Microsoft 365 Copilot: KI-Offensive für den Mittelstand startet

Grünes Licht aus Hessen verändert das Spiel: Während deutsche Unternehmen jahrelang in der Compliance-Grauzone operierten, können sie nun erstmals Microsoft 365 rechtssicher nutzen – und ab dieser Woche auch die neue KI-Technologie.

Seit Montag, dem 1. Dezember, ist Microsoft 365 Copilot Business weltweit verfügbar. Das neue Lizenzmodell richtet sich gezielt an kleine und mittelständische Unternehmen mit weniger als 300 Mitarbeitern. Der Preis: umgerechnet rund 20 Euro pro Nutzer und Monat – deutlich günstiger als die bisherigen Enterprise-Varianten.

Doch warum ist gerade jetzt der perfekte Zeitpunkt? Die Antwort liegt in einem 137-seitigen Dokument, das Mitte November die deutsche Compliance-Landschaft grundlegend veränderte.

Anzeige

Passend zum Thema EU-KI-Recht: Die EU-KI-Verordnung stellt konkrete Anforderungen an Kennzeichnung, Risikoklassifizierung und Dokumentation von KI-Systemen – Pflichten, die auch Nutzer von Copilot Business direkt betreffen. Wer jetzt nicht systematisch dokumentiert und die richtigen Risikobewertungen durchführt, riskiert Prüfungen und Bußgelder. Der kostenlose Umsetzungsleitfaden zur EU-KI-Verordnung fasst die wichtigsten Pflichten zusammen und liefert praktische Checklisten für Unternehmen. KI-Verordnung-Umsetzungsleitfaden kostenlos herunterladen

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) veröffentlichte am 15. November 2025 eine umfassende Bewertung, die nach zehnmonatigen Verhandlungen mit Microsoft zu einem klaren Ergebnis kommt: Microsoft 365 lässt sich DSGVO-konform betreiben – wenn Unternehmen bestimmte Maßnahmen umsetzen.

“Wir haben konstruktiv geprüft, unter welchen Bedingungen eine praxistaugliche und datenschutzkonforme Nutzung von M365 möglich ist”, erklärt Prof. Dr. Alexander Roßnagel, der hessische Datenschutzbeauftragte. Eine bemerkenswerte Kehrtwende: Noch 2022 hatte die Datenschutzkonferenz (DSK) erklärt, Microsoft 365 könne nicht rechtskonform betrieben werden.

Was hat sich geändert? Microsoft hat laut HBDI-Bericht entscheidende Transparenzdefizite beseitigt und vertragliche Garantien verbessert. Besonders wichtig: die sogenannte EU Data Boundary, die sicherstellt, dass Kundendaten die EU nicht verlassen.

Das M365-Kit: Compliance zum Download

Keine Freigabe ohne Werkzeug: Zeitgleich mit dem HBDI-Bericht stellte Microsoft Mitte November das M365-Kit bereit – entwickelt in Zusammenarbeit mit den Datenschutzbehörden in Bayern und Hessen.

Das Paket, verfügbar über das Microsoft Service Trust Portal, enthält:

• Vorausgefüllte Verzeichnisse von Verarbeitungstätigkeiten für Standard-M365-Anwendungen
• Schwellenwertanalyse-Vorlagen zur Prüfung, wann eine Datenschutz-Folgenabschätzung erforderlich ist
• Dokumentation der Rechtsgrundlagen mit detaillierten Erklärungen zu Datenflüssen

“Mit unseren neuen Materialien haben Unternehmen alle zentralen Bausteine zur Hand”, sagt Sebastian Dürdoth, Senior Corporate Counsel bei Microsoft Deutschland. Das Ziel sei klar: rechtssicherer Nachweis, wenn die Aufsichtsbehörde anklopft.

KI trifft auf Compliance: Was Copilot Business können muss

Die neue Business-Lizenz bringt die Work IQ-Intelligenz in Standardanwendungen wie Word, Excel und Teams. Für den Mittelstand bedeutet das: Automatisierung von Routineaufgaben und Datenanalysen ohne die bisher hohen Einstiegshürden für Unternehmens-KI.

Doch KI löst neue Pflichten aus. Unter der EU AI Act und der DSGVO erfordert der Einsatz generativer KI am Arbeitsplatz in der Regel eine detaillierte Datenschutz-Folgenabschätzung (DSFA). Genau hier greift das M365-Kit: Es enthält spezielle Module zur Bewertung KI-bedingter Risiken.

Ein entscheidender Punkt, den der HBDI-Bericht bestätigt: Inhaltsdaten werden nicht zum Training der Microsoft-Basismodelle verwendet. Unternehmen, die diese Woche Copilot Business einführen, sollten dies umgehend mit den bereitgestellten Vorlagen dokumentieren.

Was der deutsche Mittelstand jetzt tun sollte

Der HBDI-Bericht spricht zwar nur für Hessen, doch die Koordination mit bayerischen Behörden deutet auf einen breiteren Konsens unter deutschen Aufsichtsbehörden hin. “Das ist die pragmatische Lösung, auf die die Industrie gewartet hat”, kommentiert die Digital-Compliance-Analystin Dr. Lena Weber. “Der HBDI-Bericht beendet die Blockadehaltung effektiv.”

Dennoch: Eine pauschale Freigabe gibt es nicht. Die Verantwortung liegt bei den “Verantwortlichen” im Sinne der DSGVO – also bei den Unternehmen selbst. Sie müssen die neuen Dokumentationen nutzen und technische Konfigurationen umsetzen, um Compliance nachzuweisen.

Für IT-Administratoren lautet die klare Botschaft: Ja zu den neuen KI-Lizenzen – aber nur im Zusammenspiel mit der im November veröffentlichten Compliance-Dokumentation.

Ausblick: Von der Blockade zur Umsetzung

In den kommenden Wochen dürften weitere Landesdatenschutzbeauftragte Stellung zu den Hessischen Erkenntnissen beziehen. Microsoft hat bereits angekündigt, das M365-Kit kontinuierlich zu aktualisieren, um neue Funktionen in Copilot Business abzudecken.

Der Fokus verschiebt sich damit fundamental: von der Frage “Dürfen wir?” zur praktischen Umsetzung der notwendigen technischen und organisatorischen Maßnahmen (TOMs). Für den deutschen Mittelstand könnte die erste Dezemberwoche 2025 rückblickend als Zeitpunkt in die Geschichte eingehen, an dem KI-Adoption und Datenschutz-Compliance endlich zusammenfanden.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Unternehmen sollten ihre spezifischen DSFA-Anforderungen mit ihrem Datenschutzbeauftragten klären.

Anzeige

PS: Überraschend viele Mittelständler unterschätzen die Dokumentations- und Kennzeichnungspflichten beim Einsatz generativer KI wie Copilot Business. Der kostenlose Leitfaden zur EU-KI-Verordnung erklärt praxisnah, wie Sie Ihr KI-System richtig klassifizieren, welche Kennzeichnungspflichten gelten und welche Nachweise Prüfer sehen wollen – inklusive Vorlagen für Risikobewertungen. Sichern Sie sich das E-Book für Ihre Compliance-Umsetzung. Jetzt kostenlosen KI-Umsetzungsleitfaden anfordern