Am 6. Oktober 2026 hat der niederländische Staatssekretär für Finanzen das Parlament informiert: Belastingdienst, Zoll und Dienst Toeslagen führen Microsoft 365 nicht in der öffentlichen Cloud ein.
Was passiert ist
Geplant sind eigene oder selbst kontrollierte Server, ergänzt durch europäische Open-Source-Lösungen. Mail und Kalender folgen 2027, ein Wendepunkt wird für Ende 2028 erwartet. Ein Jahr zuvor wurde Microsoft 365 dort noch als alternativlos dargestellt. Konkrete Produkte nennt das Schreiben nicht.
Der rechtliche Hintergrund
Nach dem US CLOUD Act können US-Anbieter verpflichtet werden, Daten unter ihrer Kontrolle an US-Behörden herauszugeben, auch wenn sie in Rechenzentren außerhalb der USA liegen. Nach Art. 48 DSGVO sind solche Anordnungen aus Drittstaaten nur anerkennbar, wenn sie auf einem internationalen Abkommen wie einem Rechtshilfeabkommen beruhen (EDSA-Leitlinien 02/2024). Microsoft Frankreich erklärte im Juni 2025 vor dem französischen Senat, eine Garantie gegen solche Herausgaben nicht geben zu können, betonte aber, entsprechende Fälle seien bislang nicht aufgetreten.
Kurz gesagt: Der Fall wirft eine Grundsatzfrage auf. Wer kontrolliert Daten, die von US-Unternehmen verwaltet werden, wenn US-Behörden deren Herausgabe verlangen können, unabhängig vom Standort der Daten?
Welche Fragestellungen sich daraus für Unternehmen ergeben
- Kontrolle: Welche sensiblen Daten liegen bei Anbietern, die US-Recht unterliegen?
- Datenschutz: Ist das Spannungsfeld zwischen US-Zugriffsrechten und Art. 48 DSGVO in unserer Risikobewertung dokumentiert?
- Ausstieg: Gibt es einen Weg zurück, einschließlich Rückführung der Daten?
- Funktionen und Kapazität: Was gibt es nur im Cloud-Paket, und welche Betriebskompetenz bräuchte ein Eigenbetrieb?
Eigener Betrieb bedeutet auch eigene Verantwortung für Updates, Sicherheit und Verfügbarkeit. Für NIS2-pflichtige Unternehmen gehört die Bewertung solcher Abhängigkeiten zum Lieferkettenmanagement. Beides ist eine Abwägung.
Quelle: Schreiben des niederländischen Staatssekretärs für Finanzen (6.10.2026), EDSA-Leitlinien 02/2024
Passend dazu: Vendor-Lock-in-Checkliste (kostenlos · 10 Fragen · 5 Minuten)
Stand der Recherche: 9. Oktober 2026 — Regulatorik entwickelt sich dynamisch; dieser Beitrag ersetzt keine individuelle Rechts- oder Fachberatung.
