DSGVO-Akte
Reicht Microsofts Copilot-DSFA-Vorlage für Artikel 35?
Microsofts „Build your own“ Microsoft 365 Copilot DPIA ist eine Startdatei, nicht die Akte. Artikel 35 braucht Mandantentatsachen, die die Vorlage nicht kennen kann: den Flex-Routing-Wert und ob Extra-EU-Inferenz eine Übermittlung ist, ob historisch übergeteiltes SharePoint Copilot noch groundet, ob DLP Microsoft 365 Copilot als Speicherort listet, Web-Grounding, Anthropic-Modelle, kommerzielle vs. Consumer-Lizenz, und eine namentlich benannte Verantwortung. Ein Score ist diese Akte nicht.
Gelesen am 24. August 2026 gegen Microsofts öffentliche „Build your own“ Copilot-DSFA-Unterlagen und Artikel 35 DSGVO.
Datalegale hat die Quellen am 24. August 2026 geprüftPunktzahl vor jeder E-MailKeine Rechtsberatung
Was Sie als Nächstes tun
Microsofts Vorlage einfügen, dann die Mandantenzeilen füllen. Flex Routing, Oversharing und Copilot-als-DLP-Speicherort sind die drei Zeilen, die Aufsichtsbehörden tatsächlich prüfen.
Fragebogen und Kontakt
Das ist eine Selbstbewertung, kein Zertifikat und keine Rechtsberatung. Bearbeiten Sie den Fragebogen unter /assessments/gdpr-accountability/start. Die Punktzahl sehen Sie vor jeder E-Mail. Wenn Ihre Organisation Beratung, Umsetzung oder Entwicklung von Microsoft-365-Copilot-Kontrollen in einem EU-Mandanten braucht — oder Sie einfach eine Frage haben — schreiben Sie an hello@datalegale.com.
Was Microsofts Vorlage nicht ausfüllt
Microsoft beschreibt das Produkt. Die Mandantenzeilen schreiben Sie. Das sind die Zeilen, die aus einer kopierten Vorlage eine Artikel-35-Akte machen.
| Nachweis | In Microsofts Vorlage | Sie müssen ergänzen |
|---|---|---|
| Flex-Routing-Wert, Datum und Verantwortung | Kennt Ihren Schalter nicht | Allow / Do not allow; Prüfdatum; KI-Administrator. Extra-EU-Inferenz als Kapitel V, wenn an. |
| Anthropic / ausgeschlossene Modelle | Generische Unterauftragsverarbeiter | Ob sie in diesem Mandanten aktiviert sind. Sie liegen außerhalb der EU Data Boundary. |
| Web-Grounding / Bing | Optionale verbundene Erfahrungen | An oder aus. Generierte Suchanfragen sind nicht EUDB-konform. |
| Oversharing-Bewertung | Nicht enthalten | Everyone / Anyone / veraltete Gruppen. Copilot holt, was ACLs schon erlauben. |
| Microsoft 365 Copilot als DLP-Speicherort | Nicht enthalten | Ob Purview-DLP Copilot listet. Vorhandenes Exchange-DLP deckt den Chat nicht automatisch. |
| Restricted Content Discovery / gelabelte Extraktion | Nicht enthalten | Haltekontrollen während der Sanierung, falls Sie sie nutzen. |
| Kommerzieller vs. Consumer-Copilot | Geht von kommerziellem DPA aus | Bestätigen, dass Arbeitsidentitäten keinen Consumer-Copilot auf personenbezogenen Daten nutzen. |
| Audit, den Sie tatsächlich holen können | Produktfähigkeit | Ein Test: einen Copilot-Thread produzieren. Wenn das nicht geht, ist die DSFA-Zeile falsch. |
| Aufbewahrung von Prompts und Antworten | Verweist auf Produktaufbewahrung | Ihre Frist, nicht der Standard. Auswirkungen auf Auskunftsersuchen. |
| Namentliche Verantwortung für Drift | Nicht enthalten | Wer die nächste Message-Center-Änderung zu Flex Routing oder Modellen auffängt. |
| Foundry- / Azure-OpenAI-Nachtrag | Auf Copilot beschränkt | Eigene Verarbeitungstätigkeit oder eine ausdrückliche Out-of-Scope-Entscheidung. |
| Entscheidung, falls keine DSFA nötig ist | Geht davon aus, dass Sie eine machen | Ein datiertes Protokoll. Schweigen ist keine Entscheidung. |
Öffentliche Copilot-DSFAs, die zuerst lesenswert sind
Diese Dateien beschreiben das Produkt oder das Risikomodell einer anderen Organisation. Keine kennt Ihren Mandanten.
