Microsoft Copilot sicher nutzen: Was der Datenschutz erlaubt

Ist Microsoft Copilot für den Datenschutz geeignet?

Ja, solange Copilot nicht im Web sucht. Über die üblichen Geschäftskundenverträge (Microsoft Customer Agreement, DPA?Auftragsbearbeitungsvertrag (DPA)Der Vertrag, der regelt, wie ein Anbieter Personendaten im Auftrag eines Kunden bearbeiten darf, englisch Data Processing Agreement/Addendum. Ohne unterzeichnetes DPA gilt ein Cloud-Anbieter datenschutzrechtlich nicht als gebunden.) sind Microsoft 365 Copilot und Azure OpenAI Service mit den nötigen Zusätzen auch für Berufsgeheimnisse einsetzbar. Sobald Copilot auf die Bing-Websuche zurückgreift, gilt ein anderes Vertragswerk, das Vertraulichkeit kaum mehr zusichert. Dabei bestimmt die nutzende Person nicht, was an die Suche übergeben wird.

Das Wichtigste in Kürze

• Verlassen Sie sich bei der Websuche nicht auf Microsofts Vertraulichkeitszusage. Sie ist nicht mit dem bindenden Vertragsbegriff formuliert und greift im Zweifel nicht.
• Wollen Sie die Websuche abschalten, planen Sie Schulung ein. Der Schalter sitzt bei der Zusatzlizenz versteckt im Kontextmenü und muss pro Anfrage einzeln gesetzt werden.
• Beziehen Sie über einen Reseller, fehlt Ihnen ein Ausstieg. Das Opt-out vom manuellen Abuse Monitoring steht heute nur direkt betreuten Kunden offen.
• Wer aus der Copilot-Bindung will, findet den Ausweg im selben Haus. Azure AI Foundry hostet auch offene Modelle wie Llama oder DeepSeek.
• Klären Sie beim Programmieren die Löschfrist. GitHub Copilot bewahrt Daten aktiver Konten unbefristet auf, sofern Ihr Vertrag nichts anderes vorsieht.

Die Zürcher Kanzlei VISCHER schreibt in ihrer Marktübersicht vom Juli 2026, sie könne nicht nachvollziehen, warum Microsoft bei der Websuche keine datenschutzkonforme Lösung anbieten könne, so wie es Konkurrent Google mache. VISCHER ist eine Anwaltskanzlei. Die juristische Einordnung stammt von dort, die folgende Architektur-Einordnung von uns.

Dies ist der vierte Teil unserer Serie «Anbieter im Datenschutz-Check», nach demselben Raster wie die übrigen: Verträge, Datenresidenz, Berufsgeheimnis, Auswege.

Was VISCHER an Copilot und Azure OpenAI beanstandet

Copilot gibt es in vielen Ausführungen; wir beziehen uns wie VISCHER auf die zwei relevanten Business-Varianten: Microsoft 365 Copilot Chat, in vielen Microsoft-365-Setups für Geschäftskunden automatisch enthalten, und die kostenpflichtige Zusatzlizenz Microsoft 365 Copilot. Für beide gelten grundsätzlich dieselben Verträge wie sonst für Microsoft 365 und Azure, und die sind laut VISCHER mit den nötigen Länder- oder Berufs-/Amtsgeheimniszusätzen datenrechtlich in Ordnung.

Sobald Copilot auf Bing-Websuche zurückgreift, ändert sich das Bild vollständig. Die üblichen Vertragselemente (Microsoft Customer Agreement, Microsoft DPA) gelten dann nicht mehr. Andere Bedingungen greifen, auch für Geschäftskunden. Microsoft hat dafür zusätzliche Zusicherungen für sogenannte Query Data ergänzt: Man werde Kundendaten nicht zur Serviceverbesserung, zum Training oder für Werbung nutzen und behandle sie als vertraulich. VISCHER weist auf eine Feinheit hin, die den Unterschied macht: Der Text nennt diese Daten “confidential information”, verwendet aber nicht den vertraglich definierten Begriff “Confidential Information” aus dem Microsoft Customer Agreement. Im Zweifel greift die dortige Vertraulichkeitsklausel darum nicht. Auch das Microsoft DPA gilt für den Bing-Teil nicht: Microsoft sieht sich hier selbst als datenschutzrechtlich Verantwortlicher, das Auftragsbearbeiter-Modell des DPA greift dort nicht. VISCHERs Schluss: Die Websuche bei Copilot und bei Azure OpenAI Service erfüllt weder Datenschutz- noch Berufs-/Amtsgeheimnisanforderungen, mit Vorbehalten auch bei Geschäftsgeheimnissen.

