Microsoft Copilot ist für deutsche Unternehmen grundsätzlich DSGVO-konform einsetzbar, wenn die richtigen technischen und organisatorischen Rahmenbedingungen geschaffen werden. Microsoft schließt mit Unternehmenskunden einen Auftragsverarbeitungsvertrag ab und verarbeitet Daten aus Microsoft 365 Copilot standardmäßig in europäischen Rechenzentren. Allerdings bedeutet das nicht, dass der Einsatz automatisch rechtskonform ist. Die folgenden Fragen beleuchten die wichtigsten Datenschutzaspekte, die du vor der Einführung kennen solltest.
Wo werden die Daten bei Microsoft Copilot verarbeitet und gespeichert?
Microsoft 365 Copilot verarbeitet und speichert Daten von Unternehmenskunden in der Regel innerhalb der Europäischen Union, sofern der Tenant entsprechend konfiguriert ist. Microsoft betreibt Rechenzentren in Deutschland, den Niederlanden und anderen EU-Ländern, die als primäre Verarbeitungsstandorte für europäische Kunden dienen. Prompts, Antworten und verbundene Inhalte bleiben dabei im Microsoft-365-Ökosystem des jeweiligen Unternehmens.
Wichtig zu verstehen ist, dass Microsoft Copilot keine separaten Datensilos aufbaut. Der Dienst greift auf Inhalte zu, die bereits in Microsoft 365 gespeichert sind, also in SharePoint, Teams, Outlook und anderen Anwendungen. Die Verarbeitung erfolgt innerhalb der bestehenden Mandanteninfrastruktur, und Kundendaten werden laut Microsofts Datenschutzdokumentation nicht dazu genutzt, das zugrunde liegende Sprachmodell weiter zu trainieren. Für Unternehmen mit besonders sensiblen Daten empfiehlt sich zusätzlich die Prüfung, ob die Option “EU Data Boundary” aktiviert ist, die sicherstellt, dass Daten den europäischen Rechtsraum nicht verlassen.
Welche DSGVO-Verpflichtungen übernimmt Microsoft als Auftragsverarbeiter?
Microsoft agiert beim Einsatz von Microsoft 365 Copilot als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Das Unternehmen schließt mit seinen Unternehmenskunden einen Auftragsverarbeitungsvertrag ab, der die Verarbeitung personenbezogener Daten regelt und die Einhaltung der DSGVO-Anforderungen vertraglich sichert. Dieser Vertrag ist Bestandteil der Microsoft-Produktbedingungen und muss nicht separat ausgehandelt werden.
Konkret verpflichtet sich Microsoft in diesem Rahmen zu mehreren wesentlichen Punkten:
- Verarbeitung von Kundendaten ausschließlich nach dokumentierten Weisungen des Verantwortlichen
- Sicherstellung angemessener technischer und organisatorischer Schutzmaßnahmen
- Unterstützung bei der Erfüllung von Betroffenenrechten wie Auskunft, Löschung und Datenportabilität
- Meldung von Datenschutzverletzungen innerhalb der gesetzlich vorgeschriebenen Fristen
- Einbindung von Unterauftragsverarbeitern nur unter gleichwertigen Datenschutzbedingungen
Dennoch bleibt das nutzende Unternehmen in der Verantwortung als datenschutzrechtlich Verantwortlicher. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO liegt beim Unternehmen, nicht bei Microsoft.
Welche Datenschutzrisiken bestehen beim Einsatz von Microsoft Copilot?
Die wesentlichen Datenschutzrisiken bei Microsoft Copilot entstehen nicht durch die Plattform selbst, sondern durch unzureichende Berechtigungsstrukturen und fehlende Governance im eigenen Unternehmen. Wenn Mitarbeitende über Copilot auf Inhalte zugreifen können, auf die sie eigentlich keinen Zugriff haben sollten, entsteht ein reales Datenschutzproblem, das durch die KI sichtbar gemacht wird, aber nicht durch sie verursacht wird.
Typische Risikobereiche im Überblick:
- Übermäßige Zugriffsrechte: Copilot nutzt die bestehenden Microsoft-365-Berechtigungen. Sind Dokumente mit sensiblen Personaldaten, Gehaltsinformationen oder vertraulichen Vertragsunterlagen für zu viele Personen zugänglich, kann Copilot diese Inhalte in Antworten einbeziehen.
- Unstrukturierte Datenhaltung: Dateien ohne klare Klassifizierung und Zugriffssteuerung erhöhen das Risiko, dass vertrauliche Informationen unbeabsichtigt in Copilot-Ausgaben auftauchen.
- Fehlende Sensibilisierung der Mitarbeitenden: Wer nicht weiß, welche Daten er oder sie in Prompts eingibt, kann personenbezogene Informationen unbewusst in Verarbeitungsprozesse einbringen, die nicht dafür vorgesehen sind.
- Drittlandübermittlung: Obwohl Microsoft EU-Rechenzentren nutzt, sollte geprüft werden, ob Support-Zugriffe aus Drittländern möglich sind und wie diese vertraglich abgesichert sind.
Welche technischen und organisatorischen Maßnahmen machen Copilot DSGVO-konform?
Um Microsoft Copilot datenschutzkonform zu betreiben, braucht es ein Zusammenspiel aus technischer Absicherung und organisatorischen Regelungen. Keine einzelne Maßnahme reicht aus. Entscheidend ist ein strukturierter Ansatz, der Berechtigungsmanagement, Datenklassifizierung und Mitarbeitendenschulung verbindet.
