Die meisten Kanzleien, Praxen und Kliniken haben ihre sensibelsten Daten längst in der Microsoft Cloud, nur nicht in Azure. Sie liegen in Exchange Online, in Teams-Chats, auf SharePoint und in OneDrive: Mandantenpost, Arztbriefe, Befunde, Schriftsätze. Für diese Daten gilt § 203 StGB genauso wie für jede Azure-Datenbank. Die Lizenz aus dem Self-Service im Admin Center bringt die nötige Verschwiegenheitsverpflichtung von Microsoft aber nicht mit.

Der Weg dorthin ist derselbe wie bei Azure: die Zusatzvereinbarung für Berufsgeheimnisträger zum Microsoft Customer Agreement. innFactory ermöglicht Gesellschaften mit entsprechender Haftung, etwa GmbH oder AG, ihre Microsoft-Lizenzen über uns zu beziehen, zu Microsoft-Listenpreisen ohne Zuschlag. Über unser indirektes CSP-Modell erhalten Sie die Zusatzvereinbarung zugeschickt. Der Prozess ist derselbe wie beim Azure-Bezug.

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Die rechtlichen Grundlagen, die Fristen und die Nachweisführung beschreiben wir ausführlich im Beitrag § 203 StGB in der Public Cloud. Hier geht es um den Lizenzbezug.

Warum Microsoft 365 dieselbe Frage aufwirft wie Azure

Seit 2017 dürfen Berufsgeheimnisträger externe Dienstleister einbeziehen, aber nur, wenn diese zur Verschwiegenheit verpflichtet sind (§ 203 Abs. 3 und 4 StGB). Microsoft betreibt Exchange, Teams und SharePoint für Sie und ist damit eine solche mitwirkende Person. Die Auftragsverarbeitung nach Art. 28 DSGVO regelt Microsoft im Data Protection Addendum (DPA). Die strafrechtliche Verschwiegenheitsverpflichtung entsteht erst durch die Zusatzvereinbarung.

Ob eine Anwältin die Mail eines Mandanten in Outlook liest oder ein Modell in Azure OpenAI damit arbeitet, macht für § 203 keinen Unterschied. Wer für Azure sauber vorgesorgt hat, Microsoft 365 aber ohne Zusatzvereinbarung betreibt, hat den größeren Teil seiner vertraulichen Daten ohne diese Verpflichtung in der Cloud.

Eine Zusatzvereinbarung für Azure und Microsoft 365

Die „Datengeheimnis-Zusatzvereinbarung für Deutschland", im Partner Center als „Professional Secrecy Amendment for Germany" geführt, ergänzt das Microsoft Customer Agreement (MCA). Sie ist nicht dienstspezifisch, sondern erfasst die Onlinedienste, die Sie unter dem MCA beziehen. Microsoft-365-Lizenzen, die Sie im CSP-Modell kaufen, laufen unter dem MCA. Für Exchange Online, Teams, SharePoint und OneDrive gilt damit derselbe vertragliche Rahmen wie für eine Azure Subscription.

Das Dokument ist Microsoft-Standard. Es wird weder verhandelt noch angepasst. Als Kunde laden Sie es nicht selbst herunter, Sie erhalten es über Ihren CSP-Partner. Genau diese Rolle übernimmt innFactory: Wir beziehen Ihre Lizenzen als indirekter CSP-Reseller über den Distributor TD SYNNEX und schicken Ihnen die Zusatzvereinbarung unverändert zu. Der Vertrag über die Dienste besteht weiterhin zwischen Microsoft und Ihnen.

Welche Lizenzen Sie über uns beziehen können

Alle gängigen Microsoft-365-Pläne im New Commerce Experience (NCE), dem aktuellen Lizenzmodell von Microsoft im CSP. Die typischen Kandidaten für Kanzleien, Praxen und Kliniken:

Lizenz	Enthalten (Auszug)	Nutzergrenze
Microsoft 365 Business Basic	Exchange Online, Teams, SharePoint, OneDrive, Office im Web und mobil	300 je Plan
Microsoft 365 Business Standard	wie Basic, plus Office-Desktop-Apps	300 je Plan
Microsoft 365 Business Premium	wie Standard, plus Intune, Entra ID P1 mit Conditional Access und Defender for Business	300 je Plan
Office 365 E1 / E3	Office-Dienste für Unternehmen, E3 zusätzlich mit Desktop-Apps	keine
Microsoft 365 E3 / E5	Office-Dienste plus Windows Enterprise, Intune und Entra ID, E5 mit erweiterter Sicherheit und Compliance	keine
Microsoft 365 F1 / F3	Frontline-Lizenzen, etwa für Pflege, Empfang oder Schichtbetrieb	keine

Dazu kommen Einzelprodukte wie Exchange Online und Add-ons wie Microsoft Copilot (vormals Microsoft 365 Copilot). Bei den Enterprise-Suiten prüfen Sie im Angebot, ob Teams enthalten ist oder als eigene Lizenz dazukommt.

