Stand: 28. Juli 2026. Microsoft 365 Copilot lässt sich DSGVO-konform betreiben – aber nur, wenn Unternehmen vorab acht konkrete Maßnahmen abschließen. Ohne diese Vorbereitung öffnet Copilot Zugang zu Daten, die eigentlich geschützt sein sollten: falsch vergebene SharePoint-Berechtigungen, fehlende Beteiligung des Betriebsrats und Admin-Center-Einstellungen, die KI-Berechnungen außerhalb der EU zulassen. Diese Checkliste zeigt, welche Schritte vor dem ersten produktiven Copilot-Einsatz erledigt sein müssen – und welche der oft zitierten Pflichten rechtlich gar nicht so eindeutig sind, wie sie klingen. AURUM GmbH begleitet Mittelstandsunternehmen in Nürnberg und bundesweit bei genau dieser Vorbereitung.

Aktualisiert am 28. Juli 2026: Was sich seit der Erstveröffentlichung geändert hat

Dieser Beitrag wurde vollständig gegen Primärquellen geprüft und an mehreren Stellen korrigiert. Die wichtigsten Änderungen:

• EU AI Act: Der „Digital Omnibus“ – Verordnung (EU) 2026/1744 – wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Die Hochrisiko-Pflichten aus Anhang III gelten dadurch nicht mehr ab dem 2. August 2026, sondern erst ab dem 2. Dezember 2027 (Anhang I: 2. August 2028).
• Anthropic-Modelle: In der EU, der EFTA und im Vereinigten Königreich sind sie standardmäßig deaktiviert – mit einer wichtigen Ausnahme für Word, Excel und PowerPoint bei Tenants, die nach dem 25. März 2026 angelegt wurden.
• Purview-Aufbewahrung: Copilot-Prompts und -Antworten liegen nicht im Audit-Log, sondern in einem versteckten Ordner im Exchange-Postfach des Nutzers. Für die Aufbewahrung existiert ein eigener Speicherort.
• Vertraulichkeitsbezeichnungen: Sie steuern den Copilot-Zugriff nur dann, wenn sie eine Verschlüsselung anwenden. Primär greift das SharePoint- und Exchange-Berechtigungsmodell.
• HBDI-Bericht: Die Einordnung wurde präzisiert – der Bericht bewertet die Kern-Dienste von Microsoft 365, nicht Copilot.

Zuerst klären: Copilot ist nicht gleich Copilot

Ein großer Teil der Verwirrung in Datenschutzdiskussionen entsteht durch die Produktnamen. Microsoft unterscheidet drei Dinge, für die unterschiedliche Regeln gelten:

• Microsoft 365 Copilot – die kostenpflichtige Add-on-Lizenz. Nur diese Variante greift über Microsoft Graph auf E-Mails, Dateien, Teams-Chats und Besprechungen Ihrer Organisation zu. Alle Aussagen in dieser Checkliste beziehen sich auf dieses Produkt.
• Microsoft 365 Copilot Chat – in vielen M365-Lizenzen kostenfrei enthalten, arbeitet standardmäßig nur mit Web-Daten und hat keinen automatischen Zugriff auf SharePoint- oder Exchange-Inhalte. Es gelten dieselben Enterprise-Data-Protection-Zusagen, aber die Berechtigungsfrage stellt sich anders.
• Copilot Studio – Plattform für eigene Agents, eigenständig lizenziert und separat zu steuern.

Wer in der Datenschutz-Folgenabschätzung oder gegenüber dem Betriebsrat pauschal von „Copilot“ spricht, beschreibt drei verschiedene Verarbeitungen. Welche Variante für Ihr Unternehmen wirtschaftlich sinnvoll ist, haben wir im Beitrag Copilot Business vs. Enterprise im Vergleich aufgeschlüsselt; die Kostenseite behandelt der Beitrag zu Microsoft 365 Copilot Kosten und ROI.

Ist Microsoft 365 Copilot überhaupt DSGVO-konform?

