Microsoft 365 Copilot und DSGVO: Bleiben Ihre Daten in der EU?
Kurze Antwort
Microsoft 365 Copilot nutzt Prompts, Antworten und Unternehmensdaten nicht zum Training von Modellen und ist vom Auftragsverarbeitungsvertrag von Microsoft abgedeckt. Die Daten fallen unter die EU Data Boundary, aber bei neuen EU-Kunden können Anfragen zu Spitzenzeiten außerhalb der EU verarbeitet werden (Flex Routing) – das kann ein Administrator abschalten. Copilot sieht alles, worauf der Nutzer in Microsoft 365 Zugriff hat. Die Berechtigungen für Dateien und E-Mails sind daher genauso wichtig wie die KI selbst.
Das größte Risiko sind Zugriffe, nicht die KI
Copilot findet und fasst zusammen, was der Nutzer sehen kann. Hat eine Mitarbeiterin Zugriff auf einen Ordner mit Gehaltsabrechnungen, kann Copilot auch diese in einer Antwort verwenden. Der erste Schritt ist deshalb, die Berechtigungen aufzuräumen – das ist nach der DSGVO ohnehin gute Praxis.
Wenn Daten aus anderen Systemen kommen
Soll Copilot mit einer Kundenliste, einem Stapel Lebensläufe oder einem Export aus der Lohnabrechnung arbeiten, ist es am sichersten, wenn die Namen nicht mitgehen. Mit GoalCube werden die Daten in der EU hochgeladen, und Copilot bekommt nur Codes. Die Antwort mit den echten Namen sehen nur Sie.
| Kunde | Ort | Thema | |
|---|---|---|---|
| Katharina Wolf | katharina.wolf@beispiel.de | Freiburg | Rückerstattung |
| Felix Hoffmann | felix.hoffmann@beispiel.de | Regensburg | Lieferung |
| Sabine Huber | sabine.huber@example.com | Graz | Reklamation |
| Laura Schmit | laura.schmit@example.com | Esch-sur-Alzette | Lieferung |
| Stefan Gruber | stefan.gruber@beispiel.de | Münster | Rückerstattung |
Anfrage Guten Tag, mein Name ist Katharina Wolf. Ich habe die Bestellung 7012345678 vor zwei Wochen zurückgeschickt, aber noch kein Geld erhalten. Bitte überweisen Sie es auf DE45 7605 0000 1234 5678 90. Viele Grüße, Katharina
| Kunde | Ort | Thema | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Rückerstattung |
| [PERSON_2] | [EMAIL_2] | [STED] | Lieferung |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamation |
| [PERSON_4] | [EMAIL_4] | [STED] | Lieferung |
| [PERSON_5] | [EMAIL_5] | [STED] | Rückerstattung |
Anfrage Guten Tag, mein Name ist [PERSON_1]. Ich habe die Bestellung [ID_1] vor zwei Wochen zurückgeschickt, aber noch kein Geld erhalten. Bitte überweisen Sie es auf [IBAN_1]. Viele Grüße, [PERSON_1]
Katharina Wolf und Stefan Gruber warten auf eine Rückerstattung und sollten heute eine Antwort bekommen. Laura Schmit wartet seit 10 Tagen auf ein Paket. Antwortvorschlag an Katharina Wolf: "Guten Tag Katharina Wolf, vielen Dank für Ihre Geduld. Das Geld ist unterwegs und innerhalb von 5 Werktagen auf Ihrem Konto."
[PERSON_1] und [PERSON_5] warten auf eine Rückerstattung und sollten heute eine Antwort bekommen. [PERSON_4] wartet seit 10 Tagen auf ein Paket. Antwortvorschlag an [PERSON_1]: "Guten Tag [PERSON_1], vielen Dank für Ihre Geduld. Das Geld ist unterwegs und innerhalb von 5 Werktagen auf Ihrem Konto."
| Kandidat | Geboren | ID-Nummer | Arbeitgeber | Erfahrung |
|---|---|---|---|---|
| Claudia Neumann | 1985-03-12 | 47036892816 | Schwarzwald Holz GmbH | 12 |
| Daniel Krüger | 1992-11-02 | 58217430965 | Weser Logistik GmbH | 4 |
| Andrea Steiner | 1988-06-21 | 3847 210688 | Steirische Metallwerke GmbH | 9 |
| Matthias Becker | 1979-01-30 | 71938046250 | Rheinpharma AG | 18 |
Lebenslauf Claudia Neumann arbeitet seit 12 Jahren mit Budgetplanung und Monatsberichten bei der Schwarzwald Holz GmbH. Sie hat ein neues ERP-System eingeführt und leitet ein Team von drei Personen. Kontakt: claudia.neumann@beispiel.de.
| Kandidat | Geboren | ID-Nummer | Arbeitgeber | Erfahrung |
|---|---|---|---|---|
| [PERSON_1] | 40–49 Jahre | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 Jahre | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 Jahre | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 Jahre | [ID_4] | [VIRKSOMHED_4] | 18 |
Lebenslauf [PERSON_1] arbeitet seit 12 Jahren mit Budgetplanung und Monatsberichten bei der [VIRKSOMHED_1]. Sie hat ein neues ERP-System eingeführt und leitet ein Team von drei Personen. Kontakt: [EMAIL_1].
