Microsoft EU Data Boundary: Was die EU-Datengrenze bedeutet

Die Microsoft EU Data Boundary – auf Deutsch EU-Datengrenze – ist Microsofts Antwort auf eine Frage, die sich viele Unternehmen in Europa stellen: Wo liegen meine Daten in der Microsoft Cloud, und wer hat Zugriff darauf? Mit der EU-Datengrenze sorgt Microsoft dafür, dass Kundendaten und personenbezogene Daten aus Microsoft 365, Dynamics 365, Power Platform und den meisten Azure-Diensten innerhalb der EU und der EFTA gespeichert und verarbeitet werden.

Im April 2025 hat Microsoft zusätzlich fünf digitale Zusicherungen für Europa angekündigt, die Datenschutz, Datensouveränität und digitale Resilienz weiter stärken sollen. Wir erklären, was hinter der EU Data Boundary steckt, welche Daten und Dienste sie umfasst, wo ihre Grenzen liegen und was das für Ihr Unternehmen bedeutet.

Kurz gesagt: Die EU Data Boundary ist seit Februar 2025 vollständig umgesetzt. Kundendaten, pseudonymisierte personenbezogene Daten und Supportdaten europäischer Kunden bleiben grundsätzlich in EU- und EFTA-Rechenzentren. Sie verbessert die Datenresidenz deutlich, ersetzt aber weder eine saubere Konfiguration noch die datenschutzrechtliche Prüfung – und sie schließt einen Zugriff von US-Behörden nach dem CLOUD Act nicht vollständig aus.

Das Wichtigste in Kürze

• Die EU Data Boundary wurde in drei Phasen umgesetzt: Kundendaten (2023), pseudonymisierte personenbezogene Daten (2024) und Supportdaten (Februar 2025).
• Sie gilt für Microsoft 365, Dynamics 365, Power Platform und die meisten Azure-Dienste.
• Mit den fünf digitalen Zusicherungen vom April 2025 verspricht Microsoft unter anderem, behördliche Datenanfragen und Anordnungen zur Abschaltung von Cloud-Diensten gerichtlich anzufechten.
• Zusätzliche Angebote wie die Microsoft Sovereign Cloud und die Datenverarbeitung von Microsoft 365 Copilot im eigenen Land erweitern die Kontrolle.
• Für die DSGVO-Konformität bleiben Auftragsverarbeitungsvertrag, Konfiguration und eigene Schutzmaßnahmen entscheidend.

Die fünf digitalen Zusicherungen von Microsoft für Europa

Am 30. April 2025 hat Microsoft-Präsident Brad Smith fünf digitale Zusicherungen für Europa vorgestellt. Hintergrund sind die wachsenden Sorgen europäischer Unternehmen und Regierungen über die Abhängigkeit von US-Cloud-Anbietern in Zeiten geopolitischer Spannungen. Die EU-Datengrenze ist dabei ein zentraler Baustein, aber nicht der einzige.

Die fünf Zusicherungen im Überblick

• Ausbau der Cloud- und KI-Infrastruktur: Microsoft will seine Rechenzentrumskapazität in Europa innerhalb von zwei Jahren um 40 Prozent erweitern und bis 2027 in 16 Ländern mehr als 200 Rechenzentren betreiben.
• Digitale Resilienz: Anordnungen, europäische Cloud-Dienste abzuschalten, will Microsoft mit allen rechtlichen Mitteln anfechten. Diese Zusage steht in den Verträgen mit europäischen Regierungen und der EU-Kommission.
• Schutz europäischer Daten: Die EU Data Boundary hält Kundendaten in der EU und EFTA, behördliche Datenanfragen werden angefochten, wo rechtlich möglich.
• Cybersicherheit: Ein eigener Deputy Chief Information Security Officer für Europa verantwortet die Einhaltung von DORA, NIS2 und Cyber Resilience Act.
• Wettbewerbsfähigkeit und Open Source: Offener Zugang zur KI-Plattform mit mehr als 1.800 Modellen, auch von europäischen Anbietern wie Mistral, sowie Datenexport ohne Transfergebühren beim Anbieterwechsel.

