Copilot Datenschutz: Grok, Websuche und was KMU jetzt tun sollten

Microsoft baut Copilot zu einer Plattform mit mehreren KI-Modellen aus. Seit dem 10. September 2026 führt der Konzern SpaceXAI, das Unternehmen hinter dem Sprachmodell Grok, als Unterauftragsverarbeiter für Microsoft 365. Gleichzeitig rückt eine Funktion in den Blick, die in vielen Unternehmen unbemerkt mitläuft: die Bing-Websuche in Copilot. Für den Copilot Datenschutz heißt das: Wer Microsoft 365 im Betrieb nutzt, sollte jetzt zwei Einstellungen kennen.

Grok in Copilot: Was sich geändert hat

Grok soll als zusätzliches Sprachmodell in Microsoft 365 Copilot verfügbar werden. Anfragen an Grok verarbeitet nicht Microsoft selbst, sondern SpaceXAI außerhalb der von Microsoft betriebenen Umgebung, und zwar nach den Unternehmensbedingungen und dem Auftragsverarbeitungsvertrag von SpaceXAI.

Gilt das auch für Unternehmen in Deutschland?

Derzeit nicht. Für Mandanten in der EU, im EFTA-Raum und im Vereinigten Königreich ist Grok ausgenommen. Die zugehörige Admin-Einstellung ist standardmäßig ausgeschaltet. Solange niemand sie aktiviert, verarbeitet SpaceXAI keine Kundendaten, ein Widerspruch gegen den neuen Unterauftragsverarbeiter ist nach aktuellem Stand nicht nötig. Einen Termin für die Freigabe in der EU hat Microsoft nicht genannt.

Trotzdem gehört die Änderung in Ihre Dokumentation: Legen Sie die aktualisierte Liste der Unterauftragsverarbeiter zu Ihrem Vertrag mit Microsoft und vermerken Sie, dass die Funktion deaktiviert bleibt. Maßgeblich ist derzeit das Microsoft Products and Services Data Protection Addendum vom 22. Mai 2026.

Die unterschätzte Baustelle: Websuche in Copilot

Für den Alltag wichtiger ist das sogenannte Web Grounding. Damit Copilot aktuelle öffentliche Informationen in seine Antworten einbeziehen kann, leitet es aus den Eingaben Ihrer Beschäftigten verkürzte Suchanfragen ab und schickt sie an Bing. So können Teile von Unternehmensinformationen einen separaten Suchdienst erreichen, etwa ein Kundenname oder ein Projektdetail aus dem Prompt.

Ob diese Übermittlung rechtlich und vertraglich abgedeckt ist, hängt von Lizenz, Kontoart, Mandantenkonfiguration und Vertragslage ab. Administratoren können die Funktion zentral über die Einstellung „Allow web search in Copilot“ abschalten.

Konnektoren: Sync oder MCP?

Wer Copilot mit eigenen Datenquellen verbindet, hat zwei Wege. Sync-Konnektoren übertragen Daten regelmäßig in den Copilot-Index, Anfragen verlassen den Mandanten dabei nicht. MCP-Konnektoren rufen Informationen bei Bedarf über Agenten ab und können dabei Teile von Anfragen nach außen übermitteln. Beide Konnektortypen arbeiten unabhängig von der Websuche-Einstellung.

Checkliste: Das sollten KMU jetzt tun

• Im Admin Center prüfen, ob die SpaceXAI-Einstellung deaktiviert ist, und das Ergebnis dokumentieren.
• Entscheiden, ob die Websuche in Copilot gebraucht wird, und sie andernfalls abschalten.
• Eingesetzte Konnektoren erfassen und für vertrauliche Daten Sync-Konnektoren bevorzugen.
• Copilot samt Websuche und Konnektoren in das Verzeichnis der Verarbeitungstätigkeiten aufnehmen.
• Beschäftigte schulen: keine Kunden-, Personal- oder Gesundheitsdaten in Prompts, solange die Websuche aktiv ist.

Weitere Hinweise zum datenschutzkonformen Einsatz finden Sie in unserem Leitfaden zu Microsoft 365 und Datenschutz. Ob Ihr Unternehmen einen Datenschutzbeauftragten braucht, der solche Änderungen begleitet, klärt unser Beitrag dazu. Einen schnellen Überblick über Ihren Stand gibt die DSGVO-Checkliste.

Fazit

Grok ist für deutsche Unternehmen vorerst kein Thema, die Websuche in Copilot dagegen schon heute. Wer beide Einstellungen bewusst setzt und dokumentiert, ist auf die nächsten Modellwechsel bei Microsoft vorbereitet.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.