Die Office-Realität in deutschen Büros
Microsoft 365 ist in deutschen Büros weit verbreitet. Damit stellt sich die Frage, unter welchem Recht die Daten verarbeitet werden. LibreOffice läuft lokal, bringt aber weder KI noch Live-Kollaboration mit. Was eine moderne europäische Office-Suite leisten muss, damit der Mittelstand wirklich migrieren kann.
In nahezu jedem mittelständischen Unternehmen in Deutschland startet der Arbeitstag mit denselben drei Programmen: Word, Excel, PowerPoint. Microsoft 365 ist über die letzten Jahre so tief in die Arbeitswelt eingewachsen, dass die Frage „Womit schreiben Sie Ihre Verträge?" für die meisten Geschäftsführer keine Frage mehr ist, sondern eine Selbstverständlichkeit.
Mit dieser Selbstverständlichkeit gehen datenschutzrechtliche Fragen einher, die Aufsichtsbehörden seit Jahren beschäftigen. Microsoft 365 ist ein Dienst des US-Konzerns Microsoft. Damit gelten für den Anbieter auch US-Gesetze wie der Cloud Act und FISA 702, die US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten ermöglichen, auch wenn die Server in Europa stehen.
Die deutschen Datenschutzaufsichtsbehörden warnen seit der Schrems-II-Entscheidung des Europäischen Gerichtshofs immer deutlicher. Am 24. November 2022 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) förmlich festgestellt, dass der Nachweis, Microsoft 365 datenschutzrechtskonform zu betreiben, auf Grundlage des von Microsoft bereitgestellten Datenschutznachtrags vom 15. September 2022 nicht geführt werden kann, solange die Transparenz über die Verarbeitung personenbezogener Daten für Microsofts eigene Zwecke fehlt und deren Rechtmäßigkeit nicht belegt ist (DSK-Festlegung vom 24. November 2022). Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat den obersten Bundesbehörden am 21. Dezember 2022 ein Rundschreiben mit derselben Stoßrichtung zugeleitet (BfDI-Rundschreiben). Beide Dokumente beziehen sich auf den damaligen Vertragsstand.
Gesucht wird deshalb eine Alternative, die drei zentrale Anforderungen verbindet: Funktionsumfang, KI und Echtzeit-Kollaboration.
Was die DSGVO von Office-Tools tatsächlich fordert
Die DSGVO ist erstaunlich konkret, was Verarbeiter und Übermittlungen angeht. Für Office-Software ergeben sich daraus fünf harte Anforderungen, die sich nicht durch Vertragsklauseln umgehen lassen.
- Transparenter Datenfluss: Jeder Datenverarbeiter und jede Verarbeitungs-Etappe muss dokumentiert sein. Ein Unternehmen, das Word nutzt, muss wissen, wo der Text während des Tippens hingeht: in den Arbeitsspeicher, auf eine Festplatte, in die Cloud, zu einem Sub-Auftragsverarbeiter.
- Kein unkontrollierter Drittlandtransfer: Sobald Daten außerhalb der EU verarbeitet werden, braucht es eine valide Rechtsgrundlage: Standardvertragsklauseln, Angemessenheitsbeschluss oder eine andere Garantie nach Artikel 46 der Datenschutzgrundverordnung. Viele US-Anbieter stützen sich heute auf das EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795).
- Zweckbindung: Daten dürfen nicht für andere Zwecke verarbeitet werden als die, für die sie erhoben wurden. Ein Mitarbeiter, der eine Personalakte in Word schreibt, hat nicht eingewilligt, dass dieser Text in einem KI-Trainingsdatensatz landet, selbst dann nicht, wenn die Nutzungsbedingungen des Anbieters das zulassen würden.
- Speicherort und -dauer: Die Datenschutzbehörden fordern Klarheit darüber, in welchem Rechtsraum Daten gespeichert werden und wie lange. Cloud-Anbieter, die Backups auf US-Servern halten, erfüllen diese Anforderung nur teilweise.