Ein Praxishinweis: Für Berufsgeheimnisträger ist Business Premium meist die bessere Wahl als Business Standard. Intune und Conditional Access sichern die Geräte ab, auf denen Patienten- und Mandantendaten landen, und das gehört zum Schutz der Daten genauso wie der Vertrag. Die Auswahl der Pläne treffen Sie bzw. Ihr IT-Dienstleister.

Der Prozess: identisch zum Azure-Weg

Angebot: Sie erhalten ein Angebot über die gewünschten Lizenzen zu Microsoft-Listenpreisen ohne Zuschlag, ohne Einrichtungspauschale und ohne laufende Verwaltungsgebühren. Für das Reselling gelten unsere AGB.
Partner bestätigen, GDAP erteilen, Mandat einrichten: Sie bestätigen innFactory im Microsoft 365 Admin Center als Partner, erteilen die minimale GDAP-Berechtigung und ein Firmenlastschrift-Mandat. Welche Rollen das sind und warum wir damit keinen Zugriff auf Ihre Inhalte haben, steht im Beitrag zum Azure-Weg.
MCA prüfen: Wir prüfen im Partner Center, ob Ihre Annahme des Microsoft Customer Agreement hinterlegt ist. Bei einem neuen Tenant nehmen Sie das MCA im Microsoft 365 Admin Center an.
Lizenzen bestellen: Wir bestellen die Lizenzen über das indirekte CSP-Modell mit TD SYNNEX als Distributor. Sie erscheinen in Ihrem Admin Center, die Zuweisung an Ihre Nutzer nehmen Sie selbst vor.
Zusatzvereinbarung annehmen: Wir schicken Ihnen die Zusatzvereinbarung aus dem Partner Center unverändert zu. Sie nehmen sie an und fügen sie Ihrem MCA bei. Erst danach gehören Mandanten- oder Patientendaten in den Tenant.

Beziehen Sie Azure bereits über uns, kommen die Lizenzen in dieselbe Partnerbeziehung, und die Schritte zwei und drei sind in der Regel schon erledigt. Einrichtung, Konfiguration und Verwaltung Ihres Tenants bleiben bei Ihnen bzw. Ihrem IT-Dienstleister. Der Lizenzbezug umfasst keine Administration.

Was beim Lizenzbezug anders ist als bei Azure

Die NCE-Regeln von Microsoft gelten unverändert

Azure rechnet nach Verbrauch ab, Lizenzen nach Laufzeit. Im NCE wählen Sie pro Abonnement eine monatliche oder jährliche Laufzeit. Für Monatslaufzeiten verlangt Microsoft rund 20 Prozent mehr als für Jahreslaufzeiten. Das ist Microsofts Preisgestaltung, kein Zuschlag von uns.

Wichtiger ist die Kündigungsregel: Ein Abonnement lässt sich nur innerhalb von sieben Kalendertagen nach Kauf oder Verlängerung anteilig stornieren oder reduzieren (Microsoft-Dokumentation zur NCE-Kündigungsrichtlinie). Danach bleibt die Lizenzanzahl bis zum Ende der Laufzeit fest, bei Jahreslaufzeiten also ein Jahr lang. Erhöhen können Sie jederzeit. Diese Regeln setzt Microsoft, wir können sie weder lockern noch abweichend vereinbaren. Planen Sie die Lizenzmenge deshalb vor der Bestellung.

Bestehende Lizenzen ablösen

Haben Sie Ihre Lizenzen bisher direkt bei Microsoft oder über einen anderen Partner bezogen, stellen Sie am besten zum Ende der laufenden Laufzeit auf die CSP-Lizenzen über uns um. Postfächer, Dateien und Teams-Daten bleiben dabei im Tenant, es wechselt nur die Lizenz. Weisen Sie die neuen Lizenzen zu, bevor Sie die alten auslaufen lassen, dann gibt es keine Unterbrechung.