Für Unternehmen bleiben drei Optionen. Erstens die Websuche für alle Mitarbeitenden abschalten, was die Attraktivität des Werkzeugs deutlich mindert. Zweitens: Bei der Zusatzlizenz kann jede Person die Websuche pro Anfrage einzeln deaktivieren, versteckt im Kontextmenü und wenig benutzernah. Die Unterscheidung zwischen “work” und “web” hilft dabei nur bedingt: Auch im “work”-Modus kann eine Websuche laufen, solange sie nicht ausdrücklich abgeschaltet ist. Drittens: Mitarbeitende anweisen↗Recht & Regulierung · Teil 4KI-Governance: eine Seite reicht zum StartEine KI-Weisung, die in drei Monaten fertig wird, schützt heute niemanden. Schatten-KI wächst genau so lange, wie das Dokument reift. Beitrag lesen , bei Copilot-Abfragen keine Personendaten oder vertraulichen Informationen einzugeben, ähnlich einer Anweisung für Suchmaschinen. Der Unterschied ist, dass Nutzende bei einer klassischen Suchmaschine wissen, was sie eintippen; bei Copilot kontrollieren sie nicht, was das System zusätzlich an die Suche übergibt.

Bei Azure OpenAI Service über die API sieht es günstiger aus: Hier entscheidet die eigene Anwendung, ob und wann ein Websuche-Zugriff erfolgt. Wer die Anwendung selbst baut, kann diesen Zugriff schlicht weglassen.

GitHub Copilot: ein anderer Vertrag als Microsoft 365

VISCHER klammert GitHub Copilot bewusst aus der eigenen Übersicht aus: Der Beitrag befasst sich “nur” mit ausgewählten Varianten für und rund um Office, nicht mit Copilot in Tools wie Copilot Studio oder GitHub. Das ist kein Zufall, denn GitHub Copilot läuft rechtlich in einer eigenen Spur. Was folgt, ist darum unsere eigene Recherche in den öffentlich zugänglichen Vertragsunterlagen von GitHub, Stand Juli 2026, keine VISCHER-Einordnung.

Wird GitHub Copilot direkt bei GitHub bezogen, gelten die GitHub Copilot Product Specific Terms und ein eigenes GitHub-DPA, nicht das Microsoft Customer Agreement und nicht das Microsoft DPA aus dem vorigen Abschnitt. Wird GitHub dagegen über eine Microsoft-Vertragsbeziehung (Enterprise Agreement) bezogen, gelten stattdessen die Microsoft Product Terms für GitHub-Angebote. Welcher der beiden Verträge zur Anwendung kommt, hängt am Einkaufsweg, nicht am Produktnamen.

Für den Unternehmenseinsatz gilt darum dieselbe Grundregel wie bei jedem anderen Anbieter dieser Serie: Nur Copilot Business oder Copilot Enterprise kommen infrage, nie ein persönlicher Free- oder Pro-Zugang. Zur Datenaufbewahrung nennt GitHub für aktive Konten keine feste Frist, für beendete Konten ein 90-Tage-Löschfenster; Enterprise-Verträge können davon abweichende Fristen vereinbaren.GitHub DocsGitHub Docs · 2026GitHub Terms of Service Quelle öffnen ↗ Eine Aussage zum Berufsgeheimnis trifft weder GitHub noch VISCHER; wer Berufsgeheimnispflichten unterliegt, sollte hier dieselbe Vorsicht walten lassen wie beim Web Grounding von Microsoft 365 Copilot.

Berufsgeheimnis: was heute schon geht

Für Anwaltskanzleien, Arztpraxen, Treuhänder und Banken ist die Frage nach dem Berufsgeheimnis↗Recht & Regulierung · Teil 3Berufsgeheimnis und KI: was in die Cloud darf«Bei uns geht das nicht» ist in Kanzleien und Praxen die Standardantwort auf KI. Art. 321 StGB sagt etwas Engeres, und der grössere Teil des Alltags fällt gar nicht darunter. Beitrag lesen zentraler als die allgemeine DSGVO- oder revDSG-Konformität. Zu Microsoft 365 Copilot und Azure OpenAI Service kommt VISCHER hier zu einem vorsichtig positiven Schluss: Der Einsatz mit Berufs- und Amtsgeheimnissen ist möglich, sofern die nötigen Vertragszusätze abgeschlossen sind, das Abuse Monitoring deaktiviert ist und die Bing-Suche nicht mit Berufsgeheimnisdaten läuft.

