Microsoft Copilot und Datenschutz: Was gilt, wo die Grenzen liegen und was vor dem Rollout zu tun ist

Was ist der Unterschied zwischen Microsoft 365 Copilot, Copilot Chat und dem privaten Copilot?

Unter dem Namen Copilot laufen drei verschiedene Dinge mit verschiedener Vertragslage. Microsoft 365 Copilot arbeitet in Word, Outlook, Teams und anderen Apps und greift zusätzlich auf Ihre Unternehmensdaten zu. Copilot Chat mit Unternehmensdatenschutz ist der Chat für Beschäftigte, der den Kontext der Nutzenden verwendet. Das private Copilot ist ein Verbraucherprodukt.^[1][2]

Für die beiden Unternehmensvarianten schreibt Microsoft: Die Nutzung durch Organisationen sei vom Auftragsverarbeitungsvertrag (Microsoft Products and Services Data Protection Addendum) und den Product Terms abgedeckt, Microsoft handele als Auftragsverarbeiter. Prompts und Antworten seien durch dieselben vertraglichen Zusagen geschützt wie E-Mails in Exchange und Dateien in SharePoint.^[2] Zum privaten Copilot machen die beiden ausgewerteten Microsoft-Seiten keine Angaben; sie beschreiben die Varianten für Organisationen. Gehen Sie nicht davon aus, dass der Auftragsverarbeitungsvertrag ein privates Konto abdeckt.

Die letzte Zeile ist eine Einordnung dieser Seite, keine Anbieteraussage. Die Datenschutzkonferenz empfiehlt Arbeitgebern, Dienstkonten bereitzustellen, damit Beschäftigte keine privaten Konten für dienstliche Zwecke nutzen müssen.^[3] Welche Unterschiede es zu ChatGPT, Claude und Gemini gibt, zeigt der Vergleich der vier Assistenten.

Wo bleiben die Daten, und was davon können Sie kontrollieren?

Für Nutzende in der EU bleibt der Datenverkehr nach Microsofts Angabe innerhalb der EU Data Boundary, während weltweiter Verkehr zur Verarbeitung durch die Sprachmodelle in die EU und in andere Länder oder Regionen gehen kann. Aufrufe der Sprachmodelle werden zum nächstgelegenen Rechenzentrum der Region geleitet, können bei hoher Auslastung aber auch Regionen mit freier Kapazität erreichen.^[1]

Zwei Ausnahmen nennt Microsoft ausdrücklich:

• Modelle von Anthropic: Modelle, die Anthropic als Unterauftragsverarbeiter bereitstellt, sind derzeit von der EU Data Boundary ausgenommen.^[1] Verwalter können nach Microsofts Angabe entscheiden, ob sie Modelle von Drittanbietern wie Anthropic und OpenAI einsetzen; dafür können zusätzliche Bedingungen gelten.^[1] Prüfen Sie in Ihrem Mandanten, ob diese Modelle aktiv sind.
• Web-Suchanfragen: Die EU Data Boundary gilt für sie nicht.^[2] Die Anfragen gehen an den Bing-Dienst, der getrennt von Microsoft 365 arbeitet. Dafür gelten laut Microsoft der Microsoft-Servicevertrag und die Datenschutzerklärung; Microsoft handele hier als eigenständig Verantwortlicher. Die Anfragen werden aus dem Prompt auf wenige Wörter verkürzt, ohne Nutzer- und Mandantenkennung gesendet, nicht an Werbetreibende weitergegeben und nicht zum Training der Basismodelle genutzt.^[2]

Was das für die Kontrolle heißt: Ob ein Aufruf in einem Rechenzentrum in der EU oder anderswo landet, entscheidet Microsoft zur Laufzeit, und Sie sehen es nicht. Sie sehen nur die Dokumentation, und die beschreibt Ausnahmen: Anthropic-Modelle und Web-Suchanfragen liegen außerhalb der Grenze, und bei hoher Auslastung können Aufrufe Regionen mit freier Kapazität erreichen^[1][2]. Ein Auftragsverarbeiter darf zudem unter Bedingungen weitere Auftragsverarbeiter einsetzen (Art. 28 Abs. 2 und 4 DSGVO)^[7]; bei Anthropic-Modellen nennt Microsoft das selbst ausdrücklich. Gesendetes lässt sich nicht zurückholen. Die Stelle, die Ihr Unternehmen selbst steuert, ist der Prompt: Was nicht darin steht, kann nirgends landen. Das folgt aus der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)^[10]. Es verringert, was offenliegt, und ersetzt weder Vertrag noch Rechtsgrundlage. Ainym, eine Browser-Erweiterung in geschlossener Beta, erkennt personenbezogene Daten auf Ihrem Gerät; Sie bestätigen jeden Treffer vor dem Senden, und echte Angaben werden durch Pseudonyme ersetzt. Mehr dazu in Wo landen Ihre Daten bei KI-Anbietern, und was können Sie kontrollieren?

