AVV bei Microsoft 365 und Google Workspace prüfen

Wer Microsoft 365 oder Google Workspace nutzt, hat einen Vertrag mit dem Anbieter – aber selten einen AVV, den er selbst geprüft hat. Microsoft und Google stellen ihre Auftragsverarbeitungsbedingungen als Standarddokumente bereit, die für alle Kunden gelten. Das ist praktisch und rechtlich ein sinnvoller Ausgangspunkt. Es deckt aber nur die Anbieterseite ab. Die Pflichten, die nach Art. 28 DSGVO beim Verantwortlichen liegen, bleiben bei Ihnen.

Diese Seite fasst zusammen, welche Dokumente bei Microsoft und Google gelten, was sie regeln, wo die Grenzen liegen und welche Punkte in der Praxis bei einer AVV-Prüfung von Cloud-Setups regelmäßig fehlen.

Warum bei Cloud-Anbietern ein anderer AVV gilt

Bei einem klassischen Dienstleister schließen Sie einen individuellen AVV: Sie legen fest, welche Daten verarbeitet werden, zu welchem Zweck und mit welchen technischen und organisatorischen Maßnahmen. Bei großen Cloud-Anbietern ist das anders herum: Der Anbieter stellt Bedingungen bereit, die für alle Kunden identisch sind – ein Standardvertrag, den Sie in der Regel nicht verhandeln können.

Rechtlich ist das zulässig: Art. 28 Abs. 3 DSGVO verlangt einen Vertrag mit den definierten Pflichtinhalten, nicht zwingend einen individuell ausgehandelten. Nur entsteht dadurch eine typische Lücke: Der Verantwortliche beruft sich auf „den AVV des Anbieters“ und dokumentiert nicht, dass dieser zur eigenen Verarbeitung passt. Genau dieser Abgleich ist der Teil, den Ihnen niemand abnimmt.

Microsoft 365: Was im Microsoft DPA steht

Für Microsoft-Produkte gilt der Microsoft Products and Services Data Protection Addendum (DPA). Er ist Bestandteil der Product Terms (früher Online Services Terms) und geht bei Widersprüchen den übrigen Lizenzbedingungen vor. Für Kunden in der EU enthält der DPA einen Anhang mit den Datenschutzbedingungen der Europäischen Union, die Microsoft als Auftragsverarbeiter an Art. 28 DSGVO binden.

Die jeweils aktuelle Fassung stellt Microsoft unter aka.ms/dpa bereit; ältere Fassungen sind archiviert. Das ist wichtig, weil der DPA über die Jahre mehrfach geändert wurde – ein Verweis auf eine überholte Version ist ein typischer Befund bei einer AVV-Prüfung.

Microsoft beschreibt im DPA unter anderem, welche Datenkategorien unterschieden werden (Kundendaten, personenbezogene Daten, professionelle Dienstdaten), zu welchen Zwecken verarbeitet wird, wie Unterauftragsverarbeiter eingesetzt werden und welche Rechte der Kunde hat.

Google Workspace: Was im CDPA steht

Bei Google Workspace und Cloud Identity gilt der Cloud Data Processing Addendum (CDPA), früher als „Data Processing Amendment“ bezeichnet. Er ist unter cloud.google.com/terms/data-processing-addendum veröffentlicht und enthält auch Standardvertragsklauseln für Übermittlungen außerhalb der EU.

Google stellt den CDPA für Workspace-Kunden zusätzlich in der Admin-Konsole bereit (Konto → Rechtliches und Compliance). Ist der CDPA nicht ohnehin per Verweis Teil Ihres Vertrags, können Sie ihn dort aktiv annehmen. Ein Punkt, der in der Praxis oft fehlt: Wer die Annahme vorgenommen hat und wann – das sollte dokumentiert sein.

