Ist Microsoft Copilot DSGVO-konform? Beispiele, Kosten und so fängst du an

„Ist Copilot DSGVO-konform?“ fragt der Datenschutzbeauftragte am Morgen, nachdem das Copilot-Symbol bei allen in Outlook, Teams und Edge aufgetaucht ist. Die Hälfte des Teams hat es schon ausprobiert, manche mit dem Arbeitskonto, manche mit dem privaten. Dieser Artikel beantwortet die Frage klar, Stand Oktober 2026: welcher Copilot welcher ist, was Microsoft zusagt, wo die Lücken liegen, was es kostet und was ein konformes Setup braucht. Viele Firmen können Copilot mit dem richtigen Setup DSGVO-konform nutzen. Das ist keine Rechtsberatung - kläre die Details mit deinem Datenschutzbeauftragten.

Ist Microsoft Copilot DSGVO-konform?

Microsoft Copilot ist weder von sich aus DSGVO-konform noch unzulässig: Mit Arbeitskonto unter Microsofts Datenschutznachtrag, mit kontrollierter Websuche und sauberen Berechtigungen sowie eigener Dokumentation lässt er sich DSGVO-konform nutzen. Microsoft erklärt, dass Copilot die Zusagen zu DSGVO und EU-Datengrenze für Microsoft-365-Geschäftskunden erfüllt und Prompts und Antworten nicht zum Training von Basismodellen nutzt². Was bleibt, ist dein Teil: das richtige Konto, die richtigen Einstellungen und die Dokumentation.

Der europäische Weg in Outlook und Teams: Superkind

Wenn dein Team in Outlook und Teams arbeitet, bekommst du einen KI-Mitarbeiter, ohne Microsoft 365 zu verlassen. Superkind ist der KI-Mitarbeiter für dein Team: Du schreibst Superkind in Outlook oder jeder anderen E-Mail, in Microsoft Teams, Slack oder der Superkind-Web-App wie einem Kollegen, und Superkind erledigt die Aufgabe in deinen Programmen über 1.500+ Integrationen wie SharePoint, Excel, HubSpot und DATEV. Superkind ist in Europa gehostet und verarbeitet, DSGVO-konform, an der KI-Verordnung ausgerichtet und trainiert nie Modelle mit deinen Daten. Es arbeitet mit KI-Modellen von OpenAI, Anthropic, Mistral und Google, alle in Europa verarbeitet, und den Auftragsverarbeitungsvertrag (AVV) gibt es über das Trust Center. Der Unterschied zu Copilot liegt in der Aufgabe: Copilot hilft jeder Person beim Schreiben und Zusammenfassen, Superkind übernimmt ganze Aufgaben.

1. 1

   Du schreibst die Aufgabe

   In Outlook, Teams, Slack oder der Web-App, in normalen Worten: „Beantworte die Frage von Frau Berger zu ihrer Bestellung und trag das Gespräch in HubSpot ein.“

2. 2

   Superkind erledigt es in deinen Systemen

   Es liest die E-Mail, schaut die Kundin in HubSpot nach, nutzt euer Firmenwissen (Lieferzeiten, Ton, frühere Fälle) und hält sich an eure Regeln, etwa „Gutschriften über 200 Euro gibt die Teamleitung frei“.

3. 3

   Superkind fragt, bevor etwas rausgeht

   Du bekommst den Antwortentwurf und den CRM-Eintrag mit Freigeben oder Ablehnen. Nichts wird ohne dein OK verschickt oder geändert, und eine Kollegin kann in Teams oder Slack freigeben.

4. 4

   Beim nächsten Mal läuft es als Routine

   Was du einmal erklärt hast, läuft weiter, zum Beispiel „Jede Bestellanfrage - Antwort entwerfen, eintragen, mich fragen“. Jede Aufgabe landet in eurem Company Brain.

So hängen Copilot und DSGVO zusammen

Die DSGVO verbietet Copilot nicht. Sechs Punkte entscheiden, ob deine Nutzung konform ist.

