Microsoft 365: Datenstandort Deutschland ändert sich
Microsoft ändert 2026 die Regeln für den Datenstandort bestimmter Microsoft-365-Daten. Seit dem 14. September 2026 gibt es für bestimmte Tenants in Deutschland eine neue Einstellung im Admincenter, die entscheidet, ob Daten weiterhin in Deutschland oder regional innerhalb der EU-Datengrenze gespeichert werden. Die Frist ist der 14. Dezember 2026, keine Panikmeldung, aber eine Konfigurations- und Compliance-Frage.
Deutschland ≠ EU-Datengrenze ≠ „nur“ Deutschland
DIE ÄNDERUNG
Was Microsoft konkret geändert hat
Microsoft nennt die neue Option „Store Microsoft 365 customer data in-country“, zu finden im Admincenter unter Admin → Einstellungen → Organisationseinstellungen → Organisationsprofil → Datenspeicherort → Verpflichtungen.
14.09.2026: sichtbar
Die Einstellung steht seither zur Prüfung bereit. Die bestehende Datenposition soll während dieser rund dreimonatigen Prüfphase nicht verändert werden.
14.12.2026: wirksam
Die hinterlegte Auswahl wird verbindlich. Microsoft weist ausdrücklich darauf hin, dass nicht alle Daten an diesem einen Tag verschoben werden.
Nicht für jeden Tenant
Betroffen sind berechtigte kommerzielle Tenants mit Standardgeografie in Deutschland, Frankreich, Norwegen, Schweden oder der Schweiz. Tenants mit Advanced Data Residency oder Multi-Geo sehen die Einstellung nicht.
ON ODER OFF
Der wichtigste Unterschied
Was bedeutet „On“ und „Off“?
On: Microsoft hält die betroffenen Core-Service-Daten im Ruhezustand in der zugeordneten Länder-Geografie, für einen deutschen Tenant also in Deutschland.
Off (Standard): Microsoft darf diese Daten regional innerhalb der EU-Datengrenze speichern und verschieben. Microsoft formuliert ausdrücklich, dass das Ausschalten die bisherige In-Country-Data-at-Rest-Zusage für diese Dienste entfernt.
WICHTIGE KLARSTELLUNG
EU-Datengrenze bedeutet nicht Deutschland
Die EU Data Boundary ist eine von Microsoft definierte geografische Grenze, sie umfasst die EU- und die EFTA-Staaten. Damit können Daten künftig auch innerhalb verschiedener europäischer Rechenzentrumsstandorte liegen, ohne dass Deutschland weiterhin zwingend der Speicherort sein muss.
Deutschland
Eine konkrete Länder-Geografie: ein einzelnes Land als zugesagter Speicherort.
EU Data Boundary
Eine größere regionale Geografie innerhalb EU und EFTA. Das ist nicht dasselbe wie Deutschland.
Kein neues Konstrukt
Die EU-Datengrenze existiert bereits seit 2023 für Microsoft 365, Azure, Power Platform und Dynamics 365. Sie wird hier nicht verlassen, nur die engere Zusage „nur Deutschland“ steht zur Wahl.
Wichtig: Die Daten bleiben in jedem Fall innerhalb der EU-Datengrenze, unabhängig davon, ob die Einstellung an- oder ausgeschaltet ist. Es geht nicht darum, ob Daten Europa verlassen, sondern nur darum, ob sie ausschließlich in einem Land oder regional innerhalb der EU/EFTA gespeichert werden dürfen.
DIENSTE UND GRENZEN
Betroffene Dienste und die Grenzen der Grenze
Die neue Einstellung gilt nur für die sogenannten Microsoft 365 Core Services.
Betroffen
- Exchange Online
- SharePoint
- OneDrive for Business
- Microsoft Teams
- Microsoft 365 Copilot / Copilot Chat
Nicht daraus ableiten
„Alle Microsoft-365-Daten liegen ab jetzt in Deutschland“ ist falsch. Genauso falsch: „Alle Daten werden ab Dezember irgendwo in Europa gespeichert.“ Andere Microsoft-Dienste können eigenen Datenresidenz-Regeln unterliegen, ein Blick auf die konkrete Data Location Card lohnt sich immer.
