# Microsoft 365 Copilot im DSGVO-Check

> KI-Assistent in Word, Excel, Outlook und Teams, der auf deine Microsoft-365-Daten zugreift.

Kategorie: Assistenten · Anbieter: Microsoft · geprüft am 25.10.2026

Microsoft 365 Copilot (inzwischen von Microsoft in „Microsoft Copilot“ umbenannt) arbeitet direkt in Word, Excel, PowerPoint, Outlook und Teams und nutzt dabei die Inhalte, auf die der jeweilige Nutzer ohnehin Zugriff hat. Er lohnt sich vor allem für Unternehmen, die bereits Microsoft 365 einsetzen und saubere Berechtigungen haben.

## Datenschutz und EU AI Act

- **Anbieter und Sitz:** Microsoft Corporation, Redmond (Washington), USA. EU-Gesellschaft: Microsoft Ireland Operations Limited, Dublin. [1]
- **Serverstandort:** Für Kunden in der EU gilt die EU Data Boundary: gespeicherte Copilot-Inhalte liegen in der EU. Die Modellberechnung (Inferenz) kann bei hoher Auslastung per Flex Routing in den USA, Kanada oder Australien laufen, sofern du es nicht abschaltest. [3]
- **Datenhaltung in der EU:** Ja, mit Einschränkung: Daten ruhen in der EU Data Boundary, nur begrenzte pseudonymisierte Daten können außerhalb liegen. Flex Routing ist für Tenants, die nach dem 25. März 2026 angelegt wurden, standardmäßig an. Admins können „Flex Routing nicht erlauben“ wählen, dann bleibt auch die Inferenz in der EU. Bei Multi-Geo gilt das Ganze nicht. [3]
- **Auftragsverarbeitungsvertrag (AVV):** Ja: Copilot fällt unter die Microsoft Product Terms und den Microsoft Data Protection Addendum (DPA), die für Microsoft 365 ohnehin gelten. [2]
- **Training mit deinen Daten:** Nein: Prompts, Antworten und über Microsoft Graph abgerufene Daten werden laut Microsoft nicht zum Training der Basismodelle verwendet. [2]
- **Zertifizierungen:** Laut Microsoft: GDPR-Konformität, ISO 27001, ISO 42001 (KI-Managementsysteme) und HIPAA; zusätzlich ISO/IEC 27018. BSI C5 wird auf dieser Seite nicht genannt. [2]
- **Einordnung EU AI Act:** Microsoft erklärt, den EU AI Act einzuhalten. Du bist Betreiber: AI-Literacy-Pflicht seit Februar 2025, Transparenzpflichten ab August 2026. Die Auswertung von Mitarbeiterkommunikation zur Leistungsbewertung blockiert Microsoft laut eigener Doku (Workplace-Harms-Filter). [5]

**Datenschutz-Ampel: Grün.** Die Daten bleiben in der EU Data Boundary, ein AVV gilt über Microsoft 365 und es gibt kein Training mit deinen Daten. Prüfe aber die Einstellung zu Flex Routing, sonst kann die Berechnung bei Spitzenlast außerhalb der EU laufen.

## Quellen

1. [Microsoft, Datenschutzerklärung (Adressen)](https://www.microsoft.com/en-us/privacy/privacystatement)
2. [Microsoft Learn, Data, Privacy, and Security for Microsoft Copilot (aktualisiert 08.10.2026)](https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy)
3. [Microsoft Learn, Flex routing (EU and EFTA) (29.09.2026)](https://learn.microsoft.com/en-us/microsoft-365/copilot/copilot-flex-routing)
4. [Microsoft Learn, Anthropic models in Microsoft Online Services (aktualisiert 23.10.2026)](https://learn.microsoft.com/en-us/microsoft-365/copilot/connect-to-ai-subprocessor)
5. [Europäische Kommission, Regulatory framework on AI (EU AI Act)](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)