Copilot Cowork, Claude Cowork, ChatGPT Work: was das revDSG erlaubt

Stand: 14. Juli 2026. Dieser Beitrag ordnet drei neue Büro-Agenten datenschutzrechtlich ein und ersetzt keine Rechtsberatung. Bei Auslegungsfragen empfehle ich eine auf Datenschutz spezialisierte Kanzlei oder eine Anfrage beim EDÖB. Quellen am Ende des Artikels.

Drei Agenten in wenigen Wochen

Zwischen Mitte Juni und Anfang Juli 2026 haben Microsoft, Anthropic und OpenAI ihre Büro-Agenten lanciert oder breit ausgerollt. Alle wollen dasselbe: Zugriff auf Ihre Firmendaten, um Aufgaben selbstständig zu erledigen.

• 16. Juni 2026: Microsoft schaltet Copilot Cowork für alle Microsoft-365-Copilot-Lizenznehmer frei, abgerechnet zusätzlich in Copilot Credits. Cowork erledigt Aufgaben end-to-end und greift unter anderem auf SharePoint und OneDrive, Teams-Nachrichten und Kalenderfunktionen zu. Als Kontext-Engine dient Microsofts Work IQ. Eine Einordnung steht im Copilot-Cowork-Check für Schweizer KMU.
• 7. Juli 2026: Anthropic bringt Claude Cowork auf Web und Mobile, vorerst als Beta nur für Max-Abonnenten. Als Desktop-App gibt es Cowork seit dem 12. Januar 2026, Team- und Enterprise-Pläne seit dem 23. Januar. Auf lokale Dateien und den Browser greift weiterhin nur die Desktop-App zu.
• 9. Juli 2026: OpenAI stellt ChatGPT Work vor, einen Agenten mit eingebautem Codex und den GPT-5.6-Modellen Sol, Terra und Luna. Er greift auf lokale Dateien und Apps zu, bringt einen eigenen Browser mit und lässt sich per Plugin an Chat-, Ablage-, Mail-, Kalender- und CRM-Systeme anbinden. Verfügbar ist er ab Start für Pro, Enterprise und Edu. Plus und Business waren angekündigt, aber nicht belegt.

Um Programmier-Nischen geht es nicht mehr: Über 90 Prozent von 1,2 Millionen ausgewerteten Cowork-Sessions (Anthropic, Mai 2026) hatten keinen Bezug zu Softwareentwicklung. Grundbegriffe im Agenten-Überblick - hier geht es um die Freigabe-Fragen.

Die Kurzantwort: Das revidierte Datenschutzgesetz (DSG) verbietet Büro-Agenten nicht, verlangt aber dieselbe Sorgfalt wie bei jeder ausgelagerten Datenbearbeitung. Die Grundlagen stehen im revDSG-Leitfaden für Schweizer KMU; dieser Beitrag wendet sie auf die Agenten an.

Dürfen Kundendaten überhaupt in einen US-Cloud-Agenten?

Ja - unter Bedingungen. Art. 16 DSG erlaubt die Bekanntgabe von Personendaten ins Ausland, wenn der Bundesrat dem Zielland angemessenen Schutz attestiert hat. Für die USA gilt das seit dem 15. September 2024, vorausgesetzt der Anbieter ist unter dem Swiss-US Data Privacy Framework (DPF) zertifiziert. Die Datenschutzverordnung führt die USA weiterhin so. Ohne Zertifizierung braucht es geeignete Garantien, etwa vom EDÖB genehmigte Standarddatenschutzklauseln.

Das DPF trägt allerdings ein politisches Restrisiko, seit das US-Aufsichtsgremium PCLOB im Januar 2025 drei seiner fünf Mitglieder verlor. Die Rechtslage ist stabil, der Fortbestand nicht garantiert. Den DPF-Status Ihrer Anbieter prüfen Sie deshalb periodisch neu.

