Microsoft Copilot verarbeitet Ihre Daten innerhalb Ihrer eigenen Microsoft-365-Umgebung; die Inhalte werden nicht zum Training der öffentlichen Modelle verwendet, und für den Datenschutz gelten dieselben vertraglichen Grundlagen wie für Microsoft 365. Das eigentliche Datenschutz-Thema liegt woanders: Copilot zeigt jedem Mitarbeitenden alles, worauf er ohnehin zugreifen darf — und macht damit sichtbar, was über Jahre an zu weit gefassten Berechtigungen entstanden ist.
Der Satz, der in Einführungsprojekten am häufigsten fällt, lautet: „Copilot hat mir das Gehaltsblatt der Geschäftsführung zusammengefasst." Nicht, weil Copilot eine Lücke hätte. Sondern weil die Datei in einem Ordner lag, auf den ein zu großer Personenkreis Zugriff hatte — seit Jahren, nur hat vorher niemand danach gesucht.
Das ist die gute Nachricht an dieser Stelle: Die Arbeit, die vor Copilot ansteht, ist keine Copilot-Arbeit. Sie ist Hausaufgabe, die ohnehin fällig war, und sie zahlt auf Audit, Versicherung und Datenschutz gleichzeitig ein.
Ist Microsoft Copilot DSGVO-konform?
Die Frage lässt sich für ein Werkzeug nicht pauschal beantworten, sondern nur für seinen Einsatz in einem konkreten Unternehmen. Was Microsoft mitbringt: Die Verarbeitung findet innerhalb der Grenzen Ihres Microsoft-365-Vertrags statt, die Inhalte fließen nicht in das Training der öffentlichen Modelle, und es gibt einen Auftragsverarbeitungsvertrag samt EU-Datengrenze.
Was Ihr Unternehmen beitragen muss: die Antwort auf die Frage, wer über Copilot auf welche Daten zugreifen kann. Dieser Teil steht in keinem Microsoft-Vertrag, weil er von Ihren Berechtigungen abhängt. Aufsichtsbehörden und Betriebsräte fragen genau danach — nicht, ob Copilot sicher ist, sondern was Ihre Mitarbeitenden damit sehen können.
Eine Einordnung zum Umgang mit diesem Text: Die folgenden Punkte beschreiben die technische und organisatorische Vorbereitung. Die datenschutzrechtliche Bewertung für Ihr Haus — Verzeichnis der Verarbeitungstätigkeiten, Folgenabschätzung, Mitbestimmung — gehört zu Ihrem Datenschutzbeauftragten und Ihrer Rechtsberatung.
Die Checkliste: zehn Punkte vor dem ersten Copilot-Konto
- 1Berechtigungen prüfen: Wer hat heute Zugriff auf welche Bereiche in SharePoint, Teams und OneDrive? Das ist der mit Abstand wichtigste Punkt — alles Weitere baut darauf auf.
- 2Zu weit gefasste Freigaben schließen: Links nach dem Muster „jeder mit dem Link" und unternehmensweite Zugriffe auf Ordner, die nur ein Team betreffen.
- 3Zugriffe ausgeschiedener Mitarbeitender beenden — Konten, die noch bestehen, sehen über Copilot weiter mit.
- 4Sensible Bereiche kennzeichnen: Personalakten, Gehälter, Verträge, Gesundheitsdaten. Was gekennzeichnet ist, lässt sich gezielt ausnehmen.
- 5Datenabfluss-Regeln festlegen, damit gekennzeichnete Inhalte nicht per Copilot in Dokumente wandern, die nach außen gehen.
- 6Aufbewahrung klären: Copilot-Verläufe sind Daten wie andere auch — wie lange sie bleiben, sollte eine Entscheidung sein, kein Zufall.
- 7Verarbeitungstätigkeit dokumentieren, gemeinsam mit dem Datenschutzbeauftragten.
- 8Betriebsrat einbeziehen, wo einer besteht. Ein Werkzeug, das Arbeitsergebnisse auswertet, ist regelmäßig mitbestimmungspflichtig.
- 9Nutzungsregel für Mitarbeitende schreiben, eine Seite: was darf hinein, was nicht, wer haftet für das Ergebnis.
- 10Pilotgruppe statt Vollausrollung: zehn Personen, vier Wochen, danach prüfen, was Copilot tatsächlich zu sehen bekommt.
