Microsoft Dragon Copilot: Datenschutz und Serverstandort
Was Dragon Copilot zu DSGVO, Auftragsverarbeitung, Speicher- und Verarbeitungsort, Training mit Kundendaten und Zertifikaten angibt, mit Quellen.
Kurzfassung
Mit Einschränkungen: Speicherort teils ohne Angabe, Verarbeitungsort teils ohne Angabe, Training mit Kundendaten erlaubt.
Daten deutscher Kunden liegen primär in Deutschland, die Hauptverarbeitung bleibt in der EU. Microsoft darf eigene Modelle mit anonymisierten Kundendaten trainieren und Daten in begrenztem Umfang in Drittländer übermitteln. Pseudonymisierte Daten können laut Lizenz-FAQ auch außerhalb der EU liegen.
Datenschutz im Überblick
| Kriterium | Status | Herstellerangabe |
|---|---|---|
| DSGVO-Angabe | Konformität erklärt | Das Datenschutz-Whitepaper und die Lizenzbedingungen für Dragon beschreiben den Datenschutznachtrag von Microsoft (DPA) und den Betrieb in Europa. Quelle: learn.microsoft.com |
| Auftragsverarbeitungsvertrag (AVV) | Verfügbar | Es gilt der Datenschutznachtrag von Microsoft (DPA) zusammen mit den besonderen Datenschutzbedingungen für Dragon. Quelle: microsoft.com |
| Speicherort | EU, teils ohne Angabe (Für einzelne Verarbeitungsschritte nennt der Anbieter keinen Ort) | Gespeichert wird laut Dokumentation in der EU und teils an nicht genannten Orten. Quellen 1: learn.microsoft.com 2: microsoft.com 3: microsoft.com |
| Verarbeitungsort | EU, teils ohne Angabe (Für einzelne Verarbeitungsschritte nennt der Anbieter keinen Ort) | Verarbeitet wird laut Dokumentation in der EU und teils an nicht genannten Orten. Einzelheiten stehen unter „Regionen im Detail“. Quellen 1: learn.microsoft.com 2: microsoft.com 3: microsoft.com |
| Training mit Kundendaten | Mit Kundendaten möglich | Microsoft überträgt ausgewählte Kundendaten in eine Forschungsumgebung und anonymisiert sie dort binnen 90 Tagen. Mit diesen anonymisierten Daten trainiert und verbessert Microsoft die Modelle von Dragon Copilot. Prüfungen durch Mitarbeitende und Unterauftragsverarbeiter sind vorgesehen. Einen generellen Ausschluss des Trainings sehen die Bedingungen nicht vor. Quelle: learn.microsoft.com |
| Ort der Spracherkennung | In der Cloud | Spracherkennung, Gesprächsverarbeitung und Notizerstellung laufen in der Microsoft-Cloud. Die Desktop-App nimmt auf, erkennt aber nicht lokal. Quelle: learn.microsoft.com |
| Einsatz mit Gesundheitsdaten | Vorgesehen | Daten deutscher Kunden liegen primär in Deutschland. Für Dragon ergänzen eigene Datenschutzbedingungen den Datenschutznachtrag. Quelle: learn.microsoft.com |
Regionen im Detail
| Art | Region | Geltungsbereich |
|---|---|---|
| Speicherung | Deutschland für deutsche Kunden | Laut Whitepaper liegen die Daten von Kunden aus Deutschland, Österreich, den Niederlanden und der Schweiz in Deutschland. Quellen 1: learn.microsoft.com 2: microsoft.com |
| Speicherung | Nicht veröffentlicht | Laut Lizenz-FAQ können pseudonymisierte Daten auch außerhalb der EU liegen. Das Whitepaper beschreibt zudem eine Forschungsumgebung für die Anonymisierung. Den Standort dieser Umgebung und die Länder außerhalb der EU nennt Microsoft nicht. Quellen 1: microsoft.com 2: learn.microsoft.com |
| Verarbeitung | EU Data Boundary | Dragon Copilot ist laut Whitepaper ein Dienst der EU Data Boundary und speichert und verarbeitet die Daten von Kunden aus EU und EFTA innerhalb dieser Grenze. Quellen 1: learn.microsoft.com 2: microsoft.com |
| Verarbeitung | Nicht veröffentlicht | Die Bedingungen der EU Data Boundary erlauben begrenzte Übermittlungen, etwa für Fernzugriff, Netzwerktransit und Dienstqualität, sowie die Übermittlung pseudonymisierter Daten. Zielländer nennt Microsoft nicht. Quellen 1: microsoft.com 2: microsoft.com |
Zertifikate und Nachweise
SOC 2 Typ 2 · Gilt für den Dragon-Dienst laut den Datenschutz- und Sicherheitsbedingungen von Microsoft. Quelle: microsoft.com
Vor dem Einsatz mit Patientendaten
- AVV mit Dragon Copilot abschließen und die Anlage zu Unterauftragsverarbeitern mit Regionen prüfen.
