Copilot DSGVO-konform nutzen: Was Microsoft zusagt und was bei Ihnen bleibt

Melden sich Mitarbeitende mit einem Arbeits- oder Schulkonto (Microsoft Entra) an, gelten für Microsoft Copilot und Copilot Chat das Data Protection Addendum (DPA) und die Product Terms; Microsoft handelt als Auftragsverarbeiter. Prompts und Antworten verwendet Microsoft nach eigenen Angaben nicht zum Training von Basismodellen. Die Daten von EU-Nutzern bleiben in der EU Data Boundary, mit Ausnahmen wie der Bing-Websuche. Um Zugriffsrechte, Berufsgeheimnis und den Inhalt Ihrer Dokumente kümmern Sie sich selbst.

Welcher Copilot ist gemeint?

Für den Datenschutz zählt, mit welchem Konto jemand angemeldet ist: Arbeits- oder Schulkonto oder privates Microsoft-Konto. Die Produktnamen helfen dabei wenig, denn Microsoft hat sie geändert. Microsoft 365 Copilot heißt jetzt Microsoft Copilot, Microsoft 365 Copilot Chat heißt Microsoft Copilot Chat; an Sicherheit, Compliance und Datenschutz für Organisationen ändert sich laut Microsoft dadurch nichts. Weil auch die App für Privatpersonen Microsoft Copilot heißt, unterscheiden Sie am besten nach Konto und Lizenz. Lizenzen und Admin-Oberflächen können übergangsweise noch „Microsoft 365 Copilot“ heißen.

Alles Folgende gilt nur für die ersten beiden Varianten. Die Seiten zu Copilot für Privatpersonen gelten ausdrücklich nur bei Anmeldung mit einem privaten Microsoft-Konto. Dort können Copilot-Chats auch Inhalte in Bing, Edge und MSN personalisieren. Ohne Microsoft-365-Abonnement kann zudem Werbung erscheinen (Datenschutzeinstellungen). Schließen Sie diese Variante für dienstliche Inhalte in Ihrer KI-Richtlinie aus. Copilot Chat zeigt Enterprise Data Protection mit einem grünen Schild neben der Schaltfläche für einen neuen Chat an; daran erkennen Mitarbeitende, dass sie im Arbeitskonto sind.

Was Microsoft für Copilot zusagt

Für Microsoft Copilot und Copilot Chat mit Arbeitskonto gelten das Microsoft Products and Services Data Protection Addendum und die Product Terms. Microsoft handelt dabei als Auftragsverarbeiter und fasst die Zusagen unter dem Begriff Enterprise Data Protection zusammen (Microsoft Learn):

• Prompts, Antworten und über Microsoft Graph abgerufene Daten werden nicht zum Training von Basismodellen verwendet.
• Daten sind im Ruhezustand und bei der Übertragung verschlüsselt; Mandanten sind voneinander isoliert.
• Copilot beachtet Ihre Berechtigungen und Vertraulichkeitsbezeichnungen, wendet Ihre Aufbewahrungsrichtlinien an und unterstützt Audits. Die genauen Kontrollen hängen vom Abonnement ab.
• Prompts und Antworten werden im Mandanten gespeichert und lassen sich über Microsoft Purview mit Aufbewahrungsrichtlinien steuern und durchsuchen (Data, Privacy, and Security for Microsoft Copilot).

EU Data Boundary und ihre Ausnahmen

Die EU Data Boundary ist Microsofts Zusage, Kundendaten und personenbezogene Daten der Enterprise-Onlinedienste in der EU und den EFTA-Staaten zu speichern und zu verarbeiten, mit dokumentierten Ausnahmen. Für Microsoft 365 fällt ein Mandant darunter, wenn er in einem EU- oder EFTA-Land angemeldet wurde. Für Copilot schreibt Microsoft, dass es Anfragen von EU-Nutzern innerhalb der EU Data Boundary verarbeitet. Drei Ausnahmen sollten Sie kennen:

• Für Suchanfragen, die Copilot an Bing schickt, gelten weder DPA noch EU Data Boundary; Microsoft handelt dafür als Verantwortlicher. Die Anfragen werden ohne Nutzer- und Mandantenkennung gesendet, können aber Begriffe aus Ihren Daten enthalten. Microsoft nennt selbst das Beispiel, dass auf die Frage nach dem eigenen Vorgesetzten dessen Name als Suchbegriff an Bing geht. Admins können die Web-Suche mit der Richtlinie „Allow web search in Copilot“ abschalten (Web search in Microsoft Copilot).
• Anthropic ist Unterauftragsverarbeiter von Microsoft. Für die Anthropic-Modelle in Copilot gelten DPA, Product Terms und Enterprise Data Protection. Sie sind aber von der EU Data Boundary ausgenommen und in der EU, der EFTA und im Vereinigten Königreich standardmäßig deaktiviert; Admins können sie einschalten (Anthropic models in Microsoft Online Services).
• Für „Anthropic models with Data Retention“ gelten DPA und Product Terms nicht; Anthropic speichert dann selbst Ein- und Ausgaben. Diese Modelle sind überall standardmäßig aus.

Copilot sieht alles, was die Person sehen darf

Microsoft Copilot zeigt nach Microsofts eigener Beschreibung nur Daten der Organisation, auf die die jeweilige Person mindestens Leserechte hat. Innerhalb Ihres Unternehmens werden damit alte, zu weite Freigaben zum Thema. Liegt eine Personalakte in einer SharePoint-Site, die für alle in der Organisation freigegeben ist, fiel das bisher oft nicht auf. Copilot kann sie in einer Antwort verwenden, sobald eine Frage dazu passt.