Microsoft 365 Copilot kann DSGVO-konform eingesetzt werden – aber es kommt auf die Konfiguration an. Seit dem 1. März 2024 gehört Copilot zu den Workloads, die von Microsofts EU-Datenboundary erfasst sind: Prompts, Antworten und über Microsoft Graph abgerufene Daten werden für EU-Kunden grundsätzlich innerhalb der EU verarbeitet und gespeichert. Prompts, Antworten und Graph-Daten werden laut Microsoft außerdem nicht zum Training der Foundation-Modelle genutzt.

Von dieser Zusage gibt es allerdings drei dokumentierte Ausnahmen, die in der Praxis regelmäßig übersehen werden:

• Web-Grounding über Bing: Wenn Copilot eine Suchanfrage an das offene Web stellt, gilt die EU-Datenboundary für diese generierten Suchanfragen laut Microsoft ausdrücklich nicht. Web-Zugriff lässt sich im Admin Center abschalten.
• Anthropic-Modelle: Sie sind derzeit von der EU-Datenboundary ausgenommen (siehe Punkt 3).
• Flex Routing: Erlaubt die KI-Inferenz bei Lastspitzen außerhalb der EU (siehe Punkt 2).

Und was sagen die Aufsichtsbehörden? Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) hat am 15. November 2025 einen 137-seitigen Bericht veröffentlicht mit dem Ergebnis, dass Microsoft 365 unter Umsetzung konkreter technischer und organisatorischer Maßnahmen datenschutzkonform betrieben werden kann. Wichtig für die realistische Einordnung: Der Bericht ist keine förmliche Freigabe, sondern die Einschätzung einer Landesbehörde, die maßgeblich auf Microsofts eigenen Zusagen beruht. Er bewertet die Kern-Dienste von Microsoft 365 – Copilot-spezifische KI-Risiken bewertet er ausdrücklich nicht. Die kritische Festlegung der Datenschutzkonferenz (DSK) aus dem Jahr 2022 wurde formal nicht aufgehoben. Für Ihre eigene Dokumentation heißt das: Der HBDI-Bericht ist ein starkes Argument, aber kein Ersatz für eine eigene Bewertung.

Die 8-Punkte-Checkliste: DSGVO-konformer Microsoft Copilot-Einsatz

Punkt 1: SharePoint-Berechtigungen bereinigen

Copilot greift auf alle Inhalte zu, für die ein Nutzer mindestens Leseberechtigung besitzt – einschließlich SharePoint-Seiten mit historischen „Alle außer externen Benutzern“-Freigaben. Berechtigungen, die vor Jahren großzügig vergeben wurden, werden durch Copilot sichtbar: Der Assistent findet und zitiert Dokumente, die niemand mehr aktiv teilen wollte.

Nutzen Sie die Data Access Governance-Berichte in SharePoint Advanced Management, um Überberechtigungen zu identifizieren. SharePoint Advanced Management ist seit Anfang 2025 im Copilot-Lizenzpaket enthalten, sobald mindestens eine Copilot-Lizenz zugewiesen ist. Beachten Sie zwei Einschränkungen: Der Bericht zu Inhalten, die für „Jeder außer externen Benutzern“ freigegeben sind, setzt eine SharePoint-Premium- bzw. E5/A5-Berechtigung voraus, und OneDrive-Inhalte werden nur eingeschränkt erfasst.

Aktivieren Sie anschließend Restricted Content Discovery für sensible Sites. Die Funktion blendet einzelne Websites aus der organisationsweiten Suche und aus Copilot aus, ohne bestehende Berechtigungen zu ändern – Nutzer mit direktem Zugriff können die Inhalte weiterhin öffnen. Sie ist als Übergangsmaßnahme während der Einführung gedacht, nicht als Dauerlösung. Das konkrete Vorgehen beschreibt unser Beitrag zur Copilot Readiness und Berechtigungsbereinigung.

Punkt 2: Flex Routing prüfen und deaktivieren

Flex Routing (offiziell: „Flex routing (EU and EFTA)“) erlaubt Microsoft, die KI-Inferenz von Copilot bei Lastspitzen außerhalb der EU-Datenboundary auszuführen – laut Microsoft in den USA, Kanada oder Australien. Das ist rechtlich als Drittlandübermittlung nach Art. 44 ff. DSGVO zu bewerten. Microsoft beruft sich auf das EU-US Data Privacy Framework und Standardvertragsklauseln – für regulierte Branchen wie Steuerberatung, Gesundheitswesen oder Finanzdienstleistungen kann das im Einzelfall nicht ausreichen.