Bleibt die Frage, wo die Daten liegen. Stand Juli 2026, als Momentaufnahme:

Anbieter	Speicherung (at rest)	Einschränkung
Microsoft (M365 Copilot / Cowork)	Copilot-Interaktionen in der lokalen Region, Schweiz aufgeführt; EU Data Boundary umfasst EU und EFTA inkl. Schweiz	Belegt ist die generische M365-Copilot-Regelung, keine Cowork-spezifische Zusage
Anthropic (Claude Cowork)	USA	Keine EU/CH-Residenz für die Cowork-App; Enterprise kann US-only-Inferenz aktivieren; EU nur via API (Bedrock, Vertex)
OpenAI (ChatGPT Work)	Europa-Residenz seit Februar 2025 für neue Enterprise/Edu-Workspaces und die API	Inferenz weiterhin auf US-Infrastruktur; für ChatGPT Business nicht belegt

Die Modellwahl ändert den Datenfluss, und das rutscht gern durch. Copilot Cowork bietet auch Claude-Modelle an. Das Preview-Modell Claude Fable 5 setzt dabei Data Retention voraus: Prompts und Antworten landen beim Modellanbieter, freigeschaltet nur per Admin-Opt-in. Zur Anbieter-Abhängigkeit vertieft der Beitrag zum Fable-5-Export-Stopp.

Was gehört in den Auftragsbearbeitungs-Vertrag?

Wenn Microsoft, Anthropic oder OpenAI Ihre Daten im Auftrag bearbeiten, sind sie Auftragsbearbeiter nach Art. 9 DSG. Das Gesetz ist knapper als die DSGVO. Der Anbieter darf die Daten nur so bearbeiten, wie Sie es selbst dürften, und keine Geheimhaltungspflicht darf verletzt werden. Über seine Datensicherheit müssen Sie sich vergewissern, und Unterauftragnehmer brauchen Ihre vorgängige Genehmigung. Einen Pflichtkatalog für den Vertragsinhalt wie Art. 28 DSGVO kennt Art. 9 DSG nicht.

Die folgende Liste ist deshalb eine Praxisempfehlung und kein Gesetzeskatalog. Im Data Processing Agreement (DPA) gehört mindestens das geprüft:

• Trainings-Ausschluss: Ihre Inhalte dürfen nicht zum Modelltraining verwendet werden - ausdrücklich, nicht implizit.
• Unterauftragnehmer: Wer steckt hinter der Plattform? Bei Agenten mit Modell-Auswahl können das mehrere Modellanbieter sein.
• Meldeweg: Art. 24 Abs. 3 DSG verpflichtet den Auftragsbearbeiter, Ihnen Sicherheitsverletzungen so rasch als möglich zu melden - der Kanal gehört in den Vertrag.
• Region: Speicherort und Residenz-Zusagen schriftlich, nicht aus dem Marketing-PDF.

Wann braucht es eine Datenschutz-Folgenabschätzung?

Art. 22 DSG verlangt vorgängig eine Datenschutz-Folgenabschätzung (DSFA), wenn eine Bearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte der Betroffenen mit sich bringen kann - laut Gesetz insbesondere bei neuen Technologien, namentlich bei umfangreicher Bearbeitung besonders schützenswerter Personendaten. Die DSFA besteht aus drei Teilen: Beschreibung der Bearbeitung, Risikobewertung, Schutzmassnahmen. Bleibt trotz Massnahmen ein hohes Risiko, ist vorgängig der EDÖB zu konsultieren. Art. 23 DSG räumt ihm dafür zwei Monate Antwortfrist ein. Auch der EDÖB verlangt eine DSFA bei risikoreichen KI-Anwendungen.

Für Büro-Agenten heisst das nach hier vertretener Lesart: Ein Agent, der Personaldossiers, Bewerbungen, Gesundheits- oder Mandatsdaten erreichen kann, ist ein DSFA-Kandidat - neue Technologie plus potenziell besonders schützenswerte Daten. Ein Agent, der nur Projektdokumente ohne Personendaten bearbeitet, eher nicht. Entscheidend ist, dass Sie den Entscheid treffen und schriftlich begründen, auch wenn er Nein lautet.

Wer haftet, wenn der Agent Fehler macht?

