Microsoft Teams und KI-Assistenten wie Microsoft Copilot sind in vielen Unternehmen fester Bestandteil des Arbeitsalltags. Dabei werden laufend personenbezogene Daten verarbeitet – von Kontaktdaten und Chatverläufen über Audio- und Videoaufzeichnungen bis hin zu Dokumenten und internem Unternehmenswissen, das durch KI analysiert wird.

Wer Microsoft Teams und Copilot einsetzt, muss deshalb die Vorgaben der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und – je nach konkretem Anwendungsfall – des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) berücksichtigen. Zusätzlich sind Anforderungen aus der europäischen KI-Verordnung (KI-VO) zu prüfen.

Ein datenschutzkonformer Einsatz beginnt nicht mit der technischen Freischaltung. Wichtig ist, dass bereits vor dem Rollout von Microsoft Copilot Verarbeitungszwecke, Berechtigungen, Speicherfristen, Informationspflichten und interne Nutzungsregeln festgelegt sind.

Welche Daten verarbeiten Microsoft Teams und Copilot?

Microsoft Teams verarbeitet je nach Konfiguration unter anderem:

• Namen, E-Mail-Adressen und Kontaktdaten,
• Chatnachrichten und Kanalbeiträge,
• hochgeladene Dateien und Dokumente,
• Kalender- und Besprechungsdaten,
• Audio- und Videodaten,
• Aufzeichnungen und Transkripte,
• Anwesenheits- und Statusinformationen,
• Protokoll- und Telemetriedaten,
• technische Metadaten aus Videokonferenzen.

Wird Microsoft Copilot eingesetzt, kann die KI zusätzlich auf Informationen und Dokumente zugreifen, für die der jeweilige Nutzer bereits berechtigt ist. Dazu können beispielsweise Inhalte aus SharePoint, OneDrive, Outlook oder Microsoft Teams gehören.

Diese Inhalte werden genutzt, um Prompts zu verarbeiten sowie Antworten, Zusammenfassungen und weitere KI-generierte Ergebnisse zu erstellen. Unternehmen müssen deshalb die allgemeinen Anforderungen der DSGVO mit den technischen Besonderheiten von Cloud-Architekturen und KI-Systemen in Einklang bringen.

Für jeden eingesetzten Dienst und jede aktivierte Funktion sollte dokumentiert werden, welche personenbezogenen Daten verarbeitet werden, welchem Zweck die Verarbeitung dient und welcher Personenkreis Zugriff erhält.

Klare Zwecke und passende Rechtsgrundlagen festlegen

Personenbezogene Daten dürfen nur für vorher festgelegte, eindeutige und rechtmäßige Zwecke verarbeitet werden. Deshalb sollte für jeden konkreten Einsatz von Microsoft Teams und Copilot vorab geprüft und dokumentiert werden, auf welchen Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO sich die Verarbeitung stützt.

Im Beschäftigtenkontext kommen häufig die Erforderlichkeit zur Durchführung des Beschäftigungsverhältnisses nach § 26 BDSG beziehungsweise Art. 6 Abs. 1 lit. b DSGVO oder ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht.

Bei KI-gestützten Analysen, Meeting-Transkripten oder der Auswertung von Leistungsdaten ist jedoch besondere Vorsicht geboten. Solche Verarbeitungen können eine strengere Interessenabwägung oder eine andere Rechtsgrundlage erfordern. Eine allgemeine Zustimmung zur Nutzung von Microsoft 365 reicht für jeden einzelnen Verarbeitungsvorgang nicht automatisch aus. Gerade im Beschäftigtenkontext ist eine Einwilligung oftmals nur schwer in der Praxis belastbar nutzbar.

In mitbestimmten Unternehmen sollte die Nutzung von Microsoft Teams und Microsoft Copilot möglichst verbindlich in einer Betriebs- oder Dienstvereinbarung geregelt werden. Darin können unter anderem folgende Punkte festgelegt werden:

• zulässige und unzulässige Einsatzbereiche,
• Umgang mit Aufzeichnungen und Transkriptionen,
• erlaubte Inhalte für Prompts,
• Grenzen bei Leistungs- und Verhaltenskontrollen,
• Rollen und Verantwortlichkeiten,
• Schulungs- und Kontrollpflichten,
• Regelungen zu Löschung und Aufbewahrung.