Wichtig für die Voreinstellung: Flex Routing ist bei Tenants, die nach dem 25. März 2026 angelegt wurden, standardmäßig aktiv. Bei älteren Tenants hängt die Voreinstellung vom jeweiligen Message-Center-Hinweis ab – prüfen Sie die Einstellung deshalb in jedem Fall aktiv.

Deaktivieren mit der Rolle AI-Administrator: Microsoft 365 Admin Center → Copilot → Einstellungen → Alle anzeigen → „Flexibles Routing während Spitzenlastzeiten“ → „Kein flexibles Routing zulassen“. Drei Details, die in der Praxis Zeit kosten: Für Copilot-Funktionen in Dynamics 365, Power Platform und Copilot Studio gibt es eine zweite Einstellung im Power Platform Admin Center. Kunden mit Multi-Geo-Capabilities fallen nicht in den Geltungsbereich der EU-Datenboundary und sehen die Einstellung gar nicht. Und auch bei deaktiviertem Flex Routing können begrenzte pseudonymisierte Daten aus Sicherheits- und Betriebsgründen außerhalb der EU-Datenboundary gespeichert werden. Dokumentieren Sie die Entscheidung schriftlich für Ihren Datenschutzbeauftragten.

Punkt 3: Einstellung für Anthropic-Modelle prüfen

Seit Anfang 2026 ist Anthropic als Microsoft-Subprozessor eingebunden und stellt Modelle für Copilot-Funktionen bereit. Microsoft dokumentiert klar: Anthropic-Modelle sind derzeit von der EU-Datenboundary ausgenommen.

Entwarnung und Warnung zugleich: Für Tenants in der EU, der EFTA und im Vereinigten Königreich ist die globale Einstellung „KI-Anbieter, die als Microsoft-Subprozessoren tätig sind“ standardmäßig auf „Keine Benutzer“ gesetzt – anders als im übrigen kommerziellen Cloud-Umfeld, wo Anthropic für die meisten Kunden aktiv ist. Ein Opt-in ist also erforderlich.

Die Ausnahme, die Sie prüfen sollten: Microsoft hat am 3. April 2026 eine separate Einstellung „Copilot in Microsoft 365 apps with Anthropic models“ für Word, Excel und PowerPoint eingeführt. Diese ist bei EU-, EFTA- und UK-Tenants, die nach dem 25. März 2026 angelegt wurden, standardmäßig aktiviert. Bei älteren Tenants gilt auch hier der Message-Center-Hinweis. Prüfen Sie beide Einstellungen unter Microsoft 365 Admin Center → Copilot → Einstellungen → Alle anzeigen → „KI-Anbieter, die als Microsoft-Subprozessoren tätig sind“.

Ein dritter Fall betrifft „Preview-Modelle mit Datenspeicherung“: Bei diesen agiert Anthropic als eigenständiger Verantwortlicher unter eigenen Vertragsbedingungen und speichert Ein- und Ausgaben zeitweise. Sie sind in allen Regionen standardmäßig deaktiviert und sollten es in einer DSGVO-sensiblen Umgebung auch bleiben.

Punkt 4: Betriebsrat rechtzeitig und richtig beteiligen

Unternehmen mit Betriebsrat dürfen Copilot nicht ohne dessen Mitbestimmung einführen. §87 Abs. 1 Nr. 6 BetrVG greift nach ständiger Rechtsprechung des Bundesarbeitsgerichts seit dem Produktographenbeschluss (BAG, 09.09.1975 – 1 ABR 20/74) bereits dann, wenn ein technisches System objektiv geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen – auf eine Überwachungsabsicht des Arbeitgebers kommt es nicht an. Funktionen wie „Intelligent Recap“ (KI-gestützte Besprechungszusammenfassungen inklusive Sprecher- und Aktionspunkt-Erkennung), „Coaching durch Copilot“ in Outlook und die Auswertungsfunktionen des Copilot Control System erfüllen dieses Kriterium.