1. Konto und Vertrag - mit Arbeitskonto (Entra ID) fallen Copilot und Copilot Chat unter den Datenschutznachtrag für Microsoft-Produkte und -Services (DPA) und die Produktbestimmungen, Microsoft handelt als Auftragsverarbeiter nach Art. 28 DSGVO. Microsoft nennt das Enterprise Data Protection. Der Privat-Copilot mit persönlichem Microsoft-Konto ist nicht abgedeckt¹⁴.
2. Kein Training mit deinen Daten - Prompts, Antworten und über Microsoft Graph abgerufene Daten werden nicht zum Training von Basismodellen genutzt. Beim Privat-Copilot kann Microsoft Unterhaltungen zum Training nutzen, solange die Person nicht widerspricht²⁴.
3. Wo die Daten verarbeitet werden - für EU-Kunden ist Copilot ein Dienst innerhalb der EU-Datengrenze: EU-Anfragen an das Sprachmodell bleiben innerhalb der Grenze. Anthropic-Modelle, die Admins in Copilot freischalten können, sind derzeit von der EU-Datengrenze ausgenommen¹².
4. Websuche über Bing - ist die Websuche an, schickt Copilot kurze Suchanfragen ohne Nutzer- und Mandantenkennung an Bing. Dafür ist Microsoft eigenständiger Verantwortlicher; DPA und EU-Datengrenze gelten nicht. Admins können die Websuche mit der Richtlinie „Allow web search in Copilot“ abschalten³.
5. Berechtigungen und Oversharing - Copilot zeigt nur Daten, für die eine Person mindestens Leserechte hat. Damit wird aber jede zu weit freigegebene SharePoint-Website und jeder offene Teams-Kanal leichter auffindbar, deshalb verweist Microsoft auf die Berechtigungsmodelle in SharePoint².
6. Deine eigene Dokumentation - eine Rechtsgrundlage nach Art. 6 (und Art. 9 für Gesundheitsdaten und andere besondere Kategorien), ein Eintrag im Verarbeitungsverzeichnis (Art. 30) und eine Datenschutz-Folgenabschätzung (Art. 35), wenn die Nutzung voraussichtlich ein hohes Risiko hat. Nach der KI-Verordnung verlangt Art. 4 seit Februar 2025 KI-Kompetenz im Team, und Art. 50 bringt ab 2. August 2026 Transparenzpflichten, etwa die Kennzeichnung KI-erzeugter Texte, die zur Information der Öffentlichkeit veröffentlicht werden, außer ein Mensch hat sie geprüft⁹¹⁰.

Die drei Copilots und die DSGVO im Vergleich

Stand: Oktober 2026. Wo jede Version bei den Punkten steht, die für die DSGVO zählen, mit Superkind zum Vergleich, nach Angaben der Anbieter¹²³⁴. Keine Compliance-Freigabe.

Kurz gesagt: Der Privat-Copilot ist der falsche Ort für Kunden- oder Personaldaten; mit Arbeitskonto bekommst du Vertrag und EU-Datengrenze, offen bleiben Websuche, optionale Modelle und Berechtigungen. Den direkten Vergleich mit dem Angebot von OpenAI findest du in Copilot vs. ChatGPT Enterprise, die gleiche Frage für ChatGPT in Ist ChatGPT DSGVO-konform?

Beispiele: Copilot und DSGVO in der Praxis

Fünf typische Situationen und was jede braucht, damit sie konform bleibt.

1. Superkind beantwortet Kundenanfragen in Outlook und Teams

Daniel leitet eine Kunden-E-Mail in Outlook an Superkind weiter. Superkind schaut die Bestellung nach, entwirft die Antwort, trägt die Gesprächsnotiz in HubSpot ein und fragt Daniel nach Freigabe, bevor etwas rausgeht. Die Daten werden in Europa verarbeitet, ohne Training, und der AVV liegt über das Trust Center vor. Superkind verbindet sich über 1.500+ Integrationen wie SharePoint, Excel, DATEV und Zendesk. Wie das im Alltag läuft, zeigt E-Mail-Posteingang.

