Microsoft Teams ist in vielen Unternehmen zur zentralen Arbeitsoberfläche geworden: Chat, Videokonferenz, Dateien und Projektabstimmung finden an einem Ort statt. Genau deshalb darf der Datenschutz nicht bei der Entscheidung für Microsoft Teams enden. Dieser Datenschutz-Leitfaden für Microsoft Teams zeigt, welche Einstellungen, Regeln und Verantwortlichkeiten kleine und mittlere Unternehmen benötigen, um Teams im Alltag kontrolliert und DSGVO-gerecht zu nutzen.
Die häufigste Ausgangslage ist nicht ein einzelner schwerer Konfigurationsfehler. Problematisch wird es meist schleichend: ehemalige Mitarbeiter behalten Zugänge, externe Gäste sehen mehr als nötig, Besprechungen werden ohne klare Regeln aufgezeichnet oder vertrauliche Dateien landen in Teams ohne nachvollziehbare Berechtigungen. Das lässt sich mit einer strukturierten Einrichtung und laufenden Betreuung deutlich reduzieren.
Microsoft Teams und Datenschutz: Wo die Daten tatsächlich liegen
Teams ist keine isolierte Anwendung. Je nach Funktion verarbeitet Microsoft 365 Daten in mehreren Diensten: Chats und Kanalnachrichten, Dateien in SharePoint und OneDrive, Besprechungsdaten, Aufzeichnungen, Transkripte, Aufgaben und Kalenderinformationen. Wer nur auf die Teams-Oberfläche schaut, übersieht daher wichtige Einstellungen in Microsoft 365, Entra ID, SharePoint und im Sicherheitsportal.
Für die DSGVO ist entscheidend, welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck und wer Zugriff darauf hat. Das betrifft nicht nur Kunden-, Patienten- oder Bewerberdaten. Bereits Namen, E-Mail-Adressen, Anwesenheitsinformationen, Gesprächsinhalte und Profilbilder sind personenbezogene Daten.
Microsoft stellt für Geschäftskunden vertragliche Grundlagen zur Auftragsverarbeitung bereit. Unternehmen müssen dennoch prüfen, ob der gewählte Microsoft-365-Tarif, der abgeschlossene Vertrag und die eigenen Prozesse zur Verarbeitung passen. Ein Auftragsverarbeitungsvertrag ersetzt keine saubere Konfiguration. Auch eine Einstellung des Datenstandorts in der EU entbindet nicht von der Pflicht, Zugriffe zu begrenzen, Löschregeln festzulegen und Mitarbeiter zu unterweisen.
Zuständigkeiten vor Einstellungen klären
Datenschutz in Teams ist keine Aufgabe, die einmalig im Admin-Portal erledigt wird. Geschäftsführung, Fachbereiche, Datenschutzbeauftragte und IT müssen für ihre jeweiligen Themen klare Verantwortlichkeiten haben. Die Geschäftsführung legt die Grundregeln und das akzeptable Risiko fest. Fachbereiche beurteilen, welche Daten in welchen Projekträumen benötigt werden. Die IT setzt technische Vorgaben um, dokumentiert sie und kontrolliert ihre Wirkung.
In kleineren Unternehmen ist diese Aufteilung oft nicht formal beschrieben. Das ist verständlich, führt aber zu unnötigen Lücken. Wenn niemand für externe Freigaben zuständig ist, werden sie entweder zu offen eingerichtet oder jedes Mal improvisiert. Wenn keine Person die Team-Lebenszyklen überprüft, sammeln sich alte Projektbereiche und Berechtigungen über Jahre an.
Sinnvoll ist ein verbindlicher Standard für neue Teams: Wer darf ein Team beantragen? Wer wird Eigentümer? Für welchen Zweck wird es angelegt? Sind Gäste vorgesehen? Und wann wird das Team geprüft, archiviert oder gelöscht? Zwei verantwortliche Eigentümer pro Team sind in der Praxis deutlich belastbarer als ein einzelner Ansprechpartner.
Zugriffe nach dem Prinzip der geringsten Rechte steuern
Der beste Schutz vertraulicher Informationen ist, dass Unberechtigte sie gar nicht sehen können. In Teams bedeutet das: Mitgliedschaften bewusst vergeben, Eigentümerrechte sparsam einsetzen und Gastzugriffe nicht pauschal freischalten.
