Ist Microsoft Copilot DSGVO-konform? Der Haken mit der EU-Datengrenze
Copilot ist DSGVO-fähig – ob dein Einsatz konform ist, entscheidest du, nicht Microsoft
Du tippst in Word auf „Copilot", lässt dir eine Kundenmail formulieren, ziehst dir aus Excel eine Auswertung, fasst per Teams das Meeting zusammen. Zehn Sekunden, fertig. Fühlt sich harmlos an – schließlich ist das Microsoft, nicht irgendein Tool aus dem Netz. Genau dieses Gefühl ist die Falle.
Denn die Frage „Ist Microsoft 365 Copilot DSGVO-konform?" hat 2026 keine einfache Ja-Antwort mehr. Sie lautet: Ja, aber nur, wenn du drei Dinge aktiv geregelt hast – und wenn du weißt, wo die viel gepriesene EU-Datengrenze seit Anfang des Jahres ein Loch bekommen hat. Dieser Artikel zeigt dir, was wirklich gilt, was dich Copilot pro Kopf kostet und woran du erkennst, ob du gerade rechtssicher arbeitest oder blind ins Risiko läufst.
Copilot ist DSGVO-fähig – aber nicht DSGVO-konform „ab Werk"
Der wichtigste Denkfehler zuerst: DSGVO-Konformität ist kein Häkchen, das Microsoft für dich setzt. Microsoft liefert die Voraussetzungen. Ob dein Einsatz konform ist, entscheidest du.
Die gute Nachricht: Die Grundlagen sind da. Microsofts Data Protection Addendum (DPA), aktuelle Fassung vom 22. Mai 2026, fungiert als Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und deckt Microsoft 365 Copilot seit dem 1. März 2024 ausdrücklich mit ab. Microsoft nutzt deine Geschäfts- und Kundendaten nicht, um seine KI-Modelle zu trainieren. Und Copilot läuft innerhalb der EU Data Boundary – dem vertraglichen Versprechen, dass Daten europäischer Microsoft-365-Mandanten in der EU verarbeitet und gespeichert werden.
Die schlechte Nachricht: Genau bei dieser EU-Grenze ist 2026 etwas passiert, das viele noch nicht auf dem Schirm haben.
Der Haken 2026: Anthropic sitzt jetzt mit im Boot
Seit Anfang 2026 ist Anthropic als Subprozessor in Copilot eingebunden und stellt Modelle für einzelne Copilot-Funktionen bereit. Klingt technisch, hat aber eine handfeste Folge: Die Anthropic-Modelle sind nicht Teil der EU Data Boundary. Für Anfragen, die über diese Modelle laufen, ist nicht garantiert, dass die Verarbeitung innerhalb der EU bleibt.
Seit 2026 hat die EU-Datengrenze zwei Lecks: Anthropic-Modelle und Lastspitzen können die EU verlassen
Dazu kommt: Auch bei Lastspitzen kann Microsoft Anfragen außerhalb der EU verarbeiten. Die EU-Datengrenze ist also kein lückenloser Zaun, sondern eine Regel mit Ausnahmen – und die Ausnahmen musst du kennen, dokumentieren und in deiner Risikobewertung berücksichtigen.
Die drei Pflichtdokumente, ohne die es nicht konform wird
Bevor du Copilot produktiv mit echten Firmen- und Kundendaten fütterst, brauchst du drei Dinge. Fehlt eines, ist der Einsatz angreifbar.
- Auftragsverarbeitungsvertrag (AVV): Über das aktuelle Microsoft-DPA abgedeckt – aber du musst wissen, dass er gilt, und ihn deiner Dokumentation zuordnen.
- Datenschutzfolgenabschätzung (DSFA) nach Art. 35 DSGVO: Sobald Copilot Zugriff auf personenbezogene Daten bekommt – und das ist praktisch immer der Fall –, ist eine DSFA erforderlich. Kein „Nice to have", sondern Pflicht.
- Verzeichnis von Verarbeitungstätigkeiten: Copilot als neue Verarbeitung eintragen, inklusive der Subprozessoren und der Info, dass Teilverarbeitungen die EU verlassen können.
Und ein vierter Punkt, den viele vergessen: Sobald Copilot Rückschlüsse auf Leistung oder Verhalten deiner Mitarbeiter zulässt – und das kann er, wenn er Mails, Chats und Kalender auswertet –, ist der Betriebsrat mitbestimmungspflichtig (§ 87 BetrVG). Ohne Betriebsvereinbarung riskierst du intern echten Ärger.
AVV, DSFA und Verarbeitungsverzeichnis: Fehlt eines, ist dein Copilot-Einsatz angreifbar
Was Copilot 2026 wirklich kostet
Datenschutz ist die eine Seite, die Rechnung die andere. Die Preise haben sich 2026 spürbar sortiert:
| Variante | Preis pro Nutzer/Monat | Voraussetzung |
|---|---|---|
| Copilot Business (bis 300 Nutzer) | 15,60 € (Aktion bis 30.09.2026), regulär 18,20 € im Jahresabo | Microsoft-365-Basislizenz |
| Copilot Business, monatlich zahlbar | 21,84 € | Microsoft-365-Basislizenz |
| Copilot Enterprise | 26,00 € im Jahresabo | M365 E3 oder E5 als Basis |
Alle Preise verstehen sich zzgl. MwSt. Und Achtung: Das ist nur die Copilot-Lizenz. Rechnest du die nötige Microsoft-365-Basislizenz dazu, landest du realistisch bei rund 28 € pro Kopf im Mittelstand und bis zu 64 € pro Kopf im Enterprise-Umfeld – jeden Monat, pro Mitarbeiter.
