Microsoft-365-Datenspeicherort: Was KMU bis zum 14. Dezember entscheiden müssen

Wo liegen eigentlich die E-Mails, Teams-Chats und SharePoint-Dateien Ihres Unternehmens? Für viele KMU war die Antwort bisher „irgendwo bei Microsoft in Europa”. Jetzt gibt es eine konkrete Entscheidung zu treffen: Laut heise online können Administratoren bis zum 14. Dezember 2026 festlegen, ob der Microsoft-365-Datenspeicherort auf Deutschland beschränkt wird oder ob Daten innerhalb der EU verschoben werden dürfen. Wer die Frist verstreichen lässt, bekommt automatisch die Standardeinstellung.

Worum geht es bei der neuen Einstellung?

Microsoft hat am 14. September 2026 eine neue Option im Microsoft 365 Admin Center angekündigt. Sie gilt für kommerzielle Tenants in Deutschland, Frankreich, Norwegen, Schweden und der Schweiz. Zur Wahl stehen zwei Modelle:

• In-Country Storage: Die Kundendaten bleiben in Rechenzentren innerhalb Deutschlands.
• EU Data Boundary: Die Daten dürfen innerhalb der europäischen Datengrenze zwischen Rechenzentren verschiedener EU-Länder verschoben werden.

Die Einstellung für die Speicherung im Land ist standardmäßig deaktiviert. Das bedeutet: Ohne aktives Eingreifen gilt, dass Kundendaten innerhalb der EU-Datengrenze verschoben werden können.

Welche Dienste sind betroffen?

Nach Angaben von heise betrifft die Wahl die zentralen Arbeitswerkzeuge der meisten Büros:

• Exchange Online (E-Mail, Kalender, Kontakte)
• OneDrive (persönliche Dateiablage)
• SharePoint (Team- und Abteilungsablagen)
• Microsoft Teams (Chats, Dateien in Kanälen)
• Copilot und Copilot Chat

Damit geht es praktisch um den gesamten Datenbestand, den ein typisches KMU in Microsoft 365 verwaltet.

Deutschland oder EU – was ist datenschutzrechtlich relevant?

Die gute Nachricht zuerst: Beide Varianten bleiben innerhalb Europas. Laut Bericht ändern sich Privatsphäre, Sicherheit, Compliance und Verschlüsselung durch die Wahl nicht. Da die Daten die EU nicht verlassen, handelt es sich in beiden Fällen nicht um eine Übermittlung in ein Drittland im Sinne der DSGVO.

Die Entscheidung ist trotzdem nicht belanglos. Relevant wird sie vor allem in drei Situationen:

1. Vertragliche Zusagen gegenüber Kunden

Viele Betriebe haben in Auftragsverarbeitungsverträgen, Rahmenverträgen oder Ausschreibungen zugesichert, dass Daten in Deutschland verarbeitet werden. Das betrifft etwa Zulieferer der Automobil- und Maschinenbauindustrie in Sachsen, Dienstleister für Kommunen oder Unternehmen, die für Kliniken arbeiten. Wer solche Zusagen gemacht hat, sollte die Speicherung im Land aktivieren – sonst stimmt die Vertragslage nicht mehr mit der Technik überein.

2. Branchenvorgaben und Berufsgeheimnisse

Steuerberater, Anwaltskanzleien, Arztpraxen oder Pflegedienste unterliegen besonderen Verschwiegenheitspflichten. Die Gesetze schreiben zwar nicht zwingend einen Speicherort in Deutschland vor, aber Kammern, Datenschutzbeauftragte oder Prüfer fragen gezielt danach. Eine klare, dokumentierte Entscheidung erleichtert solche Gespräche erheblich.

3. Interne Richtlinien und Audits

Unternehmen mit ISO-27001-Zertifizierung oder NIS2-Pflichten müssen ihre Cloud-Dienste und deren Datenflüsse dokumentieren. Hier zählt weniger, welche Variante gewählt wird, sondern dass die Wahl bewusst getroffen und im Verarbeitungsverzeichnis festgehalten wurde.

Was die Einstellung nicht löst

Ein wichtiger Punkt, der oft übersehen wird: Der Speicherort ändert nichts daran, dass Microsoft ein US-Unternehmen ist. US-Gesetze wie der CLOUD Act knüpfen an den Anbieter an, nicht am Standort des Rechenzentrums. Wer Microsoft 365 aus diesem Grund kritisch sieht, bekommt durch „In-Country Storage” keine grundsätzlich andere Rechtslage. Für besonders sensible Daten kann eine selbst betriebene Lösung wie Nextcloud auf eigenen Servern die sinnvollere Ergänzung sein – dazu haben wir einen eigenen Vergleich Microsoft 365 vs. Nextcloud geschrieben.

Schritt für Schritt: So legen Sie den Speicherort fest

Die Einstellung ist in wenigen Minuten erledigt. Wichtiger als der Klick ist die Vorbereitung.

