Dienstleistungen · Datenschutz in der Microsoft-Umgebung

Datenschutz in Microsoft 365, Copilot und Dynamics 365.

Datenschutz scheitert selten am fehlenden Dokument und meistens an der Umgebung, in der die Daten tatsächlich liegen. Wer Microsoft 365, Microsoft 365 Copilot oder Dynamics 365 einsetzt, muss zusammenbringen, welche personenbezogenen Daten wohin fließen, wer sie technisch lesen kann und welche Unterlagen das belegen. Genau an dieser Stelle arbeiten wir: Wir prüfen Berechtigungen, Freigaben und Datenwege in Ihrem Tenant im vereinbarten Umfang und dokumentieren Verarbeitungen so, dass Ihre Datenschutz- oder Rechtsberatung darauf aufbauen kann. Die rechtliche Bewertung bleibt dort, wo sie hingehört — bei den dafür zuständigen Fachleuten.

30 Min Erstgespräch

Art. 30 DSGVO ein ausgearbeiteter Eintrag je dokumentiertem Prozess Keine Rechtsberatung technischer Befund, keine rechtliche Bewertung Microsoft Partner seit 2007 Prüfumfang vorab vereinbart, Nichtgeprüftes benannt

Unsere Position

Der Schnitt zwischen Technik und Datenschutz.

Wir sind Microsoft-Consultants. Wir sind keine Kanzlei, kein Anbieter der Funktion des Datenschutzbeauftragten und keine Prüfstelle.

Für allgemeine Datenschutzberatung und für die Bestellung eines externen Datenschutzbeauftragten gibt es Kanzleien und spezialisierte Beratungen; dort liegt diese Leistung richtig. Eine Frage lässt sich allerdings nur in der Umgebung selbst beantworten: was dort wirklich passiert — welche SharePoint-Site für alle im Unternehmen lesbar ist, welcher Gastzugang noch aktiv ist, welcher Connector Daten aus einem Drittsystem einspeist, welches Feld in Dynamics 365 eine Gesundheits- oder Bewerberinformation trägt.

Unser Platz ist dieser Schnitt: Datenschutz in Microsoft-Umgebungen, dort, wo technische Umsetzung und Datenschutz-Fachlichkeit zusammenfallen. Wir liefern den technischen Befund und die Dokumentation, die eine datenschutzrechtliche Bewertung erst belastbar machen — und wir sagen, was wir dabei nicht geprüft haben.

Unsere Leistungen

Vier Blöcke — jeder mit einem Ergebnis, das Sie in der Hand haben.

Die Blöcke sind einzeln beauftragbar. Jeder liefert ein eigenständiges Ergebnis, das auch dann Wert hat, wenn der nächste Block verschoben wird. Umfang, Mitwirkung und Zuständigkeiten vereinbaren wir vorab schriftlich.

Bestandsaufnahme

Ein geordneter Einstieg für Organisationen, die wissen wollen, wo sie stehen, bevor sie Einzelmaßnahmen beauftragen. Wir betrachten bis zu drei gemeinsam ausgewählte Prozesse und bis zu fünf zentrale Unterlagen — etwa eine vorhandene Verarbeitungsübersicht, eine Datenschutzinformation, einen Auftragsverarbeitungsvertrag oder eine Berechtigungsübersicht. Dazu sehen wir uns die zugehörigen Stellen in Ihrer Microsoft-Umgebung an.

Ihr Ergebnis: ein priorisierter Maßnahmenbericht, der jede Feststellung mit Fundstelle, Einschätzung des Handlungsbedarfs und nächstem Schritt benennt, sowie ein Ergebnisgespräch mit Geschäftsleitung, IT und Datenschutzverantwortlichen.

Nicht enthalten: eine vollständige Betrachtung aller Prozesse, aller Unterlagen oder des gesamten Tenants, eine datenschutzrechtliche Bewertung der Feststellungen und jede Form von Bescheinigung. Die Auswahl der Prozesse und Unterlagen begrenzt die Aussage — das steht im Bericht.

Dokumentation eines Geschäftsprozesses

Für einen abgegrenzten Geschäftsprozess arbeiten wir die Dokumentation aus, die Microsoft-Umgebung und Datenschutzunterlagen zusammenführt. Typische Beispiele sind Bewerbungsverfahren, Kundenbetreuung in Dynamics 365, Vertragsablage in SharePoint oder ein Supportpostfach in Microsoft 365.

