Microsoft Teams und die DSGVO: Was Sie vor der Nutzung prüfen sollten

Teams speichert Ihre Aufzeichnungen und Transkripte im OneDrive des Organisators oder in der SharePoint-Website des Kanals, standardmäßig mit einer Ablaufzeit von 120 Tagen. Wenn Ihre Microsoft-365-Organisation in einem Land der Europäischen Union oder der EFTA erstellt wurde, werden diese Daten durch die EU Data Boundary abgedeckt. Dabei handelt es sich um die Zusage von Microsoft, sie in europäischen Rechenzentren zu speichern und zu verarbeiten, wobei dokumentierte verbleibende Übermittlungen möglich sind. Microsoft ist ein Unternehmen nach US-amerikanischem Recht – daran ändert die EU Data Boundary nichts. Diese Seite wird von Leexi herausgegeben, dessen KI-Notiztool in Teams verwendet werden kann. Sie enthält ausschließlich Angaben, die Microsoft Learn dokumentiert.

Wo Teams Ihre Daten hostet und verarbeitet

In Ihrem eigenen Microsoft-365-Bereich, in der Region Ihrer Organisation.

Die Aufzeichnung eines Teams-Meetings wird nicht in einem separaten Microsoft-Speicher abgelegt. Je nach Art des Meetings landet sie in OneDrive oder SharePoint.

Microsoft Learn, „Teams meeting recording and transcript storage and permissions in OneDrive and SharePoint“, aktualisiert am 18. August 2026 „For meetings and events, the recording saves to the organizer's OneDrive, even if the organizer didn't attend the meeting or event.“

Bei Kanalbesprechungen wird „the recording [...] stored in the SharePoint Teams site documentation library in a folder named Recordings“. Bei Zwei- oder Gruppenanrufen wird die Datei im OneDrive der Person gespeichert, die die Aufzeichnung gestartet hat. Eine Aufzeichnungsstunde benötigt 400 MB und wird auf Ihr Kontingent angerechnet.

Die Region hängt von Ihrer Organisation ab, nicht vom Meeting

Der Speicherort richtet sich nach dem Standort Ihrer Microsoft-365-Organisation. Für europäische Organisationen hat Microsoft eine entsprechende Zusage gemacht.

Microsoft Learn, „What is the EU Data Boundary?“, Inhalt vom 26. Februar 2025 „The EU Data Boundary is a geographically defined boundary within which Microsoft has committed to store and process Customer Data and personal data for our Microsoft enterprise online services, including Azure, Dynamics 365, Power Platform, and Microsoft 365.“

Die Zugangsvoraussetzung ist ausdrücklich formuliert: „For Microsoft 365, customers with a sign-up location in a country or region in the EU or EFTA are in scope for the EU Data Boundary.“ Eine Organisation, die Multi-Geo-Funktionen erworben hat, ist ausgeschlossen, selbst wenn sich ihr Land in Europa befindet.

Dasselbe Dokument nennt zwei Einschränkungen. Die Zusagen gelten „subject to limited circumstances where Customer Data, personal data, and Professional Services Data will continue to be transferred outside the EU Data Boundary“. Außerdem umfasst der geografische Geltungsbereich die Schweiz, Norwegen, Island und Liechtenstein – nicht nur die Europäische Union.

Was das für Sie bedeutet: Prüfen Sie das Registrierungsland Ihrer Organisation im Microsoft-365-Admincenter sowie das Fehlen von Multi-Geo. Diese beiden Punkte entscheiden über die Abdeckung.

Wie lange Teams Ihre Aufzeichnungen speichert

Microsoft Learn, „Manage Teams recording expiration policy“, aktualisiert am 31. August 2026 „Meeting recordings and transcripts have a default expiration time of 120 days.“

Nach Ablauf der Frist wird die Datei in den Papierkorb des Speicherorts verschoben. Bei einem Geschäftskonto werden Elemente im Papierkorb „are automatically deleted after 93 days, unless the administrator has changed the setting“. Der Administrator kann eine andere Dauer zwischen 1 und 99.999 Tagen festlegen oder den Ablauf deaktivieren. Die Änderung gilt nur für neue Aufzeichnungen.

Die DSGVO verlangt eine auf das Notwendige begrenzte Speicherdauer.

