Microsoft 365 Copilot für Makler DSGVO-konform einrichten: Berechtigungen, Datenzugriff und Checkliste

Am Montag fragt ein Mitarbeiter Copilot nach den letzten Unterlagen zu einem Versicherungsfall. Die KI findet nicht nur die erwartete Kundenakte, sondern fasst auch eine alte Teams Unterhaltung und mehrere Dateien aus einem SharePoint Bereich zusammen. Der Mitarbeiter hatte schon vorher Leserechte. Nur wusste im Büro niemand mehr, dass diese Freigabe vor Jahren für ein Projekt eingerichtet worden war. Genau darin liegt das zentrale Risiko beim Einsatz von Microsoft 365 Copilot im Maklerbüro: Copilot vergibt keine neuen Berechtigungen, macht vorhandene Zugriffe aber deutlich leichter auffindbar und verwertbar.

Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.

Für Versicherungs und Immobilienmakler betrifft das besonders sensible Informationen. Kundenakten enthalten regelmäßig Kontaktdaten, Vermögensangaben, Vertragsdaten, Schadendetails, Kontoangaben und teilweise Gesundheitsdaten. Bevor Sie Copilot für das gesamte Unternehmen aktivieren, sollten Sie deshalb Berechtigungen, Datenablagen und interne Regeln prüfen.

Copilot ist kein zusätzlicher Benutzer, aber ein Verstärker für Datenzugriffe

Microsoft 365 Copilot verarbeitet Inhalte, auf die die jeweils angemeldete Person in Microsoft 365 zugreifen darf. Dazu können je nach Lizenzierung und Konfiguration Informationen aus SharePoint, OneDrive, Teams, Outlook und weiteren Microsoft 365 Diensten gehören.

Das bedeutet in der Praxis:

• Ein Mitarbeiter mit Leserechten auf einen SharePoint Ordner kann Copilot zu dort abgelegten Inhalten befragen.
• Überbreite Gruppenmitgliedschaften können dazu führen, dass mehr Personen Kundendaten finden als fachlich erforderlich.
• Alte Teams Kanäle, geteilte Postfächer und ehemalige Projektbereiche verdienen besondere Aufmerksamkeit.
• Dokumente mit unklaren Namen oder verstreuten Ablageorten können durch Zusammenfassungen leichter auffindbar werden.
• Eine versehentlich breit geteilte Datei bleibt auch mit Copilot eine Fehlberechtigung, wird aber schneller relevant.

Copilot ist damit vor allem ein Berechtigungscheck unter realen Arbeitsbedingungen. Wer bislang darauf vertraut hat, dass niemand eine Datei zufällig findet, sollte diese Annahme nicht als Schutzmaßnahme behandeln.

Rechtebereinigung vor dem Start: Diese Bereiche prüfen

Beginnen Sie nicht mit einer unternehmensweiten Freischaltung. Verschaffen Sie sich zuerst einen Überblick über die Datenquellen, die Copilot erreichen könnte. Entscheidend ist nicht nur, ob eine Datei personenbezogene Daten enthält, sondern auch, wer sie lesen, ändern, teilen oder herunterladen darf.

Bereich	Typisches Risiko	Prüffrage
SharePoint	Historische Freigaben für ganze Gruppen	Haben nur zuständige Teams Zugriff auf Kundenakten?
OneDrive	Einzelne Dateien wurden per Link geteilt	Gibt es Freigabelinks ohne Ablaufdatum oder mit zu weitem Empfängerkreis?
Teams	Alte Teams und Kanäle bestehen weiter	Sind ehemalige Mitarbeitende, externe Gäste oder fachfremde Kollegen noch Mitglied?
Outlook	Geteilte Postfächer enthalten Vertrags und Schadendaten	Wer darf das Postfach öffnen und durchsuchen?
Maklersoftware Exporte	Listen und Auswertungen liegen unstrukturiert ab	Sind Exporte erforderlich, aktuell und geschützt abgelegt?

Besonders kritisch sind „Jeder mit dem Link“ Freigaben, große Microsoft 365 Gruppen und Ordner, die für ein früheres Projekt geöffnet wurden. Entfernen Sie Zugriffe nicht pauschal. Dokumentieren Sie zunächst, welcher Geschäftsprozess eine Berechtigung rechtfertigt. Danach können Sie Rechte nach dem Need to know Prinzip reduzieren.