Wir erfassen die Datenflüsse des Prozesses, also welche personenbezogenen Daten entstehen, wo sie gespeichert werden, wer sie lesen kann, welche Systeme und Dienste beteiligt sind und wann sie gelöscht werden sollen. Daraus entsteht ein Eintrag für Ihr Verarbeitungsverzeichnis — das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Zum einschlägigen Auftragsverarbeitungsvertrag stellen wir die technischen Angaben zusammen, die Ihre Rechtsberatung für die Vertragsprüfung braucht: welche Fassung für Ihren Bezugsweg gilt und ob sie angenommen wurde, welche Dienste sie abdeckt, welche Unterauftragsverarbeiter und Standorte darin benannt sind und was davon in Ihrer Umgebung tatsächlich im Einsatz ist. Und wir stellen die sachlichen Angaben bereit, die in Ihre Datenschutzinformation gehören: verarbeitete Datenarten, Speicherorte, beteiligte Dienste und Empfänger, Zugriffskreise und die technisch umsetzbaren Löschfristen.

Ihr Ergebnis: eine Datenflussübersicht, ein ausgearbeiteter Eintrag für Ihr Verarbeitungsverzeichnis, eine Befundnotiz zum Auftragsverarbeitungsvertrag mit offenen Punkten und Zuständigkeiten, eine strukturierte Angabenliste für Ihre Datenschutzinformation sowie eine kurze Erläuterung, wie Sie den Eintrag auf weitere Prozesse übertragen.

Nicht enthalten: die rechtliche Prüfung oder Verhandlung des Vertrags, die Beurteilung, ob er den gesetzlichen Anforderungen genügt, die Festlegung der Rechtsgrundlage, das Formulieren und Freigeben der Datenschutzinformation und die Pflege des Verzeichnisses im laufenden Betrieb. Der Eintrag ist ein ausgearbeiteter Vorschlag für Ihre Dokumentation, kein von uns verantwortetes Verzeichnis. Den Text der Datenschutzinformation formuliert und verantwortet Ihre Datenschutz- oder Rechtsberatung.

Laufende Begleitung

Datenschutzfragen entstehen nicht im Projekt, sondern im Betrieb: Eine neue Abteilung soll Copilot nutzen, ein Dienstleister bittet um Zugriff, ein Fachbereich möchte eine Auswertung, und es stellt sich die Frage, wo zu einer einzelnen Person überhaupt Daten liegen. Für solche Fälle vereinbaren wir ein Beratungskontingent, das Geschäftsleitung, IT und Datenschutzverantwortliche in Anspruch nehmen können — für Rückfragen, kurze technische Prüfungen in der Microsoft-Umgebung und die Vorbereitung von Entscheidungen.

Ihr Ergebnis: ein fester fachlicher Ansprechpartner im vereinbarten Rahmen, dokumentierte Antworten und Befundnotizen zu den eingebrachten Fragen sowie ein Überblick über verbrauchtes und verbleibendes Kontingent.

Nicht enthalten: die Funktion des Datenschutzbeauftragten, die Bearbeitung von Betroffenenanfragen und die Vertretung gegenüber einer Aufsichtsbehörde. Bei einem Auskunftsersuchen können wir technisch zusammenstellen, wo zu einer Person Daten liegen; welche Angaben herauszugeben sind, entscheidet Ihre Datenschutz- oder Rechtsberatung. Reaktionszeiten und Verfügbarkeiten sichern wir nicht zu; sie gelten nur, soweit sie ausdrücklich vereinbart werden. Umfang und Laufzeit halten wir schriftlich fest; was über das Kontingent hinausgeht, wird gesondert vereinbart.