Data at rest ≠ Verarbeitung
Microsoft spricht von Customer Data at rest, also Daten im Ruhezustand. Das ist nicht dasselbe wie „diese Daten werden ausschließlich in Deutschland verarbeitet“.
Auch die EU-Datengrenze ist keine absolute technische Grenze
Microsoft dokumentiert selbst begrenzte Situationen, in denen Daten trotz EU-Datengrenze außerhalb übertragen werden können: Remotezugriff durch Microsoft-Mitarbeiter außerhalb der Grenze, vom Kunden selbst ausgelöste Übertragungen, bestimmte Sicherheits- und Schutzmaßnahmen, begrenzte Replikation von Verzeichnisdaten, bestimmte Netzwerktransits sowie Service-, Plattform- und Resilienzmaßnahmen. Diese Szenarien sind Teil der von Microsoft beschriebenen Bedingungen und über die entsprechenden Vertrags- und Datenschutzmechanismen abgedeckt. Für Administratoren heißt das: EU-Datengrenze bedeutet nicht „kein Byte verlässt jemals Europa“.
DIE ENTSCHEIDENDE FRAGE
Und was bedeutet das für die DSGVO?
Kurz und direkt: Es gibt keine DSGVO-Pflicht zur ausschließlichen Speicherung in Deutschland, weder vorher noch nachher.
Die DSGVO regelt in den Artikeln 44 ff. Übermittlungen personenbezogener Daten in Länder außerhalb der EU und des EWR (sogenannte Drittländer). Datenverkehr zwischen EU-/EWR-Mitgliedstaaten fällt gar nicht unter diese Drittland-Regeln, er ist datenschutzrechtlich innerhalb der Union frei möglich. Eine Speicherung „irgendwo in der EU-Datengrenze“ statt „nur in Deutschland“ berührt diese Vorschriften deshalb grundsätzlich nicht.
Das heißt aber nicht, dass der Speicherort für Datenschutz und Compliance völlig egal ist. Die DSGVO-Konformität eines Microsoft-365-Tenants hängt nicht allein davon ab, ob Daten in Deutschland oder beispielsweise Frankreich liegen. Relevant sind unter anderem: welche personenbezogenen Daten verarbeitet werden, welche Microsoft-Dienste eingesetzt werden, welche Unterauftragsverarbeiter beteiligt sind, welche vertraglichen Grundlagen gelten (Microsoft stellt dafür ein Data Protection Addendum und EU-Standardvertragsklauseln bereit) und welche technischen und organisatorischen Maßnahmen eingesetzt werden.
Ein Fall, in dem es doch relevant wird: Wenn ein Unternehmen gegenüber Kunden, Mitarbeitern oder Geschäftspartnern vertraglich ausdrücklich eine bestimmte, engere Datenresidenz zugesichert hat (zum Beispiel „ausschließlich Deutschland“), kann die Änderung dieser Microsoft-Einstellung diese eigene Zusage berühren, unabhängig von der DSGVO selbst.
FOLGEN UND ALTERNATIVEN
Was passiert, wenn man nichts tut?
Nichts tun bedeutet: Off bleibt aktiv
Bei einem berechtigten Tenant bleibt die Einstellung zunächst deaktiviert. Ab dem 14. Dezember 2026 kann Microsoft bei solchen Tenants mit der regionalen Speicherung beziehungsweise Verschiebung innerhalb der EU-Datengrenze beginnen, nicht zwingend vollständig an diesem einen Tag.
Die Einstellung lässt sich später wieder auf „On“ stellen, Microsoft verpflichtet die Daten dann wieder auf die ursprüngliche Geografie und beginnt mit der Rückmigration. Diese kann laut Microsoft rund sechs Monate dauern. Wer die Länder-Geografie wichtig findet, sollte deshalb vor dem 14. Dezember entscheiden, statt später „einfach zurückzustellen“.
