Prüfstand · KI-Assistent Stand:

Microsoft Copilot DSGVO-konform nutzen? Prüfstand mit Quellen (Stand Okt. 2026)

Zehn Kriterien, jede Aussage mit Quelle und wörtlichem Zitat. Geprüft am 28. Oktober 2026, nächste Prüfung spätestens am 26. Januar 2027.

von 10 Kriterien erfüllt
0 von 10 Kriterien erfüllt
mit Einschränkung
5 mit Einschränkung
nicht erfüllt oder nicht ausgewiesen
5 nicht erfüllt oder nicht ausgewiesen
Belege mit Zitat
20 Belege mit Zitat

Unser Kurzurteil

Kurzurteil für Microsoft Copilot: Nicht empfohlen

Der Copilot mit privatem Microsoft-Konto ist für Firmendaten nicht geeignet: Die Bedingungen erlauben nur die persönliche Nutzung, Microsoft ist selbst Verantwortlicher, und es gibt weder AVV noch zentrale Verwaltung. Seit der neuen App vom 18.08.2026 trainiert Microsoft seine Basismodelle nicht mehr mit diesen Chats; an der fehlenden Vertragsgrundlage ändert das nichts. Für dienstliche Inhalte nehmen Sie Copilot Chat oder Microsoft 365 Copilot mit Arbeitskonto.

Ungeeignet
Ungeeignet
Ungeeignet Microsoft Copilot mit privatem Microsoft-Konto (copilot.microsoft.com, Copilot-App, auch in privaten Abos wie Microsoft 365 Personal, Family oder Premium): nur für die persönliche Nutzung, keine AVV, keine zentrale Verwaltung.

In 30 Sekunden

  • Nicht empfohlen: Für personenbezogene Daten derzeit nicht empfehlenswert.
  • Offen bei den Kernkriterien: Vertragspartner (mit Einschränkung), Auftragsverarbeitung (AVV) (nicht erfüllt), Drittlandübermittlung (mit Einschränkung), KI-Training mit Ihren Daten (mit Einschränkung).
  • Erster Schritt: Untersagen Sie schriftlich, dass Mitarbeiter Copilot mit einem privaten Microsoft-Konto für dienstliche Inhalte nutzen, etwa in Ihrer KI-Nutzungsrichtlinie.
  • 5 mit Einschränkung
  • 4 nicht erfüllt
  • 1 nicht ausgewiesen

Die zehn Kriterien mit Belegen

Aufklappen zeigt Quelle, wörtliches Zitat und Abrufdatum. Bewertet ist der geeignete Tarif.

  1. Mit Einschränkung 01 Vertragspartner Kern · Mit Einschränkung Wer in der EU lebt, schließt den Vertrag mit der Microsoft Ireland Operations Limited in Dublin. Die Copilot-Bedingungen erlauben aber nur die persönliche Nutzung; einen Vertrag für den Einsatz in Ihrem Unternehmen gibt es für diesen Dienst nicht.

    Prüffrage: Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Maßstab: Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

    • Microsoft Ireland Operations Limited für Nutzer in der EU

      Wenn Sie in der Europäischen Union, Island, Liechtenstein, Norwegen, der Schweiz oder Großbritannien leben (oder als Unternehmen dort Ihren Hauptgeschäftssitz haben) und kostenlose oder kostenpflichtige Dienste nutzen, ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, die vertragschließende Gesellschaft

      Quelle: microsoft.com (öffnet neues Fenster) abgerufen am

    • Copilot nur zur persönlichen Nutzung

      You can only use Copilot for your own personal use.

      Quelle: microsoft.com (öffnet neues Fenster) abgerufen am

    • Es gelten Microsoft-Servicevertrag und Copilot-Nutzungsbedingungen

      When you sign in to Copilot with your personal Microsoft account, your use of Copilot is governed by the Microsoft Services Agreement and the Copilot Terms of Use.

      Quelle: support.microsoft.com (öffnet neues Fenster) abgerufen am

  2. Nicht erfüllt 02 Auftragsverarbeitung (AVV) Kern · Nicht erfüllt Es gibt keine AVV: Beim privaten Copilot ist Microsoft selbst Verantwortlicher für die Daten, in der EU die Microsoft Ireland Operations Limited. Die Zusagen zum Schutz von Unternehmensdaten gelten nur bei Anmeldung mit einem Arbeitskonto (Microsoft Entra).

    Prüffrage: Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Maßstab: Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

    Andere Tarife: Mit einem Arbeitskonto gilt die AVV von Microsoft; dafür gibt es den eigenen Prüfstand-Eintrag zu Microsoft 365 Copilot (Copilot Chat).

