Datenschutz in Microsoft 365 nach Schweizer DSG: Die wichtigsten Einstellungen

Schweizer DSG und Microsoft 365 im Arbeitsalltag verbinden

Eine Personalverantwortliche möchte Unterlagen mit der Geschäftsleitung teilen, ein Projektteam arbeitet mit externen Fachpersonen, und Mitarbeitende sollen ihre Dateien ohne Umwege finden. Datenschutz entsteht nicht durch einen einzelnen Schalter, sondern durch passende Regeln für Daten, Rollen und Zusammenarbeit. Gerade wenn ein Betrieb wächst oder viele Personen hybrid arbeiten, werden diese Regeln wichtiger.

Das Schweizer Datenschutzgesetz gibt dafür einen rechtlichen Rahmen vor. Dieser Beitrag ist technische Orientierung und keine Rechtsberatung. Für konkrete Rechts-, Vertrags- oder Aufbewahrungsfragen sollten zuständige Fachpersonen den Einzelfall beurteilen.

Verarbeitungen verständlich machen

Erstellen Sie eine praktikable Übersicht: Welche personenbezogenen Daten werden in E-Mail, Teams, SharePoint und OneDrive bearbeitet, welchem Zweck dienen sie und welche externen Stellen erhalten Zugriff? Die Übersicht soll Entscheidungen über Ablage, Freigaben und Schutz nachvollziehbar machen. Sie muss nicht jede einzelne Datei erfassen. Es genügt, wenn typische Datenarten und wiederkehrende Abläufe sichtbar werden.

Für sensible Bereiche braucht es eine klare Zuordnung: - Persönliche Arbeitsdateien liegen in der Regel in OneDrive. - Gemeinsame Unterlagen liegen in Bereichen mit Eigentümern. - Personal- und Vertragsunterlagen erhalten kleine, überprüfbare Gruppen.

Beispielsweise sollte eine neue HR-Fachperson wissen, wo Personalunterlagen liegen, wer ihre Mitgliedschaft freigibt und welche externen Freigaben ausgeschlossen sind. Verantwortung wird erst sichtbar, wenn Daten und Zugriffe nachvollziehbar zugeordnet sind.

Identitäten und Gäste kontrollierbar halten

Nutzen Sie persönliche Konten, Mehrfaktorauthentifizierung (MFA), minimale Berechtigungen und Gruppen statt Einzelrechten. Regeln Sie Eintritt, Rollenwechsel und Austritt verbindlich. Separate Administrationskonten und getestete Regeln für bedingten Zugriff verringern das Risiko, dass ein normales Arbeitskonto zu weitreichenden Zugriff erhält.

Für vertrauliche Unterlagen sind angemeldete Gäste und zeitlich begrenzte Freigaben meist besser nachvollziehbar als anonyme Links. Bestimmen Sie, welche Sites externe Zusammenarbeit zulassen, wer einladen darf und wann Gastkonten geprüft werden. Testen Sie diese Regeln mit einer externen Fachperson: Kann sie nur die vereinbarte Ablage sehen, und erhält die verantwortliche Person eine Erinnerung zur Überprüfung? Datenschutz in Microsoft 365 ergänzt die praktische Umsetzung.

Schutzregeln verständlich betreiben

Wenige klare Kennzeichnungen, passende Verschlüsselung und Regeln gegen unbeabsichtigte Weitergabe können wirksam sein, wenn Mitarbeitende ihren Zweck verstehen. Beginnen Sie etwa mit einer Kategorie für besonders vertrauliche Personal- oder Vertragsdaten und testen Sie die Folgen auf Mobilgeräten und bei externer Zusammenarbeit. Ein komplexes System, das umgangen wird, schützt nicht zuverlässig.

Aufbewahrung und Löschung müssen fachlich und rechtlich geklärt sein. Papierkorb und Retention haben nicht dieselbe Aufgabe wie ein Microsoft-365-Backup. Planen Sie zudem einen kurzen Betriebsrhythmus für Eigentümerprüfungen, Gastkonten und Ausnahmen. Der Microsoft-365-Service unterstützt KMU und Dienstleister; Rechts-, Vertrags- und Aufbewahrungsfragen beurteilen zuständige Fachpersonen.