Microsoft 365 Copilot in der Pflege: Warum vor dem Einschalten eine Prüfung stehen sollte
Immer mehr Pflegedienste und Sozialstationen nutzen Microsoft 365 für E-Mail, Dokumente und Zusammenarbeit – und stehen jetzt vor der Frage, ob auch der KI-Assistent Copilot aktiviert werden soll. Anders als die reine Cloud-Nutzung von Outlook, Word oder Teams bringt Copilot aber ein eigenes Risikoprofil mit, das sich lohnt, vor dem Einschalten zu verstehen.
Was Copilot anders macht als M365 selbst
Microsoft 365 Copilot ist kein separates Programm, sondern ein KI-Assistent, der quer über die Dienste hinweg auf Inhalte zugreift, für die ein Nutzerkonto mindestens Leserechte hat – E-Mails, Dateien in SharePoint und OneDrive, Teams-Chats und mehr. Genau darin liegt laut der Datenschutzberatung Dr. Datenschutz das zentrale Risiko: Copilot zeigt und verknüpft Informationen aus allen Bereichen, auf die ein Account zugreifen kann, nicht nur aus dem, wofür es eigentlich gedacht war. Eine in dem Beitrag zitierte Studie geht davon aus, dass im Schnitt rund zehn Prozent der Daten in einer Microsoft-365-Umgebung praktisch für alle Mitarbeitenden zugänglich sind – mit Copilot wird dieser zu weite Zugriff plötzlich leicht auffindbar und nutzbar.
Die Auftragsverarbeitung ist nicht erledigt
Hinzu kommt ein grundsätzliches Problem, das über Copilot hinausreicht, aber dort besonders relevant wird: Die Datenschutzkonferenz der deutschen Aufsichtsbehörden stellte bereits 2022 in einem Abschlussbericht fest, dass Microsofts Standardvertrag zur Auftragsverarbeitung (Data Protection Addendum) nicht den Anforderungen von Art. 28 Abs. 3 DSGVO genügt. Mehrere Landesdatenschutzbehörden – unter anderem aus Niedersachsen und Nordrhein-Westfalen – haben daraufhin eine gemeinsame Handreichung mit notwendigen Vertragsanpassungen veröffentlicht. Für Einrichtungen bedeutet das: Wer Microsoft 365 einsetzt, sollte prüfen, inwieweit diese Nachverhandlungen bereits erfolgt sind, und Punkte, die sich nicht durchsetzen lassen, nachvollziehbar dokumentieren.
Weitere Punkte, die vor der Einführung zu klären sind
Laut Dr. Datenschutz sollten Einrichtungen vor der Aktivierung von Copilot insbesondere Folgendes klären:
Erstens das Berechtigungskonzept: Zugriffsrechte in SharePoint, Teams und OneDrive sollten konsequent nach dem Prinzip „so viel wie nötig, so wenig wie möglich“ vergeben sein – inklusive Gastzugriffen, Gruppenmitgliedschaften und Freigabelinks, die in der Praxis oft unübersichtlich gewachsen sind.
Zweitens die Datenschutz-Folgenabschätzung: Da Copilot in großem Umfang personenbezogene Daten auswertet und verknüpft, hält der Beitrag eine DSFA für erforderlich, bevor der Dienst in Betrieb geht.
Drittens die Vertraulichkeits- beziehungsweise Sensibilitäts-Kennzeichnungen (Labels): Von Copilot neu erzeugte Inhalte übernehmen bestehende Vertraulichkeitslabels der Ausgangsdateien nicht automatisch – ein Umstand, der in sensiblen Bereichen wie Pflegedokumentation oder Personalunterlagen besonders ins Gewicht fällt.
Viertens die Qualität der Ausgaben: Copilot-Antworten sind nicht garantiert korrekt oder vollständig; Mitarbeitende müssen generierte Inhalte vor der Weiterverwendung prüfen, etwa bevor ein Dokument an Angehörige oder Behörden verschickt wird.
Fünftens die Rechtsgrundlage der Verarbeitung selbst: Je nachdem, wofür Copilot im Einzelfall genutzt wird, kommen Vertragserfüllung, Einwilligung oder berechtigtes Interesse als Grundlage nach Art. 6 DSGVO infrage. Bei berechtigtem Interesse ist eine dokumentierte Interessenabwägung nötig, und es muss sichergestellt bleiben, dass Betroffenenrechte – etwa Auskunft oder Löschung – auch dann erfüllbar sind, wenn eine KI an der Verarbeitung beteiligt war. Gerade in der Pflege, wo in Dokumenten und Chats regelmäßig Gesundheitsdaten Dritter auftauchen, ist dieser Punkt kein Randthema.
Keine Pauschalaussage möglich
Ob Copilot in einer konkreten Einrichtung unter diesen Voraussetzungen datenschutzkonform betrieben werden kann, lässt sich nur im Einzelfall beurteilen – abhängig davon, welche Daten in der jeweiligen Microsoft-365-Umgebung liegen, wie die Zugriffsrechte heute tatsächlich aussehen und welche vertraglichen Anpassungen bereits vorgenommen wurden. Pauschale Aussagen à la „Copilot ist DSGVO-konform“ oder „Copilot ist verboten“ werden der Komplexität nicht gerecht; entscheidend ist die konkrete Umsetzung vor Ort.
bitman-Perspektive
Bevor ein KI-Assistent wie Copilot in einer Sozialstation oder einem Pflegedienst scharfgeschaltet wird, lohnt sich ein nüchterner Blick auf Berechtigungen, Vertragslage und tatsächliche Datenflüsse – nicht aus Prinzip gegen neue Technik, sondern damit sie zur bestehenden Sorgfaltspflicht passt. bitman unterstützt bei der Bestandsaufnahme der M365-Umgebung und der Vorbereitung einer solchen Einführung. Sprechen Sie uns an: 07141 141 6789 oder help@bitman.de.