Microsoft Copilot ist der KI-Assistent von Microsoft, der auf modernen Sprachmodellen basiert und direkt in die Microsoft-Welt integriert ist. Copilot unterstützt Anwender dabei, Inhalte zu erstellen, Informationen zu analysieren, Aufgaben zu automatisieren und produktiver zu arbeiten. Je nach Lizenz kann Copilot auf Webinhalte oder – unter Beachtung der Berechtigungen – auf Unternehmensdaten wie E-Mails, Dateien, Chats und Besprechungen zugreifen.
Arbeitsstand Copilot und AI Agents DSFAs
| abgeschlossene DSFAs | 427 |
| Aktualisierungen von DSFAs (Managed Service oder einzeln) | 501 |
| DSFAs in Arbeit Juli 2026 | 12 |
Wir der KöllnService GmbH erstellen DSFAs und betreuen diese die DSFAs auch mit Aktualisierungen, sowie im Bereich von Centriq auch den Evergreenansatz.
Welche Copilot-Varianten gibt es?
Datenschutzfolgenabschätzung für Copilot
Die Einführung von Microsoft 365 Copilot sollte aus Datenschutzsicht durch eine Datenschutz-Folgenabschätzung (DSFA) begleitet werden. Ziel der DSFA ist es, die Risiken für die Rechte und Freiheiten betroffener Personen zu bewerten und geeignete Schutzmaßnahmen festzulegen. Microsoft 365 Copilot verarbeitet potenziell E-Mails, Dokumente, Chats, Kalenderdaten und Besprechungsinhalte und greift dabei auf die im Unternehmen vorhandenen Berechtigungen und Datenbestände zu.
Eine DSFA für Copilot umfasst typischerweise folgende Schritte:
- Beschreibung der Verarbeitung
- Welche Copilot-Variante wird eingesetzt?
- Welche Datenquellen werden genutzt?
- Wer sind die betroffenen Personengruppen (Beschäftigte, Kunden, Lieferanten etc.)?
- Für welche Zwecke wird Copilot eingesetzt?
- Bewertung der Notwendigkeit und Verhältnismäßigkeit
- Ist der KI-Einsatz für den vorgesehenen Zweck erforderlich?
- Gibt es datenschutzfreundlichere Alternativen?
- Werden die Grundsätze der DSGVO, insbesondere Datenminimierung und Zweckbindung, eingehalten?
- Identifikation der Risiken
- Ungewollte Offenlegung von Informationen durch fehlerhafte Berechtigungen.
- Verarbeitung sensibler personenbezogener Daten.
- Fehlinterpretationen oder Halluzinationen der KI.
- Mangelnde Transparenz gegenüber Beschäftigten.
- Festlegung von Schutzmaßnahmen
- Überprüfung und Bereinigung von Berechtigungen.
- Datenklassifizierung und Sensitivity Labels.
- Richtlinien für die Nutzung von Copilot.
- Schulung der Anwender.
- Einsatz von Compliance- und Audit-Funktionen von Microsoft 365.
- Restrisiko und Freigabe
- Bewertung, ob die verbleibenden Risiken akzeptabel sind.
- Dokumentation der Entscheidung und regelmäßige Überprüfung der DSFA bei Änderungen des Copilot-Einsatzes.
Beispiele von öffentlichen Datenschutzfolgenabschätzungen und Templats aus Europa
Vorlage: Microsoft “Build Your Own DPIA” Template — Enterprise Edition
| Autoren | Microsoft Corp (USA) |
| Stand | Februar 2025 |
| Download | https://servicetrust.microsoft.com/DocumentPage/c7ae6cd2-a9cf-4ad5-b45b-c58137b9a0e3 (M365 Account benötigt) |
Hauptpunkte
Vorlage: Microsoft “Build Your Own DPIA” Template — Public Sector Edition
Vorlage: Microsoft “Build Your Own DPIA” Template — Public Sector Edition
| Autoren | Microsoft Corp (USA) |
| Stand | Februar 2025 |
| Download | https://wwps.microsoft.com/content/o365-impact-assessment/ (M365 Account benötigt) |
Hauptpunkte
DSFA aus öffentlichen Stellen, die Veröffentlicht wurden
The Danish Agency for Government Finance; Responsible for preparing the impact assessment: The Danish Agency for Government Finance and the Danish Government IT Agency; Responsible contacts at the Danish Government IT Agency and the Danish Agency for Government Finance: Helle Uldbæk Sørensen and Nicolaj Haahr Hartbøl
| Autoren | konomistyrelsen and Statens It, with legal assistance from Kammeradvokaten |
| Stand | Februar 2026 |
| Link | https://assets.ctfassets.net/9gcqy879tcj6/5teRqIhHpQ06tX9BZ23phY/21faad1e89f62f7f3ac7ef5b17f04419/dpia-copilot-for-microsoft-365.en-GB_Unofficial_machine_translation.pdf |
| Übersetzung in DE (per Deepl) |
Hauptpunkte
Privacy Company DPIA on Microsoft 365 Copilot for Education
| Autoren | Privacy Company Sjoera Nas Floor Terra Senior Advisors With the kind help of Athena Rad www.privacycompany.eu |
| Stand | 25. November 2025 |
| Link | 11. September 2025: https://www.surf.nl/files/2025-09/20250911-surf-public-update-dpia-on-m365-copilot-for-education-website.pdf |
| Link Update | https://www.surf.nl/files/2024-12/20241218-dpia-microsoft-365-copilot.pdf (2025) |
| Übersetzung in DE (per Deepl) |
Hauptpunkte
Norwegian Datatilsynet / NTNU Exit Report — “Copilot Through the Lens of Data Protection”
| Autoren | Norwegian Data Protection Authority (Datatilsynet) and NTNU |
| Stand | Juni 2024 |
| Download | https://www.datatilsynet.no/en/regulations-and-tools/reports-on-specific-subjects/reports/ntnu-copilot-through-the-lens-of-data-protection/ |
| Übersetzung mit Deepl |