Microsoft selbst empfiehlt deshalb, Berechtigungen vor der Einführung zu bereinigen, und hat dafür einen Leitfaden gegen zu weit gefasste Freigaben veröffentlicht. Die Werkzeuge kommen aus Microsoft Purview und SharePoint Advanced Management, das in der Copilot-Lizenz enthalten ist. Für die Übergangszeit gibt es Restricted Content Discovery. Damit tauchen Inhalte einer SharePoint-Site nicht mehr in Copilot-Antworten und der organisationsweiten Suche auf. Die Funktion ändert keine Berechtigungen und wirkt nur auf SharePoint-Sites, OneDrive bleibt außen vor. Microsoft beschreibt sie als vorübergehende Maßnahme.

In Kanzleien und Praxen gehören Mandats- und Patientenakten deshalb in Bereiche, auf die nur das jeweilige Team Zugriff hat, idealerweise mit Vertraulichkeitsbezeichnung und Verschlüsselung. Copilot beachtet die Nutzungsrechte, die eine solche Verschlüsselung vergibt.

Dasselbe Prinzip knapper Rechte gilt für Erweiterungen. Wenn wir für Kunden eigene Anwendungen per MCP-Server an Copilot anbinden, empfehlen wir zunächst nur Lesezugriff. Copilot kann dann Daten abfragen, aber nichts im System verändern.

Copilot und Berufsgeheimnis: Was Kanzleien und Praxen prüfen müssen

Für Anwälte, Steuerberater, Ärzte und andere Berufsgeheimnisträger gilt neben der DSGVO § 203 StGB. Prüfen Sie, ob Ihr Vertrag mit Microsoft den Anbieter zur Verschwiegenheit verpflichtet, wie es § 43e BRAO und § 62a StBerG verlangen, und ob diese Verpflichtung auch Copilot erfasst; die Einzelheiten erklärt der Beitrag § 203 StGB und KI, branchenspezifisch die Seite für Kanzleien.

Word-Dokumente pseudonymisieren, dann Copilot nutzen

Copilot in Word arbeitet mit dem geöffneten Dokument. In einem Schriftsatz oder Arztbrief stehen die Namen mitten im Text. Mit dem Add-in Deckname für Word ersetzen Sie sie vorher direkt im Dokument.

1. Starten Sie das Add-in im Menüband und lassen Sie das Dokument analysieren. Prüfen Sie die Funde im Seitenbereich, nehmen Sie einzelne Werte heraus oder markieren Sie eine Textstelle selbst als vertraulich.
2. Das Add-in ersetzt die geprüften Stellen, etwa Namen, Adressen, IBANs und Aktenzeichen, durch Platzhalter wie [PERSON_1]. Die Formatierung bleibt erhalten.
3. Lassen Sie Copilot zusammenfassen, umformulieren oder einen Entwurf schreiben. Copilot arbeitet mit den Platzhaltern.
4. Holen Sie die Originalwerte mit einem Klick in das Dokument zurück. Fügen Sie eine Antwort aus dem Copilot-Fenster in den Seitenbereich ein, setzt das Add-in dort die Originalwerte ein.

Das Add-in hat drei Grenzen:

1. Liegt das Dokument in OneDrive oder SharePoint, etwa in Word im Web, ist es mitsamt Klarnamen bereits bei Microsoft gespeichert, unabhängig von Deckname. Das Add-in steuert, was Copilot im geöffneten Dokument zu sehen bekommt. Speichert Word automatisch, steht der Stand mit Platzhaltern in der Datei. Frühere Versionen in der Versionshistorie enthalten weiterhin die Originalwerte.
2. Microsoft Copilot mit Lizenz kann weitere Dateien und E-Mails heranziehen, auf die die Person Zugriff hat. Dort stehen die Namen weiterhin im Klartext.
3. Das Add-in liest keine Kommentare. Prüfen Sie diese vor der Copilot-Nutzung selbst.

Pseudonymisierung nach Art. 4 Nr. 5 DSGVO lässt die Daten für Sie personenbezogen. Die DSGVO gilt also weiter. Den Dokumenttext verarbeitet Deckname zur Erkennung auf Servern in Deutschland; Microsoft erhält über das Add-in keinen Dokumenttext. Gespeichert werden pro Sitzung nur der Sitzungsname, Metadaten und die AES-256-verschlüsselte Zuordnung. Details stehen unter Sicherheit und Datenschutz.

Quellen

1. Microsoft Learn, Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat
2. Microsoft Learn, Data, Privacy, and Security for Microsoft Copilot
3. Microsoft Learn, Microsoft Copilot Chat Privacy and Protections
4. Microsoft Products and Services Data Protection Addendum (DPA)
5. Microsoft Learn, Data, privacy, and security for web search in Microsoft Copilot
6. Microsoft Learn, What is the EU Data Boundary?
7. Microsoft Learn, Anthropic models in Microsoft Online Services
8. Microsoft Learn, Secure and governed data foundation for Microsoft Copilot
9. Microsoft Learn, Restrict discovery of SharePoint sites and content
10. Microsoft Support, Microsoft Copilot for individuals: your data, privacy, and responsible AI
11. Microsoft Support, Microsoft Copilot for individuals: your privacy controls and choices
12. Datenschutzgrundverordnung (DSGVO), EUR-Lex
13. § 203 StGB
14. § 43e BRAO

Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung.

Über Daniel Seuffer

Lead Engineer, InnoGE

Daniel Seuffer ist Lead Engineer bei der InnoGE GmbH in Fulda und entwickelt Software für Kundinnen und Kunden aus dem Mittelstand.