Zeitplan und Meilensteine der Implementierung

Die EU Data Boundary wurde schrittweise eingeführt:

• Januar 2023 (Phase 1): Kundendaten aus Microsoft 365, Dynamics 365, Power Platform und Azure werden in der EU und EFTA gespeichert und verarbeitet.
• Januar 2024 (Phase 2): Auch pseudonymisierte personenbezogene Daten, etwa aus Systemprotokollen, bleiben in der EU.
• Februar 2025 (Phase 3): Professional Services Data – also Daten aus technischen Supportfällen – werden ebenfalls innerhalb der EU und EFTA gespeichert. Damit ist die EU-Datengrenze abgeschlossen.
• Juni 2025: Microsoft kündigt die Microsoft Sovereign Cloud an, mit Sovereign Public Cloud, Sovereign Private Cloud und „Data Guardian“: Fernzugriffe von Microsoft-Technikern auf europäische Systeme werden von Personal in Europa genehmigt und überwacht.
• November 2025: Microsoft kündigt an, dass Microsoft 365 Copilot Daten in 15 Ländern, darunter Deutschland, im eigenen Land verarbeiten kann.

Was ist die Microsoft EU Data Boundary?

Die EU Data Boundary ist eine geografisch definierte Grenze, innerhalb derer Microsoft die Daten seiner Cloud-Kunden aus der EU und EFTA speichert und verarbeitet. Sie gilt automatisch für Kunden mit Sitz in diesen Ländern – eine separate Buchung ist nicht nötig.

Definition und technische Grundlagen

Technisch basiert die EU-Datengrenze auf Microsoft-Rechenzentren in mehreren EU- und EFTA-Ländern. Sie umfasst drei Datenarten:

• Kundendaten: Inhalte wie E-Mails, Dokumente, Teams-Chats oder Datenbanken.
• Pseudonymisierte personenbezogene Daten: Diagnose- und Nutzungsdaten, die Microsoft für den Betrieb der Dienste erzeugt.
• Professional Services Data: Informationen, die im Rahmen von Supportanfragen anfallen, etwa Protokolle und Fallnotizen.

Eine genaue Liste der Dienste und Datenarten dokumentiert Microsoft auf Microsoft Learn. Die Datenresidenz innerhalb der EU erleichtert die Einhaltung der Datenschutz-Grundverordnung (DSGVO), weil Datenübermittlungen in Drittländer weitgehend entfallen.

Abgrenzung zu bisherigen Datenschutzmaßnahmen

Früher sicherte Microsoft vor allem die Speicherung ruhender Daten in Europa zu – für Verarbeitung, Support und Diagnose galten weltweite Abläufe. Die EU Data Boundary schließt diese Lücken weitgehend. Ausnahmen gibt es weiterhin: Für die Abwehr globaler Cyberangriffe können begrenzte Datenmengen außerhalb der EU verarbeitet werden, verschlüsselt und mit strengen Zugriffskontrollen.

Wichtig für die Einordnung: Die EU-Datengrenze regelt, wo Daten liegen – nicht, wer rechtlich darauf zugreifen kann. Als US-Unternehmen unterliegt Microsoft dem US CLOUD Act. Microsoft Frankreich räumte im Juni 2025 vor dem französischen Senat ein, nicht garantieren zu können, dass Daten nie an US-Behörden herausgegeben werden müssen. Datenübermittlungen in die USA stützen sich rechtlich auf das EU-US Data Privacy Framework.

Welche Daten und Dienste die EU-Datengrenze umfasst

Seit Abschluss der dritten Phase im Februar 2025 werden die Daten europäischer Kunden umfassend innerhalb der EU und EFTA gespeichert und verarbeitet.