Die Ausnahmeliste kann sich ändern; Microsoft hat die Seite zuletzt im November 2026 aktualisiert. Lesen Sie den Abschnitt zur EU Data Boundary auf der verlinkten Seite am Tag Ihrer Entscheidung.

Warum ist Oversharing das eigentliche Risiko?

Weil Copilot Ihre Berechtigungen nicht ersetzt, sondern abbildet. Microsoft schreibt: Copilot zeige nur Organisationsdaten, auf die einzelne Nutzende mindestens Leserecht haben. Deshalb sei es wichtig, die Berechtigungsmodelle der Microsoft-365-Dienste wie SharePoint richtig zu nutzen, damit die richtigen Personen und Gruppen Zugriff auf die richtigen Inhalte haben. Das schließt Berechtigungen ein, die Sie Personen außerhalb Ihrer Organisation über Zusammenarbeitslösungen wie geteilte Kanäle in Teams geben.^[1]

Das ist eine Sicherheitsaussage, kein Versprechen, dass nichts Unpassendes auftaucht. Copilot ist ein sehr schneller Suchzugang. Eine Gehaltsliste, die jemand vor Jahren für „alle im Unternehmen“ freigegeben hat, war vorher schwer zu finden, jetzt ist sie eine Frage entfernt. Der Fehler liegt in der Freigabe, sichtbar wird er durch Copilot.

Was Microsoft zur Absicherung nennt

• Identitätsgrenze: Der semantische Index beachtet die identitätsbasierte Zugriffsgrenze, sodass nur Inhalte einbezogen werden, auf die die aktuelle Person zugreifen darf.^[1]
• Vertraulichkeitsbezeichnungen: Ist ein Inhalt durch Microsoft Purview Information Protection verschlüsselt, etwa über Sensitivitätsbezeichnungen oder eingeschränkte Berechtigungen, beachtet Copilot die der Person gewährten Nutzungsrechte.^[1] Copilot erbt nach Microsoft außerdem Ihre Sensitivitätsbezeichnungen, wendet Aufbewahrungsrichtlinien an und unterstützt die Protokollierung von Interaktionen.^[2]
• Verlauf und Aufbewahrung: Prompt und Antwort werden als Copilot-Aktivitätsverlauf gespeichert. Verwalter können ihn über Inhaltssuche oder Microsoft Purview einsehen und Aufbewahrungsrichtlinien dafür festlegen; Nutzende können ihren Verlauf löschen.^[1]

Was Sie in welchem Lizenzumfang genau einstellen können, hängt nach Microsoft vom Abonnement ab: Die konkreten Kontrollen und Richtlinien variieren je nach zugrunde liegendem Tarif.^[2] Prüfen Sie das für Ihren Tarif, bevor Sie sich auf eine bestimmte Funktion verlassen.

Wie räumen Sie Berechtigungen vor dem Rollout auf?

Beginnen Sie mit den Inhalten, bei denen eine zu weite Sicht den größten Schaden anrichtet, und gehen Sie von dort nach außen. Die Schritte sind aus Microsofts Aussage abgeleitet, dass Copilot nur zeigt, was die Person lesen darf. Detaillierte Anleitungen zu SharePoint und Purview finden Sie auf Microsoft Learn; sie sind hier nicht wiedergegeben, weil sich die Bedienoberfläche oft ändert.

