Auf den Punkt: Microsoft 365 lässt sich DSGVO-konform betreiben – aber nicht automatisch. Drei Bausteine entscheiden: ein wirksamer Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, die EU Data Boundary für die Datenresidenz und – bei KI-Funktionen – ein klarer Blick auf Microsoft 365 Copilot. Microsoft liefert die vertraglichen und technischen Garantien. Die Verantwortung für die richtige Konfiguration und Dokumentation bleibt aber bei Ihrem Unternehmen als Verantwortlichem.
Microsoft als Auftragsverarbeiter: der AVV nach Art. 28 DSGVO
Sobald Sie Microsoft 365 mit personenbezogenen Daten nutzen – also praktisch immer – verarbeitet Microsoft diese Daten in Ihrem Auftrag. Damit ist Microsoft Auftragsverarbeiter im Sinne von Art. 28 DSGVO, und Sie benötigen einen Auftragsverarbeitungsvertrag (AVV). Microsoft stellt diesen als Bestandteil des Datenschutznachtrags (Data Protection Addendum, DPA) bereit, der mit den Microsoft-Produktbedingungen gilt.
Modern Cloud Desktop
Flexibles Arbeiten von überall – sicher und effizient
Ein AVV nach Art. 28 Abs. 3 DSGVO muss bestimmte Pflichtinhalte abdecken. Dazu gehören insbesondere:
- Weisungsbindung: Der Auftragsverarbeiter darf personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten.
- Vertraulichkeit: Verpflichtung der zur Verarbeitung befugten Personen zur Vertraulichkeit.
- Sicherheit der Verarbeitung: technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
- Unterauftragsverarbeiter: Einsatz nur mit Genehmigung des Verantwortlichen – als spezifische Genehmigung jedes Subunternehmers oder als allgemeine Genehmigung mit Informations- und Einspruchsrecht.
- Unterstützung und Nachweise: Unterstützung bei Betroffenenrechten, Mithilfe bei Audits, Löschung oder Rückgabe der Daten nach Vertragsende.
Praktisch heißt das: Der AVV ist mit Microsoft vorhanden, aber Sie müssen die Liste der Unterauftragsverarbeiter kennen, Änderungen verfolgen und Ihr Verzeichnis der Verarbeitungstätigkeiten pflegen. Genau hier scheitern viele Unternehmen nicht am Vertrag, sondern an der laufenden Pflege.
EU Data Boundary: Wo Ihre Daten liegen
Eine der häufigsten Fragen lautet: Werden meine Daten in der EU verarbeitet? Microsoft hat die EU Data Boundary (EU-Datengrenze) im Februar 2025 vollständig umgesetzt. Seitdem werden EU-Kundendaten grundsätzlich innerhalb der EU-Datengrenze verarbeitet und gespeichert – das umfasst auch die KI-Verarbeitung in EU-Rechenzentren und Support-Daten.
Wichtig sind zwei Einschränkungen, die Microsoft selbst dokumentiert. Erstens: Optionale Funktionen, die Daten außerhalb der EU verarbeiten, müssen ausdrücklich aktiviert werden – sie sind also nicht der Standard, können aber bewusst eingeschaltet werden. Zweitens: Für die LLM-Verarbeitung in Copilot bleibt der EU-Datenverkehr zwar innerhalb der EU-Datengrenze, weltweiter Datenverkehr kann jedoch zur Verarbeitung in die EU und in andere Regionen geleitet werden. Für EU-Kunden ist Microsoft 365 Copilot laut Microsoft ein „EU Data Boundary-Dienst“.
Und der Übertragungsweg in die USA? Für den Fall, dass doch Daten in die USA fließen, ist Microsoft als US-Anbieter unter dem EU-US Data Privacy Framework zertifiziert. Die Europäische Kommission hat den dazugehörigen Angemessenheitsbeschluss am 10. Juli 2023 erlassen; übermittelt werden darf an zertifizierte US-Organisationen demnach ohne zusätzliche Garantien nach Art. 46 DSGVO. Das Gericht der Europäischen Union hat die Gültigkeit dieses Beschlusses bestätigt. Trotzdem bleibt die EU Data Boundary der vorzuziehende Weg, weil sie das Drittlandthema für den Regelbetrieb von vornherein entschärft.
Microsoft 365 Copilot: Was DSGVO-konform ist – und was Sie selbst tun müssen
Beim Thema KI wird es konkret. Microsoft macht in seiner offiziellen Dokumentation mehrere belegbare Zusagen zu Microsoft 365 Copilot:
- Copilot entspricht den bestehenden Datenschutz-, Sicherheits- und Complianceverpflichtungen gegenüber kommerziellen Microsoft-365-Kunden, einschließlich DSGVO und EU-Datengrenze.
- Eingabeaufforderungen, Antworten und über Microsoft Graph abgerufene Daten werden nicht zum Training der Foundation-LLMs verwendet – auch nicht der von Copilot genutzten Modelle.
- Copilot zeigt nur Daten an, für die der jeweilige Nutzer mindestens eine Leseberechtigung hat – die bestehenden Berechtigungsmodelle (z. B. in SharePoint) greifen weiter.