Copilot: kein Antrag auf Modified Abuse Monitoring nötig

Bei Azure OpenAI ist das Modified Abuse Monitoring ein eigener Antrag. Für Microsoft Copilot (vormals Microsoft 365 Copilot) entfällt dieser Schritt: Laut Microsoft-Dokumentation haben sich die Copilot-Dienste vom Abuse Monitoring mit menschlicher Überprüfung abgemeldet, das Azure OpenAI standardmäßig vorsieht. Prompts und Antworten werden wie Ihre übrigen Microsoft-365-Inhalte verarbeitet und gespeichert und nicht zum Training der Basismodelle verwendet (Microsoft Learn: Data, Privacy, and Security for Microsoft Copilot).

Einen Punkt sollten Sie trotzdem prüfen: Microsoft bindet in Copilot auch Modelle von Anthropic als Unterauftragsverarbeiter ein, und diese sind laut derselben Dokumentation derzeit von der EU Data Boundary ausgenommen. Ob diese Modelle in Ihrem Tenant zum Einsatz kommen, entscheiden Sie als Administrator. Klären Sie das für Berufsgeheimnisträger mit Ihrer Rechtsberatung, bevor Sie die Option aktivieren.

Fristen und Nachweise bleiben Ihre Aufgabe

Die Zusatzvereinbarung läuft spätestens 36 volle Kalendermonate nach Ihrer Annahme aus, auch wenn Ihre Lizenzen weiterlaufen. Dokumentieren Sie das Ablaufdatum am Tag der Annahme und legen Sie die Nachweise ab: die MCA-Annahme, die angenommene Fassung der Zusatzvereinbarung mit Versionsdatum und Ihre Bestellungen. Die Details stehen im Abschnitt „Die Fristenfalle" des Azure-Beitrags.

Was wir anbieten und was nicht

Voraussetzung Haftung: Den Lizenzbezug mit Zusatzvereinbarung bieten wir Gesellschaften mit entsprechender Haftung an, etwa GmbH oder AG. Eine UG (haftungsbeschränkt) bedienen wir in diesem Modell nicht.
Keine Zuschläge: Sie zahlen die Microsoft-Listenpreise, ohne Einrichtungspauschale und ohne laufende Gebühren.
Keine Abweichungen: Wir weichen von unserem Standardprozess nicht ab. Für das Reselling gelten unsere AGB, die Zusatzvereinbarung erhalten Sie unverändert, wie Microsoft sie bereitstellt. Zusatzklauseln, Nebenabreden, individuelle Bestätigungsschreiben oder eigene Vertragsentwürfe gibt es nicht.
Keine Administration: Der Lizenzbezug umfasst weder Einrichtung noch Betrieb Ihres Tenants.
Google Workspace und AWS: Den § 203-Prozess für Google und AWS bieten wir nur Kunden unserer Softwareentwicklung an, bei denen das Volumen hoch genug ist. Er ist zeitlich deutlich aufwendiger als der Microsoft-Weg.
Antwortzeiten: Aufgrund der Menge an Anfragen kann die Beantwortung dauern.

Fazit

Für Microsoft 365 brauchen Berufsgeheimnisträger dasselbe wie für Azure: die Zusatzvereinbarung zum MCA, angenommen, bevor die ersten vertraulichen Daten im Tenant liegen. Als Gesellschaft mit entsprechender Haftung bekommen Sie beides über uns: die Lizenzen zu Microsoft-Listenpreisen ohne Zuschlag und die Zusatzvereinbarung über unser indirektes CSP-Modell. Der Ablauf ist standardisiert und für Azure und Microsoft 365 identisch.

Wer zusätzlich KI mit diesen Daten nutzen will, findet den Weg über Azure OpenAI, Modified Abuse Monitoring und CompanyGPT im Beitrag § 203 StGB in der Public Cloud.

Wichtiger Hinweis: Dieser Beitrag ist keine Rechtsberatung und ersetzt sie nicht. Er beschreibt den Lizenzbezug nach unserem Kenntnisstand im Oktober 2026. NCE-Regeln, Lizenzinhalte, Copilot-Funktionen und die Fassung der Zusatzvereinbarung ändern sich regelmäßig. Prüfen Sie den jeweils aktuellen Stand, und lassen Sie die berufsrechtliche Bewertung Ihres konkreten Falls von Ihrer Rechtsberatung vornehmen.

Sie unterliegen dem Berufsgeheimnis, Ihr Unternehmen ist eine GmbH, AG oder vergleichbare Gesellschaft mit entsprechender Haftung, und Sie möchten Microsoft-365-Lizenzen mit Zusatzvereinbarung beziehen? Schicken Sie uns die gewünschten Pläne und Lizenzanzahlen, wir erstellen Ihnen ein Angebot zu Microsoft-Listenpreisen ohne Zuschlag. Zum Kontakt. Aufgrund der Menge an Anfragen kann die Beantwortung dauern.