du bekommst und schreibst, samt Absender, Empfänger und Inhalt.
- Die Anfragen aus deinem Kontaktformular, sobald sie als E-Mail eintreffen.
- Dateien in OneDrive oder SharePoint, falls du Offerten, Kundenlisten oder Rechnungen dort ablegst. Das ist ein eigener Zweck.
- Termine im Outlook-Kalender, wenn du Kundentermine dort einträgst.
Die Angaben, geprüft
Für die Schweiz, den EWR und das Vereinigte Königreich ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland verantwortlich. Die Angabe stammt aus der Datenschutzerklärung von Microsoft und liegt bei mir mit Quelle und Prüfdatum vor. Irland steht als EU-Staat auf der Staatenliste des Bundesrats mit angemessenem Datenschutz (Anhang 1 DSV).
Damit ist es aber nicht getan: Microsoft ist ein US-Konzern, und Daten werden konzernintern auch in den USA bearbeitet, etwa für Support und Betrieb.
Und die Schweizer Rechenzentren?
Microsoft betreibt Rechenzentren in der Schweiz, und für Geschäftskonten kann der Speicherort der Daten dort liegen. Wo deiner liegt, siehst du im Microsoft 365 Admin Center unter den Einstellungen deiner Organisation beim Datenspeicherort.
Steht dort die Schweiz, ist das gut, schliesst die Bekanntgabe ins Ausland aber nicht aus. Der Speicherort sagt, wo die Daten liegen, nicht, wer von wo darauf zugreift. In der Erklärung nennst du darum die Anbieterin in Irland und die USA als Land, in dem Daten bearbeitet werden können. Nutzt du stattdessen Gmail, gilt dasselbe für Google: Google Workspace und Gmail in der Datenschutzerklärung.
Was das revDSG dazu verlangt
Die Informationspflicht nach Art. 19 revDSG verlangt, dass du nachvollziehbar sagst, welche Personendaten du bearbeitest, wozu und wer sie sonst noch bekommt. Gehen sie ins Ausland, kommt Art. 19 Abs. 4 revDSG dazu: das Zielland gehört genannt und die Grundlage der Übermittlung.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework als Land mit angemessenem Datenschutz, aber nur für Unternehmen, die dort eingetragen sind. Für eingetragene Unternehmen braucht es keine zusätzlichen Garantien, für die übrigen weiterhin Standardvertragsklauseln. Zu informieren ist in beiden Fällen.
So kann der Abschnitt aussehen
E-Mail und Büroprogramme
Für E-Mail, Kalender und Dateiablage nutzen wir Microsoft 365. Anbieterin ist die Microsoft Ireland Operations Limited, Dublin, Irland. Wenn du uns schreibst oder das Kontaktformular nutzt, werden deine Angaben dort gespeichert. Microsoft bearbeitet Daten auch in den USA. Die Übermittlung stützt sich auf das Swiss-U.S. Data Privacy Framework, soweit die Microsoft Corporation dort eingetragen ist, sonst auf Standardvertragsklauseln.
Den letzten Satz passt du an, sobald du nachgesehen hast. Ob ein Unternehmen eingetragen ist, steht in der öffentlichen Liste auf dataprivacyframework.gov.
Nur Excel auf dem eigenen Computer?
Dann nicht. Läuft ein Programm nur auf deinem Gerät und speicherst du die Datei dort, bekommt Microsoft nichts davon. Erst wenn die Datei in OneDrive liegt oder du die Programme im Browser nutzt, wird Microsoft zur Empfängerin. Wie das bei anderen Diensten ist, steht in Was ist ein Dienst?.