Claudia Neumann und Andrea Steiner haben mehr als 5 Jahre Erfahrung und sollten zum Gespräch eingeladen werden; fragen Sie Andrea Steiner nach Erfahrung mit ERP-Systemen. Daniel Krüger hat 4 Jahre Erfahrung; gefordert sind 5. Die Entscheidung trifft ein Mensch.
[PERSON_1] und [PERSON_3] haben mehr als 5 Jahre Erfahrung und sollten zum Gespräch eingeladen werden; fragen Sie [PERSON_3] nach Erfahrung mit ERP-Systemen. [PERSON_2] hat 4 Jahre Erfahrung; gefordert sind 5. Die Entscheidung trifft ein Mensch.
| Lieferant | Ansprechpartner | Konto | Läuft aus |
|---|---|---|---|
| Allgäu Komponenten GmbH | Jürgen Maier | DE85 2004 0000 0628 7411 90 | 2027-01-31 |
| Donau Cloud GmbH | Petra Leitner | AT97 2011 1837 5400 1234 | 2026-12-31 |
| Neckar Präzisionstechnik GmbH | Simon Fischer | DE03 6005 0101 7492 0461 35 | 2028-06-30 |
| Lausitzer Verpackung GmbH | Nicole Braun | DE61 7905 0000 3581 9462 70 | 2027-03-31 |
Konditionen Allgäu Komponenten liefert Spezialkomponenten für Projekt Bergkristall. Der Preis wird jährlich um den Verbraucherpreisindex plus 3 % angepasst. Die Haftung ist auf 10 % des jährlichen Vertragswerts begrenzt. Bei Änderungen wenden Sie sich an Jürgen Maier.
| Lieferant | Ansprechpartner | Konto | Läuft aus |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Konditionen [VIRKSOMHED_1] liefert Spezialkomponenten für [PROJEKT_1]. Der Preis wird jährlich um den Verbraucherpreisindex plus 3 % angepasst. Die Haftung ist auf 10 % des jährlichen Vertragswerts begrenzt. Bei Änderungen wenden Sie sich an [PERSON_1].
Der Vertrag mit Allgäu Komponenten GmbH verlängert sich automatisch, wenn er nicht bis zum 31. Oktober gekündigt wird. Er ist wichtig für ein internes Projekt, also verhandeln Sie lieber den Preis neu, statt zu kündigen. Der Vertrag mit Lausitzer Verpackung GmbH verlängert sich ebenfalls automatisch; die Frist ist der 31. Dezember.
Der Vertrag mit [VIRKSOMHED_1] verlängert sich automatisch, wenn er nicht bis zum 31. Oktober gekündigt wird. Er ist wichtig für ein internes Projekt, also verhandeln Sie lieber den Preis neu, statt zu kündigen. Der Vertrag mit [VIRKSOMHED_4] verlängert sich ebenfalls automatisch; die Frist ist der 31. Dezember.
So gehen Sie vor
- Räumen Sie die Zugriffe auf.Copilot findet alles, worauf die Mitarbeitenden Zugriff haben. Prüfen Sie freigegebene Ordner und SharePoint.
- Schalten Sie Flex Routing ab, wenn die Daten in der EU bleiben sollen.Ein Administrator kann es abschalten.
- Kennzeichnen Sie vertrauliche Dokumente.Nutzen Sie Vertraulichkeitsbezeichnungen, damit Copilot sie beachtet.
- Erfassen Sie die Nutzung.Vor allem, wenn Copilot im Personalwesen oder mit Kundendaten genutzt wird.
- Pseudonymisieren Sie, wenn die KI mit Daten aus anderen Systemen arbeiten soll.Mit GoalCube bekommt Copilot nur Codes.
Das sagt das Gesetz
- Art. 25 und 32 DSGVO
- Datenschutz durch Technikgestaltung und angemessene Sicherheit – einschließlich Zugriffssteuerung.
- Art. 44–46 DSGVO
- Eine Verarbeitung außerhalb der EU braucht eine Grundlage.
Fragen und Antworten
Trainiert Microsoft mit unseren Daten?
Nein. Laut Microsoft werden Prompts, Antworten und Unternehmensdaten in Microsoft 365 Copilot nicht zum Training von Basismodellen verwendet.
Was ist Flex Routing?
Bei neuen EU-Kunden können Copilot-Anfragen außerhalb der EU verarbeitet werden, wenn viel los ist. Ein Administrator kann das abschalten.
Lässt sich Copilot mit GoalCube nutzen?
Ja, über Agenten in Copilot Studio. Die Lizenzanforderungen sind noch nicht bestätigt, und Copilot wird noch getestet.
Quellen
- Microsoft: Data, privacy and security for Microsoft 365 Copilot
- Microsoft: Copilot flex routing
- Microsoft: EU Data Boundary
Geschrieben von GoalCube-Redaktion. Zuletzt aktualisiert 11. Oktober 2026. GoalCube hilft Ihnen, die KI-Verordnung und die DSGVO einzuhalten. Es ist keine Rechtsberatung.
Seien Sie unter den Ersten.
Wir planen den Start im November 2026. Merken Sie sich vor, dann hören Sie von uns, sobald Sie loslegen können.