- Für Teilschritte ohne Ortsangabe den Speicherort beim Anbieter erfragen.
- Orte der KI-Verarbeitung erfragen, insbesondere für Sprachmodelle von Drittanbietern.
- Klären, ob sich das Training mit Kundendaten vertraglich ausschließen lässt.
- Löschfristen für Aufnahmen und erzeugte Texte festlegen und die automatische Löschung testen.
- Vor der Aufnahme das Einverständnis aller Sprechenden einholen und dokumentieren (§ 201 StGB). Patientinnen und Patienten nach Art. 13 DSGVO informieren.
- In Praxen und Kliniken den Nachweis nach § 393 SGB V (C5-Testat des Cloud-Dienstes) anfordern und den Ort der Verarbeitung prüfen.
- In Praxen und Kliniken Dragon Copilot schriftlich zur Verschwiegenheit nach § 203 StGB verpflichten, einschließlich eingesetzter Unterauftragsverarbeiter.
Mehr zu DSGVO, § 203 StGB, § 393 SGB V und EU AI Act lesen Sie im Beitrag Rechtsrahmen für KI-Dokumentation und in der Datenschutz-Checkliste.
Häufige Fragen
Ist Dragon Copilot DSGVO-konform?
Dragon Copilot erklärt die Einhaltung der DSGVO und stellt einen Auftragsverarbeitungsvertrag (AVV) bereit. Gespeichert wird in der EU (Deutschland für deutsche Kunden). Verarbeitet wird in der EU (EU Data Boundary). Für einzelne Teilschritte von Speicherung und Verarbeitung nennt der Anbieter keinen Ort. Microsoft überträgt ausgewählte Kundendaten in eine Forschungsumgebung und anonymisiert sie dort binnen 90 Tagen. ScribeIndex stuft den Datenschutz von Dragon Copilot als „Mit Einschränkungen“ ein (Speicherort teils ohne Angabe, Verarbeitungsort teils ohne Angabe, Training mit Kundendaten erlaubt).
Wo speichert Dragon Copilot Daten?
Dragon Copilot speichert Daten in der EU und teils an nicht genannten Orten.
- Deutschland für deutsche Kunden:
Laut Whitepaper liegen die Daten von Kunden aus Deutschland, Österreich, den Niederlanden und der Schweiz in Deutschland. - Nicht veröffentlicht:
Laut Lizenz-FAQ können pseudonymisierte Daten auch außerhalb der EU liegen. Das Whitepaper beschreibt zudem eine Forschungsumgebung für die Anonymisierung. Den Standort dieser Umgebung und die Länder außerhalb der EU nennt Microsoft nicht.
Nutzt Dragon Copilot Gesprächsdaten für KI-Training?
Microsoft überträgt ausgewählte Kundendaten in eine Forschungsumgebung und anonymisiert sie dort binnen 90 Tagen. Mit diesen anonymisierten Daten trainiert und verbessert Microsoft die Modelle von Dragon Copilot. Prüfungen durch Mitarbeitende und Unterauftragsverarbeiter sind vorgesehen. Einen generellen Ausschluss des Trainings sehen die Bedingungen nicht vor.
Quellen
Datenschutzerklärungen, AVV/DPA, Trust-Center und Compliance-Seiten von Dragon Copilot.
- Microsoft: Datenschutz-Whitepaper learn.microsoft.com · abgerufen am 8. Oktober 2026
- Microsoft: Lizenzbedingungen Datenschutz microsoft.com · abgerufen am 8. Oktober 2026
- Microsoft: Dragon-Lizenz-FAQ microsoft.com · abgerufen am 8. Oktober 2026