Microsoft Copilot verspricht enorme Produktivitätsgewinne, doch der wahre Mehrwert entsteht erst, wenn Copilot Zugriff auf die eigenen Firmendaten erhält — auf E-Mails, Dokumente, Kundenakten oder Branchenanwendungen. Genau hier wird es für deutsche Unternehmen rechtlich heikel: Welche Lizenz ist erforderlich? Wo werden die Daten verarbeitet? Wie lassen sich auch lokale Daten auf On-Premise-Servern sicher einbinden? Dieser Artikel erklärt Schritt für Schritt, wie Sie Microsoft Copilot DSGVO-konform mit Ihren eigenen Daten nutzen können — von der richtigen M365-Lizenzierung über die EU Data Boundary bis hin zu Konnektoren für lokale Server.
1. Die richtige Microsoft-365-Lizenzierung wählen
Microsoft bietet Copilot in verschiedenen Lizenzvarianten an, die sich nicht nur im Preis, sondern fundamental in den datenschutzrelevanten Eigenschaften unterscheiden. Für die DSGVO-konforme Nutzung mit Firmendaten ist die Wahl der richtigen Lizenz entscheidend.
Microsoft 365 Copilot — die Unternehmenslizenz
Die Variante Microsoft 365 Copilot ist die einzige Lizenz, die Copilot in vollem Umfang in Microsoft-365-Anwendungen wie Outlook, Word, Excel, PowerPoint und Teams integriert und dabei auf Ihre Mandantendaten zugreifen kann. Sie kostet aktuell rund 28,10 Euro pro Benutzer und Monat (zusätzlich zur bestehenden M365-Lizenz) und setzt eine qualifizierende M365-Basis-Lizenz voraus — typischerweise Business Standard, Business Premium, E3 oder E5.
Nur mit dieser Lizenz greifen die für Unternehmen kritischen Datenschutz-Zusagen von Microsoft: Ihre Prompts und Antworten werden nicht zum Training öffentlicher Modelle verwendet, sie bleiben innerhalb der Microsoft-365-Service-Grenze, und die Verarbeitung erfolgt im Kontext Ihres Microsoft-365-Mandanten.
Was die kostenlose Copilot-Variante NICHT bietet
Die frei verfügbare Variante Copilot (ehemals Bing Chat, mit oder ohne Microsoft-Konto nutzbar) ist kein Ersatz für Microsoft 365 Copilot — und sollte für Unternehmensdaten ausdrücklich nicht verwendet werden. Eingaben in die öffentliche Copilot-Variante unterliegen anderen Datenschutzbestimmungen, können zum Modelltraining herangezogen werden und greifen nicht auf Ihre Mandantendaten zu. Mitarbeitende, die Firmendaten in die kostenlose Variante eingeben, schaffen ein erhebliches Datenschutzrisiko — auch wenn das technisch über den Browser möglich ist.
Copilot Studio — für individuelle KI-Agenten
Mit Microsoft Copilot Studio lassen sich eigene KI-Agenten erstellen, die auf spezifische Geschäftsprozesse zugeschnitten sind. Copilot Studio ist als separates Add-On lizenziert und ermöglicht die Erstellung von Custom Copilots mit eigenen Wissensquellen, Aktionen und Konversationsabläufen. Für viele KMU ist das der spannendste Weg, um Copilot über die Standardfunktionen hinaus an die eigenen Anforderungen anzupassen — etwa für branchenspezifische Anfragen, interne Wissensdatenbanken oder die Anbindung an Drittsysteme.
2. EU Data Boundary — wo Ihre Daten verarbeitet werden
Eines der wichtigsten Argumente für die DSGVO-konforme Nutzung von Microsoft Copilot ist die EU Data Boundary. Microsoft hat seit 2024 vertraglich zugesichert, dass Kundendaten von europäischen Microsoft-365-Mandanten ausschließlich innerhalb der EU verarbeitet und gespeichert werden — einschließlich der Copilot-Verarbeitung.
Was die EU Data Boundary konkret umfasst
Die EU Data Boundary deckt mittlerweile (Stand 2026) folgende Kerndienste vollständig ab:
- Microsoft Entra ID (ehemals Azure AD) — Identitäts- und Verzeichnisdaten
- Exchange Online — E-Mails und Kalender
- SharePoint Online und OneDrive for Business — Dokumente und Dateispeicher
- Microsoft Teams — Chats, Meetings, Aufzeichnungen
- Microsoft 365 Copilot — Prompts, Antworten und die zugehörige Verarbeitung
- Power Platform und Dynamics 365 — Geschäftsprozessdaten
Die Verarbeitung erfolgt in zertifizierten EU-Rechenzentren — für deutsche Mandanten typischerweise in Frankfurt am Main, Berlin/Brandenburg, Amsterdam oder Dublin. Die Sprachmodelle, die Copilot intern nutzt (große Modellvarianten von OpenAI sowie Microsoft-eigene Modelle), werden ebenfalls in EU-Rechenzentren betrieben — das ist eine wesentliche Voraussetzung dafür, dass keine Daten in US-Rechenzentren verlassen.
Schrems II und der EU-US Data Privacy Framework
Auch wenn die EU Data Boundary die Datenverarbeitung in Europa zusichert, bleibt Microsoft ein US-amerikanisches Unternehmen — und damit potenziell dem US Cloud Act unterworfen. Seit Juli 2023 ist allerdings das EU-US Data Privacy Framework in Kraft, an dem Microsoft als zertifiziertes Unternehmen teilnimmt. Damit gelten Datenübermittlungen in die USA als angemessen geschützt im Sinne von Art. 45 DSGVO.
Aktivisten wie Max Schrems haben bereits eine erneute Klage gegen das Framework angekündigt (mögliches „Schrems III"), weshalb die rechtliche Lage langfristig nicht abschließend geklärt ist. Für die praktische Bewertung gilt aktuell: Microsoft 365 Copilot mit aktiver EU Data Boundary erfüllt die DSGVO-Anforderungen — vorausgesetzt, der Auftragsverarbeitungsvertrag (AVV) ist korrekt abgeschlossen und die unten beschriebenen Konfigurationen sind umgesetzt.
3. Datenanbindung über die Microsoft-Cloud
Der einfachste Weg, Copilot mit Ihren Firmendaten zu verbinden, ist über die bereits in Ihrer Microsoft-365-Umgebung gespeicherten Inhalte — Copilot greift automatisch auf alle Daten zu, für die der jeweilige Nutzer berechtigt ist.
Standardquellen ohne zusätzliche Konfiguration
Sobald Microsoft 365 Copilot lizenziert ist, kann es ohne weitere Konfiguration auf folgende Datenquellen zugreifen:
- Outlook: E-Mails, Kalender, Kontakte — auch zur Zusammenfassung langer E-Mail-Verläufe oder zur Erstellung von Antwortentwürfen
- SharePoint und OneDrive: Dokumente, Präsentationen, Tabellen — Copilot kann auf Inhalte zugreifen, suchen, zusammenfassen und neue Dokumente auf deren Basis erstellen
- Teams: Chatverläufe, Meeting-Aufzeichnungen, Transkripte — etwa für Meeting-Zusammenfassungen oder Recherchen im Teamverlauf
- Loop: Strukturierte Notizen und kollaborative Inhalte
Die wichtigste Konfigurationsaufgabe hier ist die Bereinigung der Berechtigungen: Copilot greift auf alle Inhalte zu, für die der angemeldete Benutzer Lese-Berechtigung hat. In vielen Unternehmen sind SharePoint-Bibliotheken und OneDrive-Ordner historisch großzügig freigegeben — oft unbewusst. Vor der Copilot-Einführung sollten alle Berechtigungen geprüft und nach dem Prinzip der minimalen Rechte (Least Privilege) reduziert werden. Microsoft stellt dafür spezialisierte Tools wie den SharePoint Advanced Management zur Verfügung; ergänzend können Drittlösungen wie ShareGate oder die im Microsoft 365 Admin Center integrierten Compliance-Funktionen unterstützen.
Microsoft Graph Connectors für weitere Cloud-Quellen
Über sogenannte Microsoft Graph Connectors kann Copilot auch auf Daten zugreifen, die außerhalb der nativen Microsoft-365-Dienste liegen — beispielsweise in Salesforce, ServiceNow, Confluence, Jira, SAP oder weiteren SaaS-Anwendungen. Microsoft stellt mehr als 100 vorkonfigurierte Connectors bereit, ergänzt um eine SDK-Schnittstelle für individuelle Anbindungen.
Aus DSGVO-Sicht gilt: Jeder Graph Connector erweitert den Datenfluss und erfordert eine eigene rechtliche Bewertung. Der externe Dienst bleibt eigenständig — Microsoft fungiert nur als Indexierungs- und Zugriffsschnittstelle. Wir empfehlen, vor der Aktivierung eines Connectors die Datenverarbeitungsverträge der jeweiligen Quelle zu prüfen und die Indexierung auf relevante Datenbestände zu begrenzen.