1. Bestand erfassen. Welche Websites, Teams und Ablagen enthalten Personalakten, Bewerbungen, Gehälter, Verträge, Mandantendaten oder Gesundheitsangaben? Verantwortlich: IT mit den Fachbereichen.
2. Weite Freigaben finden. Suchen Sie nach Freigaben an „alle“, an große Gruppen und an externe Personen, auch in geteilten Kanälen.^[1] Verantwortlich: IT.
3. Freigaben einschränken. Ziehen Sie sie auf die Gruppen zurück, die die Inhalte wirklich brauchen. Verantwortlich: Eigentümer der Inhalte.
4. Sensible Inhalte kennzeichnen. Setzen Sie Sensitivitätsbezeichnungen, wo Ihr Tarif sie vorsieht, denn Copilot beachtet die damit verbundenen Nutzungsrechte.^[1] Verantwortlich: IT und Datenschutz.
5. Pilotgruppe wählen. Starten Sie mit einer kleinen Gruppe, deren Zugriffe Sie kennen, und lassen Sie sie gezielt versuchen, Unpassendes zu finden. Verantwortlich: IT.
6. Aufbewahrung und Protokoll festlegen. Entscheiden Sie, wie lange der Aktivitätsverlauf bleibt.^[1] Verantwortlich: IT und Datenschutz.

Was gilt für Betriebsrat und Datenschutz-Folgenabschätzung?

Beides gehört vor den Start. Beim Betriebsrat sind zwei Normen einschlägig. Nach § 90 Abs. 1 Nr. 3 BetrVG muss der Arbeitgeber den Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen unterrichten, einschließlich des Einsatzes von Künstlicher Intelligenz.^[6] Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen.^[5] Weil Copilot Aktivitätsverläufe speichert und Verwalter sie einsehen können,^[1] ist die Frage ernst zu nehmen, ob diese Mitbestimmung ausgelöst wird. Diese Seite beantwortet sie nicht abschließend: Das ist eine Einzelfallfrage, zu der Rechtsprechung und Literatur zu beachten sind. Die Datenschutzkonferenz empfiehlt, eine Dienst- oder Betriebsvereinbarung zu erwägen.^[3]

Zur Datenschutz-Folgenabschätzung: Art. 35 DSGVO verlangt sie vor einer Verarbeitung, die voraussichtlich ein hohes Risiko mit sich bringt, insbesondere bei neuen Technologien.^[4] Die Datenschutzkonferenz schreibt, bei KI-Einsatz sei sie vielfach erforderlich.^[3] Bei Copilot kommt hinzu, dass der Zugriff auf alle lesbaren Inhalte auch Besondere Kategorien personenbezogener Daten erreichen kann, wenn Berechtigungen zu weit sind. Eine Schwellwertprüfung vor dem Start, dokumentiert und mit Ihrer oder Ihrem Datenschutzbeauftragten abgestimmt, ist deshalb angebracht. Mehr zum Vorgehen im Ratgeber Datenschutz-Folgenabschätzung für KI.

Welche Pflichten bleiben bei Ihnen, auch mit AVV?

Der Auftragsverarbeitungsvertrag betrifft den Vertragsteil nach Art. 28 DSGVO, der unter anderem verlangt, dass der Auftragsverarbeiter nur auf dokumentierte Weisung verarbeitet.^[7] Er ersetzt nicht:

• Rechtsgrundlage für jeden Verarbeitungsschritt mit personenbezogenen Daten, den Copilot ausführt.^[3]
• Information der Betroffenen, wenn deren Daten künftig an einem neuen Ort verarbeitet werden (Art. 14 DSGVO bei Daten, die nicht direkt bei der Person erhoben wurden).^[8]
• Verzeichnis der Verarbeitungstätigkeiten mit Zwecken, Empfängern und Fristen (Art. 30 DSGVO).^[9]
• Prüfung der Ergebnisse: Microsoft selbst schreibt, Ergebnisse seien nicht zwingend sachlich richtig, und Nutzende sollten sie vor der Weitergabe prüfen.^[1]
• Berufsgeheimnisse, wo sie gelten. Das behandeln die Ratgeber KI in der Kanzlei und KI in der Steuerkanzlei.

Dass Microsoft Ihre Daten nur nach Ihrer Weisung verarbeitet, ist eine Vertragszusage. Dass Beschäftigte keine falschen Daten eingeben und Ergebnisse prüfen, ist Ihre Organisation. Verankern Sie beides in Ihrer KI-Richtlinie.

Was ist vor dem Rollout zu erledigen?

Eine Einordnung in den Gesamtzusammenhang bietet der Ratgeber KI im Unternehmen und Datenschutz. Dieser Text ist allgemeine Information, keine Rechtsberatung; Microsofts Angaben ändern sich, lesen Sie die verlinkten Seiten am Tag Ihrer Entscheidung.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Er ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Rechtsberatung. Stand: 13. November 2026.