    • Microsoft ist Verantwortlicher, nicht Auftragsverarbeiter

      When Microsoft is a controller, unless otherwise stated, Microsoft Corporation and, for those in the European Economic Area, the United Kingdom, and Switzerland, Microsoft Ireland Operations Limited are the data controllers for personal data we collect through the products subject to this statement.

      Quelle: microsoft.com (öffnet neues Fenster) abgerufen am

    • Arbeitskonten fallen nicht unter diese Regeln

      This article does not apply when you sign in to the Microsoft Copilot app or use Copilot in Microsoft 365 apps with a work, school, or organizational (Microsoft Entra) account.

      Quelle: support.microsoft.com (öffnet neues Fenster) abgerufen am

  3. Nicht erfüllt 03 Unterauftragsverarbeiter · Nicht erfüllt Für den privaten Copilot veröffentlicht Microsoft keine Liste der Unterauftragsverarbeiter und kündigt keine Änderungen an. Die Datenschutzerklärung nennt Dienstleister nur allgemein.

    Prüffrage: Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Maßstab: Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

    • Dienstleister nur allgemein erwähnt

      We also provide personal data to vendors or agents working on our behalf for the purposes described in this statement, such as companies we hire to provide customer service support.

      Quelle: microsoft.com (öffnet neues Fenster) abgerufen am

  4. Nicht erfüllt 04 Datenstandort · Nicht erfüllt Einen Datenstandort Europa können Sie nicht wählen. Microsoft speichert personenbezogene Daten in Ihrer Region, in den USA oder in jedem anderen Land, in dem Microsoft oder seine Dienstleister Rechenzentren betreiben.

    Prüffrage: Wo liegen die Inhalte, und lässt sich Europa wählen?

    Maßstab: Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

    • Speicherung auch in den USA und weltweit

      Personal data collected by Microsoft may be stored and processed in your region, in the United States, and in any other jurisdiction where Microsoft or its affiliates, subsidiaries, or service providers operate facilities.

      Quelle: microsoft.com (öffnet neues Fenster) abgerufen am

    • Hauptspeicherort Ihre Region oder die USA

      Typically, the primary storage location is in your region or in the United States, often with a backup to a data center in another region.

      Quelle: microsoft.com (öffnet neues Fenster) abgerufen am

  5. Mit Einschränkung 05 Drittlandübermittlung Kern · Mit Einschränkung Die Microsoft Corporation ist im EU-US Data Privacy Framework aktiv zertifiziert (geprüft am 28.10.2026), daneben nennt Microsoft Standardvertragsklauseln. Ihr Unternehmen hat beim privaten Copilot aber keinen Vertrag, der Übermittlungen regelt; Microsoft entscheidet darüber als Verantwortlicher selbst.

    Prüffrage: Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Maßstab: Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

    • DPF aktiv seit 12.08.2016, fällig 31.08.2027

      EU-U.S. Data Privacy Framework : Active Original Certification Date 08/12/2016 Next Certification Due Date 08/31/2027

      Quelle: dataprivacyframework.gov (öffnet neues Fenster) abgerufen am

    • Standardvertragsklauseln laut Datenschutzerklärung

      In such cases, we implement legal safeguards-such as standard contractual clauses approved by the European Commission – to help protect your rights and ensure your data remains protected.

      Quelle: microsoft.com (öffnet neues Fenster) abgerufen am

  6. Mit Einschränkung 06 KI-Training mit Ihren Daten Kern · Mit Einschränkung In der neuen Copilot-App (seit 18.08.2026, im Web immer) nutzt Microsoft Prompts, Antworten und Dateien nicht zum Training der Basismodelle. Ältere App-Versionen nutzen Gespräche fürs Training, bis Sie widersprechen, und Prompts dienen auch der Werbung.

    Prüffrage: Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Maßstab: Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

  7. Nicht ausgewiesen 07 Zertifikate · Nicht ausgewiesen Nicht öffentlich ausgewiesen: Für den Copilot mit privatem Konto nennt Microsoft weder ISO 27001 noch SOC 2. Die Nachweise, die Microsoft für Copilot veröffentlicht, beziehen sich auf den Geschäftsdienst mit Arbeitskonto.

    Prüffrage: ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Maßstab: Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

    Der Anbieter macht dazu keine öffentliche Angabe, die wir zitieren könnten.

  8. Nicht erfüllt 08 Verwaltung & Kontrolle · Nicht erfüllt Es gibt keine zentrale Verwaltung: Jede Person meldet sich mit ihrem privaten Microsoft-Konto an und stellt Speicher, Verlauf und Websuche selbst ein. SSO, Rollen und ein Protokoll für Ihr Unternehmen fehlen.

    Prüffrage: SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Maßstab: Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

  9. Mit Einschränkung 09 Löschung · Mit Einschränkung Nutzer können einzelne Chats oder den ganzen Verlauf selbst löschen. Eine verbindliche Löschfrist gegenüber Ihrem Unternehmen gibt es nicht; für die ältere App nennt Microsoft eine Speicherdauer von 18 Monaten als Standard.

