Microsoft hat für Microsoft 365 Copilot eine Funktion eingeführt, die zunächst unbedeutsam wirken mag, jedoch erhebliche datenschutzrechtliche Folgen mit sich bringt. Das sogenannte Flex Routing ermöglicht es Microsoft, das sogenannte LLM-Inferencing bei Spitzenlasten außerhalb der EU Datengrenze durchführen zu lassen. Gemeint ist der Datenverarbeitungsprozess, in dem das Sprachmodell einen Prompt ausführt und hieraus eine Antwort erzeugt. Gerade in diesem Zuge können personenbezogene Daten verarbeitet werden. Gegenständlich können Inhalte aus E-Mails, Dateien, Metadaten oder Prompts sein, die für die Anfrage zusammengestellt und dem Modell übergeben werden. Daten werden in diesem Zuge also nicht in europäischen, sondern unter anderem in US-amerikanischen Rechenzentren verarbeitet.
Was Flex Routing technisch bedeutet
Nach Microsofts eigener Darstellung soll Flex Routing eine konsistente Copilot-Nutzung während Zeiten hoher Nachfrage ermöglichen. Wenn die Funktion aktiviert ist, kann das LLM-Inferencing außerhalb der EU Datengrenze erfolgen. Microsoft nennt hierfür die USA, Kanada und Australien. Zugleich betont Microsoft, dass Daten bei der Übertragung und im Ruhezustand verschlüsselt seien und Daten im Ruhezustand weiterhin innerhalb der EU Datengrenze gespeichert würden. Ausgenommen hiervon sind nach Microsoft begrenzte pseudonymisierte Daten, die zu Sicherheits- und Betriebszwecken außerhalb der EU Datengrenze gespeichert werden können.
Gleichwohl findet bei aktiviertem Flex Routing eine Verarbeitung außerhalb der EU statt. Datenschutzrechtlich ist nicht allein entscheidend, wo Daten dauerhaft gespeichert werden, sondern auch, wo personenbezogene Daten verarbeitet werden.
Datenschutzrechtliche Einordnung
Die Übermittlung personenbezogener Daten in ein Drittland unterliegt den Vorgaben der Art. 44 ff. DSGVO. Das gilt auch dann, wenn die Daten nur zur Verarbeitung übermittelt und anschließend weiterhin in der EU gespeichert werden. Für eine solche Drittlandübermittlung bedarf es eines zulässigen Transfers. In Betracht kommen etwa ein Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien, insbesondere Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Für Unternehmen ist daher entscheidend, Flex Routing nicht lediglich als technische Verfügbarkeitsfunktion zu behandeln. Die Funktion betrifft vielmehr die datenschutzrechtliche Bewertung des Einsatzes von Microsoft 365 Copilot und Copilot Chat.
Aktivierung und Handlungsbedarf
Besonders beachtlich und nutzerrelevant ist die Voreinstellung des Flex Routings auf neuen Nutzerprofilen. Nach Microsoft ist Flex Routing für berechtigte Tenants, die nach dem 25. März 2026 erstellt wurden, standardmäßig aktiviert. Für bereits zuvor bestehende Tenants verweist Microsoft darauf, dass Administratoren das Message Center prüfen sollen. In der datenschutzrechtlichen Diskussion wird hervorgehoben, dass für bestehende Tenants Unklarheiten bestehen, ob die Funktion als Opt-in oder Opt-out ausgestaltet ist.
Administratoren sollten die Einstellung daher aktiv prüfen. In Microsoft 365 erfolgt dies über das Admin Center unter Copilot, Settings und der Einstellung zu Flex Routing während Spitzenlastzeiten. Soll eine Verarbeitung außerhalb der EU ausgeschlossen werden, ist „Do not allow flex routing“ auszuwählen. Wird Flex Routing bewusst zugelassen, sollten die einschlägigen Transfermechanismen für die betroffenen Drittländer geprüft und dokumentiert werden.
Fazit
Flex Routing ist keine bloße Erleichterung für Nutzer von Microsoft Copilot. Die Möglichkeit, LLM-Inferencing in die USA, nach Kanada oder Australien zu verlagern, kann eine Drittlandübermittlung im Sinne der DSGVO darstellen. Unternehmen sollten deshalb prüfen, ob Flex Routing in ihrem Tenant aktiviert ist, ob die gewählte Konfiguration zu ihren Datenschutzanforderungen passt und wie die Entscheidung dokumentiert wird.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