Betroffene Microsoft-Dienste und -Produkte

Die EU-Datengrenze gilt für die wichtigsten Cloud-Dienste von Microsoft:

• Microsoft 365: Exchange Online, SharePoint, OneDrive, Microsoft Teams und die Office-Apps. Auch KI-Funktionen wie Microsoft Copilot sind einbezogen.
• Microsoft Azure: Die meisten Azure-Dienste, sofern Sie eine europäische Region wählen. Für einzelne Dienste sind zusätzliche Einstellungen nötig.
• Dynamics 365 und Power Platform: CRM-, ERP- und Low-Code-Anwendungen wie Power Apps und Power Automate.

Technische Umsetzung der EU-Datenspeicherung

Die Daten werden in Azure-Regionen innerhalb der EU und EFTA gespeichert, die jeweils aus mehreren Rechenzentren bestehen. Für Redundanz repliziert Microsoft Daten innerhalb derselben geografischen Zone – bei einem deutschen Mandanten also innerhalb Europas. Wie sich die Cloud als IT-Infrastruktur einordnen lässt, erklären wir im Beitrag Ist eine Cloud eine IT-Infrastruktur?.

Standorte der europäischen Rechenzentren

Microsoft betreibt Cloud-Regionen in zahlreichen europäischen Ländern. Einige Beispiele:

Widerstand gegen behördliche Zugriffsanfragen

Ein Teil der Zusicherungen betrifft den Umgang mit Behörden – sowohl mit Datenanfragen als auch mit möglichen Anordnungen, Cloud-Dienste in Europa einzustellen.

Microsofts rechtliche Position gegenüber Behörden

Microsoft verpflichtet sich, behördliche Anfragen nach Kundendaten zu prüfen und anzufechten, wenn es dafür eine rechtliche Grundlage gibt. Behörden werden zunächst an den Kunden selbst verwiesen. Microsoft veröffentlicht zudem regelmäßig Berichte darüber, wie viele Anfragen eingehen.

Konkrete Maßnahmen zum Schutz der digitalen Resilienz

Mit der „European Digital Resilience Commitment“ verspricht Microsoft, jede Anordnung zur Abschaltung europäischer Cloud-Dienste mit allen rechtlichen Mitteln anzufechten, notfalls vor Gericht. Zusätzlich hinterlegt Microsoft Quellcode bei einem Partner in der Schweiz, damit europäische Partner den Betrieb im Ernstfall fortführen könnten.

Erweiterte Datenschutzmaßnahmen durch Kontrolle und Verschlüsselung

Microsoft nutzt fortschrittliche Verschlüsselungstechnologien und kundenorientierte Kontrollmechanismen, um den Datenschutz zu stärken. Diese Schritte sind Teil von Microsofts Bemühungen, die Datenschutzkonformität mit den EU-Datenschutzvorschriften zu sichern.

Neue Verschlüsselungstechnologien im Detail

Daten in Microsoft 365 und Azure werden sowohl bei der Speicherung als auch bei der Übertragung verschlüsselt. Für höhere Anforderungen gibt es zusätzliche Optionen:

• Customer Key: Sie verwalten die Schlüssel für Ihre Microsoft-365-Daten selbst.
• Double Key Encryption: Besonders sensible Inhalte werden mit einem zweiten Schlüssel geschützt, auf den nur Sie Zugriff haben.
• External Key Management: Schlüssel werden in einem Hardware-Sicherheitsmodul außerhalb der Microsoft Cloud gehalten.
• Confidential Computing: Daten bleiben auch während der Verarbeitung geschützt.

Kundenorientierte Kontrollmechanismen

Microsoft bietet seinen Kunden zudem mehr Kontrolle über Zugriffe:

• Customer Lockbox: Microsoft-Techniker erhalten nur mit Ihrer ausdrücklichen Freigabe Zugriff auf Ihre Daten.
• Data Guardian: Fernzugriffe auf europäische Systeme werden von Personal in Europa genehmigt und überwacht.
• Protokollierung: Zugriffe und Aktivitäten lassen sich im Microsoft Purview Audit nachvollziehen.