Eine Präzisierung, die in vielen Ratgebern fehlt: Das Gesetz verlangt die Mitbestimmung, nicht zwingend eine Betriebsvereinbarung. Rechtstechnisch genügt grundsätzlich auch eine formlose Regelungsabrede; kommt keine Einigung zustande, entscheidet auf Antrag die Einigungsstelle (§87 Abs. 2 BetrVG). In der Praxis wird dennoch fast immer eine Betriebsvereinbarung angestrebt, weil nur sie unmittelbare und zwingende Wirkung für die Arbeitsverhältnisse entfaltet (§77 Abs. 4 BetrVG). Ein Rollout ohne jede Beteiligung ist gegenüber den Beschäftigten unwirksam, kann per einstweiliger Verfügung untersagt werden und führt im Streitfall zu Beweisverwertungsproblemen.

Drei KI-spezifische Regelungen aus dem Betriebsrätemodernisierungsgesetz 2021 sind für Copilot direkt einschlägig und werden regelmäßig übersehen:

• §80 Abs. 3 S. 2 BetrVG: Muss der Betriebsrat die Einführung oder Anwendung von Künstlicher Intelligenz beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich – die sonst übliche Diskussion über die Erforderlichkeit entfällt, die Kosten trägt der Arbeitgeber. Planen Sie das budgetär ein.
• §90 Abs. 1 Nr. 3 BetrVG: Der Arbeitgeber muss den Betriebsrat rechtzeitig und unter Vorlage der Unterlagen über die Planung von Arbeitsverfahren und Arbeitsabläufen „einschließlich des Einsatzes von Künstlicher Intelligenz“ unterrichten und die Maßnahme mit ihm beraten (§90 Abs. 2). Ein eigenständiges Zustimmungs- oder Vetorecht folgt daraus jedoch nicht – das ergibt sich erst aus §87 Abs. 1 Nr. 6.
• §95 Abs. 2a BetrVG: Das Mitbestimmungsrecht bei Auswahlrichtlinien gilt auch dann, wenn diese KI-gestützt erstellt werden.

Eine bestehende Microsoft-365-Betriebsvereinbarung deckt Copilot in aller Regel nicht automatisch mit ab, weil Copilot die Nutzung von M365 durch neue KI-Funktionen qualitativ verändert. Sie muss ergänzt werden – es sei denn, sie enthält bereits eine hinreichend weite, KI-Funktionen ausdrücklich einschließende Öffnungsklausel.

Punkt 5: Schwellenwertanalyse durchführen – und in der Regel eine DSFA

Eine Datenschutz-Folgenabschätzung (DSFA) ist nicht kraft Gesetzes für jeden Copilot-Einsatz vorgeschrieben. Vorgeschrieben ist zunächst eine dokumentierte Schwellenwertanalyse nach Art. 35 Abs. 1 DSGVO. Copilot ist auch in keiner der DSK-„Muss-Listen“ namentlich aufgeführt.

Praktisch ändert das wenig am Ergebnis: Weil Copilot E-Mails, Kalendereinträge, Chats und Dokumente eines Nutzers KI-gestützt kombiniert und auswertet, erfüllt der Einsatz regelmäßig mehrere Kriterien des Art. 35 Abs. 3 DSGVO und der Kriterienkataloge – etwa die Verknüpfung von Datenbeständen aus unterschiedlichen Quellen und die Verarbeitung von Beschäftigtendaten mit neuer Technologie. Die Schwellenwertanalyse führt deshalb in der Praxis nahezu immer zur DSFA-Pflicht. Der entscheidende Unterschied für Ihre Dokumentation: Sie müssen die Herleitung nachweisen können, nicht nur das Ergebnis.

Als Ausgangsmaterial stellt Microsoft seit Juni 2025 die „Build Your Own“-DPIA-Vorlagen für Microsoft 365 Copilot bereit, ergänzt um Risikobewertungs-Dokumente im Service Trust Portal. Diese Vorlagen ersetzen keine eigene Bewertung – sie liefern die Struktur und Microsofts Angaben zur Verarbeitung. Beziehen Sie Ihren Datenschutzbeauftragten frühzeitig ein und dokumentieren Sie das Ergebnis, bevor Sie Lizenzen zuweisen.