Unser technischer Teil

Dieser Teil geht am tiefsten in die Umgebung — er setzt lesenden Zugriff im beauftragten Umfang voraus. Im beauftragten Umfang prüfen wir die Stellen Ihrer Microsoft-Umgebung, an denen Datenschutz technisch entschieden wird:

Freigaben in SharePoint und Microsoft Teams — welche Sites, Bibliotheken und Teams für alle im Unternehmen lesbar sind, welche Freigabelinks bestehen und wie weit sie reichen, welche historisch gewachsenen Berechtigungen heute auf Inhalte zeigen, die nicht für diesen Kreis gedacht sind.
Externer Zugriff — Gastkonten, geteilte Kanäle, Zugänge von Dienstleistern, delegierte Administrationsrechte und Anwendungsberechtigungen, die unabhängig von einzelnen Benutzern wirken.
Datenklassifizierung — ob Vertraulichkeitsbezeichnungen vorhanden und zugewiesen sind, und ob sie gegenüber Copilot überhaupt greifen: eine Bezeichnung ohne Verschlüsselung und ohne passende DLP-Richtlinie am Copilot-Standort kennzeichnet nur, sie schränkt nicht ein. Wir prüfen, welche Ihrer Bezeichnungen tatsächlich eine Wirkung haben und wo besonders schutzbedürftige Inhalte ohne jede Kennzeichnung liegen.
Connectoren und Schnittstellen — welche Graph-Connectoren, Integrationen, Flows und Agents Daten in die Umgebung holen oder aus ihr heraustragen, mit welchen Berechtigungen sie laufen, wessen Zugriffsrechte dabei gelten und ob die Rechte des Quellsystems wirklich übernommen werden oder im Connector pauschal gesetzt sind.
Modell- und Regionseinstellungen — welche KI-Modelle in Ihrem Tenant für Copilot freigegeben sind, welche zusätzlichen Unterauftragsverarbeiter damit hinzukommen, welche Zusatzbedingungen dafür gelten und was das für Verarbeitungsort und Datenregion bedeutet. Wir lesen den Stand in Ihrem Tenant und in Ihren Vertragsunterlagen ab, statt eine allgemeine Herstellerangabe zu wiederholen.

Ihr Ergebnis: ein technischer Prüfbericht mit Befunden je geprüftem Bereich, konkreten Änderungsvorschlägen, einer Reihenfolge nach Wirkung und Aufwand sowie dokumentierten Prüfnachweisen. Auf Wunsch setzen wir die abgestimmten Änderungen um.

Nicht enthalten: ein vollständiges Tenant-Audit. Geprüft wird der beauftragte Umfang; was außerhalb lag, benennt der Bericht ausdrücklich als nicht geprüft. Ein unauffälliger Befund ist eine Momentaufnahme des Prüfzeitpunkts und keine Zusage für den weiteren Betrieb.

Zur Umsetzung: Änderungen an Berechtigungen greifen in laufende Arbeit ein — eine entzogene Freigabe kann einen Arbeitsablauf unterbrechen, der bisher darauf aufgebaut hat. Wir setzen deshalb nur um, was zuvor ausdrücklich freigegeben wurde, benennen absehbare Nebenwirkungen vorab, gehen in abgegrenzten Schritten vor und dokumentieren je Schritt den Stand vor und nach der Änderung. Die Entscheidung über jede Änderung bleibt bei Ihnen; das Risiko verbleibender Abhängigkeiten, die vorab nicht erkennbar waren, lässt sich nicht ausschließen.

Der fachliche Kern

Warum Copilot aus einer zu weiten Berechtigung ein Datenschutzproblem macht.

Microsoft beschreibt in seiner Dokumentation zu Datenschutz und Sicherheit von Microsoft Copilot zwei Punkte, die zunächst beruhigend klingen. Erstens: Copilot zeigt organisationsbezogene Daten nur dort an, wo die einzelne Person mindestens Leseberechtigung hat — die bestehenden Berechtigungsmodelle von Microsoft 365 gelten also weiter. Zweitens: Eingaben, Antworten und über Microsoft Graph abgerufene Daten werden nach dieser Dokumentation nicht zum Training der Foundation-Modelle verwendet, einschließlich der von Copilot genutzten Modelle.

Beides trifft eine verbreitete Sorge — und beides verschiebt das eigentliche Risiko, statt es aufzulösen. Die zweite Aussage nimmt dem Modell die Rolle des Abflusskanals: Wenn Ihre Inhalte nicht in das Training einfließen, dann entsteht das Risiko nicht dort, wo die meisten es vermuten, sondern in Ihrer eigenen Konfiguration. Und die erste Aussage sagt, wo genau: Wenn Copilot die bestehenden Berechtigungen abbildet, dann ist jede zu weite Berechtigung ab diesem Moment nicht mehr theoretisch.