Was die Standardbedingungen nicht abdecken

Sie erhalten vom Anbieter einen Vertrag über die Verarbeitung, die er für Sie durchführt. Nicht enthalten sind die Pflichten, die beim Verantwortlichen bleiben:

• Verzeichnis von Verarbeitungstätigkeiten: Der Cloud-Dienst muss dort mit Zweck, Datenkategorien und Betroffenen auftauchen (Art. 30 DSGVO). Der DPA des Anbieters ist keine Eintragung.
• Konkrete Weisungen: Der Anbieter verarbeitet nach Ihren dokumentierten Anweisungen. Haben Sie nie dokumentiert, was Sie mit dem Dienst tun und was nicht erlaubt ist, fehlt die Bezugsgröße.
• Ihre eigene TOM-Anlage: Die technischen und organisatorischen Maßnahmen des Anbieters beziehen sich auf dessen Systeme. Für die eigene Arbeitsplatz-, Berechtigungs- und Löschorganisation brauchen Sie eine eigene Beschreibung.
• Unterauftragsverarbeiter: Der Anbieter darf weitere Dienstleister einsetzen. Diese Listen ändern sich; das Widerspruchsrecht nützt nur, wer die Änderungen tatsächlich verfolgt.
• Drittlandbezug: Der Transfer außerhalb der EU ist in den Anbieterbedingungen geregelt. Die Beurteilung, was das für Ihre Daten bedeutet, ist trotzdem ein Dokument, das Sie führen müssen.
• Löschung und Rückgabe: Hier gilt eine Frist nach Vertragsende im Anbietervertrag – Ihre Löschkonzepte für die eigene Umgebung sind davon nicht enthalten.
• Datenkategorien und Betroffene: „Alle Daten aller Mitarbeiter“ ist keine Beschreibung. Wer den AVV prüft, sieht sofort, ob die Verarbeitung konkret benannt ist.

Typische Fehler bei Microsoft-365- und Google-Workspace-Setups

• Fremder Vertragstext mit falschem Namen: Ein AVV-Muster wird übernommen und nennt noch den Anbieter aus einem anderen Projekt oder eine falsche Gesellschaft.
• Veraltete Fassung: Im Vertragswerk wird eine ältere DPA-Version referenziert, obwohl der Anbieter mehrfach nachgezogen hat.
• Unklare Verantwortlichkeit im Tenant: Wer im Administrationszentrum Änderungen vornehmen darf, entscheidet faktisch über die Verarbeitung. Ist diese Rolle nirgends beschrieben, fehlt ein Stück der Verantwortungskette.
• Erweiterungen aus dem Marketplace: Add-ons und Erweiterungen sind eigene Angebote mit eigenem Vertragspartner. Prüfen Sie bei jeder Erweiterung, ob der Anbieter-Addendum sie überhaupt erfasst.
• Zwei Clouds, ein AVV: Wer Microsoft 365 und Google Workspace parallel nutzt, braucht die Betrachtung für beide Vertragswerke – nicht ein Dokument mit einem Sammelverweis.
• Keine Prüfung nach Änderungen: Ein AVV, der beim Vertragsschluss gestimmt hat, muss nach einem Anbieterwechsel, einer neuen Erweiterung oder einem neuen Mandanten erneut angeschaut werden.

So prüfen Sie einen Cloud-AVV in fünf Schritten

1. Vertragswerk identifizieren: Welches Dokument gilt überhaupt – DPA, CDPA, individueller AVV oder eine Kombination? Welche Fassung?
2. Abgleich mit Ihrer Verarbeitung: Passen Datenkategorien, Betroffene, Zwecke und Unterauftragsverarbeiter zu dem, was in Ihrem Unternehmen tatsächlich passiert?
3. Pflichtinhalte nach Art. 28 Abs. 3 DSGVO durchgehen: Weisungsbindung, Vertraulichkeit, TOM, Unterauftragsverhältnisse, Betroffenenrechte, Löschung, Nachweispflichten und Meldung bei Verletzungen.
4. Anlagen und Nachweise prüfen: TOM-Beschreibung, Liste der Unterauftragsverarbeiter, Transfergrundlage, Dokumentation der Annahme.
5. Lücken schriftlich schließen: Was fehlt, wird ergänzt – als Anlage zum Vertrag oder als eigene interne Regelung. Ein mündliches „das haben wir so geregelt“ ist im Audit nichts wert.