- Audit-Trail und Betroffenenrechte: Wer hat wann auf welche Daten zugegriffen? Wer kann Löschung verlangen? Bei einer integrierten Cloud-Suite ist das ohne aktive Konfiguration meist nicht abbildbar.
Diese fünf Anforderungen sind kein theoretisches Konstrukt. Sie sind die Grundlage jeder Datenschutz-Folgenabschätzung, und damit der Maßstab, an dem sich jede Office-Suite messen lassen muss, bevor sie produktiv eingesetzt wird.
Die EU-Datengrenze von Microsoft im Überblick
Mit der EU-Datengrenze (EU Data Boundary) hat Microsoft zugesagt, Kundendaten und personenbezogene Daten seiner Enterprise-Onlinedienste, darunter Microsoft 365 und Azure, innerhalb der EU und der EFTA zu speichern und zu verarbeiten. Microsoft nennt dabei begrenzte Fälle, in denen Daten die Grenze weiterhin verlassen, und beschreibt je Dienst, welche Konfiguration nötig ist (Microsoft Learn: What is the EU Data Boundary?, abgerufen am 23.09.2026). Für die Rechtslage bleibt zusätzlich maßgeblich, dass Microsoft ein Unternehmen mit Sitz in den USA ist.
Cloud Act: Nach 18 U.S.C. § 2713 müssen Anbieter von Kommunikations- und Cloud-Diensten, die US-Recht unterliegen, Daten in ihrem Besitz oder unter ihrer Kontrolle auf Anordnung amerikanischer Behörden sichern oder herausgeben. Diese Pflicht gilt unabhängig vom Speicherort der Daten. Die EU-Datengrenze legt fest, wo Daten gespeichert und verarbeitet werden. Anordnungen nach US-Recht bleiben davon unberührt.
Übermittlungen außerhalb der Grenze: In welchen Fällen Daten die EU-Datengrenze verlassen, beschreibt Microsoft in derselben Dokumentation je Dienst. Für die eigene Bewertung zählen die tatsächlich genutzten Dienste und ihre Konfiguration.
Hinzu kommt die Frage nach dem Bestand des EU-US Data Privacy Framework. Sein Vorgänger, das Privacy Shield, wurde 2020 vom Europäischen Gerichtshof für ungültig erklärt. Eine Nichtigkeitsklage gegen den neuen Angemessenheitsbeschluss hat das Gericht der EU am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe gegen Kommission), der Beschluss gilt damit weiter. Die Kommission überwacht den Rahmen fortlaufend und kann ihn aussetzen, ändern oder aufheben, wenn sich die Rechtslage in den USA ändert. Fällt der Beschluss weg, müssen Unternehmen ihre Datentransfers in die USA auf eine andere Rechtsgrundlage stellen.
Was LibreOffice allein nicht mitbringt
Es gibt eine offensichtliche Alternative zu Microsoft 365, die seit über zwei Jahrzehnten existiert: LibreOffice. Die Open-Source-Suite der Document Foundation läuft lokal und ist in dutzenden Sprachen verfügbar. Sie unterstützt die Microsoft-Formate Word, Excel und PowerPoint nativ und wird in einigen deutschen Landesverwaltungen bereits eingesetzt.
Warum hat LibreOffice Microsoft 365 dann nicht längst verdrängt? Die Antwort liegt nicht in den Kernfunktionen (die sind ausgereift), sondern in dem, was im modernen Büroalltag dazugekommen ist und was die Open-Source-Suite nicht von sich aus mitbringt.
- KI-Integration. Wer heute ein Dokument schreibt, erwartet einen Story-Coach, der den Aufbau verbessert, einen Texthelfer, der Formulierungen vorschlägt, und eine Recherche-Funktion, die auf Knopfdruck Quellen findet. LibreOffice bringt keine integrierte KI mit.
