Wo werden die Daten verarbeitet?
Microsoft bietet für Power Automate und Power Apps die Möglichkeit, den Datenspeicherort auf eine bestimmte Region festzulegen. Für deutsche Behörden ist in der Regel die EU-Region relevant, in der Daten ausschließlich in Rechenzentren innerhalb der Europäischen Union verarbeitet werden. Das muss bei der Ersteinrichtung der Power-Platform-Umgebung geprüft und korrekt konfiguriert werden — es passiert nicht automatisch von selbst.
Braucht es einen Auftragsverarbeitungsvertrag (AVV)?
Ja. Wenn personenbezogene Daten über Power Automate oder Power Apps verarbeitet werden, ist ein Auftragsverarbeitungsvertrag mit Microsoft erforderlich (Art. 28 DSGVO). Microsoft stellt diesen im Rahmen der Microsoft-365- bzw. Power-Platform-Lizenzverträge standardmäßig bereit — er muss aber aktiv geprüft und in der eigenen Dokumentation berücksichtigt werden.
Ein AVV vorhanden zu wissen reicht nicht — er muss in Ihrer eigenen Datenschutzdokumentation konkret referenziert sein.
Muss ein neuer Flow ins Verfahrensverzeichnis?
In den meisten Fällen ja, sobald personenbezogene Daten verarbeitet werden — was bei Genehmigungs-, Antrags- oder Personalprozessen praktisch immer der Fall ist. Der Eintrag ins Verfahrensverzeichnis ist unabhängig vom eingesetzten Tool eine gesetzliche Pflicht nach Art. 30 DSGVO — Power Automate macht diese Pflicht nicht überflüssig, kann aber durch automatische Protokollierung die Dokumentation erleichtern.
Was ist mit Premium-Connectoren und Drittanbietern?
Hier ist besondere Vorsicht geboten: Manche Power-Automate-Connectoren verbinden zu Drittanbieter-Diensten außerhalb der Microsoft-Umgebung. Sobald ein Flow einen solchen Connector nutzt, verlässt die Datenverarbeitung möglicherweise die EU-Region — das sollte vor dem Bau eines Flows geprüft werden, nicht erst danach.
Reicht die Standard-Konfiguration für eine Datenschutz-Folgenabschätzung?
Das hängt vom Einzelfall ab. Bei Verarbeitungen mit hohem Risiko kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein — unabhängig vom eingesetzten Tool. Bei einem klassischen Genehmigungs- oder Antragsprozess ist das in der Regel nicht der Fall, sollte aber im Zweifel mit dem oder der Datenschutzbeauftragten abgestimmt werden.
Fazit
Power Automate und Power Apps lassen sich DSGVO-konform betreiben — aber "lässt sich" heißt nicht "ist automatisch". Datenregion, AVV, Verfahrensverzeichnis und Connector-Auswahl sind die vier Punkte, die vor dem ersten Projekt geklärt sein sollten, nicht danach. Genau das ist Teil unserer Beratung & Projektbegleitung.
Wir prüfen diese Punkte in jedem Projekt gemeinsam mit Ihnen — im kostenlosen Erstgespräch geben wir Ihnen eine erste Einschätzung.