4. Anbindung lokaler Server und On-Premise-Daten
Viele KMU — und gerade Unternehmen im Pflegebereich, Handwerk, Mittelstand und in der Sozialwirtschaft — haben einen erheblichen Teil ihrer Geschäftsdaten nicht in der Cloud, sondern auf lokalen Servern: Branchensoftware, Pflegedokumentation, Buchhaltungssysteme, Dateifreigaben auf Windows- oder Linux-Servern. Wie lassen sich diese Daten ebenfalls für Copilot nutzbar machen, ohne sie vollständig in die Cloud zu verschieben?
On-Premises Data Gateway — die Brücke zwischen Cloud und lokalem Netz
Microsoft stellt mit dem On-Premises Data Gateway eine sichere Brücke zwischen Cloud-Diensten und lokalen Datenquellen bereit. Das Gateway ist eine Windows-Software, die auf einem Server im eigenen Netzwerk läuft und Anfragen aus der Microsoft-Cloud authentifiziert an interne Datenquellen weiterleitet. Die Kommunikation erfolgt ausgehend verschlüsselt über einen Service-Bus-Tunnel — eingehende Firewall-Öffnungen sind nicht erforderlich.
Über das Data Gateway lassen sich verschiedene lokale Datenquellen für Power Platform, Power BI, Power Automate und Copilot Studio anbinden:
- SQL Server (lokal oder als Cluster)
- Oracle, MySQL, PostgreSQL und weitere Datenbanken
- SAP HANA und SAP BW
- Lokale Dateifreigaben (SMB-Server, Windows-Shares)
- SharePoint Server (On-Premise)
- OData-Schnittstellen interner Branchenapplikationen
Das Gateway kann redundant ausgelegt werden (Gateway-Cluster), sodass auch bei Ausfall eines Servers die Datenanbindung erhalten bleibt. Für die DSGVO-Konformität entscheidend: Die Daten verlassen Ihr Netzwerk nur in dem Umfang, den die jeweilige Abfrage erfordert — eine vollständige Spiegelung in die Cloud findet nicht statt.
Copilot Studio mit lokalen Daten — der praktische Weg
Der konkrete Weg, lokale Daten für Copilot nutzbar zu machen, führt in der Regel über Copilot Studio. Hier lassen sich Custom Copilots erstellen, die eine oder mehrere lokale Datenquellen über das Data Gateway abfragen können. Ein Beispiel: Ein Pflegedienst hat seine Stammdaten und Patientendokumentation in einer lokalen SQL-Datenbank. Über Copilot Studio wird ein interner Assistent gebaut, der Fragen wie „Welche Patienten haben heute einen Termin?" beantwortet — ohne dass die Patientendaten dauerhaft in die Cloud kopiert werden müssen.
Wichtig: Auch bei der Anbindung lokaler Daten über das Gateway erfolgt die Sprachverarbeitung (die KI-Inferenz) in der Microsoft-Cloud innerhalb der EU Data Boundary. Die Frage des Benutzers und die abgerufenen Daten werden also kurzzeitig in die Cloud übertragen, um die Antwort zu generieren. Dies muss in der Datenschutzfolgenabschätzung (DSFA) berücksichtigt werden — insbesondere bei der Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO (Gesundheitsdaten, religiöse Überzeugungen etc.).
Wann lokale Daten besser lokal bleiben
Nicht alle Daten eignen sich für die Cloud-Anbindung — auch nicht über das Data Gateway. Besonders sensible Datenkategorien sollten ggf. ausschließlich lokal verarbeitet werden:
- Detaillierte Patientenakten mit medizinischen Diagnosen
- Anwaltliche Mandantenakten unter dem Berufsgeheimnis (§ 203 StGB)
- Forschungsdaten mit Geheimhaltungsvereinbarungen
- Personalakten mit besonders schutzwürdigen Informationen
Für solche Szenarien sind alternative Architekturen denkbar — etwa lokal betriebene Sprachmodelle (Ollama, Llama 3, Mistral) auf eigener Hardware. Diese erfordern allerdings deutlich mehr Investitionen in Hardware und Betriebs-Know-how. Fürstmann.IT berät Sie bei der Frage, welche Daten Sie wie verarbeiten sollten — und welche Architektur sich für Ihre Anforderungen eignet.