- Echtzeit-Kollaboration. Gleichzeitiges Arbeiten mehrerer Personen im selben Dokument mit sichtbaren Cursorn ist nicht Teil der lokalen Suite. Dateien werden gespeichert und weitergereicht.
- Cloud-Speicher. Microsoft 365 kommt mit OneDrive, Google Workspace mit Drive. Einen Cloud-Speicher liefert LibreOffice nicht mit. Zum Teilen dienen E-Mail-Anhänge oder ein separater Sync-Dienst, der datenschutzrechtlich eigens zu prüfen ist.
- Windows-Integration. Eine Laufwerksintegration im Windows-Explorer, ein Schnellzugriff im Infobereich und Single-Sign-On mit Identity-Providern gehören nicht zum Lieferumfang.
In vielen Migrationsprojekten steht deshalb die Frage im Mittelpunkt: „Wie arbeiten wir künftig zusammen?" Darauf antworten die drei Säulen im nächsten Abschnitt.
Die drei Säulen einer modernen europäischen Office-Suite
Eine Office-Suite, die Microsoft 365 wirklich ersetzen kann, muss drei Säulen tragen. Wer auch nur eine davon nicht erfüllt, schiebt das Problem nur weiter.
Säule eins: DSGVO-konforme Foundation. Die Grundlage muss Open Source sein, weil nur Open Source vollständige Transparenz über die Verarbeitungslogik garantiert. Sie muss lokal lauffähig sein, weil sonst die Kontrolle nicht im eigenen Unternehmen liegt. Und sie muss Format-Kompatibilität mit den dominanten Office-Formaten haben, damit eine Migration ohne Daten-Verlust möglich ist. LibreOffice ist quelloffen, läuft lokal und unterstützt die Microsoft-Formate.
Säule zwei: Native KI in jeder App. Die KI sollte standardmäßig ein europäisches Sprachmodell nutzen, das Anfragen in Europa verarbeitet, und sie muss tief in die Anwendungen integriert sein. Eine Seitenleiste in der Textverarbeitung, die beim Formulieren hilft. Eine Seitenleiste in der Tabellenkalkulation, die Formeln erklärt und Pivot-Beispiele baut. Eine Seitenleiste in der Präsentations-Software, die als Story-Coach arbeitet und Sprecher-Notizen schreibt.
Säule drei: Echtzeit-Kollaboration mit kontrollierter Sync-Infrastruktur. Mehrere Personen müssen gleichzeitig im selben Dokument arbeiten können. Cursor und Avatare müssen live sichtbar sein. Änderungen müssen konfliktfrei zusammenlaufen. Und der Sync-Layer muss vollständig im eigenen Rechtsraum liegen: kein Umweg über US-Cloud-Dienste, kein US-Sub-Auftragsverarbeiter, der die Bearbeitungs-Events durchschleift.
Erst wenn alle drei Säulen tragen, ist eine Migration ohne Funktionsverlust möglich. Vorher bleibt jede Alternative ein Kompromiss.
Live-Kollaboration ohne fremde Cloud: wie das technisch geht
Live-Kollaboration galt jahrelang als das Killer-Feature, das nur Cloud-Anbieter wie Google oder Microsoft leisten können. Tatsächlich ist die zugrundeliegende Technik nicht neu, und sie ist nicht an eine bestimmte Cloud gebunden.
Im Kern steht ein Pattern aus der verteilten Informatik: konfliktfreie replizierte Datentypen, kurz CRDTs. Sie ermöglichen, dass mehrere Bearbeiter gleichzeitig an einem Dokument arbeiten, ohne dass ihre Änderungen sich gegenseitig überschreiben. Jede Änderung trägt einen Zeitstempel und eine Identifikation, die Reihenfolge der Änderungen ist beweisbar konvergent. Egal in welcher Reihenfolge die Events ankommen, am Ende sehen alle Bearbeiter exakt dasselbe Dokument.