2. Copilot Chat zum Formulieren, mit Arbeitskonto

Das Team nutzt den kostenlosen Copilot Chat, um Stellenanzeigen zu entwerfen. Mit Entra-ID-Anmeldung fallen Prompts und Antworten unter den DPA¹. Offen ist die Websuche: Namen von Kunden oder Mitarbeitern im Prompt können in einer Bing-Anfrage außerhalb des DPA landen. Schalte die Websuche ab oder setz eine klare Regel.

3. Der kostenpflichtige Copilot findet die Gehaltsliste

Eine Assistenz bittet Copilot: „Fass alles zur Bonusrunde zusammen“ und bekommt eine Tabelle aus einer SharePoint-Website, die vor Jahren für die ganze Firma geöffnet wurde. Copilot zeigt nur, was die Person sehen darf², aber das alte Oversharing ist jetzt eine Frage entfernt. Prüfe vor dem Rollout die HR-, Finanz- und Geschäftsführungs-Websites.

4. Ein Kollege nutzt Copilot mit privatem Konto

Jemand kopiert eine Kundenbeschwerde in Copilot, angemeldet mit einem privaten Microsoft-Konto. Dieser Chat fällt nicht unter euren DPA, und Microsoft kann ihn zum Training nutzen, solange die Person nicht widersprochen hat⁴. Mach die Regel ausdrücklich: Firmendaten nur mit dem Arbeitskonto.

5. HR-Zusammenfassungen mit Gesundheitsdaten

Eine HR-Leitung will mit Copilot Krankmeldungen und Rückkehrgespräche zusammenfassen. Gesundheitsdaten sind eine besondere Kategorie nach Art. 9 DSGVO; hier ist eine DSFA nach Art. 35 wahrscheinlich fällig⁹. Wie du sie durchführst, steht in DSFA für KI-Agenten.

Was ein konformes Copilot-Setup braucht (und was es kostet)

Kurz, aber nichts davon passiert von allein.

• Nur Arbeitskonten - Firmendaten nur mit dem Entra-ID-Arbeitskonto, wo der DPA gilt¹.
• Eine Entscheidung zur Websuche - mit Regel anlassen oder über die Richtlinie „Allow web search in Copilot“ abschalten³.
• Eine Entscheidung zu optionalen Modellen - Anthropic-Modelle auslassen oder für benannte Gruppen freischalten und dokumentieren, dass sie außerhalb der EU-Datengrenze liegen¹.
• Saubere Berechtigungen - SharePoint- und Teams-Websites mit breitem Zugriff prüfen, Vertraulichkeitsbezeichnungen nutzen und mit einer Pilotgruppe starten².
• Verarbeitungsverzeichnis und DSFA - Copilot ins Verzeichnis aufnehmen (Art. 30) und bei hohem Risiko eine DSFA durchführen (Art. 35)⁹.
• KI-Kompetenz und Transparenz - Team schulen und Regeln festlegen nach Art. 4 KI-Verordnung; ab 2. August 2026 kommen mit Art. 50 Transparenzpflichten für bestimmte KI-Inhalte dazu¹⁰.

Was Copilot kostet

Stand: Oktober 2026. Microsoft-Listenpreise für Deutschland, pro Nutzer und Monat, zzgl. MwSt., zusätzlich zur Microsoft-365-Lizenz.

Zusätzlich zu den Lizenzen rechnet Microsoft einige erweiterte Funktionen wie Agenten nach Verbrauch über Copilot Credits ab⁵. Die Microsoft-365-Pakete selbst wurden zum 1. Juli 2026 teurer: In Microsofts USD-Liste stieg Business Basic von 6 auf 7 Dollar, Business Standard von 12,50 auf 14 Dollar und Microsoft 365 E3 von 36 auf 39 Dollar pro Nutzer und Monat, für Bestandskunden ab der nächsten Verlängerung; eigenständige Copilot-Lizenzen waren nicht Teil der Änderung⁷. Zehn Copilot-Business-Lizenzen kosten bei jährlicher Abrechnung zum Listenpreis 182 Euro im Monat zzgl. MwSt.

Datenschutz und EU-Hosting

Für eine Kunden-E-Mail in Outlook, einen Kontakt in HubSpot oder eine Datei in SharePoint heißt das: Die personenbezogenen Daten, mit denen Superkind arbeitet, werden ab der ersten Aufgabe in Europa verarbeitet, mit Freigabe, bevor etwas das Team verlässt.