Die SharePoint-Site, die vor Jahren auf „alle im Unternehmen“ gestellt wurde und heute Personalvorgänge enthält, war auch vorher offen. Gefunden hat sie trotzdem niemand, weil niemand danach gesucht hat. Copilot sucht. Er macht die personenbezogenen Daten, die unter den vorhandenen Zugriffsrechten erreichbar sind, auffindbar und auf eine Frage hin zusammenfassbar — in Sekunden, in natürlicher Sprache, ohne dass die fragende Person wissen muss, wo etwas liegt. Die Berechtigung bleibt unverändert; ihre datenschutzrechtliche Wirkung ändert sich vollständig.

Microsoft weist in derselben Dokumentation darauf hin, dass es wichtig ist, die verfügbaren Berechtigungsmodelle zu nutzen, damit die richtigen Personen und Gruppen Zugriff auf die richtigen Inhalte haben. Das ist keine Nebenbemerkung, sondern die Zuständigkeitsgrenze: Die Berechtigungen setzen Sie, nicht der Hersteller.

Genau deshalb ist die Berechtigungsprüfung aus Block 04 die Prüfung, die den Unterschied macht. Nicht, weil Copilot unsicher wäre, sondern weil ein funktionierender Copilot jede Nachlässigkeit in der Rechtevergabe in ein auffindbares Ergebnis verwandelt. Diese Prüfung gehört deshalb vor die Einführung: Wer sie erst danach ansetzt, betreibt Fehlersuche unter Zeitdruck — an einer Umgebung, in der die Suche schon für alle offen ist.

Drei Einordnungen gehören dazu. Die beiden wiedergegebenen Aussagen stammen aus der Microsoft-Dokumentation „Data, Privacy, and Security for Microsoft Copilot“; sie sind Herstellerangaben, die wir wiedergeben, und keine Zusage von uns. Herstellerangaben prüfen wir am konkreten Dienst und an der für Sie geltenden Vertragsfassung, weil Funktionsumfang, Datenregion und eingebundene Zusatzdienste abweichen können. Und sie gelten für den dort beschriebenen Dienst: eigene Agents, Connectoren und Drittanbieter-Erweiterungen bringen eigene Datenwege und eigene Bedingungen mit und werden gesondert betrachtet.

Abgrenzung

Wo unsere Leistung endet.

Vier Grenzen, die wir ausdrücklich benennen, weil sie regelmäßig anders erwartet werden.

Keine Bestellung als externer Datenschutzbeauftragter. Wir stehen für eine Benennung als Datenschutzbeauftragter nach Art. 37 DSGVO nicht zur Verfügung und übernehmen die Aufgaben nach Art. 39 DSGVO nicht, auch nicht faktisch und auch nicht vorübergehend. Haben Sie einen internen oder externen Datenschutzbeauftragten, liefern wir ihm die technische Grundlage. Haben Sie keinen und benötigen einen, empfehlen wir die Einbindung einer Kanzlei oder einer darauf ausgerichteten Beratung.

Keine Rechtsberatung. Wir erteilen keinen Rechtsrat, bewerten keine Rechtsgrundlagen, verhandeln keine Verträge und vertreten Sie nicht gegenüber Aufsichtsbehörden. Unsere Unterlagen sind technische und organisatorische Vorarbeit für eine rechtliche Bewertung, nicht deren Ersatz.

Keine vollständige Datenschutz-Folgenabschätzung. Eine vollständige Folgenabschätzung nach Art. 35 DSGVO erstellen wir nicht. Wir liefern Bestandteile, auf die sie sich stützen kann — Datenflüsse, Berechtigungslage, beteiligte Dienste, technische Maßnahmen — und benennen, was darüber hinaus fehlt. Ob eine Folgenabschätzung erforderlich ist und wie sie ausfällt, beurteilt die dafür zuständige Stelle.