Datenschutz beginnt bei Rollen und Berechtigungen

Ein wesentliches Risiko beim Einsatz von KI-Assistenten ist die übermäßige Sichtbarkeit von Daten, häufig als „Data Sprawling“ bezeichnet. Microsoft Copilot kann grundsätzlich auf die Informationen zugreifen, für die der jeweilige Nutzer bereits berechtigt ist.

Sind die Berechtigungen in Microsoft 365 zu weit gefasst, können dadurch vertrauliche Inhalte in KI-generierten Antworten oder Zusammenfassungen erscheinen. Dazu können beispielsweise Gehaltsdaten, Personalakten, Geschäftsberichte, Vertriebszahlen oder interne Strategieunterlagen gehören. Es durchdachtes Berechtigungskonzept ist daher Grundvoraussetzung für den sicheren Einsatz von Copilot.

Ein sauberes Rollen- und Berechtigungskonzept ist unverzichtbar. Zugriffe auf SharePoint-Sites, Teams-Kanäle und OneDrive-Ordner sollten nach dem Prinzip der minimalen Rechtevergabe, dem sogenannten Least-Privilege-Prinzip, eingerichtet und regelmäßig überprüft werden.

Vor dem Rollout von Microsoft Copilot empfiehlt sich eine systematische Bereinigung bestehender Freigaben. Dabei sollten insbesondere folgende Fragen beantwortet werden:

• Welche Personen haben Zugriff auf sensible Dateien?
• Bestehen alte oder nicht mehr benötigte Freigaben?
• Sind externe Nutzer oder Gäste eingebunden?
• Sind Teams und SharePoint-Gruppen aktuell?
• Werden vertrauliche Dokumente ausreichend geschützt?
• Sind ehemalige Beschäftigte und Dienstleister noch berechtigt?

Aufzeichnungen und Transkripte nur mit klaren Regeln

Das Aufzeichnen von Videokonferenzen sowie die automatische Erstellung von Transkripten greifen erheblich in die Persönlichkeitsrechte der Teilnehmenden ein. Hinzu kommt: Das unbefugte Mitschneiden des nichtöffentlich gesprochenen Wortes kann nach § 201 StGB strafbar sein.

Vor jeder Aufzeichnung oder Transkription sollte daher geprüft werden:

• Welchem konkreten Zweck dient die Aufzeichnung?
• Ist die Aufzeichnung für diesen Zweck erforderlich?
• Welche Rechtsgrundlage wird verwendet?
• Wie werden die Teilnehmenden vorab informiert?
• Wer erhält Zugriff auf die Aufzeichnung oder das Transkript?
• Wie lange werden die Daten gespeichert?
• Wie werden Widerruf, Widerspruch und Löschung umgesetzt?

Bei externen Teilnehmenden ist für eine Aufzeichnung oder automatische Transkription in der Regel eine ausdrückliche, freiwillige und informierte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich. Der automatische Hinweis „Aufzeichnung wurde gestartet“ schafft allein noch keine ausreichende Rechtsgrundlage.

Bei internen Meetings können je nach Einzelfall ein berechtigtes Interesse oder eine Betriebs- beziehungsweise Dienstvereinbarung herangezogen werden. Voraussetzung ist stets, dass der Zweck – etwa Schulung, Qualitätssicherung oder Protokollierung – eindeutig dokumentiert und die Verhältnismäßigkeit gewahrt wird.

Microsoft Copilot und die europäische KI-Verordnung

Neben der DSGVO ist beim Einsatz von Microsoft Copilot auch die europäische KI-Verordnung (EU AI Act beziehungsweise KI-VO) zu beachten. Unternehmen sollten zunächst dokumentieren, für welche Zwecke Copilot eingesetzt wird und welche Rolle sie im jeweiligen Anwendungsfall einnehmen.

Unternehmen müssen transparent über den Einsatz von KI informieren und dafür sorgen, dass Beschäftigte über die erforderliche KI-Kompetenz verfügen. Art. 4 KI-VO macht deutlich, dass Schulung und Sensibilisierung keine freiwillige Zusatzmaßnahme sind. Hier helfen Dienstleister mit passenden Schulungsangeboten. Auch wir von Datenschutzberater.NRW bieten passende Schulungen und Beratungspakete für Unternehmen bundesweit an.

Besondere Vorsicht ist bei Geschäftsgeheimnissen und besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO geboten. Unternehmen sollten verbindlich regeln:

• welche Informationen in Prompts eingegeben werden dürfen,
• welche Daten nicht mit Copilot verarbeitet werden sollen,
• wie personenbezogene Daten minimiert oder anonymisiert werden,
• wie KI-generierte Antworten geprüft werden,
• wann eine menschliche Kontrolle erforderlich ist,
• wie vertrauliche Inhalte vor unbeabsichtigten Datenabflüssen geschützt werden.

Für Unternehmens-Tenants werden von Microsoft Schutzmechanismen für Prompts und sogenannte Grounding-Inhalte beschrieben. Auch eine Verwendung dieser Inhalte zum Training öffentlicher Modelle wird für entsprechende Unternehmenslösungen ausgeschlossen. Die konkreten Zusagen, Einstellungen und Vertragsbedingungen sollten jedoch anhand der jeweils geltenden Microsoft-Dokumentation und Vertragsunterlagen geprüft werden.

Technische und organisatorische Maßnahmen im Microsoft-365-Tenant

Die Sicherheit der Verarbeitung nach Art. 32 DSGVO hängt wesentlich von der richtigen Konfiguration im Microsoft 365 Admin Center, in Microsoft Entra ID – früher Azure AD – sowie in den eingesetzten Microsoft-365-Sicherheits- und Compliance-Lösungen ab.

Zu den wichtigsten technischen und organisatorischen Maßnahmen gehören:

• Multi-Faktor-Authentifizierung (MFA) konsequent durchsetzen,
• Conditional Access passend zu den Schutzbedürfnissen konfigurieren,
• privilegierte Administrationsrechte beschränken,
• Zugriffe und sicherheitsrelevante Vorgänge protokollieren,
• Microsoft Purview Information Protection einsetzen,
• sensible Dokumente klassifizieren und beispielsweise als „Vertraulich“ kennzeichnen,
• Data-Loss-Prevention-Regeln (DLP) konfigurieren,
• Gastzugriffe und externe Freigaben beschränken,
• Berechtigungen regelmäßig überprüfen,
• Beschäftigte im Umgang mit Microsoft Teams und Copilot schulen.

Technische Einstellungen allein reichen jedoch nicht aus. Sie sollten durch klare interne Richtlinien, dokumentierte Zuständigkeiten und regelmäßige Kontrollen ergänzt werden.

Auftragsverarbeitung und Drittlandtransfer prüfen

Bei der Nutzung von Microsoft 365 liegt regelmäßig eine Verarbeitung im Auftrag nach Art. 28 DSGVO vor. Aufgrund der internationalen Unternehmens- und Dienstleisterstruktur ist außerdem ein möglicher Drittlandbezug zu prüfen. Wichtig ist auch dass der AVV in der für das Unternehmen passenden Version abgeschlossen wird. Hier ist insbesondere bei Berufsrechtlichen Pflichten auf die konkrete Tätigkeit passende AVV zu achten. Insbesondere Steuerberater und Rechtsanwälte sowie Ärzte haben hier Ihre strengen berufsrechtlichen Verpflichtungen Rechnung zu tragen.

Unternehmen müssen sicherstellen, dass ein aktuelles Data Processing Addendum (DPA) beziehungsweise ein Auftragsverarbeitungsvertrag mit Microsoft abgeschlossen wurde. Zusätzlich sollte nachvollzogen werden, welche Unterauftragnehmer eingesetzt werden und in welchen Ländern Daten verarbeitet werden können.

Für Datenübermittlungen in die USA kommen insbesondere das EU-U.S. Data Privacy Framework (DPF) oder Standardvertragsklauseln (SCCs) in Betracht. Die jeweils geltenden rechtlichen Voraussetzungen müssen im konkreten Fall geprüft und dokumentiert werden.