Punkt 6: Microsoft Purview konfigurieren

Microsoft Purview ist das zentrale Steuerungswerkzeug – aber es steuert nicht das, was viele annehmen. Der primäre Kontrollmechanismus für den Copilot-Zugriff ist das Berechtigungsmodell von SharePoint, Exchange und Microsoft Graph: Copilot kann nur auf Inhalte zugreifen, für die der jeweilige Nutzer mindestens Leseberechtigung besitzt. Eine Vertraulichkeitsbezeichnung schränkt den Zugriff nur zusätzlich ein, wenn sie eine Verschlüsselung mit definierten Nutzungsrechten anwendet – insbesondere dem EXTRACT-Recht. Unverschlüsselte Labels, die nur klassifizieren oder visuell markieren, haben keine blockierende Wirkung auf Copilot. Wer Labels als Zugriffsschutz einführt, ohne Verschlüsselung zu konfigurieren, erzeugt ein Sicherheitsgefühl ohne Sicherheitswirkung.

Zwei Maßnahmen sollten vor dem Rollout stehen. Erstens: eine Sensitivity-Label-Taxonomie für alle sensiblen Dokumentklassen – mit einer bewussten Entscheidung, welche Labels verschlüsseln und welche nur klassifizieren. Zweitens: eine DLP-Richtlinie mit dem Speicherort „Microsoft 365 Copilot and Copilot Chat“ und der Bedingung „Inhalt enthält → Vertraulichkeitsbezeichnungen“. Sie schließt gelabelte Dokumente aus der Verwendung als Grounding-Quelle in Copilot-Antworten aus, ohne den Zugriff auf die Datei selbst zu blockieren. Der geführte Einstieg liegt im Purview-Portal unter Lösungen → Datensicherheitsstatus-Management (DSSM) bzw. „DSSM für KI“ beim Sicherheitsziel „Verhindern der Offenlegung von Daten in Microsoft 365 Copilot und Microsoft Copilot Interaktionen“.

In unseren M365-Projekten dauert eine vollständige Purview-Grundkonfiguration – inklusive Label-Taxonomie, DLP-Richtlinien und initialem Test-Rollout – typischerweise 2 bis 3 Arbeitstage.

Punkt 7: EU AI Act – KI-Kompetenz dokumentieren, neue Fristen kennen

Hier hat sich die Rechtslage im Juli 2026 spürbar verschoben. Art. 4 der EU-KI-Verordnung gilt seit dem 2. Februar 2025 für Anbieter und Betreiber von KI-Systemen. Durch den „Digital Omnibus“ (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) wurde die Pflicht inhaltlich abgeschwächt: Unternehmen müssen Maßnahmen zur Förderung der KI-Kompetenz ergreifen, aber kein bestimmtes Kompetenzniveau einzelner Personen garantieren. Eine vorgeschriebene Zertifizierung gibt es nicht, und an Art. 4 allein hängt kein eigener Bußgeldtatbestand. Für den Copilot-Einsatz heißt das konkret: Schulungen zu Prompt-Formulierung, zum Verständnis der verarbeiteten Daten und zur Einschätzung, wann KI-Ausgaben manuell geprüft werden müssen – und eine schlichte, nachweisbare Dokumentation davon.

Die Hochrisiko-Frist ist verschoben. Die ursprünglich zum 2. August 2026 vorgesehenen Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III gelten jetzt erst ab dem 2. Dezember 2027; für in Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2028.

Ebenso wichtig ist die Einordnung der Sache selbst: Anhang III Nr. 4 erfasst KI-Systeme, die gezielt für Rekrutierung, Bewerberauswahl, Beförderungs- und Kündigungsentscheidungen, Aufgabenzuteilung oder Leistungsüberwachung bestimmt sind. Ein allgemeiner Schreib- und Recherche-Assistent, den die Personalabteilung für Textentwürfe nutzt, fällt in der Regel nicht darunter. Anders sieht es aus, wenn Sie auf Copilot Studio einen Agent bauen, der Bewerbungen vorsortiert oder Leistungsdaten auswertet – dann sollten Sie die Einstufung ernsthaft prüfen. „Finanzanalysen“ sind in Anhang III übrigens generell nicht erfasst; einschlägig sind dort nur die Bewertung der Kreditwürdigkeit natürlicher Personen (Nr. 5 lit. b) und Risikobewertung bzw. Prämiengestaltung bei Lebens- und Krankenversicherungen (Nr. 5 lit. c).