Keine Konformitätszusage. Wir bescheinigen keine Konformität und keine Rechtssicherheit, und wir stellen Sie nicht von eigenen Prüf- und Nachweispflichten frei — weder für Microsoft 365 noch für Copilot, Dynamics 365 oder Ihre Konfiguration. Ein Prüfbericht beschreibt Befunde zum Prüfzeitpunkt im beauftragten Umfang. Eine technische Prüfung kann eine Konformitätszusage nicht tragen — deshalb geben wir keine.

Einordnung

Wo diese Seite endet und welche Seite weiterhilft.

Datenschutz, Informationssicherheit, Berufsgeheimnis und KI-Regulierung berühren sich, sind aber vier Prüfungen nebeneinander. Diese Seite behandelt den Schutz personenbezogener Daten in Microsoft-Umgebungen: Datenflüsse, Berechtigungen, Dokumentationspflichten.

Geht es um Mandats- und Patientendaten und die besonderen Verschwiegenheitspflichten von Kanzleien, Praxen und vergleichbaren Berufsgruppen, führt der Weg zu Microsoft 365 und KI für Berufsgeheimnisträger — dort steht das Berufsgeheimnis im Mittelpunkt, nicht die DSGVO allein, und dort ist auch die Auftragsverarbeitung nach Art. 28 DSGVO fachlich verankert. Geht es um Verfügbarkeit und Integrität Ihrer Dienste, um Risikomanagement, Meldepflichten und Informationssicherheit, gehört die Frage zu Compliance & NIS2. Geht es um die Regulierung von KI-Systemen selbst — Rollen als Anbieter oder Betreiber, Risikoklassen, Schulungs- und Transparenzpflichten —, ist EU AI Act die richtige Seite; diese Seite hier betrachtet an Copilot nur die datenschutzrechtliche Seite, nicht die KI-Regulierung.

Eine vierte Nachbarschaft gehört dazu, weil sie dicht an Block 4 liegt: Wissensmanagement baut die Informationsarchitektur und das Berechtigungs-Konzept, damit Wissen überhaupt auffindbar wird — dort ist die Berechtigung ein Gestaltungsmittel für gute Suchergebnisse. Hier ist sie Prüfgegenstand unter Datenschutzgesichtspunkten: Wir fragen nicht, wie Inhalte besser gefunden werden, sondern welche personenbezogenen Daten unbeabsichtigt auffindbar sind. Wer beides braucht, kann beides verzahnen; in welcher Reihenfolge, ordnen wir im Erstgespräch.

Berühren sich mehrere dieser Themen in Ihrem Vorhaben, ordnen wir sie im Erstgespräch und sagen, welche Prüfung zuerst sinnvoll ist.

Häufige Fragen

Was vor dem ersten Gespräch meistens offen ist.

Sind Sie eine Kanzlei oder übernehmen Sie die Funktion des Datenschutzbeauftragten?

Nein, beides nicht. Wir sind Microsoft-Consultants und arbeiten an Datenschutz dort, wo er technisch entschieden wird: in der Konfiguration, in den Berechtigungen und in der Dokumentation der tatsächlichen Verarbeitung. Für Rechtsrat und für die förmliche Bestellung eines Datenschutzbeauftragten wenden Sie sich an eine Kanzlei oder eine darauf ausgerichtete Beratung.

Ist Microsoft 365 datenschutzkonform?

So gestellt lässt sich die Frage nicht beantworten, und eine Antwort mit Ja wäre eine Zusage, die niemand einhalten kann. Microsoft stellt Vertragsunterlagen, Datenschutzangaben und technische Funktionen bereit; was daraus in Ihrem Haus entsteht, hängt von Konfiguration, Berechtigungen, genutzten Diensten und Ihren Prozessen ab. Wir prüfen die technische Seite und benennen, was für eine rechtliche Bewertung noch fehlt.

Was bedeutet die DSGVO für Copilot konkret?

Nach der Microsoft-Dokumentation zu Microsoft Copilot zeigt der Dienst nur Daten, für die die einzelne Person mindestens Leseberechtigung hat, und Eingaben, Antworten sowie über Microsoft Graph abgerufene Daten werden nicht zum Training der Foundation-Modelle verwendet, einschließlich der von Copilot genutzten Modelle. Die praktische Folge ist unbequem: Damit entscheidet Ihre Berechtigungsvergabe darüber, welche personenbezogenen Daten Copilot zusammenträgt. Eine zu weite Freigabe wird dadurch auffindbar und auswertbar. Hinzu kommen Rechtsgrundlage, Information der betroffenen Personen, Löschkonzept und Protokollierung; die rechtliche Einordnung dieser Punkte nimmt Ihre Datenschutz- oder Rechtsberatung vor.