Was Superkind kostet

Stand: Oktober 2026. Preise zzgl. MwSt., für die ganze Firma mit unbegrenzt vielen Nutzern.

• Kostenlos - 0 Euro mit einmalig bis zu 150 Euro in Credits zum Start. Keine Kreditkarte, kein Vertriebsgespräch, alle Funktionen und Verbindungen.
• Business - ab 50 Euro im Monat für 25.000 Credits. 100 Euro für 50.000 Credits ist die beliebte Stufe, dann 200 und 500 Euro. Kein Preis pro Kopf, nicht genutzte Credits gehen einen Monat mit, eigene Apps inklusive, monatlich kündbar.
• Enterprise - Preis passend zu eurem Volumen, dedizierter Support mit SLA, SSO/SCIM und Audit-Log, AVV und Hilfe beim Security-Review, Zahlung per Rechnung.
• Was Credits bringen - eine Frage kostet 10-50 Credits, eine Aufgabe 50-500 Credits und ein Lauf eines eigenen Agenten 1.000-5.000 Credits. 100 Euro reichen für bis zu 1.000 Aufgaben oder 5.000 Fragen.

So fängst du an

Starte mit einer echten Aufgabe und bring Copilot in derselben Woche in Ordnung. Drei Schritte:

Von der ersten Aufgabe zur eigenen App

Mit Superkind bleiben die Daten von der ersten Aufgabe bis zur eigenen App in Europa. Vier Stufen, am Beispiel der Kundenanfragen von oben:

1. 1

   In Minuten startklar

   Kostenlos anmelden, die erste Kunden-E-Mail in Outlook weiterleiten und zusehen, wie Superkind die Antwort entwirft und in HubSpot einträgt.

2. 2

   Aus Aufgaben werden Abläufe

   Was du einmal erklärt hast, läuft als Routine weiter, zum Beispiel jede Bestellanfrage beantworten und eintragen. Bevor etwas rausgeht, fragt Superkind nach Freigabe.

3. 3

   Lernt ab Tag 1 mit

   Jede Aufgabe macht Superkind schlauer. Kunden, Preise und Abläufe landen in eurem Company Brain, und dieses Wissen geht nie verloren.

4. 4

   Wenn es komplexer wird, fängst du nicht neu an

   Eigene Lösungen, Apps und Integrationen auf der Plattform, auf dem, was Superkind schon weiß, zum Beispiel eine eigene Kundenservice-App: deine Super App. Selbst gebaut oder mit uns. Alles gehört euch.

Fazit

Microsoft Copilot lässt sich DSGVO-konform nutzen: Mit Arbeitskonten läuft er unter Microsofts DPA, ohne Training mit deinen Daten und für EU-Kunden innerhalb der EU-Datengrenze, und eine deutsche Aufsichtsbehörde hält den konformen Betrieb von Microsoft 365 inzwischen für möglich. Die Arbeit steckt in den Details: Bing-Websuche und optionale Anthropic-Modelle liegen außerhalb der Grenze, Copilot sieht jede zu weit freigegebene Datei, und die Dokumentation bleibt bei dir. Für einen KI-Mitarbeiter, der ganze Aufgaben in Outlook und Teams erledigt, in Europa gehostet, mit Freigabe, bevor etwas rausgeht, verbindet Superkind SharePoint, Excel, HubSpot, DATEV und 1.500+ Integrationen ab 50 Euro im Monat für unbegrenzt viele Nutzer (Stand: Oktober 2026). Prüf diese Woche die Einstellungen deines Mandanten und schick Superkind dann eine echte Aufgabe zum Vergleich.

Häufige Fragen

Henri Jung

Mitgründer von Superkind, dem KI-Mitarbeiter, dem Teams in Outlook, Teams und Slack schreiben. Henri hilft Unternehmen, vom kleinen Team bis zum Mittelstand, ihre Routinearbeit an KI abzugeben - ohne neue Tools, Berater oder eigenes KI-Team.