Auf der technischen Seite sind folgende Maßnahmen besonders relevant:
- Microsoft Purview einsetzen: Das integrierte Compliance-Werkzeug ermöglicht Datenklassifizierung, Sensitivitätskennzeichnungen und den Schutz vertraulicher Inhalte. Dateien mit hohem Schutzbedarf können so aus dem Copilot-Zugriff ausgeschlossen werden.
- Berechtigungsstruktur bereinigen: Vor der Einführung sollte eine Überprüfung der Zugriffsrechte in SharePoint, Teams und OneDrive erfolgen. Das Prinzip der minimalen Rechtevergabe muss konsequent umgesetzt sein.
- EU Data Boundary aktivieren: Diese Einstellung stellt sicher, dass Daten innerhalb des europäischen Rechtsraums verbleiben.
- Audit-Logs aktivieren: Copilot-Aktivitäten sollten protokolliert werden, um Nachvollziehbarkeit und Rechenschaftspflicht zu gewährleisten.
Auf der organisatorischen Seite gehören eine Copilot-Nutzungsrichtlinie, die Schulung der Mitarbeitenden zu datenschutzkonformem Prompting sowie eine klare Zuständigkeit für Datenschutz und Governance zu den Grundvoraussetzungen. Wer Microsoft Copilot einführt, sollte diese Maßnahmen von Beginn an mitdenken, nicht nachträglich ergänzen.
Sollten deutsche Unternehmen vor dem Copilot-Einsatz eine Datenschutz-Folgenabschätzung durchführen?
Für viele deutsche Unternehmen ist eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO vor dem Einsatz von Microsoft Copilot empfehlenswert und in bestimmten Fällen sogar verpflichtend. Eine DSFA ist dann erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Copilot erfüllt mehrere Kriterien, die auf eine DSFA-Pflicht hindeuten können:
- Systematische Verarbeitung von Mitarbeitendendaten in großem Umfang
- Einsatz innovativer Technologie, deren Datenschutzfolgen noch nicht vollständig absehbar sind
- Automatisierte Verarbeitung mit möglichen Auswirkungen auf Personen
Selbst wenn keine formale Pflicht besteht, schafft eine DSFA Rechtssicherheit und dokumentiert, dass das Unternehmen seiner Rechenschaftspflicht nachgekommen ist. Die Datenschutzkonferenz (DSK) empfiehlt für KI-gestützte Systeme generell eine sorgfältige Risikoprüfung. Eine DSFA ist kein bürokratischer Aufwand, sondern ein strategisches Instrument, das hilft, Risiken frühzeitig zu erkennen und zu adressieren.
Was sagen deutsche Datenschutzbehörden zum Einsatz von KI-Tools wie Microsoft Copilot?
Die deutschen Datenschutzbehörden haben sich zu KI-Tools im Unternehmensumfeld noch nicht abschließend positioniert, aber klare Leitlinien formuliert. Die Datenschutzkonferenz betont, dass der Einsatz von KI-Systemen, die personenbezogene Daten verarbeiten, einer ausreichenden Rechtsgrundlage bedarf und transparent gestaltet sein muss. Mitarbeitende müssen in der Regel über den Einsatz solcher Systeme informiert werden.
Einige Landesdatenschutzbehörden haben konkrete Hinweise für den betrieblichen Einsatz von KI veröffentlicht. Dabei kristallisieren sich folgende Erwartungen heraus:
- Klare Zweckbindung der Datenverarbeitung durch KI-Systeme
- Nachvollziehbarkeit von KI-gestützten Entscheidungen, insbesondere wenn sie Mitarbeitende betreffen
- Einbindung des Betriebsrats, sofern KI-Systeme zur Verhaltens- oder Leistungsüberwachung genutzt werden könnten
- Prüfung der Verträge mit Anbietern auf DSGVO-Konformität
Besonders relevant: Wenn Microsoft Copilot in Bereichen eingesetzt wird, in denen Leistungsdaten von Mitarbeitenden anfallen könnten, zum Beispiel durch die Analyse von Kommunikationsmustern, ist eine Mitbestimmung des Betriebsrats nach § 87 BetrVG wahrscheinlich. Unternehmen sollten diese Frage frühzeitig klären und entsprechende Betriebsvereinbarungen schließen.
Wie Communardo Smart Work bei der DSGVO-konformen Copilot-Einführung unterstützt
Die Einführung von Microsoft Copilot ist kein rein technisches Projekt. Datenschutz, Governance und Change-Management müssen von Anfang an mitgedacht werden. Communardo Smart Work begleitet Unternehmen als zertifizierter Microsoft-Partner auf genau diesem Weg:
- Datenschutz und Compliance: Begleitung bei der DSFA, Prüfung der Vertragsgrundlagen und Konfiguration von Microsoft Purview für eine sichere Datenklassifizierung
- Technische Readiness: Analyse der bestehenden Microsoft-365-Infrastruktur, Bereinigung von Berechtigungsstrukturen und Aktivierung datenschutzrelevanter Einstellungen
- Strukturierte Einführung: Von der Strategiephase über die Pilotierung bis zum unternehmensweiten Rollout, inklusive Copilot Lab als kompaktem Einstiegsformat
- Mitarbeitendenschulung: Trainings zu datenschutzkonformem Prompting und verantwortungsvollem Umgang mit KI im Arbeitsalltag
- Erweiterungsmöglichkeiten: Bei Bedarf Einbindung von Copilot Agents für automatisierte Prozesse unter Einhaltung der Compliance-Anforderungen
Du möchtest wissen, ob dein Unternehmen bereit für einen datenschutzkonformen Copilot-Einsatz ist? Melde dich bei Communardo Smart Work und lass uns gemeinsam den nächsten Schritt planen.