Verantwortlicher ist nach Art. 5 lit. j DSG, wer über Zweck und Mittel der Bearbeitung entscheidet. Im Firmeneinsatz ist das Ihr Unternehmen; Microsoft, Anthropic und OpenAI agieren als Auftragsbearbeiter. Wer einen Agenten einsetzt, bleibt für dessen Ergebnisse verantwortlich. Diese Rollenverteilung ist rechtliche Einordnung und kein Behördenzitat.

Zwei weitere DSG-Artikel rahmen die Fehlerfrage:

• Art. 21 DSG gibt Betroffenen bei ausschliesslich automatisierten Einzelentscheidungen Informations- und Überprüfungsrechte - ein Verbot ist es nicht. Solange ein Mensch die Agenten-Ergebnisse materiell prüft, liegt regelmässig keine ausschliesslich automatisierte Entscheidung vor; auch das ist Auslegung.
• Art. 24 DSG verlangt bei Datensicherheitsverletzungen mit voraussichtlich hohem Risiko eine Meldung an den EDÖB “so rasch als möglich” - anders als die DSGVO ohne starre 72-Stunden-Frist.

Drei dokumentierte Fälle zeigen, dass das keine Theorie ist:

• EchoLeak (Juni 2025): Eine präparierte E-Mail genügte, damit Microsoft 365 Copilot ohne Nutzerinteraktion Daten aus seinem Zugriffsbereich preisgab. Die Zero-Click-Prompt-Injection läuft als CVE-2025-32711 mit CVSS-Score 9.3. Microsoft hat die Lücke serverseitig geschlossen.
• ShadowLeak (September 2025): Versteckte Befehle in einer E-Mail brachten ChatGPTs Deep-Research-Agenten dazu, Gmail-Daten direkt aus der Cloud zu exfiltrieren - für die Firmen-Security unsichtbar. Von OpenAI Anfang August 2025 gefixt und am 3. September 2025 als behoben bestätigt.
• Claude Cowork (Januar 2026): PromptArmor zeigte zwei Tage nach dem Desktop-Launch, dass unsichtbarer weisser Text in einer Word-Datei Cowork zum Hochladen von Finanzdokumenten ins Konto des Angreifers brachte.

EchoLeak und ShadowLeak sind behoben; die Cowork-Lücke hat Anthropic bestätigt, das zugrunde liegende Problem ist nach Angaben von PromptArmor aber nicht grundlegend gelöst. Alle drei Fälle zeigen dieselbe Angriffsklasse: indirekte Prompt Injection - versteckte Befehle in Mails oder Dokumenten, die der Agent beim Lesen ausführt. Sie ist strukturell mit dem verbunden, was Agenten nützlich macht: breiter Datenzugriff plus selbstständiges Handeln. Anthropic selbst verlangt deshalb vor dem endgültigen Löschen von Dateien eine explizite Freigabe.

Der EDÖB schaut hin

Am 30. Juni 2026 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte seinen 33. Tätigkeitsbericht publiziert - 118 Seiten, mit eigenem KI-Kapitel. Die Kernbotschaft: Das DSG ist technologieneutral und direkt auf KI-gestützte Datenbearbeitungen anwendbar - Ihre Agenten-Nutzung ist heute schon reguliert.

Der EDÖB prüfte im Berichtsjahr die KI-Trainingspläne des Kurznachrichtendienstes X und führt eine Untersuchung gegen eine Schweizer Firma für KI-basierte Altersverifikation. Zu Metas geplanter Smart-Glasses-Gesichtserkennung lief eine Vorabklärung, ohne dass eine formelle Untersuchung eröffnet wurde. Die Aufsichtszahlen des Berichtsjahrs: 2’447 Anzeigen, davon 2’347 gegen Private, dazu 156 niederschwellige Interventionen, 22 Vorabklärungen und neun Untersuchungen, sechs davon im Berichtsjahr eröffnet.

Davon zu unterscheiden sind die Meldungen von Datensicherheitsverletzungen nach Art. 24 DSG - ein eigener Strom mit eigener Tabelle. Davon gingen 484 ein, gegenüber 363 im Vorjahr. Bemerkenswerter als die Zunahme ist deren Zusammensetzung: die freiwilligen Meldungen stiegen von 26 auf 141. Gemeldet wird also zunehmend auch dort, wo keine Pflicht dazu besteht.

