Die Technik im Streit
Teil 6 unserer Linkedin-Serie hat die grundsätzlichen Fragen von Vertrauen und Zugriff behandelt. Dieser Teil geht auf zwei konkrete technische Streitpunkte, an denen sich die Debatte besonders reibt: den Verarbeitungsort von Copilot und die Telemetrie unterhalb der Cloud-Ebene. Wie in der ganzen Reihe stehen sich das kritische Argument, das Kontra, und die Gegenposition, das Pro, gegenüber, gefolgt von einer Einordnung. Es ist eine fachliche Einordnung und keine Rechtsberatung.
Streitpunkt 3: Copilot und der Verarbeitungsort
Kontra. Der Trend bei Copilot weist aus Europa hinaus. Mit Flex Routing hat Microsoft eine Voreinstellung eingeführt, die die Verarbeitung bei Lastspitzen in Drittländer umleitet und seit dem 17. April 2026 auch für bestehende EU- und EFTA-Tenants standardmäßig aktiviert ist, ein Opt-out-Modell, das im Spannungsverhältnis zum Datenschutz durch Voreinstellung nach Artikel 25 Absatz 2 DSGVO steht. Die Anthropic-Modelle sind ganz von der Grenze ausgenommen, die xAI-Modelle laufen außerhalb des Microsoft-Vertragsrahmens, und neue Dienste starten regelmäßig zuerst außerhalb des Europäischen Wirtschaftsraums. Auch die Ankündigung eines In-Country Processing für Deutschland wurde später relativiert. Der Pfad des geringsten Widerstands führt damit aus Europa hinaus.
Pro. Die Verarbeitung ist konfigurierbar. Der OpenAI-Pfad innerhalb der Grenze ist das Standardmodell, Flex Routing lässt sich abschalten, und die gespeicherten Daten bleiben auch bei aktiviertem Flex Routing in der Grenze. Gerade wegen der europäischen Nachfrage investiert Microsoft erheblich in EU-Datenresidenz und die Sovereign Cloud, der Trend umfasst also auch ein wachsendes Angebot an EU-Optionen. Dass neue Funktionen zuerst außerhalb des Wirtschaftsraums erscheinen, ist überwiegend ein Phänomen des Produktlebenszyklus, und die spätere Freigabe nach regulatorischer Klärung ist eher Ausdruck von Compliance als ihrer Umgehung.
Einordnung. Belegt sind sowohl die kritischen Voreinstellungen, also die Flex-Routing-Voreinstellung, die Ausnahme der Nicht-OpenAI-Modelle und die US-first-Rollouts, als auch die EU-konformen Konfigurationsmöglichkeiten und die Souveränitätsinvestitionen. Die Positionen unterscheiden sich darin, ob man die Voreinstellungen zum Maßstab nimmt, also was ohne Eingriff geschieht, oder den konfigurierbaren Zielzustand, also was bei sachgerechter Einrichtung möglich ist. Praktisch konvergieren beide darin, dass ein EU-naher Copilot-Betrieb eine bewusste, fortlaufend zu pflegende Konfiguration erfordert. Strittig bleibt die Bewertung des Opt-out-Prinzips.
Streitpunkt 4: Telemetrie und Diagnosedaten
Kontra. Unterhalb der Cloud-Debatte liegt ein nie ausgeräumtes Problem. Eine vom BSI beauftragte Telemetrie-Analyse und die Prüfung des LfDI Baden-Württemberg haben dokumentiert, dass bestimmte Diagnose- und erforderliche Servicedaten sich nicht vollständig abschalten lassen und an Microsoft übermittelt werden, auch in die USA. Der LfDI hielt die Risiken der geprüften Schulversion für inakzeptabel hoch. Rechtlich ist § 25 TDDDG einschlägig, der für den Zugriff auf Endgeräte grundsätzlich eine Einwilligung verlangt, sofern er nicht unbedingt erforderlich ist. Eine breite, produktverbessernde Telemetrie dürfte diese enge Ausnahme nicht erfüllen.
Pro. Es handelt sich überwiegend um Diagnose- und Sicherheitsdaten, die sich auf die Stufe erforderlich reduzieren lassen und pseudonymisiert sind. Der verbleibende Datenstrom dient der Patch- und Bedrohungserkennung und damit einem eigenen Schutzziel nach Artikel 32 DSGVO. Die maßgeblichen technischen Untersuchungen beziehen sich auf ältere Windows- und M365-Stände, die Konfigurierbarkeit hat sich seither erweitert, und Microsoft hat für die erforderliche Stufe vertragliche Zusagen als Auftragsverarbeiter abgegeben. Die enge Auslegung von § 25 TDDDG ist zudem nicht speziell für Microsoft 365 amtlich festgestellt.
Einordnung. Die technische Tatsache, dass ein nicht vollständig abschaltbarer Diagnosedatenstrom existiert, ist belegt, ebenso, dass er sich konfigurativ reduzieren lässt. Die Positionen bewerten denselben Reststrom unterschiedlich, als verbleibendes Datenschutzrisiko oder als sicherheitsfunktional erforderlich und verhältnismäßig. Die rechtliche Einordnung unter § 25 TDDDG ist mangels spezifischer amtlicher Feststellung für Microsoft 365 offen, und die Aktualität der zugrunde liegenden Studien ist ein eigener, im Einzelfall zu prüfender Faktor.
In dieser Reihe
Teil 6: Vertrauen und Zugriff. Teil 7: Copilot und Telemetrie. Teil 8: Aufsicht, Souveränität und Alternativen. Teil 9: Beschäftigte und Gesamtbild. Am Ende der Reihe erscheint ein eigenes Gesamtdokument mit allen Quellen und Verzeichnissen.
Einstieg verpasst? Schauen Sie unsere Einordnungsserie Teil 1: Warum die Frage neu zu stellen ist, Teil 2: Der lange Arm der USA, Teil 3: Die EU Data Boundary und die Aufsichtsbehörden, Teil 4: Copilot, die KI-Modelle und die Mitbestimmung, Teil 5: Digitale Souveränität und das Fazit.
Sie möchten nicht auf die anderen Beiträge warten? Fordern Sie unseren vollständigen Expertenbericht an.
Herausgeber ist die improve it GmbH aus Weingarten bei Karlsruhe. Dieser Beitrag gibt den Recherchestand Juni 2026 wieder, ist eine fachliche Einordnung und stellt keine Rechtsberatung dar.