Mit Inkrafttreten des revidierten Datenschutzgesetzes (nDSG) am 1. September 2023 sind Schweizer Unternehmen verpflichtet, ihre Datenverarbeitung dokumentiert und transparent zu gestalten. Microsoft 365 ist ohne Frage nDSG-konform betreibbar – aber nur, wenn Datenresidenz, Verträge und Konfiguration stimmen. Dieser Leitfaden zeigt, wie es geht.
Microsoft Schweizer Datacenter
Microsoft betreibt seit 2019 Schweizer Cloud-Regionen:
- Switzerland North (Zürich) – primär
- Switzerland West (Genf) – sekundär / Disaster Recovery
Diese Regionen werden für Microsoft 365 Multi-Geo, Azure-Dienste und seit 2023 auch für Microsoft Defender, Purview und weitere Dienste genutzt.
Welche Microsoft 365 Daten bleiben in der Schweiz?
Mit aktivierter Microsoft 365 Multi-Geo Capability können Schweizer Tenants folgende Kerndaten in Schweizer Datacentern halten:
| Dienst | Schweizer Datenresidenz möglich? |
|---|---|
| Exchange Online (Postfächer) | ✅ Ja |
| SharePoint Online (Site-Inhalte) | ✅ Ja |
| OneDrive for Business | ✅ Ja |
| Teams Files | ✅ Ja (gespeichert in SharePoint/OneDrive) |
| Teams Chat-Nachrichten | ✅ Ja (Substrate) |
| Teams Meetings (Aufzeichnungen) | ✅ Ja (OneDrive/SharePoint) |
| Microsoft 365 Copilot Indexing | ⚠️ Teilweise – Metadaten weltweit |
| Microsoft Defender Logs | ⚠️ EU Data Boundary, nicht CH |
| Microsoft Purview Audit Logs | ⚠️ EU Data Boundary |
Für Datenklassen, die nur EU-residenz haben, greift die EU Data Boundary (seit 2023): Daten und Logs werden ausschliesslich in EU/EFTA-Datacentern verarbeitet – inklusive Support-Zugriffen.
Microsoft 365 Multi-Geo aktivieren
Multi-Geo erlaubt es einem Tenant, Daten in mehreren geografischen Regionen gleichzeitig zu speichern – inkl. der Schweiz. Voraussetzungen:
- Mindestens 5'000 Microsoft 365 Multi-Geo Capability Lizenzen (CHF ~2.40 / Nutzer / Monat zusätzlich)
- Tenant Default Region kann auf Switzerland gesetzt werden
- Pro Nutzer kann eine Preferred Data Location (PDL) konfiguriert werden
Für KMU unter 5'000 Nutzern: Tenant default = Switzerland reicht meist (kein Multi-Geo nötig). Bestehende Tenants können nach Schweiz migriert werden – ein klassisches CNEXT-Projekt.
Datenverarbeitungsvertrag (DPA)
Der Microsoft Data Protection Addendum (DPA) ist Teil der Microsoft Online Services Terms. Schweizer Unternehmen müssen sicherstellen:
- Aktuelle DPA-Version (mindestens 2024) ist Teil ihrer Microsoft-Verträge
- Standardvertragsklauseln (SCC) und Schweizer Anhang sind unterzeichnet
- Subunternehmer-Liste von Microsoft ist dokumentiert (für nDSG Art. 9)
Sensitivity Labels und DLP
Datenresidenz allein reicht nicht. Schweizer Unternehmen brauchen ein Klassifizierungs- und Schutzkonzept:
- Sensitivity Labels (Microsoft Purview Information Protection): mindestens 3 Stufen
- DLP-Regeln für Personendaten (AHV-Nummern, Kreditkartendaten), Geschäftsgeheimnisse, Vertragsdaten
- Auto-Labelling für sensitive Inhalte
- Encryption (z. B. Double Key Encryption für höchste Vertraulichkeit)
Verzeichnis der Bearbeitungstätigkeiten (Art. 12 nDSG)
Schweizer Unternehmen ab 250 Mitarbeitenden (oder mit hohem Risiko) müssen ein Verzeichnis der Bearbeitungstätigkeiten führen. CNEXT liefert eine Microsoft-365-spezifische Vorlage mit:
- Liste aller M365-Dienste
- Datenkategorien und Empfänger
- Datenresidenz und Aufbewahrungsdauer
- Subunternehmer (Microsoft + ggf. Reseller)
- TOM (Technische und organisatorische Massnahmen)
EDÖB-Audit Vorbereitung
Im Falle eines Audits durch den EDÖB sollten folgende Dokumente bereit liegen:
- 1Verzeichnis der Bearbeitungstätigkeiten
- 2Microsoft DPA mit Schweizer Anhang
- 3Sensitivity-Labels-Konzept und Implementierungsnachweis
- 4Datenresidenz-Konfiguration (Tenant-Setting Screenshots)
- 5Adoption-Nachweise (Schulungen, Information Mitarbeitende)
Fazit
Microsoft 365 ist 2026 vollständig nDSG-konform betreibbar. Voraussetzung sind Schweizer Datenresidenz (oder EU Data Boundary), aktueller DPA, Sensitivity Labels, DLP und ein dokumentiertes Verarbeitungsverzeichnis. CNEXT begleitet Schweizer Unternehmen bei der gesamten Konfiguration – von der Lizenzanalyse bis zum EDÖB-Audit.