Seit Januar 2026 steht Anthropic auf Microsofts Subunternehmerliste für Microsoft 365. Wenn Sie Copilot nutzen und Ihre Datenschutz-Folgenabschätzung Anthropic nicht erwähnt, fehlt Ihnen ein Baustein in der Compliance-Dokumentation.
Das ist keine theoretische Lücke. Bei einer Prüfung durch die Datenschutzbehörde wird die DSFA eines der ersten Dokumente sein, die angefordert werden. Und wenn dort ein Subunternehmer fehlt, der seit Monaten Daten verarbeitet, ist das schwer zu erklären.
Was sich geändert hat
Microsoft hat Anthropic als Unterauftragsverarbeiter in die offizielle Subunternehmerliste aufgenommen. Anthropic stellt KI-Verarbeitungskapazitäten für Microsoft 365-Dienste bereit. Das betrifft die Infrastruktur hinter Copilot und anderen KI-Funktionen innerhalb der M365-Plattform.
Wichtig: Das ist nicht dasselbe wie Claude als eigenständiges Produkt. Wenn Ihre Mitarbeiter Claude direkt über anthropic.com nutzen, ist das eine separate Verarbeitungstätigkeit mit eigener Rechtsgrundlage und eigenem Vertrag. Hier geht es um die Verarbeitung, die im Hintergrund stattfindet, wenn Sie Microsoft 365 Copilot verwenden.
Microsoft hat die Änderung über den üblichen Kanal kommuniziert. Die “Microsoft Online Services Subprocessor List” wurde aktualisiert. Wer den RSS-Feed oder die E-Mail-Benachrichtigungen abonniert hat, wurde informiert. Wer nicht abonniert hat, hat die Änderung möglicherweise verpasst.
Das Problem mit der EU Data Boundary
Hier wird es für regulierte Unternehmen in Deutschland relevant. Microsoft hat seit 2023 die EU Data Boundary eingeführt. Die Zusage: Daten von EU-Kunden werden innerhalb der EU verarbeitet und gespeichert.
Anthropic ist von dieser Zusage ausgenommen.
Das steht in Microsofts Dokumentation. Daten, die über Anthropic verarbeitet werden, unterliegen nicht automatisch den gleichen Datenresidenz-Regeln wie die restliche Microsoft 365-Verarbeitung. Für Unternehmen, die sich auf die EU Data Boundary verlassen, ändert das die Risikolage.
Wenn Sie in Ihrer DSFA geschrieben haben, dass Microsoft-365-Daten innerhalb der EU bleiben, stimmt das für den Großteil der Verarbeitung weiterhin. Aber für den Teil, der über Anthropic läuft, gilt eine andere Situation. Und diese Situation muss dokumentiert sein.
Für Kanzleien und Steuerberater, die Mandantendaten unter § 203 StGB verarbeiten, ist das besonders relevant. Die strafrechtliche Geheimhaltungspflicht erfordert eine lückenlose Dokumentation der Datenflüsse. Ein Subunternehmer, der möglicherweise Daten außerhalb der EU verarbeitet, gehört in diese Dokumentation.
Was in Ihrer DSFA aktualisiert werden muss
Wenn Ihre DSFA vor Januar 2026 erstellt wurde, fehlen dort wahrscheinlich mehrere Punkte. Das zieht sich durch das ganze Dokument.
Fangen wir beim Datenflussdiagramm an. Die meisten DSFAs für Copilot zeigen Microsoft als Auftragsverarbeiter und die Datenflüsse innerhalb der M365-Umgebung. Der zusätzliche Pfad über Anthropic als Unterauftragsverarbeiter fehlt. Zeichnen Sie ein, welche Daten potenziell an Anthropic weitergeleitet werden und über welchen Mechanismus.
Die Risikobewertung muss die Verarbeitung durch einen neuen Subunternehmer außerhalb der EU Data Boundary adressieren. Das ist ein eigenständiges Risiko. Wie hoch ist die Wahrscheinlichkeit, dass personenbezogene Daten über Anthropic verarbeitet werden? Welche Kategorien von Daten sind betroffen? Welche Auswirkungen hätte ein Vorfall? Das muss separat bewertet werden, nicht unter “sonstiges” verschwinden.
Dann das Subunternehmerverzeichnis. Anthropic braucht einen eigenen Eintrag mit Verarbeitungszweck, Verarbeitungsort, Rechtsgrundlage für die Übermittlung und den spezifischen Sicherheitsmaßnahmen. Microsoft stellt einen Teil dieser Informationen über das DPA und die Subunternehmerliste bereit. Sie als Verantwortlicher müssen das in Ihrer eigenen Dokumentation zusammenführen.
