Dynamics 365 auf der Website: unauffällig, aber alles andere als cookie-frei
Wenn du ein Kontaktformular oder eine Newsletter-Anmeldung von Dynamics 365 auf deiner Website eingebunden hast, passiert im Hintergrund mehr, als das schlichte Formularfeld vermuten lässt. Wir haben uns angeschaut, was beim Laden und beim Absenden wirklich an Microsoft geht – und das ist einiges: automatische Verbindungen, Tracking-Cookies und ein Datentransfer in die USA. Kurz: spürbarer Aufwand mit mehreren Datenschutzpflichten.
Überblick
Was ist Dynamics 365?
Dynamics 365 ist Microsofts CRM- und Marketing-Plattform für Unternehmen. Für Website-Betreiber relevant ist vor allem ein Baustein daraus: das einbettbare Formular, mit dem sich Kontaktanfragen, Event-Anmeldungen oder Newsletter-Eintragungen direkt in Microsofts System übertragen lassen.
| Dynamics 365 – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🔴 | Setzt beim Absenden nicht-essenzielle Tracking-Cookies. |
| Externe Verbindungen | 🔴 | Lädt beim bloßen Seitenaufruf automatisch Formular-Skripte von Microsoft-Servern. |
| Datenschutzerklärung | 🔴 | Muss namentlich in der Datenschutzerklärung stehen. |
| Drittlandtransfer | 🔴 | Formulardaten landen bei der Microsoft Corporation in den USA. |
| Auftragsverarbeitung | 🔴 | Ein Vertrag mit Microsoft zur Auftragsverarbeitung ist nötig. |
| Benutzereingaben | 🔴 | Formular erfasst aktiv Kontaktdaten der Besucher. |
| KI-Verarbeitung | 🟢 | Das Formular selbst übergibt keine Besucherdaten an eine KI. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Besucher?
Sobald jemand eine Seite mit deinem Dynamics-365-Formular öffnet, lädt dein Browser automatisch ein Skript von einem Microsoft-Server, das das Formular überhaupt erst anzeigt – und das passiert unabhängig davon, ob am Ende wirklich jemand etwas einträgt. Schon dieser Ladevorgang ist eine Verbindung zu Microsoft.
Trägt jemand seine Kontaktdaten ein und schickt das Formular ab, wandern Name, E-Mail-Adresse und die übrigen Formularfelder direkt zu Microsoft und landen dort in deinem Dynamics-365-System als neuer Kontakt oder Lead.
Gleichzeitig setzt Dynamics 365 in diesem Moment eine Cookie-ID im Browser des Besuchers, die diesen Browser über ein Jahr lang wiedererkennt und mit dem neu angelegten Kontakt verknüpft – so lässt sich nachvollziehen, wer später noch einmal auf deiner Seite vorbeischaut.
Weil Microsoft für den europäischen Markt über die irische Tochtergesellschaft auftritt, im Hintergrund aber die US-amerikanische Muttergesellschaft als Dienstleister mitarbeitet, geht ein Teil dieser Daten auch in die USA. Für all das brauchst du einen Vertrag mit Microsoft zur Auftragsverarbeitung und einen passenden Eintrag in deiner Datenschutzerklärung.
Cookies
Welche Cookies setzt Dynamics 365?
Dynamics 365 setzt zwei Cookies, sobald jemand dein Formular abschickt: Einen, der das Klick- und Besuchsverhalten auf deiner Seite über ein Jahr hinweg mit dem neuen Kontakt verknüpft, und einen zweiten, der die konkrete Formularübermittlung markiert und ebenfalls ein Jahr lang aktiv bleibt. Microsoft selbst stuft beide Cookies in seiner eigenen Dokumentation ausdrücklich als „nicht essenziell“ ein – sie dienen der Verhaltensanalyse und der Personalisierung, nicht dem technischen Betrieb des Formulars. Damit sind sie zustimmungspflichtig. Dein Cookie-Banner muss diesen Cookie blockieren, bis der Besucher zustimmt.
Praktisch bedeutet das: Ohne Einwilligung darf Dynamics 365 die Cookie-ID gar nicht erst setzen, sonst verlierst du die Nachverfolgung über mehrere Besuche – Microsoft bietet dafür eine eigene Funktion an, mit der sich diese Cookies technisch an die Zustimmung koppeln lassen.
Externe Verbindungen
Welche Verbindungen baut Dynamics 365 auf?
Damit dein Formular überhaupt angezeigt wird, lädt deine Seite automatisch ein Ladeskript sowie die eigentliche Formularvorlage von Microsoft-Servern – und zwar bei jedem Seitenaufruf, nicht erst beim Absenden. Dabei überträgt der Browser deines Besuchers zwangsläufig seine IP-Adresse an Microsoft, noch bevor überhaupt ein Feld ausgefüllt wurde. Diese Verbindung ist nicht für den Betrieb deiner Website als Ganzes notwendig – ohne sie fehlt lediglich das Formular selbst, der Rest deiner Seite funktioniert weiter. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt.