Das ist nicht dasselbe wie Advanced Data Residency
Advanced Data Residency (ADR) ist ein kostenpflichtiges Add-on mit weitergehenden Datenresidenz-Zusagen für bestimmte Dienste und Länder, Deutschland gehört zu den unterstützten Geografien. Tenants mit ADR, ADR for Education oder Multi-Geo sehen die neue „in-country“-Einstellung gar nicht, weil deren Datenresidenz bereits über diese kostenpflichtigen Angebote gesteuert wird.
CHECKLISTE
So prüfst du deinen Microsoft-365-Tenant
Im Admincenter: Admin → Einstellungen → Organisationseinstellungen → Organisationsprofil → Datenspeicherort → Verpflichtungen. Zusätzlich lohnt der Blick auf die Data Location Card, sie unterscheidet zwischen der aktuellen Current Geography und der zugesicherten Committed Geography.
Tenant prüfen
Ist der Tenant betroffen? Ist die Einstellung vorhanden, und steht sie auf On oder Off? Welche Committed Geography wird angezeigt?
Datenschutzvorgaben prüfen
Nicht nur „wo liegt die Datei“, sondern auch: Welche Datenresidenz wurde Kunden, Mitarbeitern oder Geschäftspartnern zugesichert?
Dienste klassifizieren
Nicht jede Microsoft-365-Komponente fällt unter dieselbe Zusage, besonders bei Copilot, Entra ID, Sicherheitsprodukten und Drittanbieter-Integrationen lohnt ein eigener Blick.
Bei strengeren Compliance-Anforderungen prüfen, ob die vorhandene Konfiguration tatsächlich ausreicht, und die Entscheidung vor dem 14. Dezember treffen, nicht erst danach, wegen der rund sechsmonatigen Rückmigration.
RICHTIGSTELLUNG
Was Microsoft damit nicht sagt
Microsoft sagt nicht: „Ab Dezember liegen deutsche Microsoft-365-Daten irgendwo in den USA.“ Die neue Option verschiebt die Datenresidenz von Deutschland auf die EU-Datengrenze, nicht in die USA.
Microsoft sagt auch nicht: „Ab Dezember sind deutsche Microsoft-365-Daten nicht mehr DSGVO-konform.“ Dafür gibt es keine Grundlage.
Ebenso falsch wäre die Annahme: „Die Daten sind garantiert ausschließlich in Deutschland und werden niemals außerhalb Deutschlands verarbeitet.“ Auch das lässt sich aus der Einstellung nicht ableiten, unabhängig von On oder Off.
FAZIT
Eine Konfigurationsfrage, keine Panikmeldung
Wer einen deutschen Microsoft-365-Tenant betreibt und Wert darauf legt, dass die betroffenen Core-Service-Daten weiterhin der deutschen Geografie zugeordnet bleiben, sollte die neue Einstellung im Admincenter vor dem 14. Dezember 2026 prüfen. Wer nichts ändert, bekommt bei einem betroffenen Tenant künftig eine regionale Speicherung innerhalb der EU-Datengrenze, mehr Flexibilität für Microsoft, aber Deutschland ist dann nicht mehr als konkrete Datenresidenz zugesichert.
Deutschland ≠ EU-Datengrenze ≠ ausschließliche Verarbeitung in Deutschland. Für Datenschutz und Compliance entscheidend ist deshalb nicht nur, wo Microsoft die Daten speichert, sondern auch, welche Dienste betroffen sind, welche Verarbeitung stattfindet und welche vertraglichen Zusagen für den konkreten Tenant gelten, unabhängig davon, dass eine DSGVO-Pflicht zu „nur Deutschland“ nie bestanden hat.
FAQ
Häufige Fragen zum Datenstandort
QUELLEN
Quellen und Links
- Microsoft Learn: Data residency in Microsoft 365 (Committed Geography, Data Location Card)
- Microsoft Learn: EU Data Boundary Übersicht und Ausnahmen
- Microsoft Message Center: MC1470878 (Store Microsoft 365 customer data in-country)
- Microsoft: Product Terms und Data Protection Addendum (DPA)
Microsoft 365 datenschutzkonform betreiben?
Ob Tenant-Prüfung, Datenschutz oder IT-Infrastruktur: Nutzen Sie unsere IT-Leistungen.