- Microsoft „Build your own“ Copilot-DSFA — Produktarchitektur und Restrisiko auf Microsoft-Ebene. Kennt Ihren Flex-Routing-Wert, Ihre ACLs und DLP-Speicherorte nicht.
- NHS England Microsoft 365 Copilot template DPIA — Struktur des öffentlichen Sektors, die Sie übernehmen können. Trotzdem eine Vorlage: einfügen, dann die Mandantenzeilen dieser Seite füllen.
- Microsoft Learn — GDPR DPIAs — Wie Microsoft DSFA-Unterstützung in der Cloud positioniert. Die Pflichten der Verantwortlichen bleiben Ihre.
- SURF (NL) Microsoft 365 Copilot DPIA — Unabhängige DSFA für niederländische Bildung und Forschung (Privacy Company, aktualisiert 2026). Architektur und Restrisiko-Sprache — nicht Ihre Artikel-35-Akte.
- Norwegisches Datatilsynet / öffentliche Copilot-Bewertungen — Blick der Aufsicht auf generative KI am Arbeitsplatz. Nützlich für Restrisiko-Sprache; kein Ersatz für Artikel 35 zu Ihren Zwecken.
Ein Copilot-Score ist keine DSFA
Artikel 35 DSGVO fragt, ob die Verarbeitung voraussichtlich ein hohes Risiko für Menschen zur Folge hat. Microsoft 365 Copilot auf Beschäftigten- oder Kundeninhalten in der Breite erfüllt diesen Test meist: systematische Verarbeitung, neue Datenkombinationen und eine Abrufoberfläche, die es im Vorjahr nicht gab. Microsoft veröffentlicht eine „Build your own“ Copilot-DSFA. NHS England eine weitere. Beide sind nützlich. Keine kennt, ob Flex Routing in Ihrem Mandanten an ist.
Wenn Sie zum Schluss kommen, dass keine DSFA nötig ist, schreiben Sie das auf. Schweigen ist keine Entscheidung. Ein Betriebsrat, ein Kunde oder eine Aufsichtsbehörde fragt nach dem Dokument, nicht nach dem Gespräch, in dem jemand gesagt hat „machen wir nach dem Pilot“.
Was Microsofts Vorlage nicht wissen kann
Anbieter-DSFAs beschreiben Architektur, Unterauftragsverarbeiter und Restrisiko auf Produktebene. Sie enthalten nicht Ihren Flex-Routing-Wert, Ihre SharePoint-Everyone-Gruppen oder ob Purview-DLP Microsoft 365 Copilot als Speicherort listet. Diese drei Tatsachen entscheiden, ob der kopierte Restrisiko-Absatz noch stimmt. Vorlage kopieren, dann die Mandantentabelle füllen. Die herunterladbare Artefaktliste auf dieser Seite ist diese Tabelle.
Dieselbe Lücke erscheint bei Audit und Aufbewahrung. Das Produkt kann Copilot-Interaktionen protokollieren. Ihre DSFA muss sagen, dass Sie eine produzieren können. Den Test machen. Das Datum in die Akte.