Schritt 1: Bestandsaufnahme machen. Prüfen Sie, welche Microsoft-365-Dienste in Ihrem Unternehmen genutzt werden und welche Daten dort liegen. Kundendaten, Personalakten, Verträge und Gesundheitsdaten sind die kritischen Kategorien.

Schritt 2: Verträge sichten. Suchen Sie in Kundenverträgen, AV-Verträgen und Ausschreibungsunterlagen nach Formulierungen wie „Verarbeitung ausschließlich in Deutschland” oder „Serverstandort Deutschland”.

Schritt 3: Datenschutzbeauftragten einbeziehen. Stimmen Sie die Entscheidung mit Ihrem internen oder externen Datenschutzbeauftragten ab. Das dauert meist nur ein kurzes Gespräch.

Schritt 4: Einstellung im Admin Center setzen. Als globaler Administrator öffnen Sie das Microsoft 365 Admin Center und navigieren zu Einstellungen → Organisationseinstellungen → Organisationsprofil → Datenspeicherort (Data Location). Unter Commitments finden Sie die neue Option.

Schritt 5: Dokumentieren. Halten Sie fest, wann, von wem und mit welcher Begründung die Entscheidung getroffen wurde. Aktualisieren Sie Ihr Verarbeitungsverzeichnis und – falls vorhanden – Ihre ISMS-Dokumentation.

Schritt 6: Kunden informieren, falls nötig. Wenn Sie Kunden gegenüber Standortzusagen gemacht haben, kann eine kurze Bestätigung Vertrauen schaffen.

Ein Termin, der nicht untergehen sollte

Der 14. Dezember liegt mitten im Jahresendgeschäft. Genau dann haben IT-Verantwortliche in kleinen Betrieben erfahrungsgemäß am wenigsten Zeit. Tragen Sie sich die Aufgabe jetzt in den Kalender ein – idealerweise für Oktober oder Anfang November, damit Zeit für Rückfragen bleibt.

Unsere Empfehlung für KMU

Für die meisten ostdeutschen KMU ohne besondere Vertragsauflagen ist die EU-Datengrenze eine vertretbare Wahl: Sie bleibt DSGVO-konform und verursacht keinen zusätzlichen Aufwand. Die Speicherung in Deutschland empfehlen wir, wenn

• Sie Kunden einen Serverstandort Deutschland zugesichert haben,
• Sie Berufsgeheimnisträger sind oder für solche arbeiten,
• Sie für öffentliche Auftraggeber tätig sind oder
• Ihre internen Richtlinien einen nationalen Speicherort vorsehen.

Entscheidend ist in jedem Fall: Treffen Sie die Wahl bewusst, statt sie der Standardeinstellung zu überlassen. Nur so können Sie im Zweifel gegenüber Kunden, Prüfern oder Behörden erklären, warum Ihre Daten dort liegen, wo sie liegen.

Unterstützung in Dresden

Sie suchen Unterstützung in Dresden? Rexoma IT hilft KMU in Sachsen dabei, Microsoft 365 datenschutzkonform zu konfigurieren – von der Bestandsaufnahme über die Einstellung des Datenspeicherorts bis zur Dokumentation für Audits und NIS2. Wenn Sie überlegen, sensible Daten ganz in die eigene Infrastruktur zu holen, begleiten wir auch den Aufbau einer eigenen Nextcloud. Sprechen Sie uns an – wir klären gemeinsam, welche Variante zu Ihrem Betrieb passt.

FAQ

Muss ich den Microsoft-365-Datenspeicherort zwingend ändern?

Nein. Wenn Sie nichts tun, gilt nach dem 14. Dezember 2026 die Standardeinstellung: Ihre Daten dürfen innerhalb der EU-Datengrenze verschoben werden. Das ist DSGVO-konform. Handlungsbedarf besteht vor allem, wenn Sie vertraglich einen Speicherort in Deutschland zugesagt haben.

Ist die EU Data Boundary ein Drittlandtransfer?

Nein. Da die Daten innerhalb der EU verbleiben, liegt nach den Angaben im heise-Bericht keine Drittlandübermittlung vor. Datenschutz, Sicherheit und Verschlüsselung bleiben laut Microsoft unverändert.

Schützt die Speicherung in Deutschland vor dem Zugriff von US-Behörden?

Nicht grundsätzlich. Gesetze wie der US CLOUD Act richten sich an den Anbieter, nicht an den Standort des Rechenzentrums. Wer diese Frage ernsthaft adressieren will, sollte für sensible Daten zusätzlich selbst betriebene Lösungen prüfen.

Wer kann die Einstellung vornehmen?

Die Option findet sich im Microsoft 365 Admin Center unter den Organisationseinstellungen. Sie benötigen dafür administrative Rechte im Tenant, in der Regel die Rolle des globalen Administrators.

Betrifft die Änderung auch Copilot?

Ja. Laut heise umfasst die Wahl neben Exchange Online, OneDrive, SharePoint und Teams auch Copilot und Copilot Chat. Gerade wenn Sie Copilot mit Unternehmensdaten nutzen, lohnt sich ein genauer Blick auf den Speicherort.