Microsoft 365 und der CLOUD Act: Wo liegen Ihre Firmendaten wirklich?

„Unsere Daten liegen doch in Europa.“ Diesen Satz hören wir oft, wenn Unternehmen über Microsoft 365, OneDrive oder Copilot sprechen. Meist stimmt er sogar – und hilft trotzdem weniger, als man glaubt. Entscheidend ist nämlich nicht nur, wo der Server steht, sondern wem er gehört.

In diesem Beitrag erklären wir verständlich und ohne Panikmache, was hinter dem CLOUD Act steckt, worin sich ein Privat-Abo von einem Firmen-Abo unterscheidet und wo Ihre Daten liegen, wenn Sie mit 1Tool arbeiten.

Patriot Act, CLOUD Act, FISA – was gilt eigentlich?

Viele denken beim Thema US-Zugriff noch an den Patriot Act von 2001. Wichtiger sind heute zwei andere Gesetze:

• CLOUD Act (2018): US-Unternehmen müssen Daten auf Anordnung von US-Behörden herausgeben – unabhängig davon, in welchem Land das Rechenzentrum steht. Ein Server in Frankfurt, Wien oder Zürich ändert daran nichts, solange der Anbieter ein US-Konzern ist.
• FISA Section 702: erlaubt US-Geheimdiensten die Überwachung von Nicht-US-Bürgern bei US-Kommunikations- und Cloud-Anbietern. Genau diese Regelung war der Grund, warum der Europäische Gerichtshof zwei frühere Datenabkommen zwischen der EU und den USA gekippt hat („Safe Harbor“ 2015 und „Privacy Shield“ 2020).

Microsoft selbst hat das 2025 vor dem französischen Senat offen eingeräumt: Auf die Frage, ob das Unternehmen garantieren könne, dass Daten französischer Kunden nie ohne Zustimmung an US-Behörden gehen, lautete die Antwort sinngemäß: Nein, das kann es nicht garantieren. Microsoft prüft solche Anfragen und wehrt sich nach eigenen Angaben, wo es geht – die rechtliche Pflicht bleibt aber bestehen.

„Aber es gibt doch das Datenschutzabkommen?“

Ja. Seit 2023 gilt das EU-US Data Privacy Framework, seit 2024 auch das Schweizer Gegenstück. Microsoft ist dort zertifiziert. Damit ist die Übermittlung von Daten in die USA rechtlich zulässig.

Zwei Dinge sollten Sie dazu wissen:

1. Das Abkommen regelt, ob Daten übermittelt werden dürfen – es verhindert nicht, dass US-Behörden darauf zugreifen können.
2. Es ist das dritte Abkommen dieser Art. Die beiden Vorgänger hat der Europäische Gerichtshof aufgehoben. Ob das aktuelle hält, hängt auch von der politischen Lage in den USA ab.

Privat-Abo oder Firmen-Abo: ein großer Unterschied

Ein häufiger Fall in kleineren Betrieben: Firmendokumente landen im OneDrive eines privaten Microsoft-Kontos – etwa mit Microsoft 365 Personal, Family oder Premium. Das ist bequem, aber für Firmendaten der falsche Ort:

• Keine Zusage zum Speicherort. Die „EU Data Boundary“ und die Datenhaltung in der Schweiz gelten bei Microsoft nur für Business- und Enterprise-Verträge. Bei Privat-Abos können Daten auch in den USA gespeichert oder verarbeitet werden.
• Keine Auftragsverarbeitung im Sinne der DSGVO. Speichern Sie Kundendaten in einem privaten Konto, fehlt Ihnen die vertragliche Grundlage, die Sie als Unternehmen gegenüber Ihren Kunden brauchen.
• KI-Funktionen. Was Sie in Copilot eingeben, kann außerhalb Europas verarbeitet werden. Vertrauliche Angebote, Personaldaten oder Gesundheitsdaten gehören dort nicht hinein.
• Der Aufenthaltsort spielt keine Rolle. Ob Sie von Graz, München oder Zürich aus arbeiten, ändert nichts – maßgeblich ist, wo das Konto geführt wird.

