Microsoft Copilot sicher nutzen: Was der Datenschutz erlaubt

Ist Microsoft Copilot für den Datenschutz geeignet?

Ja, solange Copilot nicht im Web sucht. Copilot ist Microsofts KI-Assistent in Word, Outlook und Teams, Azure OpenAI Service die Schnittstelle für eigene Anwendungen. Beide sind über die Geschäftskundenverträge (Microsoft Customer Agreement, DPA?Auftragsbearbeitungsvertrag (DPA)Der Vertrag, der regelt, wie ein Anbieter Personendaten im Auftrag eines Kunden bearbeiten darf, englisch Data Processing Agreement/Addendum. Ohne unterzeichnetes DPA gilt ein Cloud-Anbieter datenschutzrechtlich nicht als gebunden.) mit den nötigen Zusätzen auch für Berufsgeheimnisse einsetzbar. Sucht Copilot über die Suchmaschine Bing im Web, gilt ein anderes Vertragswerk, das Vertraulichkeit kaum zusichert.

Das Wichtigste in Kürze

• Microsofts Vertraulichkeitszusage für die Websuche greift im Zweifel nicht. Der Text nennt die Daten «confidential information», verwendet aber den im Vertrag definierten Begriff «Confidential Information» nicht.
• Wer die Websuche abschalten will, muss Mitarbeitende schulen. Bei der kostenpflichtigen Zusatzlizenz Microsoft 365 Copilot sitzt der Schalter im Kontextmenü und gilt nur für die einzelne Anfrage.
• Bezieht Ihr Unternehmen Copilot über einen Reseller, also einen Vertriebspartner, der Microsoft-Lizenzen weiterverkauft, kann es das manuelle Abuse Monitoring nicht abwählen. Dabei lesen Microsoft-Mitarbeitende Anfragen von Hand mit. Das Opt-out steht heute nur Kunden offen, die Microsoft direkt betreut.
• Wer die geschlossenen Copilot-Modelle verlassen will, findet bei Microsoft selbst einen Weg. Der Dienst Azure AI Foundry hostet auch offene Modelle wie Llama oder DeepSeek.
• GitHub Copilot, Microsofts Assistent für das Programmieren, bewahrt Daten aktiver Konten unbefristet auf, sofern der Vertrag nichts anderes vorsieht. Klären Sie darum vor dem Einsatz die Löschfrist.

Die Zürcher Kanzlei VISCHER schreibt in ihrer Marktübersicht vom Juli 2026, sie könne nicht nachvollziehen, warum Microsoft bei der Websuche keine datenschutzkonforme Lösung anbieten könne, so wie es Konkurrent Google mache. VISCHER ist eine Anwaltskanzlei. Die juristische Einordnung stammt von dort, die folgende Architektur-Einordnung von uns.

Dies ist der vierte Teil unserer Serie «Anbieter im Datenschutz-Check», nach demselben Raster wie die übrigen: Verträge, Datenresidenz, Berufsgeheimnis, Auswege.

Was VISCHER an Copilot und Azure OpenAI beanstandet

Copilot gibt es in vielen Ausführungen; wir beziehen uns wie VISCHER auf die zwei relevanten Business-Varianten: Microsoft 365 Copilot Chat, in vielen Microsoft-365-Setups für Geschäftskunden automatisch enthalten, und die kostenpflichtige Zusatzlizenz Microsoft 365 Copilot. Für beide gelten grundsätzlich dieselben Verträge wie sonst für Microsoft 365 und Azure, und die sind laut VISCHER mit den nötigen Länder- oder Berufs-/Amtsgeheimniszusätzen datenschutzrechtlich unbedenklich.

Sobald Copilot auf Bing-Websuche zurückgreift, ändert sich das Bild vollständig. Die üblichen Vertragselemente (Microsoft Customer Agreement, Microsoft DPA) gelten dann nicht mehr. Andere Bedingungen greifen, auch für Geschäftskunden. Microsoft hat dafür zusätzliche Zusicherungen für sogenannte Query Data (die an die Suche übergebenen Anfragen) ergänzt: Man werde Kundendaten nicht zur Serviceverbesserung, zum Training oder für Werbung nutzen und behandle sie als vertraulich. VISCHER weist auf eine Feinheit hin, die den Unterschied macht: Der Text nennt diese Daten “confidential information”, verwendet aber nicht den vertraglich definierten Begriff “Confidential Information” aus dem Microsoft Customer Agreement. Im Zweifel greift die dortige Vertraulichkeitsklausel darum nicht. Auch das Microsoft DPA gilt für den Bing-Teil nicht: Microsoft sieht sich hier selbst als datenschutzrechtlich Verantwortlicher, das Auftragsbearbeiter-Modell des DPA greift dort nicht. VISCHER schliesst, die Websuche bei Copilot und bei Azure OpenAI Service erfülle weder Datenschutz- noch Berufs-/Amtsgeheimnisanforderungen, mit Vorbehalten auch bei Geschäftsgeheimnissen.