Mitarbeiter sollten nur die Teams und Kanäle sehen, die sie für ihre Aufgabe benötigen. Besonders sensible Inhalte – etwa Personalthemen, Geschäftsführung, Mandatsakten, Patientenverwaltung oder Vertragsverhandlungen – gehören nicht in allgemein zugängliche Standardkanäle. Je nach Anforderung sind getrennte Teams oder private beziehungsweise freigegebene Kanäle die bessere Lösung. Welche Variante passt, hängt von der Zusammenarbeit und den erforderlichen Schutzmaßnahmen ab.
Externe Zusammenarbeit kann wirtschaftlich notwendig sein, etwa mit Kunden, Steuerberatern, Agenturen oder Lieferanten. Sie sollte aber auf einen definierten Prozess folgen. Gäste erhalten einen namentlichen Zugang, keine gemeinsam genutzten Konten. Die Freigabe wird einem konkreten Projekt zugeordnet und nach dessen Ende überprüft. Eine pauschale Freigabe für beliebige externe Domains ist selten sinnvoll.
Technisch gehören Mehrfaktor-Authentifizierung und risikobasierte Zugriffsregeln zur Mindestabsicherung. Damit wird nicht nur Teams geschützt, sondern der gesamte Microsoft-365-Zugang. Zusätzliche Regeln können etwa verhindern, dass vertrauliche Daten auf nicht verwalteten Privatgeräten heruntergeladen werden. Das ist ein sinnvoller Schutz, kann aber die mobile Arbeit einschränken. Deshalb sollten Vorgaben zur Geräteverwaltung und zu privaten Endgeräten klar kommuniziert sein.
Dateien, Chats und Besprechungen richtig behandeln
Eine Teams-Nachricht wirkt oft flüchtig, kann aber geschäftsrelevant und datenschutzrechtlich sensibel sein. Mitarbeiter brauchen klare Leitplanken: Keine Passwörter im Chat, keine Gesundheitsdaten oder Personalinformationen in offenen Gruppen und keine vertraulichen Dokumente in ungeeigneten Kanälen. Für besonders schutzwürdige Inhalte reichen allgemeine Verhaltensregeln allein nicht aus. Hier braucht es abgestimmte Fachverfahren und gegebenenfalls zusätzliche Schutzmaßnahmen.
Dateien in einem Team liegen in der Regel in der zugehörigen SharePoint-Umgebung. Das ist praktisch, weil gemeinsam gearbeitet werden kann. Es bedeutet aber auch: Die Berechtigungen des Teams beeinflussen den Zugriff auf Dateien. Einzelne, spontan erzeugte Freigabelinks sind schwerer zu kontrollieren als sauber gepflegte Gruppenmitgliedschaften. Unternehmen sollten daher festlegen, ob Links nur für bestimmte Personen, für die Organisation oder auch für externe Empfänger zulässig sind.
Besondere Aufmerksamkeit verdienen Besprechungsaufzeichnungen und Transkriptionen. Sie können Gesprächsinhalte, Stimmen, Bilder, Teilnehmerlisten und unter Umständen sensible Informationen enthalten. Vor einer Aufzeichnung sollte klar sein, warum sie nötig ist, wer Zugriff erhält und wie lange sie gespeichert wird. Teilnehmer müssen vorab transparent informiert werden. Eine generelle Praxis, jede Besprechung vorsorglich aufzuzeichnen, ist weder datensparsam noch organisatorisch sinnvoll.
Auch KI-Funktionen wie Zusammenfassungen oder Copilot-Anwendungen verdienen eine eigene Prüfung. Sie greifen innerhalb der bestehenden Berechtigungen auf Inhalte zu. Das ist kein Freifahrtschein: Wenn Berechtigungen zu weit gefasst sind, können Informationen in Zusammenfassungen sichtbar werden, die fachlich nicht für alle gedacht waren. Vor der breiten Einführung sollte daher zunächst die Berechtigungsstruktur bereinigt werden.
Aufbewahrung und Löschung nicht dem Zufall überlassen
Datenschutz verlangt, Daten nicht länger als erforderlich zu speichern. Gleichzeitig bestehen häufig gesetzliche oder vertragliche Aufbewahrungspflichten. Diese beiden Anforderungen müssen zusammen betrachtet werden. Ein pauschales Löschen nach kurzer Zeit kann geschäftlich und rechtlich falsch sein. Unbegrenztes Aufbewahren ist jedoch ebenso keine Lösung.
