Ein Technologiekonzern tauscht selten die komplette Führung einer Landesgesellschaft aus. Bei Microsoft ist genau das passiert. Und der Grund geht jeden an, der Daten in der Cloud speichert.

Alon Haimovich, vier Jahre lang Chef von Microsoft Israel, hat das Unternehmen verlassen. Vorausgegangen war eine konzerninterne Untersuchung. Ihr Ergebnis: Es wurde gegen die eigenen Ethikregeln verstoßen. Es ging um die Frage, wie eine Einheit des israelischen Verteidigungsministeriums den Cloud-Dienst Azure nutzte.

Die Mengen sind gewaltig. Bis Juli 2025 soll der Datenbestand rund 11.500 Terabyte umfasst haben, das entspricht etwa 200 Millionen Stunden Tonaufnahmen. Microsoft prüfte die Vorwürfe und schaltete im September 2025 betroffene Dienste ab. Konzernpräsident Brad Smith erklärte, die Prüfung habe Teile der Berichterstattung bestätigt.

Damit geriet der Konzern selbst in den Geltungsbereich der europäischen Datenschutz-Grundverordnung. Aus einem politischen Reizthema wurde so ein konkretes rechtliches Risiko, und das, obwohl es gar nicht um Daten von EU-Bürgern ging.

Hinzu kam: Die Nutzung verstieß nach Microsofts eigener Prüfung gegen die Geschäftsbedingungen des Konzerns. Zudem hatte die israelische Tochter die Zentrale darüber offenbar nicht offen informiert. Dieser Vertrauensbruch erklärt, warum der Fall auch personelle Konsequenzen hatte.

Entscheidend ist nur, wo die Daten verarbeitet werden. Liegen sie auf europäischen Servern, schützt sie europäisches Recht. Liegen Ihre Daten dagegen in den USA, gilt dort US-Recht.

Und das ist für Sie ungünstig. Die USA haben kein umfassendes Datenschutzgesetz nach europäischem Vorbild. Was es an Schutz gibt, richtet sich vor allem an US-Bürger. Aus US-Sicht ist ein Deutscher ein Ausländer. Zugleich haben US-Sicherheitsbehörden weitreichende Zugriffsrechte auf Daten im Land.

Ein US-Gesetz namens CLOUD Act kann amerikanische Unternehmen verpflichten, Daten an US-Behörden herauszugeben. Auch dann, wenn die Server außerhalb der USA stehen.

Ob ein solches Verlangen wirklich durchsetzbar ist, ist rechtlich umstritten. Die Datenschutz-Grundverordnung erlaubt die Herausgabe an ausländische Behörden nur sehr eingeschränkt. Solche Konflikte werden im Einzelfall vor Gericht geklärt. Sicher ist nur: Bei einem US-Betreiber bleibt ein Rest an Rechtsunsicherheit, selbst wenn die Server in Europa stehen.

Die deutsche Datenschutzkonferenz, das gemeinsame Gremium der Datenschutzbehörden von Bund und Ländern, kommt zu einem klaren Schluss. Das weit verbreitete Office-Paket Microsoft 365 lässt sich ohne zusätzliche Schutzmaßnahmen nicht datenschutzkonform nutzen. Auch nicht an Schulen und in Behörden.

Lehrreich ist auch der US-Anbieter 23andMe. Das Gentest-Unternehmen meldete im März 2025 Insolvenz an. Die genetischen Daten von mehr als 15 Millionen Kunden durften laut den Geschäftsbedingungen wie jeder andere Firmenwert verwertet werden. Wer Daten einem Cloud-Dienst anvertraut, gibt ein Stück Kontrolle ab.

Hinzu kommt: Die Rechtsgrundlage für den Datentransfer in die USA ist nicht stabil. Zweimal hat der Europäische Gerichtshof entsprechende Abkommen gekippt. Das aktuelle Nachfolgeabkommen überstand 2025 eine erste gerichtliche Prüfung, wird aber bereits wieder angegriffen.

Der Fall Microsoft mag weit weg wirken. Sein Kern betrifft aber jeden, der Fotos, E-Mails, Gesundheitsdaten oder Firmenunterlagen auslagert. Daten kennen kein Heimatland. Über ihren Schutz entscheidet, wo sie liegen und wer sie verwaltet.