    Prüffrage: Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Maßstab: Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

  10. Mit Einschränkung 10 Betroffenenrechte · Mit Einschränkung Jede Person kann ihren Copilot-Verlauf selbst exportieren und löschen und sich an Microsofts Datenschutzbeauftragten wenden. Eine Zusage, Ihr Unternehmen bei Anfragen Betroffener zu unterstützen, gibt es nicht.

    Prüffrage: Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Maßstab: Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

    • Export und Löschung über das Datenschutz-Dashboard

      To export or delete all your activity history for Copilot, see Manage your Copilot activity history in the privacy dashboard.

      Quelle: support.microsoft.com (öffnet neues Fenster) abgerufen am

    • Allgemeiner Kontaktweg zum Datenschutzbeauftragten

      If you have a privacy concern, complaint, or question for the Microsoft privacy team or Data Protection Officer, please visit our privacy support and requests page

      Quelle: microsoft.com (öffnet neues Fenster) abgerufen am

So setzen Sie Microsoft Copilot sauber ein

Die Schritte in dieser Reihenfolge abarbeiten. Was erledigt ist, können Sie abhaken; das bleibt nur in Ihrem Browser.

Aus dem Subprozessor-Monitor

Unterauftragsverarbeiter von Microsoft Copilot

Microsoft Corporation veröffentlicht seine Liste nicht so, dass unser Monitor sie täglich automatisch lesen kann (Anmeldung, Bot-Sperre oder nur im Vertragsanhang). Wir prüfen sie deshalb bei jeder Nachprüfung von Hand.

Nicht erfüllt

Stand 28. Oktober 2026: Für den privaten Copilot veröffentlicht Microsoft keine Liste der Unterauftragsverarbeiter und kündigt keine Änderungen an. Die Datenschutzerklärung nennt Dienstleister nur allgemein.

17 Anbieter im Monitor ansehen

Änderungshistorie

Nächste Prüfung spätestens am 26. Januar 2027.

  1. Erstprüfung.

Weiterlesen

Hugo DSB

Jedes Tool im Verzeichnis, jeder AVV an seinem Platz

Mit Hugo DSB dokumentieren Sie Microsoft Copilot und alle anderen Dienstleister im Verzeichnis der Verarbeitungstätigkeiten, mit externem Datenschutzbeauftragten an Ihrer Seite.

Hugo DSB ansehen

Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Angaben von Microsoft Corporation, Stand 28. Oktober 2026. Keine Rechtsberatung. Herstellerangaben können sich ändern; maßgeblich sind die verlinkten Originaldokumente. Wie wir prüfen: Methode.

Häufige Fragen: Microsoft Copilot und die DSGVO

Mit einem privaten Microsoft-Konto nicht für Firmendaten: Es gibt keine AVV, Microsoft ist selbst Verantwortlicher, und die Bedingungen erlauben nur die persönliche Nutzung. Mit einem Arbeitskonto (Microsoft Entra) sieht es anders aus; dann gelten die AVV und die EU-Datengrenze von Microsoft.

Für personenbezogene Daten oder vertrauliche Firmeninhalte nicht. Die Copilot-Nutzungsbedingungen erlauben nur die persönliche Nutzung, und ohne AVV fehlt die Grundlage nach Art. 28 DSGVO. Nehmen Sie Copilot Chat mit dem Arbeitskonto Ihres Microsoft-365-Mandanten.

Microsoft hat die Geschäftsdienste in Microsoft Copilot und Microsoft Copilot Chat umbenannt, deshalb klingen beide gleich. Entscheidend ist das Konto: Mit einem privaten Microsoft-Konto nutzen Sie den Verbraucherdienst, mit einem Arbeitskonto (Microsoft Entra) den Geschäftsdienst mit AVV und Datenschutz für Unternehmen.

In der neuen Copilot-App seit 18.08.2026 nutzt Microsoft Prompts, Antworten und Dateien nicht zum Training der Basismodelle. Ältere App-Versionen nutzen Gespräche fürs Training, bis Sie es in den Einstellungen abschalten. Prompts können außerdem für Werbung genutzt werden.

Beim privaten Copilot können Sie keinen Standort wählen. Laut Datenschutzerklärung speichert Microsoft in Ihrer Region, in den USA oder in jedem Land, in dem Microsoft oder seine Dienstleister Rechenzentren betreiben.

Einzelne Chats löschen Sie direkt in Copilot über „…“ und „Delete“ neben dem Chat. Den ganzen Verlauf exportieren oder löschen Sie im Microsoft-Datenschutz-Dashboard Ihres Microsoft-Kontos.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen