# GitHub Copilot (Business / Enterprise) im DSGVO-Check

> KI-Assistent für Entwickler: Code-Vorschläge, Chat und Agenten direkt in IDE und GitHub.

Kategorie: Entwicklung · Anbieter: GitHub · geprüft am 25.10.2026

GitHub Copilot schlägt beim Programmieren Code vor, beantwortet Fragen im Chat, fasst Pull Requests zusammen und übernimmt mit Agenten ganze Aufgaben. Die Tarife Business und Enterprise bringen Verwaltung, Richtlinien und Vertragszusagen für Unternehmen mit. Seit 2026 lässt sich Copilot mit Enterprise Cloud mit Datenresidenz in der EU betreiben.

## Datenschutz und EU AI Act

- **Anbieter und Sitz:** GitHub, Inc., USA. Für Kundenverträge gilt das GitHub Data Protection Agreement. [4]
- **Serverstandort:** Standardmäßig nicht auf die EU begrenzt. Mit GitHub Enterprise Cloud mit Datenresidenz lässt sich die Region EU oder USA wählen, die EU-Option nutzt Azure-Regionen inklusive Norwegen und der Schweiz. [1]
- **Datenhaltung in der EU:** Optional: Mit der Richtlinie „Restrict Copilot to data residency compliant models“ bleiben Inferenz, Prompts, Copilot-Antworten sowie Logs und Telemetrie in der gewählten Region. Die Richtlinie ist standardmäßig aus, es stehen nur dort verfügbare Modelle bereit, und Anfragen verbrauchen 10 Prozent mehr AI Credits. [1]
- **Auftragsverarbeitungsvertrag (AVV):** Ja: Das GitHub Data Protection Agreement (Version Oktober 2025) gilt für Online Services, enthält Standardvertragsklauseln (Module 2 und 3), das EU-US Data Privacy Framework und eine Unterauftragsverarbeiter-Liste. Copilot wird im Text nicht namentlich genannt, die Zuordnung zu den Online Services solltest du dir bestätigen lassen. [4]
- **Training mit deinen Daten:** Nein: GitHub nutzt Copilot-Business- und Copilot-Enterprise-Kundendaten laut Dokumentation nicht zum Training von KI-Modellen. Die Modellanbieter (OpenAI, Amazon, Google, Fireworks AI) sagen Ähnliches zu. Bei Einzeltarifen darf GitHub Interaktionsdaten nutzen, Nutzer können widersprechen. [3]
- **Zertifizierungen:** Copilot Business und Enterprise liegen im Umfang von GitHubs ISO-27001-Zertifikat (aktualisiert 09.05.2024) und in den SOC-1-, SOC-2- und SOC-3-Berichten (Zeitraum 01.04. bis 30.09.2024). Neuere Berichte haben wir nicht geprüft, ein BSI-C5-Nachweis ist nicht öffentlich angegeben. [5]
- **Einordnung EU AI Act:** GitHub veröffentlicht keine eigene Einstufung von Copilot nach KI-Verordnung (nicht öffentlich angegeben). Für dich als Betreiber gilt unabhängig davon seit 02.02.2025 die Pflicht zur KI-Kompetenz nach Art. 4: Wer Copilot im Unternehmen einsetzt, muss dafür sorgen, dass die Beschäftigten ausreichend geschult sind. [6]

**Datenschutz-Ampel: Grün.** Für Business und Enterprise gibt es einen AVV, und GitHub schließt das Training mit Kundendaten aus. Die Datenhaltung in der EU ist möglich, setzt aber GitHub Enterprise Cloud mit Datenresidenz und eine aktivierte Richtlinie voraus.

## Quellen

1. [GitHub Docs, GitHub Copilot with data residency](https://docs.github.com/en/enterprise-cloud@latest/admin/data-residency/github-copilot-with-data-residency)
2. [GitHub Community, Copilot supports US and EU Data Residency (26.03.2026)](https://github.com/orgs/community/discussions/190744)
3. [GitHub Docs, Hosting of models for GitHub Copilot](https://docs.github.com/en/copilot/reference/ai-models/model-hosting)
4. [GitHub, Data Protection Agreement (Version Oktober 2025)](https://github.com/customer-terms/github-data-protection-agreement)
5. [GitHub Changelog, SOC-Berichte für GitHub und Copilot (06.12.2024)](https://github.blog/changelog/2024-12-06-the-latest-github-and-github-copilot-soc-reports-are-now-available/)
6. [KI-Verordnung, Art. 4 KI-Kompetenz (gilt seit 02.02.2025)](https://artificialintelligenceact.eu/article/4/)
7. [GitHub Changelog, Copilot in ISO-27001-Umfang (03.06.2024)](https://github.blog/changelog/2024-06-03-github-copilot-compliance-soc-2-type-1-report-and-iso-iec-270012013-certification-scope/)