DSGVO, Artikel 5 Absatz 1 Buchstabe e „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“

Was das für Sie bedeutet: Die standardmäßige Frist von 120 Tagen ist eine Entscheidung von Microsoft, nicht Ihre eigene. Ihre Aufbewahrungsrichtlinie muss sie bestätigen oder ersetzen.

Wie Microsoft Ihre Gespräche verarbeitet

Microsoft handelt als Auftragsverarbeiter, und Copilot trainiert seine Modelle nicht mit Ihren Meetings.

Microsoft Learn, „General Data Protection Regulation“, aktualisiert am 5. Mai 2026 „As a data processor, Microsoft processes personal data on behalf of the data controller (the customer). […] Microsoft processes Customer Data to provide the Online Services in accordance with the controller's documented instructions, as specified in the Product Terms and Products and Services Data Protection Addendum (DPA).“

Das entspricht der Verpflichtung, die die DSGVO jedem Auftragsverarbeiter auferlegt.

DSGVO, Artikel 28 Absatz 3 Buchstabe a „die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet“

Die Zusage zum Training bezieht sich auf Copilot, der in Teams Meeting-Transkripte und Zusammenfassungen erstellt.

Microsoft Learn, „Data, Privacy, and Security for Microsoft Copilot“, aktualisiert am 18. August 2026 „Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs, including those used by Microsoft Copilot.“

Dasselbe Dokument stellt klar: „For European Union (EU) users, we have additional safeguards to comply with the EU Data Boundary. EU traffic stays within the EU Data Boundary“ und nennt anschließend eine ausdrücklich beschriebene Ausnahme: „Models provided by Anthropic as a subprocessor are currently excluded from the EU Data Boundary.“

Was das für Sie bedeutet: Die Zusage, dass kein Training erfolgt, ist schriftlich festgehalten und gilt für Copilot. Wenn Ihr Administrator Drittanbietermodelle in Copilot aktiviert, fällt die Anthropic-Ausnahme aus der EU Data Boundary heraus. Das ist eine Einstellung, die Sie prüfen sollten, kein Fehler von Microsoft.

Die Zertifizierungen von Microsoft 365

ISO 27001, ISO 27018 und ein veröffentlichtes Compliance-Portfolio mit dokumentierten Übermittlungsmechanismen.

Die DSGVO-Seite von Microsoft verweist auf seine Compliance-Angebote, darunter „FedRamp, HIPAA/HITECH, ISO 27001, ISO 27002, ISO 27018, NIST 800-171, UK G-Cloud“. Die Copilot-Seite nennt zusätzlich ISO 42001, die Norm für Managementsysteme im Bereich künstlicher Intelligenz.

Bei Übermittlungen außerhalb der Europäischen Union ist Microsoft präzise.

Microsoft Learn, „General Data Protection Regulation“ „Microsoft incorporated the Standard Contractual Clauses into all of its Volume Licensing agreements via the Product Terms. […] Microsoft is certified under the EU-U.S. Data Privacy Framework but does not rely on it as a basis for the transfer of personal data from the EU/EEA to the United States.“

Das ist anzuerkennen: Die Standardvertragsklauseln sind in alle Verträge integriert, und Microsoft erklärt ausdrücklich, dass es sich nicht auf das Data Privacy Framework als Grundlage für Übermittlungen stützt. Was ein Datenschutzbeauftragter anschließend prüft, ist der genaue Geltungsbereich der Zertifikate für Teams, der im Microsoft Trust Center verfügbar ist.

Der rechtliche Sitz des Anbieters

Microsoft ist ein Unternehmen nach US-amerikanischem Recht. Die EU Data Boundary lokalisiert die Daten, ändert jedoch nicht das auf den Anbieter anwendbare Recht.

18 U.S. Code § 2713, eingeführt durch Pub. L. 115-141 vom 23. März 2018 „A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.“

Was das für Sie bedeutet: Die EU Data Boundary ist die am umfassendsten dokumentierte Zusage zur Datenlokalisierung auf dem Markt und beantwortet die Frage „wo“. Die Frage „welches Recht“ richtet sich weiterhin nach dem Sitz des Anbieters. Dieser Punkt ist damit einmal genannt.