Für Unternehmen bleiben drei Optionen. Erstens können sie die Websuche für alle Mitarbeitenden abschalten, was die Attraktivität des Werkzeugs deutlich mindert. Zweitens kann bei der Zusatzlizenz jede Person die Websuche pro Anfrage einzeln deaktivieren. Der Schalter liegt im Kontextmenü versteckt und ist wenig benutzerfreundlich. Die Unterscheidung zwischen «work» und «web» hilft dabei nur bedingt, denn auch im «work»-Modus kann eine Websuche laufen, solange sie nicht ausdrücklich abgeschaltet ist. Drittens können sie Mitarbeitende anweisen↗Recht & Regulierung · Teil 4KI-Governance: eine Seite reicht zum StartEine KI-Weisung, also die interne Regel für den Umgang mit KI-Werkzeugen, die in drei Monaten fertig wird, schützt heute niemanden. Schatten-KI, die Nutzung nicht freigegebener Werkzeuge, wächst genau so lange, wie das Dokument im Entwurf liegt.Beitrag lesen, bei Copilot-Abfragen keine Personendaten oder vertraulichen Informationen einzugeben, ähnlich wie bei Suchmaschinen. Bei einer klassischen Suchmaschine wissen Nutzende, was sie eintippen. Bei Copilot kontrollieren sie nicht, was das System zusätzlich an die Suche übergibt.

Bei Azure OpenAI Service über die API ist die Lage günstiger. Hier entscheidet die eigene Anwendung, ob und wann ein Websuche-Zugriff erfolgt. Wer die Anwendung selbst baut, kann diesen Zugriff schlicht weglassen.

GitHub Copilot: ein anderer Vertrag als Microsoft 365

VISCHER klammert GitHub Copilot bewusst aus der eigenen Übersicht aus: Der Beitrag befasst sich “nur” mit ausgewählten Varianten für und rund um Office, nicht mit Copilot in Tools wie Copilot Studio oder GitHub. Das ist kein Zufall, denn GitHub Copilot unterliegt rechtlich eigenen Verträgen. Was folgt, ist darum unsere eigene Recherche in den öffentlich zugänglichen Vertragsunterlagen von GitHub, Stand Juli 2026, keine VISCHER-Einordnung.

Wird GitHub Copilot direkt bei GitHub bezogen, gelten die GitHub Copilot Product Specific Terms und ein eigenes GitHub-DPA, nicht das Microsoft Customer Agreement und nicht das Microsoft DPA aus dem vorigen Abschnitt. Wird GitHub dagegen über eine Microsoft-Vertragsbeziehung (Enterprise Agreement) bezogen, gelten stattdessen die Microsoft Product Terms für GitHub-Angebote. Welcher der beiden Verträge gilt, hängt vom Einkaufsweg ab.

Für den Unternehmenseinsatz gilt darum dieselbe Grundregel wie bei jedem anderen Anbieter dieser Serie: Nur Copilot Business oder Copilot Enterprise kommen infrage, nie ein persönlicher Free- oder Pro-Zugang. Zur Datenaufbewahrung nennt GitHub für aktive Konten keine feste Frist, für beendete Konten ein 90-Tage-Löschfenster; Enterprise-Verträge können davon abweichende Fristen vereinbaren.GitHub DocsGitHub Docs · 2026GitHub Terms of ServiceQuelle öffnen ↗ Eine Aussage zum Berufsgeheimnis trifft weder GitHub noch VISCHER; wer Berufsgeheimnispflichten unterliegt, sollte hier ebenso vorsichtig sein wie beim Web Grounding von Microsoft 365 Copilot.

Berufsgeheimnis: was heute schon geht

Für Anwaltskanzleien, Arztpraxen, Treuhänder und Banken ist die Frage nach dem Berufsgeheimnis↗Recht & Regulierung · Teil 3Berufsgeheimnis und KI: was in die Cloud darf«Bei uns geht das nicht» lautet in Kanzleien und Praxen oft die Antwort auf KI. Der Strafartikel zum Berufsgeheimnis (Art. 321 StGB) ist enger gefasst, und der grössere Teil des Alltags fällt gar nicht darunter.Beitrag lesen zentraler als die allgemeine DSGVO- oder revDSG-Konformität. Zu Microsoft 365 Copilot und Azure OpenAI Service kommt VISCHER zu einem vorsichtig positiven Schluss. Der Einsatz mit Berufs- und Amtsgeheimnissen ist möglich, sofern die nötigen Vertragszusätze abgeschlossen sind, das Abuse Monitoring deaktiviert ist und die Bing-Suche nicht mit Berufsgeheimnisdaten läuft.