Die inhaltliche Linie steht seit längerem auf der EDÖB-Themenseite zu KI. Zweck, Funktionsweise und Datenquellen sind transparent auszuweisen. Nutzer müssen wissen, ob sie mit einer Maschine korrespondieren, und Betroffene können automatisierter Bearbeitung widersprechen oder eine menschliche Überprüfung verlangen.

Die Freigabe-Checkliste

Acht Punkte, die vor dem Produktivstart eines Büro-Agenten beantwortet sein sollten. In Schulungen erlebe ich regelmässig, dass Punkt 1 der unangenehmste ist - weil oft niemand im Raum genau weiss, was ein Konto alles lesen kann.

1. Inventar: Was erreicht der Agent wirklich? Der Agent sieht alles, was das verwendete Konto sieht - auch die vergessene SharePoint-Ablage mit Lohndaten von 2019. Berechtigungen sind der Agentenradius. Erst aufräumen, dann freigeben.
2. Vertrag: DPA geprüft? Trainings-Ausschluss, Unterauftragnehmer, Meldeweg, Region - schriftlich.
3. Auslandsbekanntgabe dokumentiert? Welche Region, welcher DPF-Status? Ein Absatz im Bearbeitungsverzeichnis genügt, aber er muss existieren.
4. DSFA-Entscheid gefällt und begründet? Ja oder begründetes Nein - beides schriftlich abgelegt.
5. Mensch in der Schleife für Aussenwirkung? Offerten, Absagen, Mahnungen: Was das Unternehmen verlässt oder Personen betrifft, prüft ein Mensch materiell - nicht per Abnicken.
6. Incident-Prozess definiert? Wer meldet wem was, wie schnell? Der Weg vom Anbieter-Alert bis zur allfälligen EDÖB-Meldung nach Art. 24 gehört vor dem ersten Vorfall festgelegt.
7. Nutzungsregeln und Schulung? Wer darf den Agenten wofür einsetzen, und kennen die Nutzer die Grundzüge von Prompt Injection? Genau diese Freigabe-Logik gehe ich in meinen KI-Schulungen für Schweizer KMU mit Teams durch; schriftlich festgehalten wird sie als einseitige KI-Weisung - erlaubte Werkzeuge, erlaubte Datenklassen, verantwortliche Person.
8. Modell- und Feature-Gates bewusst geschaltet? Preview-Modelle mit Data Retention, Browser-Nutzung, neue Plugins: Alles, was den Datenfluss ändert, wird aktiv entschieden - nicht per Default übernommen.

Grenzen und offene Fragen

Ebenso auf den Tisch gehört, was offen bleibt:

• DPF-Restrisiko: Die PCLOB-Schwächung ist dokumentiert, eine offizielle Schweizer Stellungnahme dazu liegt nicht vor (Stand 14. Juli 2026). Mehr als “Rechtslage stabil, Fortbestand nicht garantiert” lässt sich seriös nicht sagen.
• OpenAI-Residenz für ChatGPT Business: nicht belegt - direkt beim Anbieter klären.
• Verfügbarkeiten im Fluss: ChatGPT Work für Plus/Business und Claude Cowork Web/Mobile ausserhalb des Max-Plans waren am 14. Juli 2026 angekündigt, aber nicht belegt verfügbar.
• Microsoft-Lücken: Eine Cowork-spezifische Residenz-Zusage und ein dokumentierter Outlook-Postfach-Zugriff von Copilot Cowork fehlen in den geprüften Quellen - beides gehört in Ihre Anbieter-Abklärung.
• Haftungspraxis: Behörden- oder Gerichtsentscheide zur Haftung bei autonomen Agentenfehlern gibt es in der Schweiz noch nicht. Die Einordnungen oben sind Auslegung des geltenden Rechts.

Häufige Fragen

Brauchen wir für jeden der drei Agenten eine eigene Freigabe?