Darüber hinaus sollte bewertet werden, wo Daten tatsächlich gehostet und verarbeitet werden. Optionen wie die Microsoft EU Data Boundary können dazu beitragen, dass bestimmte Datenverarbeitungen vorrangig innerhalb der Europäischen Union erfolgen. Eine Nutzung dieser Optionen ersetzt jedoch nicht die vollständige datenschutzrechtliche Prüfung.

Betroffene transparent informieren

Mitarbeitende und externe Meeting-Teilnehmende müssen nach Art. 13 beziehungsweise Art. 14 DSGVO verständlich über die Verarbeitung ihrer Daten informiert werden.

Die Datenschutzhinweise des Unternehmens sollten deshalb eigene Abschnitte zu Microsoft Teams, Microsoft 365 und den eingesetzten KI-Lösungen enthalten. Darin sollten insbesondere folgende Informationen erläutert werden:

• Verantwortlicher und Datenschutzbeauftragter,
• Zwecke der Verarbeitung,
• Rechtsgrundlagen,
• Kategorien verarbeiteter personenbezogener Daten,
• eingesetzte Microsoft-Dienste und Funktionen,
• Empfänger und Auftragsverarbeiter,
• mögliche Datenübermittlungen in Drittländer,
• Speicherdauern und Löschfristen,
• Aufzeichnungen und Transkriptionen,
• Einsatz von KI-Funktionen,
• Rechte der betroffenen Personen.

Die Informationen sollten vor Beginn der jeweiligen Verarbeitung bereitgestellt werden. Bei externen Besprechungen kann ein entsprechender Datenschutzhinweis bereits mit der Einladung versendet oder im Besprechungstermin hinterlegt werden.

Speicherdauern verbindlich festlegen

Daten in Microsoft Teams und in den von Copilot genutzten Systemen dürfen nicht unbegrenzt gespeichert werden. Unternehmen benötigen deshalb ein nachvollziehbares Lösch- und Aufbewahrungskonzept.

In Microsoft Purview können automatische Aufbewahrungs- und Löschrichtlinien, sogenannte Retention Policies, eingerichtet werden. Chatnachrichten, Kanalbeiträge, Aufzeichnungen und Transkripte sollten nach Ablauf festgelegter Fristen gelöscht werden, sofern keine gesetzlichen Aufbewahrungspflichten oder andere rechtliche Gründe entgegenstehen.

Für jede Datenkategorie sollte festgelegt werden:

• wie lange die Daten aufbewahrt werden,
• welchem Zweck die Aufbewahrung dient,
• wann die Löschung ausgelöst wird,
• wer für die Kontrolle verantwortlich ist,
• wie gesetzliche Aufbewahrungspflichten berücksichtigt werden.

Bei Aufzeichnungen und Transkripten sollte außerdem geprüft werden, ob die Audio- oder Videodatei nach erfolgreicher Transkription gelöscht werden kann.

Für Datenschutz- und IT-Sicherheitsvorfälle vorbereitet sein

Auch bei sorgfältiger Vorbereitung lassen sich Datenschutz- und IT-Sicherheitsvorfälle nicht vollständig ausschließen. Falsch gesetzte Team-Berechtigungen, Datenabflüsse über KI-Prompts oder kompromittierte Zugangsdaten können schnell zu einem meldepflichtigen Datenschutzvorfall führen.

Für diesen Fall braucht es einen klar definierten und praktisch erprobten Prozess. Ein dokumentierter Notfallplan sollte insbesondere folgende Punkte festlegen:

• Zuständigkeiten und Vertretungen,
• interne Meldewege,
• Maßnahmen zur Eingrenzung des Vorfalls,
• technische Analyse und Beweissicherung,
• Bewertung des Risikos,
• Kommunikation mit der Datenschutzaufsicht,
• mögliche Benachrichtigung betroffener Personen,
• Dokumentation des Vorfalls und der getroffenen Maßnahmen.