Positiv ist, dass auch KMU ohne Weiteres an diese Vertragszusätze kommen. Zwei Einschränkungen bleiben. Wer Microsoft-Cloud-Dienste über einen Cloud Solution Provider bezieht, einen Reseller also, erhält die nötigen Zusätze oft nicht formell unterschrieben; für diesen Fall verweist VISCHER auf einen eigenen Workaround für die fehlende Unterschrift bei Microsoft-Cloud-Verträgen. Und das Opt-out vom manuellen Abuse Monitoring steht heute nur Kunden offen, die Microsoft direkt betreut, nicht Kunden über einen Reseller. Microsoft testet laut VISCHER einen neuen Prozess, um das für einzelne Berufsgruppen wie Anwaltskanzleien zu ändern.

Kennzahl

30 Tage

Quelle: VISCHER, KI-Tools-Marktübersicht Teil 31, Stand Juli 2026

Flex Routing: die stille Konfigurationsfalle

Eine neuere Funktion verdient besondere Aufmerksamkeit: Flex Routing. Microsoft führte sie aus Performance-Gründen ein. Zur besseren Lastverteilung können KI-Antworten auch ausserhalb Europas erzeugt werden, teils weltweit verteilt. Datenschutzrechtlich ist das laut VISCHER nicht zu beanstanden. Für Berufsgeheimnisse gilt das nicht, denn die Verarbeitung verlässt damit die “EU Data Boundary”, Microsofts Zusage, Daten innerhalb der EU und EFTA zu halten.

Wo Copilot auf der Souveränitäts-Skala steht

Die Vertragsfrage ist die eine Ebene. Die andere ist die Architektur: Welchem Rechtsraum untersteht die Verarbeitung wirklich, wie offen ist das Modell dahinter, wo läuft der Betrieb, und kommen Sie im Zweifel aus dem System wieder heraus? Wie wir Souveränität verstehen, steht im Grundlagenbeitrag Was ist souveräne KI?. Dieselben sechs Achsen lassen sich konkret auf Copilot und Azure OpenAI Service anwenden:

weniger souverän souveräner →

Rechtsraum

US

EU

Schweiz

Modell

geschlossen

offene Gewichte

offen + Trainingsdaten

Software

proprietär

offener Code

echte Open Source

Betrieb

US-Cloud

Schweizer Anbieter

eigenes Haus

Daten

Anbieter trainiert mit

vertraglich untersagt

technisch unmöglich

Integration

proprietäre API

offene Standards

im eigenen Haus

Beim Rechtsraum steht Copilot dank EU Data Boundary heute meist in der Mitte, auf der Stufe «EU». Die Schweiz gehört als EFTA-Staat zum selben Boundary-Kreis (abgeschlossen im Februar 2025),Microsoft LearnMicrosoft Learn · 2026What is the EU Data Boundary?Quelle öffnen ↗ zusätzlich betreibt Microsoft eigene Rechenzentren nahe Zürich und Genf seit 2019.Microsoft NewsMicrosoft News · Februar 2026How Microsoft is addressing digital sovereignty in SwitzerlandQuelle öffnen ↗ Flex Routing kann diese Einstufung im Einzelfall nach links, Richtung «US», verschieben, und der US CLOUD Act?US CLOUD ActUS-Gesetz von 2018: Amerikanische Anbieter müssen Daten herausgeben, die in ihrer Kontrolle stehen, unabhängig davon, wo auf der Welt die Server stehen. Es betrifft auch die europäischen Rechenzentren von US-Konzernen. erreicht Microsoft als amerikanisches Unternehmen ohnehin unabhängig vom Serverstandort. Beim Betrieb bleibt Copilot links, denn Sie mieten einen Dienst eines Hyperscalers, also eines Betreibers riesiger Cloud-Rechenzentren. Bei der Integration liegt es ebenfalls links, weil die proprietäre Microsoft-API und -App einen Anbieterwechsel erschwert.