Die Rechnung, die kaum jemand macht: Bei einem 20-köpfigen Team sind das schnell 560 € bis über 1.200 € im Monat, bevor auch nur eine Stunde Arbeit gespart wurde. Copilot lohnt sich – aber nur, wenn die Leute ihn wirklich nutzen und du vorher weißt, wofür.
Copilot allein macht dich nicht produktiver – deine Daten schon
Hier ist der Punkt, den die meisten unterschätzen: Copilot ist gut darin, dir beim Schreiben und Zusammenfassen zu helfen. Aber er kennt deine Prozesse nicht. Er weiß nicht, wie dein Angebot aufgebaut ist, welcher Kunde welchen Vertrag hat oder wie dein Follow-up laufen soll. Er ist ein brillanter Assistent ohne Ahnung von deinem Geschäft.
Der echte Hebel entsteht erst, wenn die KI deine eigenen Prozesse kennt – nicht nur das Internet
Der echte Hebel entsteht erst, wenn KI auf deine eigenen, strukturierten Daten trifft – rechtssicher und mit klaren Berechtigungen. Ein B2B-SaaS-Gründer hat so 52 Stunden im Monat zurückgewonnen, die vorher in seinen eigenen Tabellen versickert sind (Fallstudie: 52 Stunden zurückgewonnen). Und eine fünfköpfige Dev-Agentur hat 35 bis 50 abrechenbare Stunden im Monat gerettet, die vorher in Kleinkram verschwanden (Fallstudie: abrechenbare Stunden zurückholen). In beiden Fällen war nicht das Tool der Unterschied, sondern die saubere Anbindung an die eigenen Daten und Prozesse.
Deine Checkliste vor dem Rollout
Bevor du Copilot unternehmensweit freischaltest, geh diese Punkte durch:
- Berechtigungen aufgeräumt? Wer sieht was in SharePoint, Teams und OneDrive – und stimmt das noch?
- AVV zugeordnet und DSFA erstellt? Beides dokumentiert, nicht nur „im Kopf".
- Subprozessoren und EU-Grenze dokumentiert? Anthropic-Modelle und Lastspitzen sauber vermerkt.
- Betriebsrat eingebunden? Betriebsvereinbarung dort, wo Leistungs- oder Verhaltenskontrolle möglich ist.
- Klarer Use Case? Nicht „alle bekommen Copilot", sondern: Wer spart womit konkret Zeit?
Fazit
Ist Microsoft 365 Copilot DSGVO-konform? Ja – aber nur mit AVV, DSFA, sauberem Verarbeitungsverzeichnis und dem Wissen, dass die EU-Datengrenze seit 2026 durch Anthropic-Modelle und Lastspitzen nicht mehr lückenlos ist. Wer diese Hausaufgaben macht und vorher seine Berechtigungen aufräumt, kann Copilot rechtssicher einsetzen. Wer einfach „an" klickt, arbeitet auf gut Glück.
Und der ehrlichste Rat zum Schluss: Ein teures KI-Abo ist noch keine Strategie. Der Unterschied zwischen „nette Schreibhilfe" und „echter Zeitgewinn" liegt darin, ob die KI deine eigenen Daten und Prozesse kennt. Schau dir diese Woche einmal ehrlich an, wo bei dir jeden Tag Zeit versickert – und ob ein generischer Assistent das überhaupt lösen kann, oder ob du dafür etwas brauchst, das dein Geschäft wirklich versteht. Wenn du das sauber und DSGVO-konform aufsetzen willst, sprich mit uns bei DigitalXShift.
Ist die kostenlose Copilot-Version DSGVO-konform für Firmendaten?
Nein. Die kostenlosen Verbraucher-Varianten bieten weder den AVV noch die EU-Data-Boundary-Zusagen der Business- und Enterprise-Lizenzen. Für Firmen- und Kundendaten brauchst du eine kommerzielle Copilot-Lizenz.
Trainiert Microsoft seine KI mit meinen Daten?
Nein. Bei Microsoft 365 Copilot werden deine Geschäfts- und Kundendaten laut Microsoft nicht zum Training der Modelle verwendet.
Reicht die EU Data Boundary als Nachweis für Konformität?
Nein. Sie ist ein wichtiger Baustein, aber seit 2026 nicht lückenlos (Anthropic-Modelle, Lastspitzen). Du brauchst zusätzlich AVV, DSFA und ein aktuelles Verarbeitungsverzeichnis.
Muss der Betriebsrat bei Copilot mitreden?
In der Regel ja, sobald Copilot Leistungs- oder Verhaltenskontrolle ermöglicht (§ 87 BetrVG). Plane eine Betriebsvereinbarung ein.