Der Einsatz von generativer KI in Microsoft 365 ist kein Risiko, sondern eine Frage konsequenter Datenschutz-Compliance.
Mithilfe der Copilot-Websuche können externe Webinformationen kontextbezogen in Copilot Chats eingebunden werden. In Microsoft Teams ermöglichen Transkription, Live-Übersetzung und Aufzeichnung eine effiziente, internationale und barrierearme Durchführung und Dokumentation von Meetings. Gleichzeitig werden durch die KI-Funktionen in Microsoft 365 personenbezogene Daten verarbeitet, was eine datenschutzrechtliche Betrachtung erforderlich macht. Anders als gelegentlich behauptet, ist der Einsatz dieser Funktionen jedoch datenschutzkonform möglich. Entscheidend sind, wie beim Einsatz von Microsoft 365 und Microsoft Copilot im Allgemeinen, eine strukturierte Prüfung und saubere Umsetzung der allgemeinen datenschutzrechtlichen Vorgaben.
Copilot-Websuche: Zulässig bei sauberer Interessenabwägung
Die Nutzung der Copilot-Websuche ist optional. Sie ermöglicht es Copilot, bei Bedarf auf Inhalte aus dem Internet zuzugreifen, um präzisere Antworten zu liefern. Ist die Websuche aktiviert, prüft Copilot die Anfrage des Nutzers und erkennt, bei welchen Begriffen Informationen aus dem Internet hilfreich sein könnten. Daraufhin erstellt Copilot eine stark verkürzte Suchanfrage und sendet diese an den Bing-Suchdienst. Datenschutzrechtlich relevant ist die Nutzung nur, wenn die verkürzte Suchanfrage ausnahmsweise personenbezogene Daten enthält. Der Bing-Suchdienst wird in eigener datenschutzrechtlicher Verantwortlichkeit von Microsoft betrieben. Als Rechtsgrundlage für die Datenübermittlung an Microsoft kommt regelmäßig ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) in Betracht. Maßgeblich ist eine dokumentierte Interessenabwägung. Aufgrund der begrenzten Datenübermittlung und klarer Zweckbeschränkungen ist das Risiko für Betroffene häufig als gering einzustufen.
Typische berechtigte Interessen für den Einsatz der Copilot-Websuche sind:
- Effizienzsteigerung von Recherche- und Entscheidungsprozessen
- Verbesserung der Informationsqualität
- Reduzierung von Risiken durch unkontrollierte „Schatten-KI“.
Da Bing ein globaler Dienst ist, gilt die EU Data Boundary nicht für Suchabfragen. Eine Datenübermittlung in die USA kann bei der Copilot-Websuche deshalb nicht ausgeschlossen werden. Diese stützt sich derzeit auf das EU-US Data Privacy Framework. Daneben stehen Standardvertragsklauseln als Alternative zur Verfügung.
Microsoft Teams: Transkription, Live-Übersetzung und Aufzeichnung rechtssicher einsetzen
Bei Transkriptionen, Live-Übersetzungen und Aufzeichnungen werden in der Regel personenbezogene Daten verarbeitet. Eine Einwilligung ist insbesondere im Beschäftigungskontext regelmäßig nicht tragfähig. Auch hier wird daher typischerweise auf das berechtigte Interesse abgestellt.
Voraussetzungen sind für ein berechtigtes Interesse an der Nutzung der Funktionen sind:
- Das Vorliegen eines berechtigten Interesses des Verantwortlichen und/oder eines Dritten (z. B. Nachvollziehbarkeit von Entscheidungsprozessen) sowie
- die Erforderlichkeit der Datenverarbeitung zur Wahrung der berechtigten Interessen (z. B. manuelle Protokollierung als milderes Mittel) und
- eine Abwägung mit den Interessen, Grundrechten und Grundfreiheiten der betroffenen Person im konkreten Einzelfall (z. B. besonders sensible Gesprächsinhalte).
Artikel 9 DSGVO, der besonders sensible personenbezogene Daten schützt, ist in der Regel nicht anwendbar, da Microsoft Teams die Stimme der Teilnehmenden nicht zur Identifizierung nutzt, sondern ausschließlich zur Inhaltsverarbeitung, d. h. zur Transkription oder Übersetzung.
Unternehmen müssen allerdings zusätzlich die Informationspflichten nach Art. 13 DSGVO transparent erfüllen und sicherstellen, dass Betroffenenrechte wie Auskunft und Widerspruch umgesetzt werden und eine datenschutzkonforme Löschung gewährleistet ist. Neben den datenschutzrechtlichen Anforderungen ist auch § 201 StGB zu beachten. Die unbefugte Aufnahme des nichtöffentlich gesprochenen Worts kann strafrechtlich relevant sein. Die Befugnis zur Aufzeichnung ist daher sorgfältig zu prüfen.
Fazit
Die Nutzung von KI-Funktionen in Microsoft 365 ist eine Frage der Governance. Wer die entsprechenden Rechtsgrundlagen sauber definiert, Interessenabwägungen dokumentiert, für Transparenz sorgt und die erforderlichen technischen und organisatorischen Maßnahmen trifft, kann Effizienzgewinne realisieren und zugleich datenschutzrechtliche Risiken beherrschen.
Ausführliche Informationen zu Datenschutz und digitaler Souveränität bei Microsoft 365 finden Sie in der „Kommunikation & Recht“, Ausgabe 12/2025, S. 755 ff. (hier kostenfrei im Volltext abrufbar).
zurück