Die EU Data Boundary ist Microsofts vertragliche Zusage, Kundendaten und personenbezogene Daten der Unternehmens-Onlinedienste innerhalb der EU und der EFTA zu speichern und zu verarbeiten.
Was ist die EU Data Boundary?
Die EU Data Boundary ist eine geografisch definierte Grenze, innerhalb derer Microsoft sich verpflichtet hat, Kundendaten und personenbezogene Daten für seine Unternehmens-Onlinedienste zu speichern und zu verarbeiten – darunter Azure, Dynamics 365, Power Platform und Microsoft 365. Professional Services Data wird für diese Dienste ruhend innerhalb der Grenze gespeichert.
Wichtig für die Einordnung: Es handelt sich um ein Programm und eine vertragliche Zusage, nicht um einen Azure-Dienst, den Sie bereitstellen. Welche Onlinedienste in den Geltungsbereich fallen, ist in den Microsoft Product Terms als Bestandteil der Servicevereinbarungen benannt.
Microsoft hat den Abschluss des Programms im April 2026 erklärt. Zugleich weist die Dokumentation darauf hin, dass weiterhin Dienste und Funktionen in die EU Data Boundary überführt und die Unterlagen entsprechend aktualisiert werden.
Kernfunktionen
- Geltungsbereich: Kundendaten und personenbezogene Daten der EU Data Boundary Services werden in Rechenzentren in EU- oder EFTA-Ländern gespeichert und verarbeitet
- Länderumfang: alle 27 EU-Staaten sowie die EFTA-Länder Liechtenstein, Island, Norwegen und Schweiz
- Rechenzentren: Microsoft nennt Standorte in Österreich, Belgien, Dänemark, Finnland, Frankreich, Deutschland, Griechenland, Irland, Italien, den Niederlanden, Norwegen, Polen, Spanien, Schweden und der Schweiz
- Pseudonymisierung: personenbezogene Daten in systemgenerierten Logs müssen pseudonymisiert werden, etwa über Verschlüsselung, Maskierung, Tokenisierung oder Data Blurring
- Transparenz über Ausnahmen: verbleibende Datenübermittlungen außerhalb der Grenze sind dokumentiert
- Dienstspezifische Konfiguration: für Azure, Microsoft 365 sowie Dynamics 365 und Power Platform gelten jeweils eigene Regeln für die Zuordnung zum Geltungsbereich
Typische Anwendungsfälle
Nachweisführung im DSGVO-Kontext
Organisationen, die gegenüber Aufsichtsbehörden oder internen Datenschutzgremien belegen müssen, wo Kundendaten gespeichert und verarbeitet werden.
Öffentliche Vergabeverfahren
Ausschreibungen mit Anforderungen an die Datenhaltung innerhalb der EU, bei denen die vertragliche Zusage Teil der Angebotsprüfung ist.
Tenant- und Ressourcenkonfiguration
Projekte, in denen bestehende Azure-Ressourcen, Microsoft-365-Tenants und Power-Platform-Umgebungen so ausgerichtet werden, dass sie im Geltungsbereich liegen.
Risikobewertung verbleibender Übermittlungen
Analyse der von Microsoft dokumentierten Ausnahmen und ihrer Relevanz für die eigenen Datenkategorien.
Vorteile
- Eine vertraglich verankerte Zusage statt einer reinen Konfigurationsoption
- Einheitlicher Rahmen über Azure, Microsoft 365, Dynamics 365 und Power Platform hinweg
- Verpflichtende Pseudonymisierung personenbezogener Daten in systemgenerierten Logs
- Dokumentierte Ausnahmen, die eine belastbare Risikobewertung erlauben
- Klar abgegrenzter Länderumfang aus EU und EFTA
Integration mit innFactory
Als indirekter Microsoft-CSP-Partner unterstützt innFactory Sie dabei, Ihre Azure-Umgebung so aufzustellen, dass sie im Geltungsbereich der EU Data Boundary liegt: Regionsauswahl, Umgang mit nicht-regionalen Diensten, Konfiguration des Azure Resource Managers sowie die Dokumentation für Ihre Datenschutzorganisation.
Wie sich solche Vorgaben technisch verankern lassen, zeigen wir im Beitrag zu Azure Landing Zones. Für Berufsgeheimnisträger ordnet unser Beitrag zum § 203 StGB in der Public Cloud die zusätzlichen Anforderungen ein.
Kontaktieren Sie uns für eine unverbindliche Beratung zu Datenresidenz und Compliance auf Microsoft Azure.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Ist die EU Data Boundary ein buchbarer Dienst?
Nein. Die EU Data Boundary ist eine geografisch definierte Grenze und eine vertragliche Zusage von Microsoft, keine buchbare Ressource. Die in den Geltungsbereich fallenden Onlinedienste sind in den Microsoft Product Terms als Bestandteil der Servicevereinbarungen benannt.
Ist die EU Data Boundary abgeschlossen?
Microsoft hat den Abschluss im April 2026 öffentlich erklärt: „We also completed the EU Data Boundary, enabling European customer data to be stored and processed within the EU.“ (Microsoft On the Issues, 29.04.2026). Die Dokumentation weist zugleich darauf hin, dass weiterhin Dienste und Funktionen in die EU Data Boundary überführt werden.
Welche Länder gehören zur EU Data Boundary?
Die EU Data Boundary besteht aus den Ländern der Europäischen Union und der Europäischen Freihandelsassoziation (EFTA). Zu den EFTA-Ländern zählen Liechtenstein, Island, Norwegen und die Schweiz. Genutzt werden Microsoft-Rechenzentren, die in Österreich, Belgien, Dänemark, Finnland, Frankreich, Deutschland, Griechenland, Irland, Italien, den Niederlanden, Norwegen, Polen, Spanien, Schweden und der Schweiz angekündigt sind oder betrieben werden.
Gibt es Ausnahmen, bei denen Daten die EU verlassen?
Ja. Microsoft hält ausdrücklich fest, dass die Zusagen begrenzten Umständen unterliegen, in denen Kundendaten, personenbezogene Daten und Professional Services Data weiterhin außerhalb der EU Data Boundary übermittelt werden. Diese Fälle sind in der EU-Data-Boundary-Dokumentation im Detail beschrieben.
Wie stelle ich sicher, dass meine Azure-Ressourcen im Geltungsbereich sind?
Für Azure gilt: Regionale Dienste, die Sie in einer EU-Data-Boundary-Region bereitstellen, sind im Geltungsbereich. Für nicht-regionale Azure-Dienste stellt Microsoft eine gesonderte Anleitung bereit. Um Professional Services Data für Azure in der EU Data Boundary zu speichern, muss zusätzlich der Azure Resource Manager entsprechend konfiguriert werden.
Was passiert mit personenbezogenen Daten in Logdateien?
Microsoft verlangt, dass alle personenbezogenen Daten in systemgenerierten Logs pseudonymisiert werden. Eingesetzt werden unter anderem Verschlüsselung, Maskierung, Tokenisierung und Data Blurring. Ergänzend gelten Aufbewahrungsrichtlinien mit minimaler Speicherdauer, regelmäßige Prüfungen sowie Zugriffskontrollen, die eine Rehydrierung oder Reidentifizierung begrenzen.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