Besteht bei einer Datenschutzverletzung ein Risiko für die Rechte und Freiheiten natürlicher Personen, ist der Vorfall grundsätzlich innerhalb von 72 Stunden an die zuständige Datenschutzaufsichtsbehörde zu melden. Maßgeblich ist Art. 33 DSGVO.

Datenschutz in Microsoft Teams und Copilot regelmäßig überprüfen

Datenschutz in Cloud- und KI-Umgebungen ist kein einmaliges Projekt. Unternehmen sollten die Konfigurationen und Berechtigungsstrukturen in SharePoint, OneDrive und Microsoft Teams regelmäßig auditieren.

Ebenso wichtig sind:

• die Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten,
• die regelmäßige Überprüfung der Datenschutzhinweise,
• die Kontrolle von Lösch- und Aufbewahrungsfristen,
• die Aktualisierung interner Teams- und KI-Richtlinien,
• die Schulung von Beschäftigten und Führungskräften,
• die Prüfung von Auftragsverarbeitern und Unterauftragnehmern,
• die Überprüfung oder Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, soweit erforderlich.

Microsoft Teams und Copilot werden kontinuierlich weiterentwickelt. Neue Funktionen können zusätzliche Verarbeitungsvorgänge oder neue Risiken mit sich bringen. Deshalb sollte jede wesentliche Funktionsänderung datenschutzrechtlich bewertet werden.

Unterstützung durch externe Datenschutzbeauftragte und KI-Beratung

Die datenschutzkonforme Nutzung von Microsoft Teams und Copilot erfordert rechtliche, technische und organisatorische Kenntnisse. Unternehmen profitieren daher von einer Beratung, die Datenschutz, Microsoft-365-Konfiguration und KI-Governance miteinander verbindet.

Als externe Datenschutzbeauftragte, KI-Berater und Dienstleister unterstützen wir Unternehmen unter anderem bei:

• der datenschutzrechtlichen Bewertung von Microsoft Teams und Copilot,
• der Prüfung von Verarbeitungszwecken und Rechtsgrundlagen,
• der Analyse von Rollen- und Berechtigungskonzepten,
• der Vorbereitung und Begleitung des Copilot-Rollouts,
• der Erstellung von Richtlinien für Microsoft Teams und generative KI,
• der Bewertung von Aufzeichnungen, Transkriptionen und KI-Zusammenfassungen,
• der Umsetzung von Informationspflichten,
• der Erstellung und Aktualisierung von Verzeichnissen der Verarbeitungstätigkeiten,
• der Durchführung von Datenschutz-Folgenabschätzungen,
• der Prüfung von Auftragsverarbeitungsverträgen und Drittlandbezügen,
• der Vorbereitung von Betriebs- und Dienstvereinbarungen,
• der Schulung von Beschäftigten und Führungskräften,
• regelmäßigen Audits und der laufenden Datenschutzbetreuung.

So wird Microsoft Copilot nicht nur technisch eingeführt, sondern nachvollziehbar, sicher und passend zu den Anforderungen des Unternehmens eingesetzt.

Fazit: Microsoft Teams und Copilot sicher und datenschutzkonform nutzen

Nachhaltige Compliance entsteht durch das Zusammenspiel aus sauber konfigurierten Microsoft-365-Diensten, klaren internen Richtlinien für Microsoft Teams und KI sowie regelmäßigen Schulungen und Kontrollen.

Wer vor dem Rollout von Microsoft Copilot Berechtigungen bereinigt, Zwecke und Rechtsgrundlagen dokumentiert und verbindliche Regeln für Aufzeichnungen, Prompts, Speicherfristen und Datenschutzvorfälle schafft, reduziert Risiken deutlich.

Eine frühzeitige Einbindung externer Datenschutzbeauftragter und spezialisierter KI-Berater kann dabei helfen, rechtliche Anforderungen, technische Einstellungen und praktische Geschäftsprozesse miteinander zu verbinden.

Hinweis: Dieser Beitrag dient der allgemeinen Information und praktischen Orientierung. Er stellt keine Rechtsberatung dar und ersetzt nicht die individuelle Prüfung durch eine Datenschutzfachkraft, einen externen Datenschutzbeauftragten oder eine qualifizierte rechtliche Beratung.