Auch mit einem Business-Vertrag und europäischem Datenstandort bleibt der CLOUD Act bestehen. Der Business-Vertrag verbessert die Lage deutlich, löst die Grundfrage aber nicht.

Wo liegen Ihre Daten in 1Tool?

1Tool wird von der Körbler GmbH in Österreich entwickelt und betrieben. Ihre Kundendaten, Angebote, Rechnungen, Projekte und Dokumente liegen auf unseren Servern in einem Rechenzentrum in Wels (Oberösterreich). Betreiber ist ITandTEL, ein Unternehmen der österreichischen eww-Gruppe.

• Österreichischer Betreiber, österreichisches Recht – kein US-Konzern, der zur Herausgabe verpflichtet werden kann
• ISO/IEC 27001 zertifizierter Betrieb beim Rechenzentrumsbetreiber
• 100 % Ökostrom, zu einem großen Teil aus Wasserkraft aus der Region
• Redundante Stromversorgung mit zwei USV-Anlagen und Notstromaggregat
• Datenschutz nach DSGVO – Details zur Auftragsverarbeitung besprechen wir gerne persönlich mit Ihnen

Ehrlich gesagt: wo es Ausnahmen gibt

Wir möchten Ihnen nichts versprechen, was nicht stimmt. Es gibt Funktionen, bei denen Daten bewusst einen anderen Anbieter erreichen – und zwar nur, wenn Sie sie selbst einschalten:

• Microsoft-365-Postfach verbinden: Wenn Sie Ihr Outlook-Postfach an 1Tool anbinden, gehen E-Mails natürlich über Microsoft – genau so, als würden Sie sie direkt in Outlook schreiben. So funktioniert die Anbindung.
• KI-Funktionen: Die KI in 1Tool läuft mit dem eigenen Schlüssel Ihres Unternehmens bei einem KI-Anbieter. Ohne diesen Schlüssel ist die KI ausgeschaltet und es verlässt nichts das Rechenzentrum.

Sie entscheiden also selbst, welche Daten wohin gehen – der Normalfall ist: Ihre Daten bleiben in Österreich.

Und die Office-Dokumente?

Wer Microsoft hauptsächlich für Word, Excel und PowerPoint nutzt, kann in 1Tool direkt mit EuroOffice arbeiten: Dokumente öffnen, bearbeiten und gemeinsam nutzen – ohne Microsoft-Lizenz und ohne dass die Dateien die 1Tool-Server verlassen. Mehr zur EuroOffice-Integration.

Checkliste: Wie gut sind Ihre Firmendaten geschützt?

✅ Liegen Kundendaten nur in Firmenkonten – nicht in privaten Cloud-Abos?

✅ Haben Sie mit jedem Cloud-Anbieter einen Auftragsverarbeitungsvertrag?

✅ Wissen Sie, in welchem Land der Anbieter seinen Firmensitz hat – nicht nur sein Rechenzentrum?

✅ Ist geregelt, welche Daten in KI-Werkzeuge eingegeben werden dürfen?

✅ Sind besonders sensible Dateien zusätzlich verschlüsselt, bevor sie in eine US-Cloud gehen?

Wenn Sie bei einem Punkt zögern, lohnt sich ein genauerer Blick.

Fazit

Ein europäisches Rechenzentrum ist gut, ein europäischer Anbieter ist besser. Für private Fotos und Dokumente ist Microsoft 365 eine solide Wahl. Für Kundendaten, Angebote und Rechnungen Ihres Unternehmens sollten Sie wissen, wer am Ende darauf zugreifen kann.

Mit 1Tool liegen Ihre Geschäftsdaten bei einem österreichischen Anbieter in einem österreichischen Rechenzentrum – und Sie haben CRM, Angebote, Rechnungen, Projekte, Tickets und Dokumente in einer Lösung.

👉 Sie möchten sehen, wie das in Ihrem Unternehmen aussieht? Jetzt Demo-Termin vereinbaren.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung.

Weitere Beiträge:

Microsoft 365 in 1Tool: Postfach verbinden – mit Anleitung für Ihre IT1Tool ersetzt Microsoft OfficeVibe Coding mit 1Tool: die Plattform unter Ihrer KI-App