Was das für ein europäisches Team bedeutet

In Teams bildet Leexi einen zweiten, von Microsoft getrennten Bereich: Der Bot tritt dem Meeting bei, die Audiodaten werden auf der Infrastruktur von Leexi transkribiert und zusammengefasst (AWS-Region Paris, Sprachmodell über Azure France in einem geschlossenen Kreislauf ausgeführt, kein Training mit Ihren Meetings), mit einem öffentlich zugänglichen DPA und zehn benannten Auftragsverarbeitern. Teams ist die am häufigsten in den Supportanfragen von Leexi vertretene Videokonferenzplattform. Ein Drittel dieser Anfragen betrifft die Einwilligung und Benachrichtigung der Teilnehmer. Die Integrationsseite zu Microsoft Teams beschreibt, wie Sie Leexi mit Teams verbinden. Copilot, der KI-Assistent von Microsoft, hat eine eigene Seite: Alternative zu Microsoft Copilot. Das Compliance-Dossier und das Glossar enthalten die Definitionen und Nachweise.

Häufig gestellte Fragen

Wo werden meine Teams-Meetingaufzeichnungen gespeichert?

Bei Meetings und Veranstaltungen im OneDrive des Organisators, auch wenn dieser nicht am Meeting teilgenommen hat. Bei Kanalbesprechungen in der SharePoint-Website des Kanals. Bei Zwei- oder Gruppenanrufen im OneDrive der Person, die die Aufzeichnung gestartet hat. Die Datei wird mit 400 MB pro Stunde auf Ihr Kontingent angerechnet.

Wie lange bewahrt Teams eine Aufzeichnung auf?

Standardmäßig 120 Tage. Danach wird sie in den Papierkorb verschoben, in dem ein Geschäftskonto die Elemente 93 Tage lang aufbewahrt, bevor sie endgültig gelöscht werden. Ihr Administrator kann für neue Aufzeichnungen eine andere Dauer zwischen 1 und 99.999 Tagen festlegen oder den Ablauf deaktivieren.

Ist meine Organisation durch die EU Data Boundary abgedeckt?

Ja, wenn ihr Registrierungsland in der Europäischen Union oder der EFTA liegt und sie keine Multi-Geo-Funktionen erworben hat. Das Registrierungsland lässt sich im Microsoft-365-Admincenter prüfen. Verbleibende Übermittlungen außerhalb der Grenze werden von Microsoft weiterhin dokumentiert.

Trainiert Copilot seine Modelle mit meinen Teams-Meetings?

Nein. Prompts, Antworten und über Microsoft Graph abgerufene Daten werden nicht zum Training von Foundation-Modellen verwendet. Der Datenverkehr europäischer Nutzer bleibt innerhalb der EU Data Boundary. Eine Ausnahme bilden Anthropic-Modelle, die als Auftragsverarbeiter aktiviert wurden; sie sind von der EU Data Boundary ausgenommen.

Werden die Teilnehmer benachrichtigt, wenn ein Teams-Meeting aufgezeichnet wird?

Ja. Alle Teilnehmer erhalten in Teams eine Benachrichtigung, sobald die Aufzeichnung beginnt. Die Microsoft-Hilfe ergänzt: „depending on your region, you may need everyone's permission before you can record them“. Die Information der Teilnehmer über Zweck und Aufbewahrung bleibt Ihre Verpflichtung als Organisator.

Reicht Teams für eine strenge Souveränitätsanforderung aus?

Nein. Microsoft ist ein Unternehmen nach US-amerikanischem Recht und unterliegt unabhängig vom Speicherort dem 18 U.S. Code § 2713. Die EU Data Boundary lokalisiert die Daten und dokumentiert verbleibende Übermittlungen, ändert jedoch nicht den rechtlichen Sitz des Anbieters.

Quellen

Daten geprüft am 2. September 2026 auf den offiziellen Microsoft-Seiten.

• Microsoft Learn, „Teams meeting recording and transcript storage and permissions in OneDrive and SharePoint“, aktualisiert am 18. August 2026
• Microsoft Learn, „Manage Teams recording expiration policy“, aktualisiert am 31. August 2026
• Microsoft Learn, „What is the EU Data Boundary?“, Seite vom 21. Juli 2026, Inhalt vom 26. Februar 2025
• Microsoft Learn, „General Data Protection Regulation“, aktualisiert am 5. Mai 2026
• Microsoft Learn, „Data, Privacy, and Security for Microsoft Copilot“, aktualisiert am 18. August 2026
• Microsoft-Hilfe, „Record a meeting in Microsoft Teams“
• DSGVO, Artikel 5 und 28, Text veröffentlicht von der CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Diese Seite beschreibt den geltenden Rahmen. Sie stellt keine Rechtsberatung dar.

Leexi kostenlos testen