Fachlich geprüft am 8. September 2026. Microsoft 365 kann Zusammenarbeit und Aufbewahrung unterstützen, macht ein Treuhandbüro aber nicht automatisch rechtskonform. Rechtsgrundlage, Datenklassifikation, Konfiguration, Lizenzen und betriebliche Kontrollen bleiben Aufgabe des Unternehmens.
Aufbewahrung nach Schweizer Recht
Art. 958f OR verlangt, dass Geschäftsbücher, Buchungsbelege, Geschäftsbericht und Revisionsbericht zehn Jahre aufbewahrt werden; die Frist beginnt mit Ablauf des Geschäftsjahrs. Elektronische Aufbewahrung ist unter den gesetzlichen Voraussetzungen möglich. Das erläutert auch das KMU-Portal des Bundes.
Microsoft Purview kann Aufbewahrungsregeln technisch umsetzen. Die frühere Aussage, ein Dokument könne deshalb «auch vom Administrator» nicht gelöscht werden, war zu absolut: In SharePoint kann eine Person das sichtbare Element löschen oder ändern; während der Aufbewahrungsfrist wird eine Kopie in der Preservation Hold Library erhalten. Microsoft beschreibt den Ablauf in der Purview-Dokumentation. Welche Retention- oder Records-Management-Funktion enthalten ist, hängt vom Plan und Funktionsumfang ab; vor der Einführung ist die Purview-Lizenzübersicht zu prüfen.
Datenresidenz und Auslandbekanntgabe
«Alle Daten liegen in der Schweiz und EU und verlassen dieses Rechtsgebiet nie» ist keine belastbare Microsoft-365-Zusage. Speicherort und Verarbeitung hängen von Tenant, Workload, gebuchten Data-Residency-Funktionen, globalen Diensten, Support und konfigurierten Drittdiensten ab. Prüfen Sie die Microsoft-365-Datenstandorte und die Produktbedingungen für den konkreten Tenant.
Das Schweizer DSG verbietet Auslandbekanntgaben nicht generell. Je nach Zielland braucht es Angemessenheit oder geeignete Garantien; zudem gelten Informationspflichten. Der EDÖB beschreibt die Prüfung nach Art. 16 ff. DSG. Ein Auftragsbearbeitungsvertrag ersetzt diese Beurteilung nicht.
Verschlüsselung ist eine Zusatzfunktion
Microsoft Double Key Encryption verwendet zwei Schlüssel; einen kontrolliert die Organisation, den zweiten Microsoft. Es ist eine Spezialfunktion für einen kleinen Bestand besonders sensibler Daten, erfordert eigenen Betrieb des DKE-Dienstes und ist laut Microsoft Learn in Microsoft 365 E5 enthalten. Sie ist nicht pauschal in jeder Microsoft-365-Lizenz enthalten und bedeutet nicht, dass Microsoft überhaupt keinen Schlüssel hält.
Externe Zusammenarbeit: Freigabe oder Portal?
SharePoint und OneDrive unterstützen Gast- und Linkfreigaben. Ablaufdatum, Passwort, Download-Blockierung und Benachrichtigungen hängen jedoch von Linktyp, Richtlinie, Lizenz und Client ab. Solche Optionen dürfen nicht als universell verfügbar zugesichert werden. Für sensible Mandantendaten sind benannte Gäste, Mehrfaktor-Authentisierung, Least Privilege, regelmässige Access Reviews und protokollierte Freigabeprozesse einem anonymen Link vorzuziehen.
Eine interne Power-App beziehungsweise ein Canvas ist kein öffentliches Mandantenportal. Externe Gäste einer Canvas-App benötigen passende Power-Apps-Rechte; Microsoft dokumentiert dies unter Canvas-Apps mit Gästen teilen. Für viele externe oder anonyme B2C-Nutzende ist Power Pages beziehungsweise ein anderes Portal ein separates Architektur- und Lizenzthema; aktuelle Kapazitätspreise stehen auf der Power-Pages-Preisseite.
Copilot und Mandantentrennung
Microsoft 365 Copilot arbeitet im Sicherheitskontext der angemeldeten Person. Das reduziert keine übermässigen SharePoint-Berechtigungen: Was eine Person bereits sehen darf, kann auch in Copilot-Antworten einfliessen. Vor einem Rollout sind Berechtigungen, Oversharing, Sensitivity Labels und Protokollierung zu prüfen. Beispiele wie die Suche nach sämtlichen Lohnausweisen sind nur vertretbar, wenn Zweck, Rolle und Zugriff klar legitimiert sind.
Praktisches Vorgehen
- Dateninventar, gesetzliche Fristen und Mandantentrennung festhalten.
- Tenant- und Workload-Datenstandorte sowie Unterauftragsbearbeiter prüfen.
- Erforderliche Purview-, DKE-, Power-Apps-, Power-Pages- und Copilot-Lizenzen schriftlich bestätigen lassen.
- Retention mit Lösch-, Änderungs-, Legal-Hold- und Wiederherstellungstests abnehmen.
- Externe Freigaben und Copilot mit mehreren Rollen testen.
- Erst nach einer gemessenen Baseline Aussagen zu Zeitgewinn oder Einsparungen machen.
Projektlaufzeiten hängen von Datenmenge, Quellsystemen und Compliance-Scope ab; eine allgemeine Zusage von sechs bis zehn Wochen ist nicht belegt.
Kontakt aufnehmen, um Scope, Lizenzierung und Kontrollen für Ihren Tenant zu klären.