Prüfen Sie unseren Auftragsverarbeitungsvertrag mit Microsoft?

Wir stellen die technischen Angaben dazu zusammen: welche Fassung für Ihren Bezugsweg gilt, ob sie angenommen wurde, welche Dienste sie abdeckt und welche Unterauftragsverarbeiter und Standorte darin benannt sind — abgeglichen mit dem, was in Ihrer Umgebung tatsächlich im Einsatz ist. Ob der Vertrag den gesetzlichen Anforderungen genügt, beurteilt Ihre Rechtsberatung. Geht es um Mandats- oder Patientendaten und die berufsrechtliche Verschwiegenheit, ist Microsoft 365 und KI für Berufsgeheimnisträger die passendere Seite.

Erstellen Sie unser komplettes Verarbeitungsverzeichnis?

Nein. Wir arbeiten einen Eintrag je dokumentiertem Geschäftsprozess aus, einschließlich der zugehörigen Datenflüsse aus der Microsoft-Umgebung. Dieser Eintrag taugt als Muster für weitere Prozesse, und wir zeigen Ihnen, wie Sie ihn fortschreiben. Das Verzeichnis als Ganzes bleibt Ihre Dokumentation in Ihrer Verantwortung; seine Pflege im laufenden Betrieb übernehmen wir nicht.

Machen Sie eine Datenschutz-Folgenabschätzung?

Keine vollständige. Wir liefern technische Bestandteile — Datenflüsse, Berechtigungslage, beteiligte Dienste und Unterauftragsverarbeiter, vorhandene technische Maßnahmen — und benennen die offenen Punkte. Ob eine Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, wie die Risiken zu bewerten sind und wer sie verantwortet, entscheidet die dafür zuständige Stelle in Ihrem Haus oder Ihre Rechtsberatung.

Welche Zugriffe benötigen Sie für die technische Prüfung?

Weniger, als meistens angenommen wird, und nie pauschal. Für die beauftragte Prüfung klären wir vorab, welche lesenden Berechtigungen nötig sind, richten sie zeitlich begrenzt ein und dokumentieren, was eingerichtet wurde und wann es wieder entfernt wird. Änderungen an Ihrer Umgebung nehmen wir nur im abgestimmten Umfang vor. Für das Erstgespräch brauchen wir keinen Zugriff und keine personenbezogenen Daten.

Arbeiten Sie mit unserem Datenschutzbeauftragten, unserer Kanzlei und unserer IT zusammen?

Ja. Diese Aufteilung ist der Normalfall und meist der schnellste Weg: Ihre Datenschutz- oder Rechtsberatung bewertet, wir liefern den technischen Befund; Ihre IT oder Ihr IT-Dienstleister setzt um, oder wir übernehmen den abgestimmten Teil. Zuständigkeiten, benötigte Zugriffe und Ergebnisse legen wir gemeinsam fest und halten sie schriftlich fest.

Quellen

Woran die Herstellerangaben auf dieser Seite hängen.

Die wiedergegebenen Aussagen zu Copilot stammen aus der Microsoft-Dokumentation Daten, Datenschutz und Sicherheit für Microsoft Copilot. Die Aussagen zu Vertraulichkeitsbezeichnungen und zu deren Wirkung gegenüber Copilot stammen aus Informationen zu Vertraulichkeitsbezeichnungen und Microsoft Purview DLP for Microsoft 365 Copilot and Cowork. Herstellerangaben ändern sich; welche Fassung und welche Datenregion für Sie gelten, prüfen wir am konkreten Dienst und an Ihren Vertragsunterlagen.

30 Min Erstgespräch

Beschreiben Sie uns Ihre Ausgangslage.

Im Erstgespräch klären wir in dreißig Minuten, welcher der vier Blöcke zu Ihrer Ausgangslage passt — und welche Frage zuerst beantwortet werden sollte. Für das Erstgespräch brauchen wir keinen Zugriff auf Ihre Umgebung und keine personenbezogenen Daten.

30 Min Erstgespräch