Ja. Die Checkliste ist dieselbe, die Antworten sind je Agent verschieden: Zugriffsradius, Speicherort, Vertragswerk und Modell-Optionen unterscheiden sich zwischen Copilot Cowork, Claude Cowork und ChatGPT Work erheblich. Eine Pauschalfreigabe “KI-Agenten erlaubt” deckt diese Unterschiede nicht ab.

Reicht unsere bestehende M365-Copilot-Freigabe auch für Copilot Cowork?

Nicht automatisch. Cowork arbeitet end-to-end statt assistierend und bietet Drittanbieter-Modelle an, darunter ein Preview-Modell, das Data Retention beim Modellanbieter voraussetzt. Mindestens Inventar, Modell-Gates und Vertrag gehören neu bewertet.

Was ist mit Mitarbeitenden, die Claude Cowork privat abonniert haben?

Die Desktop-App greift auf lokale Dateien und den Browser zu. Ein privates Abo auf dem Geschäftsgerät schafft eine Datenbearbeitung ausserhalb jedes Vertrags, den Ihr Unternehmen kontrolliert. Das gehört ins Nutzungsreglement: geschäftliche Daten nur über zentral verwaltete Firmenkonten.

Müssen wir Kunden informieren, wenn ein Agent ihre Daten bearbeitet?

Ja. Der EDÖB verlangt, Zweck, Funktionsweise und Datenquellen KI-gestützter Bearbeitungen transparent auszuweisen. Wer mit einer Maschine korrespondiert, muss das erkennen können. In der Umsetzung heisst das: Datenschutzerklärung aktualisieren und KI-Kontaktpunkte kennzeichnen.

Praxis-Fazit

Für Büro-Agenten verlangt das DSG vor dem Produktivstart Arbeit: die acht Punkte der Freigabe-Checkliste, dokumentiert beantwortet. Der EDÖB behandelt KI als normales Aufsichtsthema. Die drei Sicherheitsvorfälle zeigen, wo das eigentliche Risiko sitzt - im Agentenradius, also in den Berechtigungen des Kontos, mit dem der Agent läuft. Wer diese acht Punkte abarbeitet und den Radius erst danach schrittweise erweitert, kann Copilot Cowork, Claude Cowork und ChatGPT Work datenschutzkonform einsetzen.

---

Quellen (geprüft 14. Juli 2026):

• Copilot Cowork is now generally available (Microsoft 365 Blog, 16. Juni 2026)
• What’s new in Copilot Cowork (Microsoft Learn, Stand 8. Juli 2026)
• Data Residency for Microsoft 365 Copilot and Copilot Chat (Microsoft Learn, Stand 1. September 2025)
• Claude Cowork expands to mobile and web (TechCrunch, 7. Juli 2026)
• OpenAI Debuts ChatGPT Work Agent and New GPT-5.6 Models (MacRumors, 9. Juli 2026)
• 33. Tätigkeitsbericht 2025/2026 des EDÖB, PDF (EDÖB, 30. Juni 2026) - Aufsichtszahlen in Tabelle 9, S. 99; Meldungen von Datensicherheitsverletzungen in Tabelle 11, S. 101
• EDÖB-Tätigkeitsbericht 2025/2026: KI, systemische Risiken und Transparenz (Steiger Legal, 30. Juni 2026)
• Künstliche Intelligenz und Datenschutz (EDÖB, Stand 24. September 2025)
• Bundesgesetz über den Datenschutz (DSG, SR 235.1) (Fedlex, Stand 7. Juli 2025)
• Verordnung über den Datenschutz (DSV, SR 235.11), Anhang 1 (Fedlex, Stand 1. Dezember 2025)
• Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data (The Hacker News, 12. Juni 2025)
• ShadowLeak: Zero-Click-Angriff auf ChatGPTs Deep-Research-Agent (Radware, 18. September 2025)
• Claude Cowork Exfiltrates Files (PromptArmor, 14. Januar 2026)
• Use Claude Cowork safely (Claude Help Center, Stand Juli 2026)
• Where are your servers located? (Anthropic Privacy Center, Stand Juli 2026)
• Introducing data residency in Europe (OpenAI, Februar 2025)