Ist Microsoft 365 Copilot DSGVO-konform?
Ja, weitgehend: Bei Microsoft 365 Copilot sind ein EU-Vertragspartner oder EU-Hosting der Standard.
Die Fakten auf einen Blick
- Einstufung
- EU-nativ / EU-Hosting als Standard
- Vertragspartner
- Microsoft Ireland Operations Ltd. (EWR)
- Serverstandort
- EU Data Boundary (EU-/EFTA-Rechenzentren)
- AVV nach Art. 28 DSGVO
- Verfügbar
- EU-Hosting
- Ja, als Standard
Der wichtigste Haken
Für EU-Kunden ist Microsoft 365 Copilot laut Microsoft ein EU-Data-Boundary-Dienst, EU-Verkehr bleibt in der Grenze. Ausnahme mit Ansage: Modelle, die Microsoft von Anthropic als Unterauftragsverarbeiter bezieht, sind ausdrücklich von der EU Data Boundary ausgenommen. Gilt für den Geschäftskunden-Tarif, nicht für den kostenlosen Consumer-Copilot.
So stellst du Microsoft 365 Copilot datenschutzfreundlich ein
- Prompts, Antworten und die Daten, auf die Copilot über Microsoft Graph zugreift, nutzt Microsoft laut eigener Dokumentation nicht zum Training der zugrunde liegenden Sprachmodelle. Dafür musst du nichts einstellen.
- Prüfe vor dem Start die Berechtigungen in SharePoint und Teams. Copilot zeigt jedem Nutzer alles, was er sehen darf, also auch falsch freigegebene Ordner.
- Die Websuche schickt aus deinem Prompt erzeugte Suchbegriffe an Bing. Wer das nicht will, kann sie als Admin abschalten, etwa über die Datenschutzeinstellung für optionale verbundene Erfahrungen.
- Modelle von Anthropic sind in Copilot derzeit von der EU-Datengrenze ausgenommen. Ob ihr sie nutzt, entscheidet der Admin.
- Nutzer können ihren Copilot-Verlauf im My-Account-Portal löschen; Admins setzen Aufbewahrungsrichtlinien in Microsoft Purview.
Quelle: Microsoft: Daten, Datenschutz und Sicherheit bei Copilot, gelesen am 21. Oktober 2026.
Nutzt du neben Microsoft 365 Copilot weitere Tools? Mit der AVV-Checkliste alle Verträge auf einmal erfassen →
Quellen zum Nachlesen
Aufgerufen am 3. Oktober 2026. Keine Rechtsberatung: Prüfe die aktuelle Fassung vor einer Entscheidung selbst.
Häufige Fragen
Gibt es für Microsoft 365 Copilot einen Auftragsverarbeitungsvertrag?+
Ja. Microsoft Ireland Operations Ltd. (EWR) stellt einen AVV nach Art. 28 DSGVO bereit. Abschließen und im Verarbeitungsverzeichnis führen musst du ihn selbst, mit der Anmeldung allein gilt er nicht.
Wo werden die Daten von Microsoft 365 Copilot verarbeitet?+
EU Data Boundary (EU-/EFTA-Rechenzentren). EU-Hosting ist hier der Normalfall.
Worauf muss ich bei Microsoft 365 Copilot besonders achten?+
Für EU-Kunden ist Microsoft 365 Copilot laut Microsoft ein EU-Data-Boundary-Dienst, EU-Verkehr bleibt in der Grenze. Ausnahme mit Ansage: Modelle, die Microsoft von Anthropic als Unterauftragsverarbeiter bezieht, sind ausdrücklich von der EU Data Boundary ausgenommen. Gilt für den Geschäftskunden-Tarif, nicht für den kostenlosen Consumer-Copilot.