Was die Akte tatsächlich enthält
Eine Copilot-DSGVO-Akte in einer EU-Organisation ist nüchtern und konkret: kommerzielle Lizenz unter dem Microsoft Products and Services DPA (Consumer-Copilot auf Arbeitsinhalten ist der falsche Auftragsverarbeiter-Pfad), ein VVT-Eintrag, der Prompts, Grounding und Completions nennt, ein Beschäftigtenhinweis, der dem entspricht, was das Werkzeug sehen kann, Audit von Copilot-Interaktionen, den Sie tatsächlich holen können, Aufbewahrung, die Ihre ist und nicht der Produktstandard, und eine namentliche Verantwortung für Konfigurationsdrift.
Prompt- und Antwortspeicher fallen öfter in Auskunft und Löschung, als die IT erwartet. Menschen fügen Namen, Aktenzeichen und E-Mail-Threads ein. Wenn Sie auf Nachfrage keinen Copilot-Thread produzieren können, ist die DSFA-Zeile „wir haben Audit“ nicht wahr.
Jetzt einschalten, später dokumentieren
Sie können. Es ist die teure Lücke. Sobald Beschäftigte Copilot brauchen, wird das Ausschalten von Flex Routing, das Abschalten von Web-Grounding oder das Einziehen von Lizenzen während der Oversharing-Sanierung ein politisches Ereignis. Die Papierarbeit ist billiger vor der Gewohnheit. Kunden-Security-Fragebögen fragen die DSFA inzwischen namentlich — neben der Flex-Routing-Einstellung.
Die EU-KI-Verordnung ist ein zweites Gespräch
Die meisten Organisationen, die Microsoft 365 Copilot als Deployer eines Allzwecksystems nutzen, haben leichtere Pflichten nach der KI-Verordnung als Anbieter. Das ist kein Freifahrtschein und ersetzt die DSGVO nicht. Kompetenz, Transparenz gegenüber Beschäftigten und menschliche Aufsicht gelten weiter. Eigene Agenten in Copilot Studio oder Azure AI Foundry können eher wie ein Anbieter oder eine Hochrisiko-Nutzung aussehen. Zuerst die DSGVO-Akte. KI-Verordnung nicht überzeichnen, um eine DSFA zu vermeiden, und DSGVO nicht unterzeichnen, weil die KI-Verordnung das modische Gesetz ist.
Quellen
10 Fragen · ~5 min. Punktzahl und erste Risiken vor jeder E-Mail
Not a DPIA and not legal advice.
Zuerst lesen
- Stehen Copilot-Eingaben in Ihrem Auditprotokoll?
Aktivieren Sie die Überwachung von Copilot-Interaktionen und legen Sie eine Aufbewahrung fest, die zu rechtlichen und regulatorischen Anforderungen passt.
- Ersetzt der EU AI Act die DSGVO für Copilot?
Die meisten Organisationen, die Copilot als Betreiber nutzen, haben leichtere Pflichten nach dem AI Act als Anbieter. Die DSGVO-Pflichten bleiben voll anwendbar.
- Ist der dienstliche Copilot derselbe wie der Consumer-Copilot?
Kommerzielles Microsoft 365 Copilot unter Enterprise Data Protection ist vertraglich und technisch ein anderes Produkt als Consumer Copilot.
FAQ
Reicht Microsofts Copilot-DSFA-Vorlage für Artikel 35?
Nein. Die Vorlage kennt Ihren Flex-Routing-Wert, Ihr Oversharing-Bild und ob DLP Copilot als Speicherort listet nicht. Das sind Mandantenzeilen.
Brauchen wir eine DSFA für Microsoft 365 Copilot?
Meist ja, wenn Copilot Beschäftigten- oder Kundendaten in der Breite verarbeitet. Artikel 35 ist ein risikobasierter Test. Die Entscheidung dokumentieren, wenn Sie zum Schluss kommen, dass sie nicht nötig ist.
