Microsoft Azure
Microsoft Azure ist die von der Microsoft Corporation betriebene Public-Cloud-Plattform. Sie bietet App Service, Functions, Azure SQL, Cosmos DB, Front Door für die globale Auslieferung, Application Gateway für HTTP-Lastverteilung, Application Insights für Telemetrie, Microsoft Entra ID für Identität sowie Dutzende weiterer Dienste, mit denen europäische Websites ihre Anwendungen hosten, sichern und beschleunigen. Da Azure einer US-Gesellschaft gehört, muss jeder europäische Einsatz internationale Datenübermittlungen und Einwilligungspflichten neben dem Microsoft EU Data Boundary adressieren.
Was macht Microsoft Azure?
Was Microsoft Azure tut und wie es auf einer Website erscheint
Microsoft Azure ist die Public-Cloud-Plattform der Microsoft Corporation mit Hauptsitz in Redmond, Washington. Auf einer europäischen Website erscheint Azure typischerweise als Azure App Service für die Anwendung, Azure Front Door für die globale Auslieferung, Azure Application Gateway für HTTP-Lastverteilung, Azure SQL oder Cosmos DB für Nutzerdaten, Microsoft Entra ID für die Authentifizierung und Application Insights für Telemetrie. Azure treibt zudem höhere Dienste wie Microsoft Clarity, Power BI Embedded, Azure OpenAI und Communication Services.
Microsoft bietet die EU Data Boundary Verpflichtung, mit der Speicherung und ein Großteil der Verarbeitung von Kundendaten und pseudonymen personenbezogenen Daten für die Online-Hauptdienste in der EU und EFTA bleibt. Bestimmte Support-, Telemetrie- und Identitaetsvorgaenge können weiterhin US-Systeme berühren, und Microsoft Corporation unterliegt weiterhin extraterritorialen US-Gesetzen.
Cookies und von Azure erhobene Daten
Auf Infrastrukturebene setzt Azure vor allem Session-Affinity-Cookies. Azure App Service und Front Door nutzen ARRAffinity und ARRAffinitySameSite, um Besucher an derselben Instanz zu halten. Application Gateway verwendet ApplicationGatewayAffinity und ApplicationGatewayAffinityCORS. Azure Front Door kann bei aktivierter Authentifizierung zusätzlich AzureAppProxyAccessCookie setzen. Diese Cookies gelten in der Regel als unbedingt erforderlich.
Daneben speichert Application Insights einen Nutzer- (ai_user) und Session-Identifier (ai_session) im Browser-Storage zur Nutzungsmessung. Microsoft Entra ID setzt Authentifizierungs-Cookies (ESTSAUTH, ESTSAUTHPERSISTENT) auf der Login-Domain. Höhere Produkte wie Microsoft Clarity setzen zusätzliche Analytik-Cookies, die ein vorheriges Opt-in erfordern.
DSGVO- und ePrivacy-Implikationen
Microsoft handelt als Auftragsverarbeiter im Rahmen des Microsoft Products and Services Data Protection Addendum (DPA). Der DPA integriert die Standardvertragsklauseln der Europäischen Kommission, listet Unterauftragsverarbeiter und bindet Microsoft an ISO 27001, ISO 27018, ISO 27701, SOC 2 und EU Cloud Code of Conduct. Der Website-Betreiber bleibt Verantwortlicher für jedes Cookie, das durch eine Azure-Komponente gesetzt wird.
Nach der ePrivacy-Richtlinie in nationaler Umsetzung (TTDSG bzw. TDDDG in Deutschland, LCEN in Frankreich, LSSI-CE in Spanien) sind Session-Affinity-Cookies in der Regel als unbedingt erforderlich von der vorherigen Einwilligung ausgenommen, Application Insights- und Clarity-Cookies hingegen nicht.
Internationale Datenübermittlung und EU Data Boundary
Microsoft Corporation ist unter dem EU-US Data Privacy Framework zertifiziert, was eine Angemessenheitsgrundlage für US-Übermittlungen schafft. Der EU Data Boundary, 2024 vollständig ausgerollt, hält Kundendaten und pseudonyme personenbezogene Daten für Azure, Microsoft 365, Dynamics 365 und Power Platform in EU und EFTA. Nach Schrems II bleiben Übermittlungs-Folgenabschätzung und zusätzliche Massnahmen wie Customer-Managed Keys mit Azure Key Vault HSM empfohlen.