Das lässt sich technisch so lösen, dass das Formular erst nach der Zustimmung überhaupt nachgeladen wird, zum Beispiel über eine Zwei-Klick-Lösung oder eine entsprechende Einstellung in deinem Cookie-Banner.
Benutzereingaben
Was passiert mit den Formulardaten der Besucher?
Über das Dynamics-365-Formular tragen deine Besucher aktiv Kontaktdaten ein – typischerweise Name und E-Mail-Adresse, je nach Formularaufbau auch Telefonnummer oder Freitext-Nachrichten. Diese Angaben gehen erst raus, wenn das Formular abgeschickt wird – ein Cookie-Banner hilft hier nicht, weil die Übertragung an eine aktive Handlung des Besuchers geknüpft ist und nicht am Seitenaufruf hängt. Direkt beim Formular muss trotzdem ein Hinweis auf deine Datenschutzerklärung stehen, damit der Besucher vor dem Absenden weiß, wo seine Daten landen. Weil die Daten direkt an Microsofts Server gehen und dort weiterverarbeitet werden, brauchst du zusätzlich einen Vertrag mit Microsoft zur Auftragsverarbeitung.
Drittlandtransfer
Gehen die Formulardaten in die USA?
Dynamics 365 überträgt Daten deiner Besucher in die USA. Vertragspartner für Kunden in der EU ist zwar die irische Microsoft-Tochter mit Sitz in Dublin, im Hintergrund verarbeitet aber die amerikanische Muttergesellschaft Microsoft Corporation die Daten mit. Microsoft hat sich dafür gegenüber der US-Regierung verpflichtet, ein bestimmtes Datenschutzniveau einzuhalten, das die EU als ausreichend anerkennt – diese Selbstverpflichtung ist aktuell die rechtliche Grundlage für den Datentransfer in die USA. Für dich als Website-Betreiber ändert das nichts an der grundsätzlichen Pflicht, den Transfer in deiner Datenschutzerklärung zu erwähnen.
Auftragsverarbeitung
Brauchst du einen Vertrag mit Microsoft?
Ja, du brauchst einen Vertrag mit Microsoft zur Auftragsverarbeitung, weil Microsoft die Formulardaten deiner Besucher ausschließlich nach deinen Vorgaben verarbeitet und speichert – du bleibst rechtlich verantwortlich, Microsoft übernimmt die technische Ausführung. Microsoft stellt diesen Vertrag als festen Bestandteil seiner Nutzungsbedingungen automatisch bereit, sobald du Dynamics 365 einsetzt; ein separates Anschreiben oder eine Unterschrift per Post ist dafür nicht nötig, der Vertrag findet sich in deinem Microsoft-Konto beziehungsweise in den Vertragsunterlagen zu deinem Dynamics-365-Abo.
Datenschutzerklärung
Muss Dynamics 365 in deine Datenschutzerklärung?
Dynamics 365 muss namentlich in deine Datenschutzerklärung, weil das Formular automatisch Verbindungen zu Microsoft aufbaut, Cookies setzt und im Anschluss an eine Formularübermittlung Kontaktdaten in die USA überträgt. Nenne dabei sowohl den Anbieter als auch kurz, wofür du das Formular einsetzt – etwa Kontaktaufnahme oder Newsletter-Anmeldung.
Wir nutzen Dynamics 365 für CRM & Marketing-Automation.
Dynamics 365 setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Microsoft Corporation auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Wenn du über ein Formular von Dynamics 365 deine Daten eingibst, werden diese an Microsoft Corporation übermittelt. Soweit Microsoft Corporation die Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Bei der Nutzung von Dynamics 365 kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung ist das EU-US Data Privacy Framework.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Dynamics 365?
Hier siehst du, wo Dynamics 365 im DSGVO-Vergleich zu anderen CRM & Marketing-Automation steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Dynamics 365 in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Dynamics 365 in unseren DSGVO-Checks am häufigsten vor?
Dynamics 365 taucht bei 1 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Dynamics 365 gefunden wurde.
DSGVO-Check
Warum lohnt sich ein DSGVO-Check für dein Dynamics-365-Formular?
Ein Scan zeigt dir direkt, ob dein Dynamics-365-Formular auf deiner Website aktiv ist, welche Verbindungen es tatsächlich aufbaut und welche Cookies dabei fallen – ohne dass du selbst durch Quellcode oder Browser-Entwicklertools wühlen musst. Gerade bei einem eingebetteten Fremdformular wie diesem ist auf den ersten Blick oft gar nicht erkennbar, dass im Hintergrund schon beim Laden eine Verbindung zu Microsoft entsteht.
Jeder DSGVO-Scan liefert uns außerdem echte technische Signale, die wir bekannten Tools zuordnen oder als neuen Fall aufnehmen und weiter recherchieren – dadurch erkennt datenrein.de mit der Zeit immer mehr Tools zuverlässig, wovon am Ende jeder Website-Betreiber profitiert, der bei uns scannt.