Transparenzberichte und Audit-Möglichkeiten

Microsoft veröffentlicht regelmäßig Transparenzberichte über behördliche Datenanfragen. Zertifizierungen wie ISO 27001, SOC 2 und BSI C5 sowie die Dokumentation im Service Trust Portal helfen Ihnen, die Einhaltung der Datenschutzanforderungen gegenüber Prüfern nachzuweisen.

Der neue Deputy Chief Information Security Officer für Europa

Im Rahmen der Zusicherungen hat Microsoft 2025 einen Deputy Chief Information Security Officer (CISO) für Europa ernannt. Er berichtet an den globalen CISO und ist für die Cybersicherheit der europäischen Cloud-Dienste zuständig.

Rolle und Verantwortlichkeiten

Der Deputy CISO verantwortet, dass Microsoft die europäischen Cybersicherheitsvorgaben wie DORA, NIS2 und den Cyber Resilience Act einhält. Er ist zudem Ansprechpartner für europäische Behörden und Kunden bei Sicherheitsfragen.

Zusammenarbeit mit europäischen Institutionen

Der Deputy CISO arbeitet eng mit europäischen Regulierungsbehörden zusammen. Zudem hat Microsoft zugesagt, die Einhaltung seiner europäischen Zusicherungen von einem unabhängigen Prüfer kontrollieren zu lassen.

Einhaltung europäischer Vorschriften: DSGVO, DORA und NIS2

Microsoft hält sich an europäische Vorschriften wie DSGVO, DORA und NIS2. So stärkt es die Datensicherheit in Europa.

Spezifische Anforderungen der DSGVO

Die DSGVO setzt hohe Standards für die Verarbeitung von Daten. Microsoft erfüllt diese, indem es:

• Transparenz bei der Verarbeitung von Daten bietet
• Datenminimierung und Zweckbindung einhält
• Auskunftsrechte und Beschwerderechte für Betroffene schafft

Anpassungen an DORA, NIS2 und Cyber Resilience Act

Neben der DSGVO richtet Microsoft seine Cloud-Dienste an weiteren EU-Regeln aus: Der Digital Operational Resilience Act (DORA) gilt seit Januar 2025 für Finanzunternehmen und ihre IT-Dienstleister. Die NIS2-Richtlinie ist in Deutschland mit dem NIS2-Umsetzungsgesetz seit Dezember 2025 in Kraft und betrifft deutlich mehr Unternehmen als bisher. Der Cyber Resilience Act (CRA) regelt zusätzlich die Sicherheit von Produkten mit digitalen Elementen.

Auswirkungen auf die Cybersicherheitsstrategie

Die Einhaltung von DORA und NIS2 beeinflusst Microsofts Cybersicherheitsstrategie stark. Durch diese Richtlinien kann Microsoft:

1. Die Cybersicherheit durch bessere Sicherheitsmaßnahmen erhöhen
2. Die operationelle Resilienz durch starke Prozesse und Systeme verbessern

Wichtig: Diese Regeln verpflichten nicht nur Microsoft, sondern auch Sie als Kunde. Wer unter NIS2 oder DORA fällt, muss Risiken bei Cloud-Dienstleistern selbst bewerten und dokumentieren.

Förderung der wirtschaftlichen Wettbewerbsfähigkeit in Europa

Die fünfte Zusicherung zielt auf Europas Wettbewerbsfähigkeit. Microsoft will seine Cloud- und KI-Infrastruktur für europäische Unternehmen und Entwickler offen zugänglich halten.

Offener Zugang zur Cloud- und KI-Infrastruktur

• Zugang zu mehr als 1.800 KI-Modellen (AI) in Azure AI Foundry, darunter Open-Source-Modelle von Mistral und Hugging Face.
• Keine Datentransfergebühren, wenn Kunden ihre Daten exportieren und zu einem anderen Anbieter wechseln.
• Ausbau der europäischen Rechenzentren auf mehr als 200 Standorte bis 2027.