Was dazukommt, ist ein leichtgewichtiger Sync-Server, der die Events zwischen den Bearbeitern transportiert, typischerweise über eine WebSocket-Verbindung. Dieser Sync-Server kann auf jedem Standard-Server laufen. Er kann in einem deutschen Rechenzentrum stehen, auf eigener Hardware oder bei einem europäischen Hosting-Anbieter, der keinem US-Konzern gehört.
Praktisch sieht das so aus: Eine Steuerberaterin und ihr Mandant öffnen denselben Geschäftsbericht. Beide sehen die Avatare des anderen am oberen Rand des Fensters. Wer in eine Zelle klickt, sieht sofort den Cursor des anderen, wenn dieser bereits dort arbeitet. Kommentare entstehen live. Eine Notiz auf Seite drei ploppt beim Gegenüber auf, ohne dass die Datei gespeichert oder verschickt werden muss.
Bei Nexoria liegen Dateien und Wissensindex in Deutschland. Die Antwortgenerierung durch Nex nutzt Mistral AI. Weitere Dienste, darunter die technische Fehlerüberwachung über Sentry, und aktivierte Integrationen stehen unter Sicherheit.
KI direkt in der App: vom Schreiben bis zur Folien-Story
Eine moderne europäische Office-Suite braucht nicht nur Kollaboration. Sie braucht KI, die im Arbeitsfluss sitzt, nicht in einem separaten Browser-Tab, nicht als Plugin, sondern als feste Seitenleiste in jeder Anwendung.
In der Textverarbeitung sieht das so aus: Die KI versteht den Kontext des Dokuments, hilft beim Umformulieren, schlägt Synonyme vor und prüft auf Verständlichkeit. Sie kann Absätze kürzen, ohne den Inhalt zu verfälschen. Sie kann einen geschäftlichen Brief in einen freundlich-direkten Ton übersetzen, oder umgekehrt. Wer einen Vertrag schreibt, bekommt Hinweise auf typische Klauseln, die im aktuellen Entwurf fehlen.
In der Tabellenkalkulation sieht das anders aus: Die KI baut komplexe Tabellen aus einer natürlich formulierten Beschreibung. „Erstelle eine Mehrwertsteuerberechnung für unsere Umsatzvorausschau", und die Anwendung generiert die richtigen Spalten, Formeln und Beispieldaten. Wer eine Pivot-Auswertung braucht, beschreibt das Ergebnis statt die Schritte. Die KI erklärt jede Formel auf Nachfrage in einem Satz, eine Brücke für alle, die Excel sonst meiden.
In der Präsentations-Software übernimmt die KI die Rolle des Story-Coachs: Sie verdichtet rohe Bullet-Listen zu Aussagen, generiert Sprecher-Notizen, schlägt Story-Bögen für die aktuelle Folie vor und kann Bullets in pointierte Pullquotes umwandeln. Wer eine Folie eingegeben hat, bekommt Vorschläge für die nächste, basierend darauf, was eine professionelle Präsentation üblicherweise auf dieser Position braucht.
Bei Nexoria liegen Dateien, Wissensindex und semantische Suche in Deutschland. Die Antwortgenerierung durch Nex nutzt Mistral AI. Die von Nexoria an Mistral AI übermittelten Daten werden nicht für Modelltraining verwendet; der Ausschluss ist im individuellen Auftragsverarbeitungsvertrag vereinbart. Die Aussage bezieht sich auf die Nexoria-Konfiguration und den Vertrag mit Mistral AI; sie ist keine allgemeine Aussage zu allen Angeboten von Mistral AI. ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) und Langdock lassen sich optional an Nexoria anbinden. Nexoria funktioniert auch ohne diese Anbindungen. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Maßgeblich sind dessen Bedingungen, Verarbeitungsorte und Einstellungen. Zusätzliche Dienste und aktivierte Integrationen sind unter Sicherheit beschrieben.