Einwilligung und Rechtsgrundlage
Für reine Infrastruktur (Hosting, Lastverteilung, Content Delivery, Sicherheit) ist Artikel 6 Absatz 1 lit. f DSGVO (berechtigtes Interesse) die übliche Rechtsgrundlage. Für Analytik- und Personalisierungsfunktionen wie Application Insights oder Microsoft Clarity ist vor dem Skript-Aufruf eine vorherige Einwilligung über eine konforme CMP erforderlich.
Praktische Compliance-Schritte
Microsoft-DPA unterzeichnen, EU Data Boundary aktivieren, Ressourcen an EU-Regionen binden, Customer-Managed Keys im Azure Key Vault aktivieren, Microsoft Entra ID Rollen streng begrenzen, Log-Retention konfigurieren, Microsoft im Datenschutzhinweis nennen, die Übermittlungs-Folgenabschätzung dokumentieren, IP-Maskierung in Application Insights aktivieren und jedes nicht unbedingt erforderliche Cookie in die Consent Management Platform integrieren.
Microsoft Azure und die DSGVO
Microsoft Azure ist als „Nicht eingestuft“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Legitimate interest under Article 6(1)(f) GDPR for core hosting and security with a documented assessment. Consent under Article 6(1)(a) is required as soon as Azure components serve analytics (Application Insights), advertising, personalization or profile based features that set identifiers on the user device.
- Risikostufe
- medium
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive, EU-US Data Privacy Framework, Schrems II case law, German TTDSG / TDDDG, Microsoft EU Data Boundary commitment
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA empfiehlt sich, wenn Azure personenbezogene Daten in großem Umfang hostet, besondere Kategorien verarbeitet oder App Service, Application Gateway, Front Door und Application Insights mit Nutzerkennungen kombiniert. Die DSFA sollte Regionwahl, EU Data Boundary, Customer-Managed Keys, Conditional Access, Aufbewahrung, Unterauftragsverarbeiter sowie den Reaktionsplan für US-Behoerdenanfragen nach FISA 702 abdecken.
Beispieltext für Ihr Banner
Wir nutzen Microsoft Azure zum Hosting und zur Auslieferung dieser Website. Azure kann technische Session-Affinity-Cookies (ARRAffinity, ApplicationGatewayAffinity) setzen und Ihre IP-Adresse verarbeiten. Bestimmte Datenflüsse werden über US-Infrastruktur unter dem EU-US Data Privacy Framework und Standardvertragsklauseln geleitet, innerhalb des Microsoft EU Data Boundary. Mit Klick auf Akzeptieren erlauben Sie die auf Azure aufgesetzten Analytik- und Personalisierungsfunktionen.
Was Microsoft Azure setzt und kontaktiert
- Tracking-Methode
- Cloud infrastructure with session and routing cookies set by App Service, Application Gateway and Front Door
- Serverstandort
- Global, multi-region, customer configurable. EU regions include West Europe (Netherlands), North Europe (Ireland), France Central, Germany West Central, Sweden Central, Italy North, Spain Central, Norway East, Poland Central, Switzerland North.
- Datenübermittlung außerhalb der EU
- Operated by Microsoft Corporation (United States). Microsoft Entra ID, billing, and some global PaaS endpoints route through US infrastructure even when EU regions are selected. Transfers rely on Standard Contractual Clauses and the EU-US Data Privacy Framework certification under the Microsoft Online Services DPA.
Gesetzte Cookies (6)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| ARRAffinity | HTTP cookie | Session | Azure App Service and Front Door session affinity: keeps a visitor on the same backend instance. |
| ARRAffinitySameSite | HTTP cookie | Session | SameSite compliant variant of ARRAffinity used in modern browsers. |
| ApplicationGatewayAffinity | HTTP cookie | Session | Azure Application Gateway sticky session for HTTP backends. |
| ApplicationGatewayAffinityCORS | HTTP cookie | Session | Cross-origin variant of ApplicationGatewayAffinity. |
| ESTSAUTH | HTTP cookie | Session | Microsoft Entra ID authentication cookie set on the login domain (login.microsoftonline.com). |
| ai_user | localStorage | 1 year | Application Insights anonymous user identifier for telemetry. |
Kontaktierte Drittanbieter-Domains (6)
azure.comazureedge.netazurewebsites.netwindows.netmsftauth.netazurefd.net
Häufige Fragen zu Microsoft Azure
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Welche Cookies setzt Microsoft Azure?