Die organisatorischen und technischen Grundmaßnahmen sollten dabei mit Ihrem Datenschutzkonzept zusammenpassen. Eine praxistaugliche Grundlage bietet die Checkliste zu TOM im Maklerbüro. Sie hilft, Berechtigungskonzepte, Zugriffsschutz und Kontrollprozesse nicht isoliert zu betrachten.

Sensible Kundendaten klar kennzeichnen und ablegen

Nicht jede Datei braucht dieselbe Schutzstufe. Für Copilot ist eine nachvollziehbare Struktur besonders wichtig, weil verstreut abgelegte Daten sich schlechter kontrollieren lassen.

Trennen Sie mindestens folgende Bereiche:

• Allgemeine Vorlagen, Vertriebsunterlagen und interne Wissensdokumente
• Laufende Kundenakten mit Vertrags, Finanzierungs oder Objektdaten
• Schadendaten und sensible Korrespondenz
• Personalakten und Bewerbungsunterlagen
• Geschäftsführungsunterlagen, Provisionsauswertungen und vertrauliche Verträge

Gesundheitsdaten können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sein. Sie gehören nicht in allgemein zugängliche Teamordner. Gleiches gilt für detaillierte Schadenschilderungen, Kontoangaben und Unterlagen, aus denen sich finanzielle Verhältnisse ableiten lassen.

Prüfen Sie außerdem, ob Ihre Löschkonzepte tatsächlich umgesetzt sind. Alte Exporte, überholte Angebotsversionen und doppelte Kundendokumente erhöhen nicht nur das Datenvolumen, sondern auch die Trefferfläche für Copilot. Der Beitrag zu Aufbewahrungsfristen für Makler unterstützt Sie dabei, Aufbewahrungspflichten und Löschroutinen sauber voneinander abzugrenzen.

Mit einer kleinen Pilotgruppe starten

Eine Pilotgruppe ist kein bloßer Techniktest. Sie ist ein kontrollierter Datenschutz und Berechtigungstest im Arbeitsalltag. Wählen Sie Personen aus, die digitale Prozesse verstehen, unterschiedliche Aufgaben abbilden und Auffälligkeiten zuverlässig melden.

Geeignet sind etwa Geschäftsführung, Datenschutzkoordination, IT Betreuung sowie einzelne Mitarbeitende aus Beratung und Innendienst. Starten Sie nicht mit Mitarbeitenden, die Zugriff auf besonders umfangreiche oder sensible Datenbestände haben, sofern die Rechteprüfung noch nicht abgeschlossen ist.

Checkliste für den Pilotbetrieb

• Legen Sie schriftlich fest, welche Anwendungen und Datenquellen im Pilot genutzt werden dürfen.
• Prüfen Sie die Rollen und Gruppenmitgliedschaften aller Pilotnutzer.
• Bereinigen Sie überbreite SharePoint und Teams Berechtigungen vor der Aktivierung.
• Definieren Sie konkrete Testfälle ohne unnötige Echtdaten.
• Halten Sie fest, welche unerwarteten Treffer Copilot liefert.
• Prüfen Sie, ob angezeigte Inhalte für die jeweilige Rolle fachlich erforderlich sind.
• Dokumentieren Sie Korrekturen an Rechten, Ablagen und Prozessen.
• Bewerten Sie nach dem Pilot, ob weitere Datenschutzrisiken bestehen.
• Entscheiden Sie erst danach über die Ausweitung auf weitere Nutzergruppen.

Nutzen Sie im Pilot keine Kundendaten als bloßes Anschauungsmaterial. Wenn reale Fälle fachlich erforderlich sind, beschränken Sie den Kreis der Beteiligten und dokumentieren Sie Zweck, Zugriff und Ergebnis.