Der dritte Baustein: ein kontrollierter Sync-Layer im Windows-Explorer
Eine Office-Suite ist nur so gut wie der Speicher dahinter. Wer Dateien per E-Mail-Anhang oder USB-Stick weitergibt, hat die Live-Kollaboration aus dem Vorkapitel sofort wieder zunichte gemacht und einen DSGVO-relevanten Datentransfer ohne Audit-Trail produziert.
Genau hier setzt der dritte Baustein an: ein virtuelles Laufwerk, das sich nahtlos in den Windows-Explorer einfügt. Vom Bedienkomfort her funktioniert es genau wie OneDrive: Dateien werden gedraggt, mit Rechtsklick geteilt, der Sync-Status erscheint als kleines Symbol am Dateinamen. Im Hintergrund läuft ein europäischer Sync-Server, der dem Unternehmen oder einem europäischen Dienstleister gehört.
Die wichtigsten Eigenschaften aus DSGVO-Sicht: Versionierung auf Datei-Ebene mit konfigurierbarer Aufbewahrungsdauer. Offline-Verfügbarkeit für markierte Ordner, die auch ohne Netz weiterhin funktioniert. Audit-Trail für jede Lese-, Schreib- und Teilen-Aktion. Workspace-Trennung zwischen persönlichen, Team- und firmenübergreifenden Bereichen mit jeweils eigenem Berechtigungsmodell.
Was viele unterschätzen: Erst dieser Sync-Layer macht Office-Migration alltagstauglich. Ohne ihn bleibt die schönste DSGVO-konforme Textverarbeitung eine Insellösung. Mit ihm wird sie Teil eines durchgehenden Workflows, von der Erstellung über die Bearbeitung bis zum gemeinsamen Review.
Fünf Fragen vor jeder Office-Migration
Bevor Sie eine Alternative zu Microsoft 365 evaluieren, stellen Sie diese fünf Fragen, und nehmen Sie sich Zeit, die Antworten zu prüfen. Marketing-Aussagen sind eine Sache, vertragliche Zusagen und technische Realität eine andere.
Erstens: Wo läuft die KI-Verarbeitung, und auf welcher Infrastruktur? Wenn die Antwort lautet „auf europäischen Servern eines US-Konzerns", ist das nicht dasselbe wie „auf europäischen Servern eines europäischen Anbieters". Der Cloud Act gilt unabhängig vom Standort des Servers, sobald ein US-Konzern den Betrieb verantwortet.
Zweitens: Welches Sprachmodell wird verwendet, und wer betreibt es? Maßgeblich ist, welchem Recht der Anbieter unterliegt, der das Modell betreibt. Ein Anbieter mit Sitz in den USA unterliegt US-Recht, auch wenn sein Modell über eine europäische Region erreichbar ist. Diese Unterscheidung hat direkte Folgen, falls die Grundlage für Datentransfers in die USA erneut wegfällt.
Drittens: Wie funktioniert die Echtzeit-Kollaboration im Hintergrund? Läuft der Sync-Server beim Anbieter, beim Kunden oder bei einem Subprozessor? Welche Daten werden zu welchem Zeitpunkt übertragen, und werden Bearbeitungs-Events außerhalb der EU geleitet? Die Antwort sollte vertraglich fixiert sein, nicht nur als Marketing-Versprechen vorliegen.
Viertens: Gibt es einen Format-Lock-in? Eine Suite, die ein eigenes Format speichert und nur eingeschränkt nach .docx, .xlsx und .pptx exportiert, ist eine Migrationsfalle. Sie können dann zwar einsteigen, aber nicht wieder aussteigen. Eine offene Format-Strategie ist der Indikator für echte Anbieter-Unabhängigkeit.
Fünftens: Was passiert bei einem Schrems-III-Urteil? Wenn das EU-US Data Privacy Framework morgen fällt, hat Ihr Anbieter dann noch eine Rechtsgrundlage? Wenn die Antwort lautet „nein, aber das wird nicht passieren", sollten Sie sich an die Schrems-II-Entscheidung erinnern. Damals hieß es auch erst „wird nicht passieren", bis es passiert ist.