# Microsoft Power Automate (mit Copilot) im DSGVO-Check

> Microsofts Automatisierungsdienst für Cloud- und Desktop-Abläufe, mit Copilot zum Beschreiben von Flows.

Kategorie: Automatisierung · Anbieter: Microsoft · geprüft am 25.10.2026

Power Automate verbindet Microsoft-365-Anwendungen und viele andere Dienste zu automatisierten Abläufen. Copilot erstellt Cloud-Flows aus einer Beschreibung in natürlicher Sprache und hilft bei Desktop-Flows und der Prozessanalyse. Besonders passend, wenn dein Unternehmen ohnehin mit Microsoft 365 arbeitet.

## Datenschutz und EU AI Act

- **Anbieter und Sitz:** Microsoft Corporation, One Microsoft Way, Redmond, Washington 98052, USA. [7]
- **Serverstandort:** Flows liegen in der Region deines Power-Platform-Environments. Für Europa gilt die EU Data Boundary. Copilot in Europa nutzt laut Microsoft GPUs in Schweden und der Schweiz. [6]
- **Datenhaltung in der EU:** Optional: Tenant und alle Environments müssen in der Geografie „European Union (EU) and EFTA“ liegen und die Rechnungsadresse in einem EU-Data-Boundary-Land. Bei Copilot können Prompts und Ergebnisse die Region verlassen, wenn „Move data across regions“ aktiv ist; „Flex routing“ erlaubt Inferenz außerhalb der EU Data Boundary bei Lastspitzen und lässt sich abschalten. [3]
- **Auftragsverarbeitungsvertrag (AVV):** Ja: Das Microsoft Data Protection Addendum (DPA) ist Teil der Vertragsunterlagen, sowohl beim Online-Abonnement als auch im Volumenlizenzvertrag. [4]
- **Training mit deinen Daten:** Abschaltbar: Kein Training ohne Zustimmung des Tenant-Admins zur optionalen Datenweitergabe. Prompts und Antworten werden nicht für Drittanbieter-Modelle genutzt. [1]
- **Zertifizierungen:** Azure, Dynamics 365 und Power Platform sind laut Microsoft nach ISO/IEC 27001, 27701 und 27018 zertifiziert. Weitere Berichte (z. B. SOC) liegen im Service Trust Portal, BSI C5 für Power Automate konnte ich nicht bestätigen. [5]
- **Einordnung EU AI Act:** nicht öffentlich angegeben. Microsoft schreibt nur, man passe sich neuen Anforderungen an. Als Unternehmen, das das Tool einsetzt, musst du für ausreichende KI-Kompetenz deiner Mitarbeitenden sorgen (Art. 4 AI Act). [1]

**Datenschutz-Ampel: Grün.** Datenhaltung in der EU Data Boundary ist möglich, ein DPA ist Teil des Vertrags und Microsoft trainiert nicht mit Kundendaten, solange der Admin nicht zustimmt. Wichtig sind die Admin-Einstellungen zur Datenbewegung und zum Flex routing.

## Quellen

1. [Microsoft Learn, FAQ for Copilot data security and privacy for Dynamics 365 and Power Platform](https://learn.microsoft.com/en-us/power-platform/faqs-copilot-data-security-privacy)
2. [Microsoft Learn, Move data across regions for Copilots and generative AI features (14. Oktober 2026)](https://learn.microsoft.com/en-us/power-platform/admin/geographical-availability-copilot)
3. [Microsoft Learn, What is the EU Data Boundary?](https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-learn)
4. [Microsoft, Power Platform Legal Information](https://www.microsoft.com/power-platform/business-applications/legal)
5. [Microsoft Learn, Azure, Dynamics 365 and Power Platform accountability readiness checklist for the GDPR (5. Mai 2026)](https://learn.microsoft.com/en-us/compliance/regulatory/gdpr-arc-azure-dynamics)
6. [Microsoft Learn, Regions overview for Power Automate (19. August 2026)](https://learn.microsoft.com/en-us/power-automate/regions-overview)
7. [Microsoft, Datenschutzerklärung (Stand September 2026)](https://www.microsoft.com/en-us/privacy/privacystatement)
8. [EU AI Act, Artikel 4 (KI-Kompetenz)](https://artificialintelligenceact.eu/article/4/)