Microsoft hat auf den 1. November 2026 seinen Datenschutznachtrag für Microsoft 365 angepasst, das Data Protection Addendum (DPA). Eine neue Klausel hat in Fachkreisen für Unruhe gesorgt, unter anderem bei heise online. Rechtsexperten geben teilweise Entwarnung. Trotzdem zeigt der Fall, wie wenig Einfluss ein Unternehmen auf die Regeln hat, nach denen seine Mails in der Cloud verarbeitet werden.
Was sich geändert hat
Im Abschnitt «Offenlegung verarbeiteter Daten» steht neu: Wenn Microsoft Kenntnis von offensichtlichem Material über sexuelle Ausbeutung und Missbrauch von Kindern erhält, darf Microsoft dieses an das National Center for Missing and Exploited Children (NCMEC) oder an eine andere Stelle melden. Das NCMEC ist eine private Organisation in den USA, die dort gesetzliche Aufgaben bei der Bekämpfung von Kindesmissbrauch übernimmt.
Das Ziel der Klausel ist unbestritten. Diskutiert wird, wie weit sie reicht.
Was Fachleute dazu sagen
Die meisten Juristen lesen die Klausel als Meldebefugnis und nicht als Suchbefugnis. Microsoft darf melden, was es bereits zur Kenntnis genommen hat. Eine systematische Durchsuchung der Postfächer und Dateien ergibt sich daraus nicht. Im Normalbetrieb bleibt Microsoft Auftragsverarbeiter und ist an die Weisungen des Kunden gebunden.
Offen sind trotzdem einige Punkte:
- Weitergabe ohne Information des Kunden. Bei Anfragen von Behörden verweist Microsoft sonst an den Kunden. Hier kann Microsoft selbst entscheiden und direkt melden.
- «Andere Stelle» ist nicht näher bestimmt. Welche Organisationen das sein können, lässt der Text offen.
- Auch Texte können betroffen sein. Die Klausel spricht von Material, nicht nur von Bildern. Arztberichte, Therapieprotokolle oder Notizen einer Beratungsstelle können solche Inhalte beschreiben, ohne selbst problematisch zu sein.
- Daten verlassen Europa. Die Meldung geht in die USA, unabhängig davon, in welchem Rechenzentrum die Daten liegen.
Für die meisten Firmen ändert sich im Alltag nichts. Wer aber Daten von Patientinnen, Klienten oder Mandanten bearbeitet, sollte die Klausel kennen und in der eigenen Datenschutzdokumentation berücksichtigen.
Was der Fall grundsätzlich zeigt
Die Klausel selbst ist nicht das eigentliche Thema. Wichtiger ist, dass ein Cloud-Anbieter seine Vertragsbedingungen einseitig anpassen kann. Der Kunde erfährt davon über eine aktualisierte Vertragsfassung und kann zustimmen oder kündigen. Danach muss er Datenschutzerklärung, Verzeichnis der Bearbeitungstätigkeiten und gegebenenfalls die Datenschutz-Folgenabschätzung nachführen.
Das Schweizer Datenschutzgesetz verlangt, dass ein Auftragsbearbeiter Daten nur so bearbeitet, wie es das Unternehmen selbst tun dürfte. Je öfter die Bedingungen ändern, desto mehr Aufwand entsteht, um das nachzuweisen. Mehr dazu im Beitrag über IT-Massnahmen nach dem nDSG.
Metadaten gehen schon heute in die USA
Unabhängig von der neuen Klausel gelangen bei Microsoft 365 bestimmte Daten in die USA, auch wenn die Postfächer in Europa oder in der Schweiz liegen. Microsoft dokumentiert diese Ausnahmen von der EU-Datengrenze selbst. Dazu gehören Benutzernamen und E-Mail-Adressen aus dem Verzeichnis, Protokolle für die Sicherheitsüberwachung, pseudonymisierte Kennungen sowie Gerätenamen für die Lizenzprüfung.
Solche Metadaten wirken harmlos, verraten aber viel: wer mit wem kommuniziert, wann, wie oft und von welchem Gerät aus. Für eine Anwaltskanzlei oder eine Arztpraxis kann schon diese Information vertraulich sein. Hinzu kommt, dass Microsoft als US-Unternehmen dem amerikanischen Recht untersteht, etwa dem CLOUD Act, der US-Behörden Zugriff auf Daten im Ausland erlauben kann.
Bei Zimbra im eigenen Betrieb bleiben auch Protokolle, Verzeichnis und Lizenzprüfung auf Ihren Servern.
Zimbra: Mail und Kalender im eigenen Betrieb
Zimbra ist eine Plattform für E-Mail, Kalender, Kontakte und Aufgaben. Sie läuft auf eigenen Linux-Servern, im eigenen Serverraum oder bei einem Schweizer Hoster. Der Hersteller hat keinen Zugriff auf die Postfächer, und die Regeln für Zugriff und Aufbewahrung legt das Unternehmen selbst fest.