Unterstützung europäischer Innovationen und Start-ups

Über Programme wie Microsoft for Startups erhalten junge Unternehmen Azure-Guthaben, technische Beratung und Zugang zu KI-Werkzeugen. Microsoft betont zudem, europäische Open-Source-Projekte zu unterstützen.

Was die EU-Datengrenze für Unternehmen praktisch bedeutet

Für Unternehmen in Deutschland bringt die EU Data Boundary vor allem mehr Rechtssicherheit: Der Großteil der Daten verlässt die EU nicht mehr, und Datenübermittlungen in Drittländer müssen seltener gesondert bewertet werden. Auch der Hessische Beauftragte für Datenschutz kam im November 2025 zu dem Ergebnis, dass Microsoft 365 datenschutzkonform genutzt werden kann – unter anderem wegen der EU-Datengrenze.

Checkliste: Was Unternehmen selbst tun sollten

Die EU-Datengrenze entbindet Sie aber nicht von eigenen Pflichten. Diese Punkte sollten Sie prüfen:

• Auftragsverarbeitung: Das Microsoft Products and Services Data Protection Addendum (DPA) ist Ihr AV-Vertrag nach Art. 28 DSGVO. Auch Ihr IT-Dienstleister braucht einen – mehr dazu im Beitrag Ist ein IT-Dienstleister ein Auftragsverarbeiter?.
• Konfiguration: Telemetrie, optionale verbundene Erfahrungen und Drittanbieter-Apps bewusst einstellen.
• Datensicherung: Die EU-Datengrenze ersetzt kein Backup, wie wir am Beispiel OneDrive zeigen.
• Dokumentation: Verzeichnis der Verarbeitungstätigkeiten und gegebenenfalls eine Datenschutz-Folgenabschätzung aktualisieren.

Microsoft im Vergleich zu anderen Cloud-Anbietern in Europa

Auch die anderen großen Hyperscaler haben auf die europäischen Anforderungen reagiert. Ein kurzer Vergleich hilft bei der Einordnung.

Datenschutzmaßnahmen von AWS, Google Cloud und lokalen Anbietern

AWS und Google Cloud bieten ebenfalls europäische Rechenzentren und DSGVO-konforme Verträge. AWS baut mit der European Sovereign Cloud in Brandenburg eine von der übrigen AWS-Infrastruktur getrennte EU-Cloud auf, Google kooperiert in Deutschland unter anderem mit T-Systems für eine souveräne Cloud. Lokale Anbieter wie IONOS oder STACKIT unterliegen nicht dem US CLOUD Act, bieten aber einen kleineren Funktionsumfang.

Alleinstellungsmerkmale der Microsoft-Strategie

Microsofts Stärke liegt darin, dass die EU-Datengrenze nicht nur für Infrastruktur, sondern auch für Produktivitätsdienste wie Microsoft 365 und Teams gilt – inklusive Supportdaten. Für Unternehmen, die bereits mit Microsoft arbeiten, ist das oft der pragmatischste Weg zu mehr Datenresidenz.

Fazit: Die Zukunft der Datensouveränität in Europa

Mit der vollständig umgesetzten EU Data Boundary, den fünf digitalen Zusicherungen und der Sovereign Cloud hat Microsoft die Datenresidenz in Europa deutlich verbessert. Für die meisten Unternehmen in Deutschland ist Microsoft 365 damit datenschutzkonform nutzbar – vorausgesetzt, AV-Vertrag, Konfiguration und Dokumentation stimmen.

Eine vollständige Unabhängigkeit von US-Recht bietet die EU-Datengrenze nicht. Wer besonders sensible Daten verarbeitet, sollte zusätzliche Maßnahmen wie eigene Schlüssel oder eine hybride Architektur prüfen.

Sie möchten wissen, wie Sie Microsoft 365 in Ihrem Unternehmen datenschutzkonform einrichten? Sprechen Sie uns an – wir unterstützen Sie bei Konfiguration, Dokumentation und Betrieb.