Positiv ist, dass auch KMU ohne Weiteres an diese Vertragszusätze kommen. Zwei Einschränkungen bleiben. Wer Microsoft-Cloud-Dienste über einen Cloud Solution Provider bezieht, einen Reseller also, erhält die nötigen Zusätze oft nicht formell unterschrieben; für diesen Fall verweist VISCHER auf einen eigenen Workaround für die fehlende Unterschrift bei Microsoft-Cloud-Verträgen. Und das Opt-out vom manuellen Abuse Monitoring steht heute nur Kunden offen, die Microsoft direkt betreut, nicht Kunden über einen Reseller. Microsoft testet laut VISCHER einen neuen Prozess, um das für einzelne Berufsgruppen wie Anwaltskanzleien zu ändern.

Kennzahl

30 Tage

Quelle: VISCHER, KI-Tools-Marktübersicht Teil 31, Stand Juli 2026

Flex Routing: die stille Konfigurationsfalle

Eine neuere Funktion verdient besondere Aufmerksamkeit: Flex Routing. Microsoft führte sie aus Performance-Gründen ein, für einen besseren Lastenausgleich werden KI-Antworten nicht mehr zwingend in Europa erzeugt, sondern teils weltweit verteilt. Datenschutzrechtlich ist das laut VISCHER nicht zu beanstanden. Für Berufsgeheimnisse ist es das dagegen sehr wohl, denn die Verarbeitung verlässt damit die “EU Data Boundary”, Microsofts Zusage, Daten innerhalb der EU und EFTA zu halten.

Wo Copilot auf der Souveränitäts-Skala steht

Die Vertragsfrage ist die eine Ebene. Die andere ist die Architektur: Welchem Rechtsraum untersteht die Verarbeitung wirklich, wie offen ist das Modell dahinter, wo läuft der Betrieb, und kommen Sie im Zweifel aus dem System wieder heraus? Wie wir Souveränität verstehen, steht im Grundlagenbeitrag Was ist souveräne KI?. Dieselben sechs Achsen lassen sich konkret auf Copilot und Azure OpenAI Service anwenden:

weniger souverän souveräner →

Rechtsraum

US

EU

Schweiz

Modell

geschlossen

offene Gewichte

offen + Trainingsdaten

Software

proprietär

offener Code

echte Open Source

Betrieb

US-Cloud

Schweizer Anbieter

eigenes Haus

Daten

Anbieter trainiert mit

vertraglich untersagt

technisch unmöglich

Integration

proprietäre API

offene Standards

im eigenen Haus

Beim Rechtsraum steht Copilot dank EU Data Boundary heute meist in der Mitte, näher bei EU als bei den USA. Die Schweiz gehört als EFTA-Staat zum selben Boundary-Kreis (abgeschlossen im Februar 2025),Microsoft LearnMicrosoft Learn · 2026What is the EU Data Boundary? Quelle öffnen ↗ zusätzlich betreibt Microsoft eigene Rechenzentren nahe Zürich und Genf seit 2019.Microsoft NewsMicrosoft News · Februar 2026How Microsoft is addressing digital sovereignty in Switzerland Quelle öffnen ↗ Flex Routing kann diese Einstufung im Einzelfall zurück nach links schieben, und der US CLOUD Act?US CLOUD ActUS-Gesetz von 2018: Amerikanische Anbieter müssen Daten herausgeben, die in ihrer Kontrolle stehen, unabhängig davon, wo auf der Welt die Server stehen. Es betrifft auch die europäischen Rechenzentren von US-Konzernen. erreicht Microsoft als amerikanisches Unternehmen ohnehin unabhängig vom Serverstandort. Beim Betrieb bleibt Copilot links: ein Hyperscaler-Dienst, den Sie mieten. Bei der Integration bleibt es ebenso links, eine proprietäre Microsoft-API und -App, die einen Anbieterwechsel schwer macht.

Beim Modell zeigt sich die grösste Bandbreite, und genau hier liegt der Unterschied zwischen reinem Copilot-Konsum und dem API-Weg über Azure OpenAI Service. Über Copilot nutzen Sie geschlossene Modelle, GPT von OpenAI oder wahlweise ein Anthropic-Modell wie Claude. Bei Letzterem verarbeitet derzeit Anthropic selbst auf eigenen Systemen in den USA, auch wenn Microsoft über sein DPA die Datenschutzpflichten überbindet; für Berufsgeheimnisse fällt diese Variante darum weg. VISCHER hat in Erfahrung gebracht, dass Anthropic plant, seine Modelle gegen Ende Jahr auch auf Rechenzentren in Europa zu betreiben.