Verbindlich zum 2. August 2026 bleiben die Transparenzpflichten aus Art. 50 KI-VO. Betreiber trifft dabei vor allem eine Offenlegungspflicht bei Deepfakes sowie bei KI-generierten Texten, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden – letzteres entfällt, wenn der Inhalt einer menschlichen Überprüfung bzw. redaktionellen Kontrolle unterlag und eine Person die redaktionelle Verantwortung trägt. Für den typischen internen Copilot-Einsatz im Mittelstand ist die Relevanz damit begrenzt, für KI-gestützte Marketing- und Pressearbeit nicht. Den größeren Rahmen ordnet unser Beitrag zum EU AI Act im Mittelstand ein.

Punkt 8: AVV, Datenschutzhinweise und Aufbewahrung klären

Microsofts Data Protection Addendum (DPA) – aktuelle Fassung vom 22. Mai 2026 – fungiert als Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und deckt Microsoft 365 Copilot seit dem 1. März 2024 als erfasste Workload ab. Ein gesonderter Vertragsabschluss ist nicht erforderlich: Die DPA-Bedingungen gelten automatisch mit Annahme der Microsoft Product Terms bzw. des Microsoft Customer Agreement. Prüfen Sie stattdessen, welche Fassung für Ihren Vertrag maßgeblich ist und ob die Subprozessorenliste zu Ihrer Freigabepraxis passt.

Aktualisieren Sie außerdem die Datenschutzhinweise gegenüber Mitarbeitenden nach Art. 13/14 DSGVO: Welche Daten verarbeitet Copilot, auf welcher Rechtsgrundlage, wie lange werden Copilot-Interaktionen gespeichert?

Bei der Speicherung lohnt eine genaue Betrachtung, weil hier häufig falsch dokumentiert wird: Die eigentlichen Prompts und Antworten liegen nicht im Audit-Log, sondern als einzelne Nachrichten in einem versteckten Ordner im Exchange-Postfach des jeweiligen Nutzers. Das einheitliche Überwachungsprotokoll erfasst nur Metadaten – Zeitpunkt, Nutzer, Workload, referenzierte Dateien –, nicht den Inhalt. Zugriff auf den Inhalt erhalten Administratoren über eDiscovery bzw. Inhaltssuche. Für die Löschfristen konfigurieren Sie eine Aufbewahrungsrichtlinie mit dem eigens dafür vorgesehenen Speicherort „Microsoft Copilot Experiences“ im Purview Data Lifecycle Management. Dieser Speicherort ist in bestehenden Aufbewahrungsrichtlinien nicht automatisch enthalten und muss aktiv ergänzt werden.

Typische Fehler: Was Unternehmen bei der Copilot-Einführung falsch machen

Der häufigste Fehler ist die umgekehrte Reihenfolge: Lizenzen kaufen, Copilot aktivieren – und danach erst die Compliance-Fragen klären. Das erzeugt sofortigen Handlungsbedarf: Admin-Center-Einstellungen müssen nachträglich korrigiert werden, der Betriebsrat wird unter Zeitdruck in Verhandlungen eingebunden, und eine DSFA wird im laufenden Betrieb nachgeholt. Wir erleben regelmäßig, dass Unternehmen Copilot bereits im Einsatz haben, wenn wir mit einer Compliance-Überprüfung beginnen.

Zweithäufigster Fehler: Vertraulichkeitsbezeichnungen existieren gar nicht, sind inkonsistent vergeben – oder sie sind vorhanden, verschlüsseln aber nicht und wirken deshalb nicht als Zugriffsschutz. Copilot erbt die Labeling-Struktur, die Sie haben, samt ihrer Lücken.

