Microsoft Copilot Flex Routing: deine Daten verlassen die EU per Default

Praktisch heißt das: wer Copilot einsetzt, chattet mit dem Bot über Verträge, Kundendaten, Personalakten — und der Prompt wandert nicht mehr garantiert durch ein EU-Rechenzentrum. Sondern dorthin, wo Microsofts Routing-Algorithmus gerade Lust hat. Auch USA. Indien. Israel. Du denkst jetzt vielleicht: „Dafür gibt es doch das EU-US-DPF!" — doch die Sache hat einen Haken.

Bis April 2026 lief Copilot-Traffic für EU-Kunden mit hoher Wahrscheinlichkeit durch ein europäisches Microsoft-Rechenzentrum. Microsoft nannte das EU Data Boundary und hat sich öffentlich verpflichtet, EU-Kundendaten in der EU zu halten. Mit Flex Routing ist diese Garantie aufgeweicht — Microsoft begründet es mit Performance, doch der Default ist jetzt opt-out statt opt-in.

Microsoft hat hier die übliche Reihenfolge umgedreht: erst aktivieren, dann den Kunden informieren, später erklären, wie er es ausschalten kann.

Was hat sich konkret verändert? Prompts. Antworten. Kontextfenster — also auch die Dokumente, die Copilot zur Beantwortung mitliest (Bewerbungen, Verträge, Patientenakten). Embedding-Vektoren. Metadaten. All das kann nun jederzeit ein Microsoft-Rechenzentrum außerhalb der EU durchlaufen.

Art. 44 DSGVO ist unmissverständlich: jede Datenübermittlung in ein Drittland braucht eine konkrete Rechtsgrundlage. Für Microsoft-USA gibt es den EU-US Data Privacy Framework, der seit 2023 zwei EuGH-Klagen überstanden hat. Doch das DPF deckt nur USA — nicht Indien, nicht Israel, nicht Brasilien. Und Flex Routing definiert nicht, wohin geroutet wird, sondern dass irgendwohin geroutet werden darf.

Wenn ein Datentransfer-Pfad nicht im Voraus bestimmbar ist, kannst du auch keine passenden Standardvertragsklauseln zuweisen. Das ist eine juristische Falltür.

Konkrete Folge: dein Auftragsverarbeitungsvertrag mit Microsoft muss die neuen Drittland-Pfade abdecken. Tut er aktuell nichts spezifisch — Microsoft argumentiert hier mit pauschalen Bezugnahmen auf SCC + DPF. Die Datenschutzkonferenz wird das zeitnah prüfen, doch bis dahin sitzt du im Risiko fest.

Was an Bußgeldern droht: Art. 83 Abs. 5 DSGVO erlaubt bis zu 20 Mio. € oder 4 % des Jahresumsatzes. Für einen mittelständischen Online-Shop reden wir praktisch von 50.000–500.000 €.

Die Reaktion der Datenschutzbehörden auf neue US-Cloud-Dienste folgt seit Jahren einem klaren Muster: erst eine Pressemeldung mit „wir prüfen", dann ein DSK-Kurzpapier 3–6 Monate später, dann harte Bußgeld-Entscheidungen ab Monat 12. Bei Flex Routing erwarte ich genau diesen Loop.

Zwei Datenpunkte aus der jüngeren Geschichte:

Das BayLDA (Bayerisches Landesamt für Datenschutzaufsicht) hat 2022 in seinem Tätigkeitsbericht klargestellt, dass auch beim Einsatz von Microsoft 365 ein Transfer Impact Assessment (TIA) dokumentiert werden muss — selbst wenn der Standard-Vertrag pauschal auf SCCs verweist. Nach Inkrafttreten des EU-US-DPF 2023 hat die Behörde leise zurückgerudert, doch die TIA-Pflicht selbst blieb.

Der LfDI Baden-Württemberg war im selben Jahr besonders aktiv und hat formuliert: Verantwortliche müssen prüfen, wo ihre Daten tatsächlich verarbeitet werden, nicht nur, was der Vertrag formal zulässt. Flex Routing trifft genau diese Achse — der Vertrag erlaubt das Routing, doch der Verantwortliche kennt im Einzelfall nicht das tatsächliche Ziel.

Die Aufsichtsbehörden bestrafen nicht den Verarbeitungs-Vorgang als solchen, sondern die fehlende Dokumentation und das Nicht-Wissen. Wer den Schalter umgelegt und das dokumentiert hat, dem nehmen die Behörden den Wind aus den Segeln.

Für dich heißt das: auch wenn heute noch Ruhe herrscht, der Tag der ersten Bußgeld-Bescheide kommt — vermutlich Q3/Q4 2026. Du willst zu dem Zeitpunkt nicht der Erste sein, der erklärt, warum du Flex Routing auf „on" gelassen hast.

Du brauchst Global-Admin-Rechte. Plane hier circa 3 Minuten ein:

Danach routet Copilot nur noch durch EU-Data-Boundary-Regionen. Das kostet dich vielleicht 50–100 ms Latenz — ein kleiner Preis für saubere DSGVO-Compliance.

Der Toggle existiert, doch der Pfad dorthin ist absichtlich verschachtelt. Microsoft will dich nicht aktiv abhalten — eilig macht es dir aber auch nicht.

Der Toggle deckt nur zukünftige Workloads. Was du zusätzlich brauchst:

DPA-Update. Falls dein Microsoft-DPA vor April 2026 unterzeichnet wurde, ist das alte Online Services Terms Dokument nicht mehr aktuell. Aktuelle Version unter aka.ms/dpa runterladen, „Sub-Processors"-Sektion prüfen, intern dokumentieren.

DSFA (Art. 35 DSGVO). Wenn Copilot bei dir Personalakten, Bewerbungen oder Gesundheitsdaten verarbeitet, brauchst du formal eine Datenschutz-Folgenabschätzung. Microsoft liefert dir keine — das ist deine Hausaufgabe als Verantwortlicher.

Mitarbeiter-Information (Art. 13 DSGVO). Wenn Copilot über deine Mitarbeiter läuft (Outlook-Analysen, Teams-Mitschriften), müssen sie vorher in der internen Datenschutzerklärung informiert worden sein — auch über mögliche Drittland-Transfers.

Compliance ist kein Toggle. Es ist ein Schalter plus Dokumentation plus Information plus Folgenabschätzung. Wer nur klickt, bleibt auf drei Vierteln des Risikos sitzen.

Drei Sachen. Erstens: prüf den Toggle. Heute, nicht nächste Woche — drei Minuten, und solange er auf „on" steht, transferierst du potenziell jeden Tag Daten in Drittländer, ohne es zu wissen. Zweitens: dokumentier es. Screenshot, Datum, wer ihn umgelegt hat, in deine Datenschutz-Dokumentation. Drittens: Red mit deinen Mitarbeitern. „Hey Leute, wir nutzen Co-Pilot. Das hier macht Microsoft mit den Daten und das hier haben wir abgeschaltet." Transparenz ist hier keine Kür, sondern Pflicht.

1. Microsoft Learn — Data residency for Microsoft 365 Copilot

2. EU-Kommission — EU-US Data Privacy Framework (2023/1795)

3. Art. 44 DSGVO

4. DSK Kurzpapier Nr. 19 — Drittstaatentransfers

5. Bayerischer Landesbeauftragter für den Datenschutz — Stellungnahme US-Cloud

6. BayLDA — Tätigkeitsberichte

7. LfDI Baden-Württemberg