Beim Modell ist die Bandbreite am grössten. Hier unterscheiden sich die Nutzung von Copilot und der API-Weg über Azure OpenAI Service. Über Copilot nutzen Sie geschlossene Modelle, GPT von OpenAI oder wahlweise ein Anthropic-Modell wie Claude. Bei den Anthropic-Modellen verarbeitet derzeit Anthropic selbst auf eigenen Systemen in den USA, auch wenn Microsoft über sein DPA die Datenschutzpflichten überbindet; für Berufsgeheimnisse fällt diese Variante darum weg. VISCHER hat in Erfahrung gebracht, dass Anthropic plant, seine Modelle gegen Ende Jahr auch auf Rechenzentren in Europa zu betreiben.

Der Fluchtweg: Azure AI Foundry

Wer über die Azure-OpenAI-API arbeitet, landet in Azure AI Foundry, Microsofts Modellkatalog mit über 1’900 Einträgen (Stand Mitte 2026, die Zahl ändert sich laufend).Microsoft LearnMicrosoft Learn · 2026Microsoft Foundry Models overviewQuelle öffnen ↗ Neben den geschlossenen OpenAI- und Anthropic-Modellen stehen dort auch offene Modelle?Open WeightModelle, deren Gewichte öffentlich verfügbar sind und selbst gehostet werden dürfen (z.B. Apertus, DeepSeek, Llama). Voraussetzung für souveränen Betrieb ohne Anbieterbindung. wie Meta Llama, Mistral, DeepSeek oder Cohere zur Verfügung, teils als fertige Serverless-Endpunkte, teils als Deployment auf eigens gebuchter Rechenleistung.

Für die Souveränität ist das relevant. Ein offenes Modell auf Azure AI Foundry lässt sich später auch bei einem anderen Anbieter betreiben, ein geschlossenes GPT-Modell dagegen ausschliesslich bei Microsoft oder OpenAI. Wer heute mit Azure OpenAI Service startet und ein offenes Modell wählt, hält sich diesen Weg offen, ohne die Hyperscaler-Infrastruktur sofort zu verlassen. Der Rechtsraum und der Betrieb bleiben dabei unverändert bei Microsoft. Nur die Modell-Achse rückt nach rechts.

So starten Sie

Klären Sie vor dem breiten Rollout diese vier Punkte:

1. Bezieht Ihr Unternehmen Microsoft-Cloud-Dienste direkt oder über einen Reseller? Davon hängt ab, ob das Abuse-Monitoring-Opt-out überhaupt erreichbar ist.
2. Liegen die nötigen Vertrags- und Berufsgeheimniszusätze tatsächlich unterschrieben vor?
3. Wie schalten Sie die Websuche für heikle Daten technisch und organisatorisch aus, pro Nutzer oder für die ganze Organisation?
4. Bringt ein Anwendungsfall mit Azure OpenAI Service und einem offenen Modell mehr Kontrolle als die fertige Copilot-App?

Die übrigen Teile der Serie prüfen OpenAI, Anthropic und Google nach demselben Raster, dazu Proton als Gegenentwurf.

Haben Sie Copilot-Lizenzen gekauft? Über den Datenschutz entscheiden danach vier Einstellungen.

Der Einstieg über Copilot ist naheliegend, wenn Ihre Daten ohnehin in SharePoint und Outlook liegen, und aus Datenschutzsicht ist er gut vertretbar. Die Voreinstellungen genügen allerdings nicht.

Nach der Marktübersicht der Zürcher Kanzlei VISCHER sind es diese vier: Die Bing-Websuche fällt aus dem Vertragswerk, und der Schalter dagegen wirkt bei der Zusatzlizenz nur pro Anfrage. Das Opt-out vom manuellen Abuse Monitoring (Microsoft-Mitarbeitende lesen Anfragen mit) steht heute nur direkt betreuten Kunden offen, nicht solchen mit Reseller. Flex Routing kann Antworten zur Lastverteilung ausserhalb der EU Data Boundary (Microsofts Zusage, Daten in EU und EFTA zu halten) verarbeiten, teils stillschweigend aktiviert. Und die Berufsgeheimnis-Zusätze sind zwar auch für KMU erhältlich, über Reseller aber oft nicht formell unterschrieben.

Unser Schluss: Mit diesen vier Punkten ist Copilot laut VISCHER auch für Berufsgeheimnisse einsetzbar. Ohne sie ist die Lizenz gekauft und die Vertraulichkeit offen. Wer sich Austrittsfähigkeit erhalten will, wählt über Microsofts Plattform Azure AI Foundry ein offenes Modell, das sich später anderswo betreiben lässt.

Einordnung, keine Rechtsberatung. Im Beitrag stehen die Produkttabelle, die eigene Einordnung von GitHub Copilot und acht Fragen vor dem Rollout. Link in den Kommentaren.

#KI #Datenschutz #Microsoft #Schweiz