Azure setzt vorrangig Session-Affinity-Cookies. Azure App Service und Front Door verwenden ARRAffinity und ARRAffinitySameSite (Session). Application Gateway setzt ApplicationGatewayAffinity und ApplicationGatewayAffinityCORS. Microsoft Entra ID ergänzt Authentifizierungs-Cookies (ESTSAUTH, ESTSAUTHPERSISTENT) auf seiner Login-Domain. Application Insights speichert ai_user und ai_session im Local Storage. Microsoft Clarity, auf Azure betrieben, setzt eigene Analytik-Cookies.
Ist eine Einwilligung für Azure auf einer europäischen Website erforderlich?
Session-Affinity-Cookies der Azure-Infrastruktur (ARRAffinity, ApplicationGatewayAffinity) gelten in der Regel als unbedingt erforderlich und sind nach der ePrivacy-Richtlinie von der vorherigen Einwilligung ausgenommen. Telemetriefunktionen wie Application Insights und Microsoft Clarity benötigen ein informiertes Opt-in vor dem Start.
Welche Rechtsgrundlage gilt für Verarbeitungen über Azure?
Berechtigtes Interesse nach Artikel 6 Absatz 1 lit. f DSGVO ist die Standardgrundlage für Infrastruktur-Hosting, Sicherheit und Performance. Einwilligung nach Artikel 6 Absatz 1 lit. a gilt für Analytik, Werbung und Personalisierung. Vertragsnotwendigkeit (Artikel 6 Absatz 1 lit. b) kann gelten, wenn Azure eine Funktion betreibt, die der Besucher ausdrücklich abonniert hat.
Übermittelt Microsoft Azure Daten in die USA?
Ja, auch bei gewählter EU-Region können Support-, Identitäts- und globale Dienste US-Infrastruktur durchlaufen. Die Microsoft Corporation ist unter dem EU-US Data Privacy Framework zertifiziert und der Microsoft-DPA enthält Standardvertragsklauseln. Der EU Data Boundary hält den Großteil der Kundendaten und pseudonymen personenbezogenen Daten in EU/EFTA-Rechenzentren.
Brauche ich eine DSFA für Azure?
Eine DSFA empfiehlt sich bei Azure-Verarbeitungen in großem Umfang, besonderen Kategorien oder Aggregation mehrerer Dienste (App Service, Application Gateway, Front Door, Application Insights) mit Nutzerkennungen. Dokumentiert werden Region, EU Data Boundary, Customer-Managed Keys, Aufbewahrung, Unterauftragsverarbeiter und FISA 702 Reaktionsplan.
Wie setze ich Azure DSGVO-konform um?
Microsoft-DPA unterzeichnen, EU Data Boundary aktivieren, Dienste an EU-Regionen binden, Customer-Managed Keys aktivieren, Entra ID Conditional Access begrenzen, Logs minimieren, Microsoft und Unterauftragsverarbeiter nennen, Übermittlungs-Folgenabschätzung dokumentieren, IP-Maskierung in Application Insights aktivieren und jedes nicht unbedingt erforderliche Cookie über die CMP steuern.
Gibt es DSGVO-freundlichere Alternativen zu Azure?
Für europäische Workloads bieten OVHcloud Public Cloud, Scaleway, Hetzner Cloud, IONOS Compute Engine und Open Telekom Cloud (T-Systems) EU-basierte Optionen. Für Souveraenitaetsanforderungen (GAIA-X) bieten sich Outscale, Cleura und die geplante Bleu Cloud in Frankreich an. Die Eignung hängt vom Servicemix und den Zertifizierungen ab.
Wie aktualisiere ich meine Cookie-Richtlinie nach dem Azure-Einsatz?
Microsoft Corporation als Auftragsverarbeiter nennen, die genutzten Azure-Dienste beschreiben, die technischen Cookies dokumentieren (ARRAffinity, ApplicationGatewayAffinity, ESTSAUTH), EU Data Boundary und EU-US Data Privacy Framework erläutern, auf den Microsoft-DPA verlinken und einen Kontaktpunkt für Betroffenenanfragen angeben.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.