5. Auftragsverarbeitungsvertrag und Datenschutz-Dokumentation
Vor der produktiven Nutzung von Microsoft Copilot mit Firmendaten muss ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit Microsoft abgeschlossen werden. Microsoft stellt einen standardisierten AVV (Data Protection Addendum, DPA) bereit, der im Microsoft 365 Admin Center elektronisch akzeptiert werden kann. Für die meisten KMU ist das ausreichend; in besonderen Konstellationen (z. B. bei Verarbeitung besonderer Datenkategorien oder bei Anbindung weiterer Drittsysteme) sollten Sie den AVV durch einen Datenschutzjuristen prüfen lassen.
Ergänzend zum AVV ist eine Datenschutzfolgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich, sobald Copilot Zugriff auf personenbezogene Daten erhält — was praktisch immer der Fall ist. Die DSFA dokumentiert die Datenarten, Verarbeitungszwecke, Risiken und Schutzmaßnahmen. Sie ist ein wesentlicher Nachweis Ihrer Rechenschaftspflicht und sollte vor dem Produktiv-Rollout vorliegen.
Außerdem benötigen Sie eine interne Nutzungsrichtlinie (Acceptable Use Policy) für Mitarbeitende, die festlegt: welche Daten dürfen in Copilot-Prompts eingegeben werden, welche dokumentierten Anwendungsfälle sind erlaubt, wie wird mit den Antworten von Copilot umgegangen (Verifikation, Quellenangabe, Verantwortung). Ohne klare Richtlinien entstehen schnell unkontrollierte Verwendungsmuster — bis hin zur unbedachten Eingabe von Patientendaten oder Mandantenakten.
6. Praktischer Einführungsplan in vier Phasen
Auf Basis unserer Erfahrung mit KMU in Brandenburg empfehlen wir ein gestaffeltes Vorgehen, das in vier Phasen abläuft.
Phase 1: Audit und Vorbereitung (1–2 Wochen)
Bestandsaufnahme der bestehenden M365-Konfiguration, Berechtigungs-Audit in SharePoint und OneDrive, Identifikation der relevanten lokalen Datenquellen, Erstellung der Datenschutzfolgenabschätzung und einer Nutzungsrichtlinie.
Phase 2: Lizenzierung und Konfiguration (1 Woche)
Beschaffung der Microsoft-365-Copilot-Lizenzen für die Pilotnutzer, Aktivierung der EU Data Boundary, Konfiguration von Sensitivity Labels und Information Protection, Abschluss des AVV im Admin Center.
Phase 3: Pilotbetrieb mit ausgewählten Anwendern (4–6 Wochen)
Rollout an eine begrenzte Pilotgruppe (typischerweise 5–10 Mitarbeitende aus verschiedenen Abteilungen), Schulung der Anwender, Sammlung von Feedback, Iteration der Nutzungsrichtlinie und der technischen Konfiguration. Bei Bedarf Einrichtung des On-Premises Data Gateway und erster Copilot-Studio-Agenten.
Phase 4: Unternehmensweiter Rollout (laufend)
Schrittweise Erweiterung auf alle Mitarbeitenden, kontinuierliche Schulungen, Erfolgsmessung über quartalsweise Auswertungen der Nutzung und konkreter Produktivitätsgewinne. Pflege der DSFA und der Nutzungsrichtlinie als lebende Dokumente.
Wie Fürstmann.IT Sie unterstützt
Fürstmann.IT begleitet kleine und mittlere Unternehmen in Templin, der Uckermark und ganz Brandenburg bei der vollständigen Einführung von Microsoft Copilot — von der ersten Lizenzberatung bis zur Anbindung lokaler Branchensoftware über das On-Premises Data Gateway. Unser Leistungsumfang umfasst die Analyse Ihrer aktuellen M365-Umgebung, die Auswahl der passenden Lizenzierungsstrategie, die Bereinigung der Berechtigungen, die Einrichtung des Data Gateways für lokale Datenquellen, die Erstellung individueller Copilot-Studio-Agenten sowie die Erstellung von DSFA und Nutzungsrichtlinien.
Als IHK-zertifizierter Datenschutzbeauftragter berät Sebastian Fürstmann Sie persönlich zu allen rechtlichen Fragen rund um die Copilot-Nutzung — gerade auch für Pflegedienste, soziale Einrichtungen und Unternehmen mit besonderen Datenschutzanforderungen. Mehr zu unseren KI-Leistungen finden Sie auf der Seite KI-Automatisierung, mehr zu Microsoft 365 auf der Seite Microsoft 365, und mehr zur Datenschutzbetreuung unter Datenschutz & Compliance. Sprechen Sie uns an — die DSGVO-konforme Copilot-Einführung ist machbar und lohnt sich, wenn sie strukturiert und mit der richtigen Expertise umgesetzt wird.