Datenschutzrechtliche Unterlagen und Verträge aktualisieren

Die Einführung von Copilot ist eine Änderung Ihrer Verarbeitungspraxis. Prüfen Sie daher Ihr Verzeichnis der Verarbeitungstätigkeiten. Darin sollten Zweck, Kategorien betroffener Personen und Daten, Empfänger, Löschfristen sowie technische und organisatorische Maßnahmen nachvollziehbar beschrieben sein. Eine Anleitung finden Sie im Beitrag zum Verarbeitungsverzeichnis für Makler.

Prüfen Sie außerdem insbesondere:

• Welche Microsoft Dienste und Copilot Funktionen tatsächlich eingesetzt werden
• Ob ein Auftragsverarbeitungsvertrag besteht und zur konkreten Nutzung passt
• Welche Unterauftragsverarbeiter und Verarbeitungsorte relevant sind
• Ob eine Datenschutz Folgenabschätzung nach Art. 35 DSGVO erforderlich sein kann
• Ob Datenschutzinformationen für Beschäftigte angepasst werden müssen
• Welche internen Zuständigkeiten für Freigaben, Kontrollen und Vorfälle gelten

Ein Auftragsverarbeitungsvertrag ersetzt keine Berechtigungsprüfung. Er regelt das Verhältnis zum Dienstleister, nicht die Frage, ob Ihre Mitarbeitenden innerhalb des Maklerbüros auf bestimmte Akten zugreifen dürfen. Die Einordnung typischer Dienstleisterkonstellationen erläutert der Beitrag AV Vertrag für Makler: Wer braucht wirklich einen?.

Wer das Thema systematisch vertiefen möchte, findet passende Seminare bei cmt.de.

Interne Nutzungsregeln schriftlich festlegen

Copilot benötigt klare Spielregeln. Eine mündliche Ansage wie „Bitte verantwortungsvoll nutzen“ reicht nicht aus. Legen Sie eine kurze interne Nutzungsregel fest, die alle Mitarbeitenden erhalten und bestätigen können.

Sie sollte mindestens beantworten:

• Welche Copilot Funktionen im Unternehmen freigegeben sind
• Welche Daten nicht in Prompts eingegeben werden dürfen
• Dass Copilot Antworten fachlich geprüft werden müssen
• Dass KI Ausgaben keine Beratungsdokumentation ersetzen
• Wie Mitarbeitende falsche, unerwartete oder sensible Treffer melden
• Wer Berechtigungen für Teams, SharePoint und geteilte Postfächer freigibt
• Wie mit personenbezogenen Daten in Zusammenfassungen und Entwürfen umzugehen ist
• Dass keine vertraulichen Inhalte in nicht freigegebene KI Dienste übertragen werden dürfen

Für Beratung und Dokumentation gilt: Eine von Copilot erzeugte Zusammenfassung kann Arbeitszeit sparen, ersetzt aber weder die Prüfung noch die vollständige Dokumentation Ihrer Beratungspflichten. Prüfen Sie Inhalte auf Richtigkeit, Vollständigkeit und korrekte Zuordnung zum Kundenfall.

Protokollierung und regelmäßige Kontrolle einplanen

Die Einführung ist mit der Lizenzzuweisung nicht abgeschlossen. Planen Sie feste Kontrolltermine ein. Prüfen Sie Gruppenmitgliedschaften, externe Gäste, Freigabelinks und auffällige Zugriffsrechte regelmäßig. Bei Personalwechseln müssen Rechte zeitnah angepasst oder entzogen werden.

Sinnvoll ist ein klarer Meldeweg: Wer eine unerwartete Copilot Antwort sieht, meldet dies an eine benannte Stelle. Dort wird geprüft, ob ein Berechtigungsfehler, eine falsche Ablage oder ein Datenschutzvorfall vorliegt. Besteht der Verdacht auf eine Verletzung des Schutzes personenbezogener Daten, sollten Sie strukturiert handeln. Das 72 Stunden Playbook bei Datenpannen hilft bei der ersten Einordnung und Dokumentation.

Microsoft 365 Copilot kann die tägliche Arbeit im Maklerbüro sinnvoll unterstützen. DSGVO konform wird der Einsatz jedoch nicht durch eine einzelne Einstellung, sondern durch saubere Berechtigungen, eine begrenzte Einführung, dokumentierte Verantwortlichkeiten und regelmäßige Kontrollen.