Microsoft-365-Datenstandort: die Einstellung bis 14. Dezember und was sie nicht regelt

Montagmorgen im Microsoft 365 Admin Center: Unter Organisationseinstellungen, im Organisationsprofil, steht seit dem 14. September 2026 eine neue Einstellung. Ein Schalter, An oder Aus. Er entscheidet, ob Exchange-Postfächer, Teams-Chats und SharePoint-Dateien weiter in Deutschland liegen oder ob Microsoft sie künftig irgendwo innerhalb der EU speichert.

Bis zum 14. Dezember 2026 lässt sich der Schalter setzen. Danach zählt, was bis dahin eingestellt wurde. Wer ihn übersieht, hat trotzdem entschieden, nur ohne es zu wissen und ohne es später einem Prüfer erklären zu können. Den Admin-Pfad unten haben Sie schnell abgearbeitet. Länger dauert die Frage, was Sie mit dem Schalter eigentlich entscheiden und was nicht.

Was die Einstellung zum Microsoft-365-Datenstandort regelt und wer sie sieht

Die Einstellung schaltet genau eine Zusage aus den Microsoft Product Terms an oder ab: wo ruhende, also gespeicherte Daten der Microsoft 365 Core Services liegen. Dazu zählen Exchange Online, SharePoint, OneDrive for Business, Microsoft Teams sowie Microsoft 365 Copilot und Copilot Chat. Der Schalter bestimmt nur, wo diese Daten gespeichert sind; wie Microsoft sie verarbeitet, bleibt davon unberührt.

Steht er auf An, speichert Microsoft die Daten im Ruhezustand in der vertraglich zugesagten Geografie, für deutsche Tenants also in Deutschland. Als Rechenzentrumsstandorte nennt Microsoft dafür Berlin und Frankfurt, genaue Adressen aus Sicherheitsgründen nicht. Steht der Schalter auf Aus, darf Microsoft dieselben Daten regional innerhalb der EU Data Boundary speichern, also irgendwo in der EU oder EFTA (Microsoft Learn, Stand 14.09.2026).

Den Schalter sehen nur berechtigte kommerzielle Tenants mit Standardregion Frankreich, Deutschland, Norwegen, Schweden oder Schweiz. Tenants mit Advanced Data Residency (ADR), der Education-Variante ADR-E oder Multi-Geo sehen ihn gar nicht, weil ihr Datenstandort bereits über das jeweilige Angebot geregelt ist. Tenants, die zwar über die Product Terms qualifiziert wären, aber nie am inzwischen eingestellten Legacy Move Program teilgenommen haben, sind laut Microsoft „möglicherweise nicht berechtigt“.

Neue Tenants, die nach dem 14. September 2026 entstanden sind, stehen standardmäßig auf Aus. Für ältere verweist Microsoft auf die Nachricht im Message Center des jeweiligen Tenants. Ob dort pauschal „Aus“ gilt, geht aus der offiziellen Dokumentation nicht hervor.

In Leserkommentaren bei Borncity berichten Admins zudem von ausgegrauten Schaltern trotz Global-Admin-Rolle. Das passt zur Einschränkung beim Legacy Move Program. Was bei Ihnen gilt, sehen Sie deshalb nur im eigenen Tenant, und dafür müssen Sie zuerst wissen, welche Standardregion er hat.

Der Admin-Pfad in fünf Schritten

Im Message Center führt Microsoft die Einstellung unter der Kennung MC1470878. In der maschinell übersetzten Microsoft-Learn-Dokumentation heißt sie „Microsoft 365-Kundendaten inländisch speichern“; ob das Admin Center denselben Wortlaut zeigt, bestätigt Microsoft nicht. Die Menüfolge bleibt gleich, nur die Beschriftung erscheint je nach Oberfläche auf Englisch oder in maschinell übersetztem Deutsch:

Microsoft empfiehlt allen globalen Administratoren, die Einstellung zu prüfen. Eine Pflichtrolle, einen Weg über PowerShell oder Microsoft Graph und einen Audit-Log-Eintrag für die Änderung beschreibt die Dokumentation nicht. Dass ausschließlich globale Administratoren schalten dürfen, schreibt h5m.de, nicht Microsoft. Wer die Einstellung wann geprüft hat, halten Sie also selbst fest.