Reicht Microsofts Copilot-DSFA-Vorlage?
Nein. Sie beschreibt das Produkt. Sie kann Ihren Flex-Routing-Wert, Ihr Oversharing-Bild und ob DLP Copilot enthält nicht kennen. Das sind Mandantenzeilen.
Was füllt Microsofts Vorlage nicht aus?
Flex Routing als Übermittlung, Anthropic, Web-Grounding, Oversharing, Copilot als DLP-Speicherort, Consumer vs. kommerzielle Nutzung, ein Abruf-Test für Audit, die von Ihnen gewählte Aufbewahrung, eine namentliche Verantwortung, und Foundry, falls es existiert.
Können wir Copilot einschalten und die DSFA später schreiben?
Sie können. Es ist die übliche teure Lücke. Flex Routing und Oversharing lassen sich schwerer zurückdrehen, wenn Beschäftigte das Werkzeug brauchen.
Ersetzt ein Copilot-Readiness-Score eine DSFA?
Nein. Ein Score ist ein Input. Artikel 35 verlangt eine Bewertung, die Sie besitzen.
Deckt das den EU-KI-Verordnung ab?
Nur als Erinnerung. Zuerst die DSGVO-Akte fertigmachen. Copilot als Deployer zu nutzen ersetzt Artikel 35 nicht. Eigene Agenten auf Foundry können die KI-Verordnungs-Analyse ändern.
Kann Datalegale nach der Punktzahl helfen?
Ja. Der Fragebogen ist eine Selbstprüfung. Für Beratung, Umsetzung, Entwicklung oder Fragen zu Copilot in Ihrem Mandanten schreiben Sie an hello@datalegale.com.
Andere Bewertungen — nicht derselbe Fragebogen
- Copilot Flex Routing: Kann die Modellverarbeitung die EU verlassen?
Ja für die Inferenz. Nein für Daten im Ruhezustand. Microsoft Learn sagt: Flex Routing erlaubt EU- und EFTA-Kunden, LLM-Inferenz außerhalb der EU Data Boundary bei Spitzenlast zuzulassen. Der Satz ist wahr — und genau das ist das Problem: Er beschreibt nicht den Speicherort. Prompts, Antworten und Grounding-Daten können in den USA, Kanada oder Australien verarbeitet werden. Kundendaten im Ruhezustand bleiben in der Boundary, abgesehen von begrenzten pseudonymisierten Betriebsdaten. Message Center MC1269223 hat die Einstellung nach dem 25. März 2026 für neue berechtigte Mandanten und ab dem 17. April 2026 für viele bestehende Mandanten standardmäßig eingeschaltet.
- Übermäßige Freigabe durch Copilot: SharePoint, Kennzeichnungen und DLP
Ja, wenn eine lizenzierte Identität sie bereits öffnen kann. Copilot erzeugt keine neue SharePoint-Berechtigung. Es fasst bestehende ACLs zusammen — einschließlich Everyone, Anyone-Links und „except external users“. Vertraulichkeitsbezeichnungen und Purview-DLP stoppen das nur, wenn sie angewendet sind und Microsoft 365 Copilot ein Speicherort in der Richtlinie ist.
- Copilot-EUDB ≠ Foundry Data Zone ≠ Global
Nein. Copilot EU Data Boundary, Foundry Data Zone EU und Foundry Global sind drei verschiedene Verpflichtungen. Copilot-Mandanteneinstellungen steuern Foundry nicht. Eine regionale EU-Ressource speichert Daten in dieser Geo; eine Data-Zone-EU-Bereitstellung darf die Modellverarbeitung überall in Microsofts EU-Datenzone ausführen; eine Global-Bereitstellung darf die Modellverarbeitung in jeder Foundry-Region weltweit ausführen. Claude / Anthropic auf Foundry bot 2026 keine europäische Datenzone, die mit Azure OpenAI vergleichbar gewesen wäre.