Für die Mitarbeitenden ändert sich wenig:
- Outlook bleibt. Die Network Edition bringt einen Connector mit, über den Outlook Mails, Kalender und Kontakte synchronisiert.
- Webmail und Smartphone. Im Browser läuft der Zimbra-Webclient, auf iPhone und Android die gewohnten Mail- und Kalender-Apps.
- Gemeinsame Kalender und Ordner funktionieren wie bei Exchange, inklusive Stellvertretungen und Ressourcen wie Sitzungszimmer.
- Archivierung nach GeBüV lässt sich mit MailStore ergänzen, ebenfalls im eigenen Betrieb.
Zimbra ersetzt nicht alles, was Microsoft 365 bietet. Teams, SharePoint und die gemeinsame Bearbeitung von Office-Dokumenten im Browser gehören nicht dazu. Viele KMU kombinieren deshalb Zimbra für Mail und Kalender mit Office auf dem Arbeitsplatz und einer Dateiablage im eigenen Netzwerk.
Für wen sich der Wechsel lohnt
Zimbra im eigenen Betrieb passt besonders zu Unternehmen, die einem Berufsgeheimnis unterstehen oder besonders schützenswerte Daten bearbeiten: Arztpraxen und Therapiestellen, Anwaltskanzleien, Treuhänder, Beratungsstellen und Stiftungen. Auch Firmen, die ihre Abhängigkeit von US-Anbietern verringern wollen, finden hier eine erprobte Lösung. Hintergründe dazu im Beitrag über digitale Souveränität.
Wer dagegen intensiv mit Teams und SharePoint arbeitet, bleibt meist besser bei Microsoft 365 und passt die Dokumentation an die neue Klausel an.
Auch finanziell lohnt sich der Wechsel oft. Server und Betreuung kosten ab einer gewissen Grösse kaum mehr, während bei Microsoft 365 jede weitere Person ein weiteres Abonnement bedeutet. Ab einer bestimmten Anzahl Benutzer ist Zimbra im Betrieb deshalb oft günstiger.
Der eigene Betrieb bedeutet auch Verantwortung: Updates, Datensicherung und Überwachung müssen jemand übernehmen. Diese Arbeit erledigen wir für unsere Kunden.
So gehen Sie vor
- Betroffenheit prüfen. Bearbeiten Sie Gesundheitsdaten, Mandantendaten oder andere besonders schützenswerte Informationen in Microsoft 365?
- Dokumentation nachführen. Datenschutzerklärung und Verzeichnis der Bearbeitungstätigkeiten um die mögliche Offenlegung ergänzen.
- Alternativen vergleichen. Kosten, Funktionen und Aufwand von Microsoft 365 und Zimbra nebeneinanderstellen.
- Migration planen. Postfächer, Kalender und Freigaben werden übertragen, die DNS-Einträge für SPF, DKIM und DMARC neu gesetzt.
Wir betreiben Zimbra in der Schweiz
A BOT ist Zimbra-Partner und betreibt Zimbra-Umgebungen für KMU auf Servern in der Schweiz, inklusive Spamfilter, Archivierung und Datensicherung. Wir prüfen mit Ihnen, ob ein Wechsel sinnvoll ist, und migrieren die Postfächer ausserhalb der Geschäftszeiten. Mehr dazu unter E-Mail-Sicherheit. Wer noch einen eigenen Exchange-Server betreibt, findet die Optionen im Beitrag zum Supportende von Exchange.
Häufige Fragen
Liest Microsoft jetzt unsere Mails?
Nach heutiger Einschätzung der meisten Fachleute nicht. Die Klausel erlaubt eine Meldung, wenn Microsoft bereits Kenntnis von solchem Material hat. Eine Befugnis zur systematischen Durchsuchung enthält sie nicht. Metadaten wie Benutzernamen, E-Mail-Adressen und Sicherheitsprotokolle gelangen aber schon heute teilweise in die USA.
Müssen wir Microsoft 365 jetzt verlassen?
Nein, nicht zwingend. Prüfen Sie, ob Sie besonders schützenswerte Daten bearbeiten, und führen Sie Ihre Datenschutzdokumentation nach. Ein Wechsel lohnt sich vor allem dann, wenn Sie ohnehin mehr Kontrolle über Ihre Daten wollen.
Kann der Zimbra-Hersteller auf unsere Daten zugreifen?
Nein. Zimbra läuft auf Ihren eigenen Servern oder bei Ihrem Hoster. Der Hersteller liefert die Software und Updates, hat aber keinen Zugang zu den Postfächern.
Was kostet Zimbra im Vergleich?
Ab einer bestimmten Anzahl Benutzer ist Zimbra im Betrieb oft günstiger als Microsoft 365. Bei Zimbra fallen Lizenzen pro Postfach, ein Server und die Betreuung an. Server und Betreuung verteilen sich auf alle Benutzer, bei Microsoft 365 zahlen Sie dagegen für jede Person ein monatliches Abonnement. Wo die Grenze für Ihren Betrieb liegt, zeigen wir Ihnen in einer Vergleichsrechnung.