Punkt eins bis drei sind die eigentliche Arbeit; sie machen in der Praxis den größten Teil des Aufwands aus. Wer sie erledigt hat, hat nebenbei die häufigste Prüffrage aus Audits und Versicherungsfragebögen beantwortet.
Woran Copilot-Projekte im Mittelstand scheitern
Nach unserer Erfahrung selten an der Technik. Die Lizenzen sind gekauft, die Anmeldung funktioniert, und dann bleibt das Projekt an einer von drei Stellen stehen: Der Betriebsrat stellt Fragen, die niemand vorbereitet hat. Die Geschäftsführung sieht im Pilotbetrieb, was Copilot alles findet, und stoppt den Rollout. Oder der Datenschutzbeauftragte fordert eine Dokumentation, die erst nachträglich erstellt werden muss — mitten im laufenden Projekt.
Alle drei Fälle haben dieselbe Ursache: Die Berechtigungen wurden nicht vorher aufgeräumt. Und alle drei kosten mehr Zeit als die Vorbereitung gekostet hätte.
Was es kostet, Copilot ohne Vorbereitung freizuschalten
Der Rollout wird gestoppt, nachdem die Lizenzen bereits laufen — bezahlte Arbeitsplätze ohne Nutzen. Der Betriebsrat verhandelt aus einer Position, in der das Werkzeug schon im Haus ist. Und im ungünstigen Fall hat ein Mitarbeitender Informationen gesehen, die ihn nichts angehen, was sich weder zurücknehmen noch aus einem Protokoll löschen lässt. Die Vorbereitung dauert Wochen. Ein gestoppter Rollout kostet Monate.
Häufige Fragen zum Thema
Ist Microsoft Copilot DSGVO-konform?+
Die Verarbeitung findet innerhalb Ihrer Microsoft-365-Umgebung statt, die Inhalte fließen nicht in das Training der öffentlichen Modelle, und es besteht ein Auftragsverarbeitungsvertrag mit EU-Datengrenze. Ob der Einsatz in Ihrem Haus datenschutzkonform ist, hängt zusätzlich von Ihren Berechtigungen und Ihrer Dokumentation ab — das bewertet Ihr Datenschutzbeauftragter.
Werden unsere Daten zum Training von KI-Modellen verwendet?+
Nein. Inhalte aus Ihrer Microsoft-365-Umgebung werden nach Microsofts Vertragsbedingungen nicht zum Training der öffentlichen Modelle genutzt. Das gilt für die kommerziellen Copilot-Lizenzen, nicht automatisch für kostenlose KI-Werkzeuge, die Mitarbeitende privat nutzen.
Kann Copilot Daten anzeigen, die ein Mitarbeitender nicht sehen darf?+
Copilot hält sich an die bestehenden Berechtigungen und zeigt nur, worauf der jeweilige Nutzer ohnehin Zugriff hat. Das Problem entsteht dort, wo Berechtigungen über Jahre zu weit gefasst wurden: Was vorher niemand gefunden hat, ist über Copilot in Sekunden auffindbar.
Brauchen wir eine Betriebsvereinbarung für Copilot?+
Wo ein Betriebsrat besteht, ist ein Werkzeug, das Arbeitsergebnisse auswertet, regelmäßig mitbestimmungspflichtig. Die verbindliche Auskunft dazu gibt Ihre arbeitsrechtliche Beratung — einplanen sollten Sie das Thema in jedem Fall vor dem Rollout, nicht danach.
Wie lange dauert die Vorbereitung?+
Der Berechtigungs-Check und das Schließen der offensichtlichen Lücken dauern je nach Größe zwei bis sechs Wochen. Kennzeichnung sensibler Bereiche und Nutzungsregel laufen parallel. Ein Pilotbetrieb mit zehn Personen über vier Wochen zeigt danach zuverlässig, ob noch etwas offen ist.
Bevor Copilot sieht, was jahrelang niemand gesucht hat.
Der Nexus.365 Security Scan wertet Berechtigungen und Freigaben Ihrer Microsoft-365-Umgebung read-only aus — die Grundlage für Punkt eins bis drei der Checkliste. Festpreis und Enddatum stehen vor Beginn fest.
Security Scan starten