Der Fluchtweg: Azure AI Foundry

Wer über die Azure-OpenAI-API arbeitet, landet in Azure AI Foundry, Microsofts Modellkatalog mit über 1’900 Einträgen (Stand Mitte 2026, die Zahl ändert sich laufend).Microsoft LearnMicrosoft Learn · 2026Microsoft Foundry Models overview Quelle öffnen ↗ Neben den geschlossenen OpenAI- und Anthropic-Modellen stehen dort auch offene Modelle?Open WeightModelle, deren Gewichte öffentlich verfügbar sind und selbst gehostet werden dürfen (z.B. Apertus, DeepSeek, Llama). Voraussetzung für souveränen Betrieb ohne Anbieterbindung. wie Meta Llama, Mistral, DeepSeek oder Cohere zur Verfügung, teils als fertige Serverless-Endpunkte, teils als Deployment auf eigens gebuchter Rechenleistung.

Für die Souveränitäts-Rechnung ist das relevant: Ein offenes Modell auf Azure AI Foundry lässt sich später auch bei einem anderen Anbieter betreiben, ein geschlossenes GPT-Modell dagegen ausschliesslich bei Microsoft oder OpenAI. Wer heute mit Azure OpenAI Service startet und ein offenes Modell wählt, hält sich diesen Weg offen, ohne die Hyperscaler-Infrastruktur sofort zu verlassen. Der Rechtsraum und der Betrieb bleiben dabei unverändert bei Microsoft; nur die Modell-Achse bewegt sich nach rechts.

So starten Sie

Klären Sie vor dem breiten Rollout vier Punkte: Erstens, ob Ihr Unternehmen Microsoft-Cloud-Dienste direkt oder über einen Reseller bezieht, denn davon hängt ab, ob das Abuse-Monitoring-Opt-out überhaupt erreichbar ist. Zweitens, ob die nötigen Vertrags- und Berufsgeheimniszusätze tatsächlich unterschrieben vorliegen. Drittens, wie Sie die Websuche für heikle Daten technisch und organisatorisch ausschalten, pro Nutzer oder für die ganze Organisation. Viertens, ob ein Anwendungsfall mit Azure OpenAI Service und einem offenen Modell mehr Kontrolle bringt als mit der fertigen Copilot-App.

Die übrigen Teile der Serie prüfen OpenAI, Anthropic und Google nach demselben Raster, dazu Proton als Gegenentwurf.

Haben Sie Copilot-Lizenzen gekauft? Über den Datenschutz entscheiden danach vier Einstellungen.

Der Einstieg über Copilot ist naheliegend, wenn Ihre Daten ohnehin in SharePoint und Outlook liegen, und aus Datenschutzsicht ist er gut vertretbar. Die Voreinstellungen tragen allerdings nicht.

Nach der Marktübersicht der Zürcher Kanzlei VISCHER sind es diese vier: Die Bing-Websuche fällt aus dem Vertragswerk, und der Schalter dagegen wirkt bei der Zusatzlizenz pro Anfrage statt tenant-weit. Das Opt-out vom manuellen Abuse Monitoring steht heute nur direkt betreuten Kunden offen, nicht solchen mit Reseller. Flex Routing kann Antworten zur Lastverteilung ausserhalb der EU Data Boundary verarbeiten, teils stillschweigend aktiviert. Und die Berufsgeheimnis-Zusätze sind zwar auch für KMU erhältlich, über Reseller aber oft nicht formell unterschrieben.

Unser Schluss: Mit diesen vier Punkten ist Copilot laut VISCHER auch für Berufsgeheimnisse einsetzbar. Ohne sie ist die Lizenz gekauft und die Vertraulichkeit offen. Wer sich Austrittsfähigkeit erhalten will, wählt über Azure AI Foundry ein offenes Modell, das sich später anderswo betreiben lässt.

Einordnung, keine Rechtsberatung. Im Beitrag stehen die Produkttabelle, die eigene Einordnung von GitHub Copilot und sieben Fragen vor dem Rollout. Link in den Kommentaren.

#KI #Datenschutz #Microsoft #Schweiz