Was am 14. Dezember passiert

Seit dem 14. September 2026 können Sie die Einstellung prüfen, ohne dass sich am heutigen Speicherort etwas ändert. Am 14. Dezember 2026 wird wirksam, was dann eingestellt ist, egal ob es jemand bewusst gewählt oder den Schalter nie angefasst hat. Bleibt er aus, kann Microsoft danach beginnen, betroffene Daten regional innerhalb der EU Data Boundary zu speichern und zu verschieben. Dass am Stichtag alle Daten umziehen, bedeutet das laut Microsoft ausdrücklich nicht.

Umentscheiden können Sie sich auch später. Schalten Sie wieder auf An, sagt Microsoft den Speicherort in Deutschland erneut zu und holt die Daten zurück. Das kann rund sechs Monate dauern. Aus ist also die Wahl, die sich schwerer zurücknehmen lässt.

Zwei Dinge lässt Microsoft in der öffentlichen Dokumentation offen: ob ein solcher Umzug den Betrieb stört und warum die Einstellung überhaupt kommt. Für vergleichbare ADR-Migrationen nennt Microsoft „geringfügige Störungen oder vorübergehende Nichtverfügbarkeit einzelner Dienste“ als möglich. Als Zweck der Änderung nennt heise eine bessere Lastverteilung, ohne Microsoft wörtlich zu zitieren.

Für die Einstellung selbst nennt Microsoft weder Kosten noch eine bestimmte Lizenzvoraussetzung. Es kommt nur darauf an, ob Ihr Tenant berechtigt ist. Sehen Sie den Schalter nicht und wollen die Daten trotzdem in Deutschland halten, bleibt nur das kostenpflichtige Add-on Advanced Data Residency (ADR). Es muss 100 % der gekauften berechtigten Lizenzen abdecken.

An oder Aus: für wen?

Drei Dinge entscheiden: wie streng Ihre Branche reguliert ist, wie empfindlich die Daten sind und wie wichtig Ihnen ein Speicherort ist, den Sie einem Prüfer direkt belegen können. Die Tabelle zeigt die Tendenz für typische Konstellationen, ersetzt aber keine Einzelfallprüfung.

Verlangt Ihre Branche Nachweise, schreiben Sie die Begründung so auf, dass sie in einem Jahr noch jemand versteht, der heute nicht dabei war. Haben Sie bereits ADR oder Multi-Geo lizenziert, betrifft Sie die Einstellung nicht, weil der Datenstandort dort schon vertraglich geregelt ist.

Was die Einstellung nicht regelt

An der Zusage zur EU Data Boundary ändert die Einstellung nichts. Auch bei Aus bleibt die Speicherung grundsätzlich auf die EU und die EFTA-Staaten begrenzt. Microsoft dokumentiert allerdings mehrere Ausnahmen: Support- und Betriebszugriffe durch Microsoft-Personal außerhalb der EU Data Boundary, bestimmte Supportfall-Daten, der globale Sicherheitsbetrieb, die Replikation von Verzeichnisdaten, der Netzwerk-Transit, nutzerinitiierte Übermittlungen sowie die KI-Inferenz einschließlich Flex Routing.

Support-Zugriff heißt: Mitarbeitende außerhalb der EU Data Boundary dürfen bei Bedarf per Fernzugriff auf Daten zugreifen, die dort gespeichert sind. Microsoft wertet das als Übermittlung, die Daten selbst bleiben aber in der Infrastruktur.

Bei Copilot erfasst die Einstellung nur die gespeicherten Interaktionen mit Microsoft 365 Copilot und Copilot Chat, nicht die Inferenz, also die Verarbeitung der Anfrage selbst. Eine im November 2025 angekündigte länderspezifische Verarbeitung für Deutschland hat Microsoft am 3. April 2026 durch eine EU/EFTA-regionale Verarbeitung ersetzt.

Zusätzlich kann „Flex Routing“ die Inferenz bei Lastspitzen zeitweise in die USA, nach Kanada oder Australien verlagern. Für Tenants, die nach dem 25. März 2026 entstanden sind, ist diese Option standardmäßig aktiv. Wer intern sagt, die Copilot-Daten blieben in Deutschland, hat also höchstens für die Ablage recht.

Auch die DSGVO-Frage beantwortet der Schalter nicht, und eine einheitliche Antwort der Aufsichtsbehörden gibt es nicht. Die Datenschutzkonferenz stellte 2022 fest, ein konformer Betrieb sei auf Basis des damaligen Nachtrags nicht nachgewiesen. Der hessische Datenschutzbeauftragte kam im November 2025 dagegen zu dem Ergebnis, Microsoft 365 „kann in Hessen datenschutzkonform genutzt werden“, bei einzelfallbezogener Prüfung durch die Verantwortlichen.

Ebenso wenig klärt der Schalter den Zugriff von US-Behörden. Vor dem französischen Senat wurde Anton Carniaux von Microsoft France 2025 gefragt, ob Microsoft ausschließen könne, dass Daten französischer Bürger ohne Zustimmung französischer Behörden auf US-Anordnung übermittelt würden. Er antwortete: „Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit.“ (Nein, das kann ich nicht garantieren, aber, noch einmal, das ist bislang nie vorgekommen.)

Wie Sie die Datenresidenz über diese eine Einstellung hinaus belegen, gehört zum größeren Thema digitale Souveränität.

Die Entscheidung fürs Betriebshandbuch dokumentieren

Ein Prüfer fragt nach dem Speicherort und danach, wer ihn wann festgelegt hat und warum. Dafür reicht eine Zeile im Betriebshandbuch, wenn sie vier Angaben enthält: Datum der Prüfung, gewählter Wert, Name der verantwortlichen Person und die Begründung in einem Satz.

Muster fürs Betriebshandbuch: „29.09.2026, Datenstandort-Einstellung geprüft und auf An belassen, verantwortlich [Name/Rolle], Begründung: laut eigener Schutzbedarfsfeststellung ist ein dokumentierter Speicherort in Deutschland erforderlich.“

Halten Sie die Entscheidung so im Betriebshandbuch fest, haben Sie damit schon einen der Nachweise, auf die es in der späteren Audit-Vorbereitung ankommt.

Fazit: Diese Frist sollte niemand Microsoft überlassen

Wer bis zum 14. Dezember 2026 nichts tut, überlässt Microsoft die Wahl und hat für den nächsten Prüfer keine Begründung parat. Wer danach auf An zurückwechselt, muss mit rund einem halben Jahr rechnen, bis die Daten wieder in Deutschland liegen.

Gleichzeitig regelt der Schalter weniger, als die Schlagzeilen der vergangenen Woche nahelegen. Die EU Data Boundary bleibt bestehen, Support-Zugriffe und KI-Inferenz folgen eigenen Regeln, und die DSGVO-Frage ist damit nicht beantwortet. Wer den Schalter bewusst setzt und die Begründung in eine Zeile schreibt, hat mehr in der Hand als jede Erklärung, die er dem Prüfer später nachreicht.

Öffnen Sie diese Woche die Datenspeicherortkarte Ihres Tenants und schauen Sie nach: Steht der Schalter auf An oder Aus, und sehen Sie ihn überhaupt? Das dauert wenige Minuten und sagt Ihnen, ob Sie bis Dezember etwas zu entscheiden haben.

Bleibt danach offen, ob Ihr Tenant Deutschland als Standardregion führt oder ob eine ältere Migration die Berechtigung ausschließt, klären wir das in einem kostenlosen Erstgespräch. In 15 Minuten besprechen wir, welche Einstellung zu Ihrer Lage passt und welche Zeile ins Betriebshandbuch gehört. Zugriff auf Ihren Tenant brauchen wir dafür nicht, und ein Angebot gibt es nur, wenn Sie eines wollen. Hat Ihr Tenant ADR oder Multi-Geo, sparen Sie sich den Termin: Dort ist die Entscheidung schon vertraglich gefallen.