Zuletzt die technisch-organisatorischen Maßnahmen (TOMs). Wenn Anthropics Sicherheitsmaßnahmen von Microsofts abweichen oder bestimmte Schutzmaßnahmen für den Anthropic-Pfad nicht greifen, gehört das dokumentiert. Gelten Sensitivity Labels und DLP-Richtlinien auch für Daten, die über Anthropic verarbeitet werden? Diese Frage muss die DSFA beantworten.
Was Sie konkret tun können
Fangen Sie mit dem Subunternehmerverzeichnis an. Das ist der schnellste Teil. Laden Sie die aktuelle Microsoft-Subunternehmerliste herunter, identifizieren Sie den Anthropic-Eintrag und übertragen Sie die relevanten Informationen in Ihre Dokumentation.
Dann die Risikobewertung. Bewerten Sie: Welche Daten verarbeiten Ihre Mitarbeiter mit Copilot? Sind darunter Mandantendaten, Personaldaten oder andere Kategorien, bei denen ein Transfer außerhalb der EU Data Boundary problematisch wäre? Wie hoch schätzen Sie die Eintrittswahrscheinlichkeit ein? Welche Maßnahmen können das Risiko mindern?
Aktualisieren Sie das Datenflussdiagramm. Und prüfen Sie, ob Ihre TOMs für den neuen Verarbeitungspfad ausreichend sind.
Der gesamte Aktualisierungsprozess dauert für eine bestehende DSFA einen halben bis einen ganzen Arbeitstag. Kein Projekt. Aber Arbeit, die erledigt werden muss.
Warum das jetzt passieren sollte
Die Änderung ist seit Januar 2026 in Kraft. Wir haben April. Wenn Ihre DSFA noch nicht aktualisiert ist, sind das drei Monate mit unvollständiger Dokumentation. Bei einer Anfrage der Datenschutzbehörde ist das schwer zu rechtfertigen.
Art. 28 DSGVO verlangt, dass der Verantwortliche Änderungen bei Unterauftragsverarbeitern bewertet. Das ist keine einmalige Aufgabe bei der Ersteinrichtung. Das ist laufende Compliance-Arbeit. Microsofts DPA sieht typischerweise eine 30-Tage-Widerspruchsfrist vor. Die ist längst abgelaufen. Die Änderung gilt als akzeptiert. Aber die Dokumentationspflicht bleibt.
Wenn Sie Copilot vor der Anthropic-Änderung eingeführt haben, war Ihre DSFA zum Zeitpunkt der Erstellung möglicherweise vollständig. Jetzt ist sie es nicht mehr. Und wenn Sie Copilot nach Januar 2026 eingeführt haben, ohne Anthropic zu berücksichtigen, war die DSFA von Anfang an unvollständig.
Subunternehmer-Monitoring ist kein Einmalprojekt
Dieser Fall zeigt, warum ein laufendes Monitoring der Subunternehmerliste notwendig ist. Microsoft kann jederzeit weitere Subunternehmer hinzufügen. Die 5 DSGVO-Fragen vor dem Copilot-Rollout decken das unter Frage 5 ab. Aber auch nach dem Rollout muss jemand in Ihrem Unternehmen diese Änderungen verfolgen und bewerten.
Das betrifft auch das Oversharing-Risiko bei Copilot. Die Berechtigungsstruktur kontrolliert, welche Daten Copilot verarbeiten kann. Aber die Subunternehmerfrage betrifft, wohin diese Daten gehen, nachdem Copilot sie verarbeitet hat. Beides gehört in eine vollständige Risikobewertung.
Nächster Schritt
Im Managed Compliance Service sind vierteljährliche DSFA-Reviews enthalten. Genau für solche Änderungen: Subunternehmer kommen hinzu, Verarbeitungspfade ändern sich, Risikobewertungen müssen aktualisiert werden. Das passiert nicht einmal und ist dann erledigt. Das passiert laufend.
30-Minuten-Erstgespräch buchen. Ich schaue mir Ihre aktuelle DSFA an und sage Ihnen, was fehlt. Kein Verkaufsgespräch. Nur eine ehrliche Einschätzung.
Jose Lugo ist CISSP-zertifizierter KI-Compliance-Berater mit M365 Endpoint Administrator-Zertifizierung. Er erstellt und aktualisiert Datenschutz-Folgenabschätzungen für Unternehmen in Deutschland, die Microsoft 365 Copilot nutzen.