Power Apps: DSGVO-konform & Enterprise-ready

„Ist Power Apps DSGVO-konform?" ist die falsche Frage. Die richtige lautet: „Können wir mit Power Apps eine DSGVO-konforme Anwendung bauen — und tun wir es auch?" Eine Plattform kann jede technische Voraussetzung erfüllen und trotzdem die Bühne für einen Datenschutz-Vorfall sein, wenn niemand die Voraussetzungen nutzt.

Dieser Artikel trennt sauber, was Microsoft liefert, was du verantwortest und was im Mittelstand schiefgeht. Er gehört zum Power-Platform-Leitfaden für den Mittelstand und ergänzt Power Automate und Kosten und Projektdauer.

1. Das Modell der geteilten Verantwortung — ehrlich erklärt

DSGVO-Konformität ist kein Schalter, den Microsoft umlegt. Sie ist eine geteilte Verantwortung, und der größere, riskantere Teil liegt bei dir.

Microsoft liefert die technische Grundlage (EU-Rechenzentren, Verschlüsselung, AV-Vertrag, Zertifizierungen, Sicherheitswerkzeuge — siehe Grafik). Du verantwortest die eigentliche Arbeit: Datenminimierung, Rollenkonzept, Löschkonzept, Rechtsgrundlage, Betroffeneninformation, Verarbeitungsverzeichnis, Folgenabschätzung — und die Disziplin, dass niemand „mal eben" einen Flow baut, der Personaldaten in ein Drittsystem schiebt. Die unbequeme Wahrheit: Microsofts Teil ist eingekauft; deiner ist Arbeit, die kein Anbieter dir abnimmt — und genau dort entstehen die Vorfälle.

2. Datenresidenz und Auftragsverarbeitung — die Pflicht-Hausaufgaben

Zwei Dinge gehören vor dem Produktivstart geklärt — dokumentiert, nicht „haben wir bestimmt".

Datenresidenz. Power Apps und Dataverse speichern Daten in der Region des Tenants. Für einen deutschen Mittelständler heißt das: EU-Region wählen, EU-Datengrenze aktivieren, prüfen, ob einzelne Konnektoren oder KI-Funktionen Daten außerhalb verarbeiten. Der Klassiker-Fehler: die App ist sauber in der EU, aber ein Premium-Konnektor zu einem US-Dienst zieht Daten unbemerkt heraus. Eine saubere Dataverse-Architektur macht das beherrschbar.

Auftragsverarbeitung. Das Data Protection Addendum gilt, ersetzt aber nicht deine eigene Dokumentation: Verarbeitungsverzeichnis, Rechtsgrundlage je Datenkategorie und — bei umfangreichen oder sensiblen Daten — eine Datenschutz-Folgenabschätzung. Keine Bürokratie um ihrer selbst willen, sondern das, was du im Ernstfall vorlegen musst — am Anfang fast kostenlos, nachträglich ein Vielfaches.

3. Wo es im Mittelstand wirklich schiefgeht

Aus unseren Projekten — die fünf häufigsten echten Schwachstellen:

Über-Sammeln aus Bequemlichkeit. „Erfassen wir das Geburtsdatum lieber mit, könnte man ja mal brauchen." Jedes ungenutzte Feld ist ein Risiko ohne Gegenwert — Datenminimierung ist kostenlos und wird trotzdem am häufigsten verletzt.
Rollenkonzept als nachträglicher Gedanke. App gebaut, alle sehen alles, „Rechte machen wir später". Später kommt selten. Das gehört ins Datenmodell.
Schatten-Flows. Ein Mitarbeiter spiegelt nebenbei Bewerberdaten in eine private Excel-Kopie. Ohne Governance und DLP-Policies ist das nicht verboten, nur unsichtbar — bis es auffällt.
Kein Löschkonzept. Daten werden erhoben, nie gelöscht. Nach drei Jahren liegt ein Bestand in Dataverse, für den niemand mehr eine Rechtsgrundlage benennen kann. Löschfristen gehören automatisch eingebaut.
Externe Nutzer ohne Konzept. Power Pages öffnet die App nach außen. Wer die Wahl zwischen Canvas, Model-Driven und Power Pages ohne Datenschutzbrille trifft, baut sich ein Leck.

Keiner dieser Punkte ist ein Plattform-Fehler. Alle sind Disziplin-Fehler — und genau deshalb vermeidbar.

4. Was „Enterprise-ready" konkret bedeutet

„Enterprise-ready" ist ein Marketingwort, bis man es operationalisiert. Für uns heißt es vier nachprüfbare Dinge: Umgebungstrennung und ALM (Entwicklung, Test und Produktion getrennt, Änderungen über Lösungen statt Copy-Paste), Identität und Zugriff (Anmeldung über Entra ID, möglichst mit bedingtem Zugriff und Mehr-Faktor, keine geteilten Konten, keine Flows auf persönlichen Konten — die Lehre aus dem Power-Automate-Ownership-Problem), Nachvollziehbarkeit (Audit-Protokolle aktiv und ausgewertet) und Resilienz (Monitoring, benannter Verantwortlicher, Wiederanlaufplan).

Diese vier Punkte unterscheiden professionelle Power-Apps-Entwicklung von ambitionierter Bastelei. Die Plattform kann alle vier — von selbst tut sie es nicht.

5. Eine pragmatische Checkliste vor dem Go-Live

Keine 80-Punkte-Liste, sondern die zehn Fragen, die wir vor jedem Produktivstart durchgehen:

Liegen alle Daten in der gewählten EU-Region, inklusive aller verwendeten Konnektoren?
Erheben wir nur Felder, die wir nachweislich brauchen?
Gibt es ein dokumentiertes Rollen- und Rechtekonzept — in der App umgesetzt, nicht nur auf Papier?
Existiert ein Löschkonzept mit Fristen, und ist die Löschung automatisiert?
Ist das Verzeichnis von Verarbeitungstätigkeiten aktualisiert?
Brauchen wir eine Datenschutz-Folgenabschätzung — und haben wir sie?
Sind DLP-Policies aktiv, die Schatten-Datenabflüsse verhindern?
Läuft die App in einer von Entwicklung getrennten Produktionsumgebung?
Sind Audit-Protokolle aktiv, und wertet sie jemand aus?
Gibt es einen benannten fachlichen Verantwortlichen und einen Wiederanlaufplan?

Wer alle zehn ehrlich mit „ja" beantwortet, hat keine perfekte App — die gibt es nicht — aber eine, die einer Prüfung standhält. Genau das ist der Unterschied zwischen „läuft" und „enterprise-ready".

Fazit: Konformität ist keine Eigenschaft, sondern eine Praxis

Power Apps liefert jede technische Voraussetzung für DSGVO-konforme, enterprise-taugliche Anwendungen. Aber die Plattform macht deine App nicht konform — das tust du, durch Datenminimierung, ein Rollenkonzept, ein Löschkonzept und gelebte Governance.

Drei Sätze zum Mitnehmen: Microsofts Teil ist der eingekaufte Teil — deiner ist die eigentliche Arbeit. Fast jeder Vorfall ist ein Disziplin-Fehler, kein Plattform-Fehler. Und „enterprise-ready" ist kein Zustand, sondern eine Liste bewusst getroffener Entscheidungen — am besten vor dem ersten produktiven Datensatz.

Soll eure Power App einer Prüfung standhalten?

Wir gehen mit dir die zehn Go-Live-Fragen durch und sagen dir ehrlich, wo deine App schon trägt und wo noch ein Risiko schlummert — bevor es jemand anderes findet.

Datenschutz-Check anfragen Power-Apps-Leistungen ansehen