Häufige Fragen zu AVV, Microsoft 365 und Google Workspace

Reicht der DPA von Microsoft als AVV?

Der DPA ist ein Auftragsverarbeitungsvertrag im Sinne von Art. 28 DSGVO und bindet Microsoft an die Pflichten eines Auftragsverarbeiters. Er ersetzt nur die Pflichten nicht, die beim Verantwortlichen liegen: Verzeichnis, Weisungsdokumentation, eigene TOM-Beschreibung und die Beurteilung des konkreten Einsatzes. „DPA vorhanden“ ist deshalb der Anfang der Prüfung, nicht ihr Ergebnis.

Kann ich den CDPA von Google einfach annehmen?

Die Annahme ist möglich, wenn der CDPA nicht bereits per Verweis Teil Ihres Vertrags ist – zu finden in der Admin-Konsole unter Konto und Rechtliches. Wichtig ist, die Annahme zu dokumentieren: wer, wann, für welches Konto. Die Annahme sagt nichts darüber aus, ob der Vertrag zu Ihrer Verarbeitung passt.

Brauche ich trotz Anbieterbedingungen noch eine TOM-Anlage?

Ja, für den Teil, den der Anbieter nicht abdeckt. Der Anbieter beschreibt, wie er seine Systeme schützt. Wie Sie Berechtigungen vergeben, Geräte absichern, Daten löschen und Zugriffe protokollieren, steht dort nicht – und genau darauf schaut eine Aufsichtsbehörde bei einer Prüfung.

Was ist mit der Übermittlung in die USA?

Die Übermittlung ist in den Anbieterbedingungen geregelt, in der Regel über Standardvertragsklauseln, teilweise ergänzt durch Zertifizierungen des Anbieters. Was in Ihrem konkreten Vertrag gilt, steht im jeweiligen Anhang. Die Beurteilung, ob diese Grundlage für Ihre Daten trägt, ist eine eigene Dokumentation und nicht mit dem Anbietervertrag erledigt.

Muss ich Marketplace-Erweiterungen extra prüfen?

Ja. Erweiterungen und Add-ons sind eigene Angebote mit einem eigenen Anbieter. Ob der Auftragsverarbeitungsvertrag Ihres Cloud-Anbieters sie erfasst, ist nicht selbstverständlich. Für jede Erweiterung mit Zugriff auf personenbezogene Daten brauchen Sie einen eigenen Blick auf Vertragspartner und Rechtsgrundlage.

Wir nutzen Microsoft 365 und Google Workspace – reicht ein AVV?

Nein. Es sind zwei getrennte Vertragswerke mit unterschiedlichen Dokumenten und Fassungen. Sinnvoll ist eine gemeinsame Übersicht, die je Dienst festhält: Vertragspartner, geltendes Dokument samt Version, Annahme dokumentiert, Unterauftragsverarbeiter geprüft, Transfergrundlage beurteilt.

AVV prüfen lassen – Ergebnis in 24 Stunden

Sie müssen die Anbieterbedingungen nicht selbst gegen Art. 28 DSGVO abgleichen: Wir prüfen Ihren AVV und die zugehörigen Anlagen innerhalb von 24 Stunden und melden konkret zurück, welche Punkte fehlen, welche Verweise überholt sind und was Sie zuerst ändern sollten. 22,99 € Festpreis (inkl. 19 % USt.), ohne Beratungstermin.

Die acht Pflichtinhalte nach Art. 28 DSGVO im Detail · Direkt zum Bestellformular

Stand: Oktober 2026. Diese Seite dient der ersten Orientierung und ersetzt keine Rechtsberatung im Einzelfall.