- Copilot nutzt den Azure-OpenAI-Dienst zur Verarbeitung, nicht die öffentlich verfügbaren Dienste von OpenAI; die Daten bleiben innerhalb der Microsoft-365-Dienstgrenze.
Das ist eine gute Ausgangslage – aber kein Selbstläufer. Drei Aufgaben bleiben bei Ihnen: Erstens das Berechtigungsmanagement. Copilot macht Inhalte auffindbar, auf die ein Nutzer zugreifen darf – falsch gesetzte Freigaben in SharePoint werden so plötzlich sichtbar. Vor dem Rollout gehört ein Berechtigungs-Review dazu. Zweitens die Dokumentation: Copilot ist im Verzeichnis der Verarbeitungstätigkeiten zu erfassen, häufig ist eine Datenschutz-Folgenabschätzung sinnvoll. Drittens die Mitbestimmung: Da Copilot Beschäftigtendaten verarbeitet, ist in vielen Betrieben der Betriebsrat einzubinden.
Wer diese drei Punkte sauber abarbeitet, braucht keine Scheu vor Copilot zu haben. Wer sie überspringt, baut sich ein Datenschutzrisiko ein, das nichts mit der Technik, aber viel mit der eigenen Organisation zu tun hat. Eine strukturierte Hugo DSB hilft dabei, genau diese Pflichten – Verzeichnis, TOM-Dokumentation, Folgenabschätzung und AVV-Verwaltung – an einer Stelle abzubilden, statt sie über verstreute Excel-Listen zu verwalten.
Der Sonderfall: Anthropic-Modelle und die EU-Datengrenze
Ein Detail, das viele übersehen: Microsoft setzt seit Anfang 2026 auch Modelle von Anthropic in Copilot-Erfahrungen ein – als Unterauftragsverarbeiter. In der eigenen Dokumentation hält Microsoft ausdrücklich fest, dass Anthropic-Modelle nicht unter die EU-Datengrenze fallen. Sie werden unter den Microsoft-Produktbedingungen und dem Datenschutznachtrag bereitgestellt.
Für Ihre Bewertung heißt das: Prüfen Sie in der jeweils aktuellen Liste der Unterauftragsverarbeiter, welche Modelle aktiv sind, und berücksichtigen Sie diesen Punkt in Ihrer Datenschutz-Folgenabschätzung. Das ist kein Ausschlussgrund – aber ein Faktor, den Sie kennen und dokumentieren sollten, statt von einer pauschalen „alles bleibt in der EU“-Annahme auszugehen.
Modern Cloud Desktop
Flexibles Arbeiten von überall – sicher und effizient
Checkliste: Microsoft 365 datenschutzkonform betreiben
| Bereich | Pflichtaufgabe | Grundlage |
|---|---|---|
| Vertrag | AVV / Datenschutznachtrag prüfen und ablegen | Art. 28 DSGVO |
| Subunternehmer | Liste der Unterauftragsverarbeiter überwachen | Art. 28 Abs. 2 DSGVO |
| Datenresidenz | EU Data Boundary nutzen, optionale Auslands-Funktionen bewusst steuern | EU Data Boundary |
| Sicherheit | TOMs umsetzen und dokumentieren | Art. 32 DSGVO |
| Dokumentation | Verzeichnis der Verarbeitungstätigkeiten, ggf. DSFA | Art. 30, 35 DSGVO |
| Copilot | Berechtigungs-Review, DSFA, Betriebsrat einbinden | Art. 35 DSGVO / BetrVG |
FAQ
Brauche ich für Microsoft 365 einen Auftragsverarbeitungsvertrag?
Ja. Microsoft ist Auftragsverarbeiter nach Art. 28 DSGVO; der AVV ist Teil des Microsoft-Datenschutznachtrags. Die Verantwortung für den korrekten Einsatz bleibt bei Ihrem Unternehmen.
Werden meine Daten in Microsoft 365 in der EU verarbeitet?
Seit der vollständigen Umsetzung der EU Data Boundary im Februar 2025 grundsätzlich ja. Optionale Funktionen mit Verarbeitung außerhalb der EU müssen ausdrücklich aktiviert werden.
Ist Microsoft 365 Copilot DSGVO-konform einsetzbar?
Laut Microsoft ja – Prompts, Antworten und Graph-Daten werden nicht zum Training der Foundation-LLMs genutzt. Unternehmen müssen Berechtigungen, Dokumentation und ggf. Betriebsrat aber selbst absichern.
Liegen die Anthropic-Modelle in Copilot innerhalb der EU Data Boundary?
Nein. Microsoft dokumentiert ausdrücklich, dass Anthropic-Modelle nicht unter die EU-Datengrenze fallen – ein Punkt für Ihre Datenschutz-Folgenabschätzung.
Fazit
Microsoft 365 ist DSGVO-konform betreibbar – die vertraglichen und technischen Garantien sind vorhanden. Entscheidend ist, was Ihr Unternehmen daraus macht: AVV und Subunternehmerliste im Blick behalten, die EU Data Boundary nutzen und optionale Auslands-Funktionen bewusst steuern, TOMs und Verarbeitungstätigkeiten dokumentieren und bei Copilot Berechtigungen, Folgenabschätzung und Mitbestimmung sauber abarbeiten. Datenschutz ist hier keine Frage der Technik, sondern der Organisation – und die liegt in Ihrer Hand.
