Microsoft 365 und Copilot

Start › IT-Recht › Datenschutz › Microsoft 365 und Copilot

Microsoft 365 ist in vielen Unternehmen, Behörden und Schulen Standard. Seit Jahren wird gestritten, ob der Einsatz datenschutzkonform möglich ist. Mit Copilot kommen neue Fragen hinzu. Wir zeigen, wie der Stand im November 2026 ist und was Verantwortliche konkret dokumentieren sollten.

Microsoft 365 Datenschutz: Die Position der Aufsichtsbehörden

Die Datenschutzkonferenz (DSK) kam im November 2022 zu dem Ergebnis, dass Verantwortliche auf Grundlage des damaligen Datenschutznachtrags von Microsoft den Nachweis eines datenschutzkonformen Betriebs nicht führen können. Kritisiert wurden vor allem unklare eigene Verarbeitungszwecke von Microsoft, Telemetrie- und Diagnosedaten, Lösch- und Informationsprozesse sowie die Übermittlungen in die USA.

Seitdem hat sich die Lage verändert. Seit Juli 2023 gilt das EU-US Data Privacy Framework, bei dem Microsoft zertifiziert ist. Mit der EU Data Boundary verarbeitet Microsoft Kundendaten weitgehend im EWR. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat im November 2025 nach Verhandlungen mit Microsoft berichtet, dass die Kritikpunkte der DSK für die hessische Landesverwaltung ausgeräumt werden können, wenn die Verantwortlichen zusätzliche Maßnahmen umsetzen. Der Hamburgische Datenschutzbeauftragte hat ein Projekt der Senatskanzlei begleitet und kam zu ähnlichen Ergebnissen. Der Europäische Datenschutzbeauftragte hat im Juli 2025 den Einsatz bei der EU-Kommission nach Korrekturen nicht mehr beanstandet.

Die DSK-Festlegung von 2022 ist Stand November 2026 nicht formell aufgehoben. Andere Landesbehörden können daher strenger prüfen. Für Unternehmen bedeutet das: Ein Einsatz ist vertretbar, wenn er sauber konfiguriert und dokumentiert ist.

Was Verantwortliche konkret tun sollten

• Aktuelles Microsoft Products and Services Data Protection Addendum (DPA) einbinden und gegen Art. 28 DSGVO prüfen.
• Diagnosedaten auf das erforderliche Minimum setzen, optionale verbundene Erfahrungen bewusst steuern.
• EU Data Boundary und Speicherorte dokumentieren; Customer Lockbox und kundenseitige Schlüssel prüfen.
• Verzeichnis der Verarbeitungstätigkeiten ergänzen, Datenschutzhinweise für Beschäftigte und externe Teilnehmer anpassen.
• Datenschutz-Folgenabschätzung durchführen, wenn sensible Daten, umfangreiche Auswertungen oder Copilot im Spiel sind.
• Löschfristen für Teams-Chats, Aufzeichnungen und Postfächer festlegen.
• Exit-Strategie für den Fall festhalten, dass sich Rechtslage oder Vertragsbedingungen ändern.

Microsoft 365 Copilot: Datenschutz und KI-Verordnung

Copilot greift auf alle Inhalte zu, die der jeweilige Nutzer in Microsoft Graph sehen darf: Mails, Dateien, Chats, Kalender. Das größte praktische Risiko sind deshalb nicht die Sprachmodelle, sondern zu weit gefasste Berechtigungen. Was bisher in vergessenen SharePoint-Ordnern lag, wird über Copilot plötzlich auffindbar. Vor dem Rollout sollten Freigaben bereinigt und Vertraulichkeitsbezeichnungen eingeführt werden.

Microsoft sagt zu, Prompts und Antworten im kommerziellen Copilot nicht zum Training der Basismodelle zu verwenden, und ordnet die Verarbeitung der Auftragsverarbeitung zu. Ob Websuche-Funktionen und Plug-ins davon erfasst sind, muss im Einzelfall geprüft und gegebenenfalls abgeschaltet werden.

Nach der KI-Verordnung ist ein Unternehmen, das Copilot einsetzt, Betreiber eines KI-Systems. Seit dem 2. Februar 2025 gilt die Pflicht, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen (Art. 4 KI-VO). Wird Copilot für Entscheidungen über Beschäftigte genutzt, etwa zur Leistungsbewertung, können weitere Pflichten bis hin zu Hochrisiko-Vorgaben greifen. Eine interne KI-Richtlinie regelt, welche Daten eingegeben werden dürfen und wie Ergebnisse zu prüfen sind.

Betriebsrat und Mitbestimmung

Microsoft 365 und Copilot sind technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Der Betriebsrat hat daher ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Eine Konzernbetriebsvereinbarung oder Rahmenvereinbarung für Microsoft 365 mit Anlagen je Dienst hat sich bewährt. Nutzungsauswertungen, Viva Insights und Aktivitätsberichte sollten ausdrücklich geregelt sein.

Typische Mandate

• Datenschutzrechtliche Freigabe von Microsoft 365 einschließlich DSFA und Vertragsprüfung.
• Copilot-Einführung: Berechtigungskonzept aus rechtlicher Sicht, KI-Richtlinie, Schulungskonzept.
• Betriebsvereinbarungen zu Microsoft 365, Teams und Copilot.
• Begleitung bei Anfragen von Aufsichtsbehörden.

Häufige Fragen zu Microsoft 365

Ist Microsoft 365 nun DSGVO-konform?

Eine pauschale Antwort gibt es nicht. Nach den Berichten aus Hessen, Hamburg und vom EDSB ist ein konformer Einsatz möglich. Es kommt auf Konfiguration, Verträge und Dokumentation im eigenen Unternehmen an.

Dürfen Schulen Microsoft 365 nutzen?

Hier sind die Landesbehörden zurückhaltender, auch wegen der besonderen Schutzbedürftigkeit von Kindern. Maßgeblich sind die Vorgaben des jeweiligen Bundeslandes.

Brauchen wir für Copilot eine DSFA?

Bei breitem Einsatz in der Regel ja, weil neue Technologie, große Datenmengen und Beschäftigtendaten zusammenkommen. Für ein kleines Pilotprojekt kann eine Schwellwertanalyse genügen.

Verwandte Themen

• Datenschutz-Folgenabschätzung
• Beschäftigtendatenschutz
• KI im Unternehmen einsetzen
• KI-Kompetenz
• Datentransfer in Drittländer
• Digitale Souveränität