Dritter Fehler: Governance-Altlasten in SharePoint. „Alle außer externen Benutzern“-Freigaben aus 2018–2022 tauchen durch Copilot plötzlich als Wissensquellen auf. Ohne den Data Access Governance-Bericht weiß die Mehrheit der Unternehmen nicht, wie viele solcher Altlasten existieren. Unser Leitfaden zur Microsoft Copilot-Einführung im Mittelstand beschreibt den anschließenden Rollout-Prozess im Detail.

Vierter Fehler – neu in dieser Aktualisierung: die pauschale Hochrisiko-Einstufung. Seit dem Digital Omnibus kursieren gleichzeitig veraltete Fristen und übertriebene Einstufungen. Wer Copilot vorsorglich als Hochrisiko-System behandelt, baut Dokumentationslasten auf, die das Gesetz für einen allgemeinen Produktivitätsassistenten nicht verlangt – und übersieht dabei oft die Pflichten, die tatsächlich gelten.

Was AURUM für Sie übernimmt

AURUM GmbH begleitet Mittelstandsunternehmen in Nürnberg und bundesweit durch alle acht Schritte dieser Checkliste. Als Microsoft Gold Partner mit ausgewiesener Expertise in Cloud Security und IAM & Active Directory übernehmen wir die technische Vorarbeit, die über Erfolg oder Misserfolg einer Copilot-Einführung entscheidet: SharePoint-Berechtigungsanalyse per Data Access Governance, Prüfung der Admin-Center-Einstellungen zu Flex Routing und Anthropic-Modellen, Purview-Setup mit Label-Taxonomie und DLP-Richtlinien sowie Unterstützung bei Schwellenwertanalyse, DSFA-Dokumentation und Betriebsvereinbarung.

Unsere technische Basis: langjährige Erfahrung aus M365-Rollouts, IAM-Projekten und Cloud Security-Engagements. SharePoint Advanced Management, Purview und Entra ID – die gleichen Werkzeuge, die einen DSGVO-konformen Copilot-Betrieb ermöglichen – konfigurieren wir täglich in Kundenprojekten.

Unser Einstieg ist ein halbtägiger Copilot Readiness Check: Wir zeigen Ihnen, wo Sie aktuell stehen – welche Berechtigungen bereinigt werden müssen, wie Ihre Tenant-Einstellungen zu Datenverarbeitung außerhalb der EU tatsächlich gesetzt sind und was an Purview-Konfiguration fehlt. Danach wissen Sie genau, was vor dem Rollout noch zu tun ist.

Häufige Fragen zu Microsoft Copilot und DSGVO

Weitere häufige Fragen zu Microsoft Copilot und DSGVO

Fazit: DSGVO und Copilot – machbar mit der richtigen Vorbereitung

Microsoft 365 Copilot ist kein Datenschutzrisiko, wenn Ihr Unternehmen die Vorarbeit leistet. Die acht Schritte dieser Checkliste – von der SharePoint-Bereinigung über die Tenant-Einstellungen und die Beteiligung des Betriebsrats bis zur Schwellenwertanalyse – schaffen die notwendige Grundlage. Ebenso wichtig ist die richtige Dosierung: Nicht jede kursierende Pflicht gilt tatsächlich, und seit dem Digital Omnibus haben Unternehmen bei den Hochrisiko-Anforderungen mehr Zeit als vielfach angenommen. Wer die tatsächlich geltenden Punkte jetzt sauber abarbeitet, hat Copilot bis Ende 2026 produktiv im Einsatz: DSGVO-konform, mit nachgewiesener Compliance-Dokumentation und ohne Nachbesserungen unter Zeitdruck.

Quellen und weiterführende Dokumente

• Microsoft Learn: Flex routing (EU and EFTA)
• Microsoft Learn: Anthropic-Modelle in Microsoft Online Services
• Microsoft Learn: Daten, Datenschutz und Sicherheit für Microsoft 365 Copilot
• Microsoft Learn: Aufbewahrungsrichtlinien für Copilot (Microsoft Copilot Experiences)
• Microsoft Learn: Microsoft Purview für Microsoft 365 Copilot
• HBDI: Bericht zu Microsoft 365 vom 15. November 2025
• EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus zur KI-Verordnung)
• Gesetze im Internet: §87 BetrVG und §80 BetrVG