Für Teams sollten Unternehmen festlegen, welche Inhalte wie lange benötigt werden: projektbezogene Chats, Kanalunterhaltungen, Besprechungsaufzeichnungen, Dateien und Teams, die nicht mehr aktiv genutzt werden. Microsoft 365 bietet dafür technische Möglichkeiten über Aufbewahrungs- und Löschrichtlinien. Ihre Einrichtung sollte fachlich abgestimmt, getestet und dokumentiert werden. Eine falsch konfigurierte Löschrichtlinie kann relevante Daten vorzeitig entfernen.
Wichtig ist auch der Unterschied zwischen Archivierung und Löschung. Ein archiviertes Team kann für berechtigte Personen weiterhin verfügbar bleiben, ohne dass dort aktiv gearbeitet wird. Das ist oft sinnvoll bei abgeschlossenen Projekten. Nach Ablauf der definierten Frist folgt die kontrollierte Löschung. Regelmäßige Überprüfungen alter Teams verhindern, dass sensible Daten dauerhaft in vergessenen Arbeitsbereichen liegen.
Diese Kontrollen gehören in den laufenden Betrieb
Ein guter Teams-Standard ist nur dann wirksam, wenn er regelmäßig kontrolliert wird. Für viele KMU genügt ein quartalsweiser oder halbjährlicher Termin, solange besonders kritische Bereiche häufiger geprüft werden. Dabei geht es nicht um Bürokratie, sondern um konkrete Fragen:
- Haben ausgeschiedene Mitarbeiter und externe Gäste keinen Zugang mehr?
- Gibt es für jedes aktive Team mindestens zwei verantwortliche Eigentümer?
- Sind externe Freigaben, Gastkonten und offene Links noch erforderlich?
- Werden Aufzeichnungen und Transkripte gemäß der festgelegten Frist gelöscht?
- Funktionieren Mehrfaktor-Authentifizierung, Geräteverwaltung und Protokollierung wie vorgesehen?
- Wurden neue Microsoft-365-Funktionen vor ihrer Freigabe bewertet?
Diese Kontrollen lassen sich mit festen Prozessen deutlich effizienter durchführen als mit einer Suche im Ernstfall. Gerade bei Personalwechseln ist die Verbindung aus geregeltem Offboarding, Entzug von Lizenzen, Sperrung von Sitzungen und Überprüfung der Teammitgliedschaften entscheidend.
Datenschutz braucht auch verständliche Regeln für Mitarbeiter
Die beste technische Konfiguration scheitert, wenn Mitarbeiter nicht wissen, wie sie damit arbeiten sollen. Eine kurze, praxisnahe Teams-Richtlinie ist hilfreicher als ein langes Regelwerk, das niemand liest. Sie sollte erklären, welche Inhalte nicht in Chats gehören, wann externe Teilnehmer zugelassen werden dürfen, wer Aufzeichnungen startet und wie verdächtige Freigaben oder Fehladressierungen gemeldet werden.
Schulungen sollten konkrete Alltagssituationen aufgreifen: Eine Kanzlei bespricht eine Mandatsfrage, eine Praxis stimmt sich mit einem Dienstleister ab oder ein Handwerksbetrieb teilt Baupläne mit einem Subunternehmer. Mitarbeiter erkennen Risiken schneller, wenn die Regeln an ihren Arbeitsabläufen erklärt werden. Wiederholungen bei neuen Funktionen, neuen Mitarbeitern und nach Sicherheitsvorfällen sind sinnvoll.
Für Unternehmen ohne eigene IT-Abteilung ist es meist wirtschaftlicher, Datenschutz und Sicherheit in Teams als fortlaufende Aufgabe zu betreuen statt nur bei Problemen Unterstützung einzuholen. PERFUSIONS unterstützt Unternehmen dabei, Microsoft 365 nachvollziehbar zu konfigurieren, Verantwortlichkeiten zu dokumentieren und die Einstellungen im Betrieb aktuell zu halten. So bleibt Teams ein Werkzeug für schnelle Zusammenarbeit – und nicht eine dauerhaft offene Ablage für Informationen, die geschützt werden müssen.
