Copilot Cowork, Claude Cowork, ChatGPT Work: Was das revDSG erlaubt, bevor Sie Agenten auf Ihre Daten loslassen

Stand: 14. Juli 2026. Dieser Beitrag ordnet drei neue Büro-Agenten datenschutzrechtlich ein und ersetzt keine Rechtsberatung. Bei Auslegungsfragen empfehle ich eine auf Datenschutz spezialisierte Kanzlei oder eine Anfrage beim EDÖB. Quellen am Ende des Artikels.

Drei Agenten in wenigen Wochen

Zwischen Mitte Juni und Anfang Juli 2026 haben Microsoft, Anthropic und OpenAI ihre Büro-Agenten lanciert oder breit ausgerollt. Alle wollen dasselbe: Zugriff auf Ihre Firmendaten, um Aufgaben selbstständig zu erledigen.

• 16. Juni 2026: Microsoft schaltet Copilot Cowork für alle Microsoft-365-Copilot-Lizenznehmer frei (zusätzlich abgerechnet in Copilot Credits). Cowork erledigt Aufgaben end-to-end und greift unter anderem auf SharePoint und OneDrive, Teams-Nachrichten und Kalenderfunktionen zu; als Kontext-Engine dient Microsofts Work IQ - Einordnung im Copilot-Cowork-Check für Schweizer KMU.
• 7. Juli 2026: Anthropic bringt Claude Cowork (Desktop-App seit 12. Januar 2026, Team- und Enterprise-Pläne seit 23. Januar) auf Web und Mobile - Stand 14. Juli eine Beta nur für Max-Abonnenten. Auf lokale Dateien und den Browser greift weiterhin nur die Desktop-App zu.
• 9. Juli 2026: OpenAI stellt ChatGPT Work vor: einen Agenten mit eingebautem Codex und den GPT-5.6-Modellen (Sol, Terra, Luna), mit Zugriff auf lokale Dateien und Apps, eigenem Browser und Plugins zu Chat-, Ablage-, Mail-, Kalender- und CRM-Systemen. Ab Start für Pro, Enterprise und Edu; Plus und Business waren angekündigt, am 14. Juli aber nicht belegt.

Um Programmier-Nischen geht es nicht mehr: Über 90 Prozent von 1,2 Millionen ausgewerteten Cowork-Sessions (Anthropic, Mai 2026) hatten keinen Bezug zu Softwareentwicklung. Grundbegriffe im Agenten-Überblick - hier geht es um die Freigabe-Fragen.

Die Kurzantwort: Das revidierte Datenschutzgesetz (DSG) verbietet Büro-Agenten nicht, verlangt aber dieselbe Sorgfalt wie bei jeder ausgelagerten Datenbearbeitung. Die Grundlagen stehen im revDSG-Leitfaden für Schweizer KMU; dieser Beitrag wendet sie auf die Agenten an.

Dürfen Kundendaten überhaupt in einen US-Cloud-Agenten?

Ja - unter Bedingungen. Art. 16 DSG erlaubt die Bekanntgabe von Personendaten ins Ausland, wenn der Bundesrat dem Zielland angemessenen Schutz attestiert hat. Für die USA gilt das seit dem 15. September 2024 für Unternehmen mit Zertifizierung unter dem Swiss-US Data Privacy Framework (DPF); die Datenschutzverordnung (Stand 1. Dezember 2025) listet die USA weiterhin entsprechend. Ohne Zertifizierung braucht es geeignete Garantien, etwa vom EDÖB genehmigte Standarddatenschutzklauseln.

Ehrliche Fussnote: Das DPF trägt ein politisches Restrisiko, seit das US-Aufsichtsgremium PCLOB im Januar 2025 drei seiner fünf Mitglieder verlor. Die Rechtslage ist stabil, der Fortbestand nicht garantiert - der DPF-Status Ihrer Anbieter gehört periodisch neu geprüft.

Zweite Frage: Wo liegen die Daten? Stand Juli 2026, als Momentaufnahme:

Anbieter	Speicherung (at rest)	Einschränkung
Microsoft (M365 Copilot / Cowork)	Copilot-Interaktionen in der lokalen Region, Schweiz aufgeführt; EU Data Boundary umfasst EU und EFTA inkl. Schweiz	Belegt ist die generische M365-Copilot-Regelung, keine Cowork-spezifische Zusage
Anthropic (Claude Cowork)	USA	Keine EU/CH-Residenz für die Cowork-App; Enterprise kann US-only-Inferenz aktivieren; EU nur via API (Bedrock, Vertex)
OpenAI (ChatGPT Work)	Europa-Residenz seit Februar 2025 für neue Enterprise/Edu-Workspaces und die API	Inferenz weiterhin auf US-Infrastruktur; für ChatGPT Business nicht belegt

Ein Detail, das gern durchrutscht: Die Modellwahl ändert den Datenfluss. Copilot Cowork bietet auch Claude-Modelle an; das Preview-Modell Claude Fable 5 setzt Data Retention voraus - Prompts und Antworten landen beim Modellanbieter, freigeschaltet nur per Admin-Opt-in. Zur Anbieter-Abhängigkeit vertieft: der Beitrag zum Fable-5-Export-Stopp.

Was gehört in den Auftragsbearbeitungs-Vertrag?

Wenn Microsoft, Anthropic oder OpenAI Ihre Daten im Auftrag bearbeiten, sind sie Auftragsbearbeiter nach Art. 9 DSG. Das Gesetz ist knapper als die DSGVO: Die Bearbeitung muss so erfolgen, wie Sie es selbst tun dürften, keine Geheimhaltungspflicht darf verletzt werden, Sie müssen sich über die Datensicherheit des Anbieters vergewissern, und Unterauftragnehmer brauchen Ihre vorgängige Genehmigung. Einen Pflichtkatalog für den Vertragsinhalt wie Art. 28 DSGVO kennt Art. 9 DSG nicht.

Die folgende Liste ist deshalb Praxisempfehlung, nicht Gesetzeskatalog - im Data Processing Agreement (DPA) mindestens prüfen:

• Trainings-Ausschluss: Ihre Inhalte dürfen nicht zum Modelltraining verwendet werden - ausdrücklich, nicht implizit.
• Unterauftragnehmer: Wer steckt hinter der Plattform? Bei Agenten mit Modell-Auswahl können das mehrere Modellanbieter sein.
• Meldeweg: Art. 24 Abs. 3 DSG verpflichtet den Auftragsbearbeiter, Ihnen Sicherheitsverletzungen so rasch als möglich zu melden - der Kanal gehört in den Vertrag.
• Region: Speicherort und Residenz-Zusagen schriftlich, nicht aus dem Marketing-PDF.

Wann braucht es eine Datenschutz-Folgenabschätzung?

Art. 22 DSG verlangt vorgängig eine Datenschutz-Folgenabschätzung (DSFA), wenn eine Bearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte der Betroffenen mit sich bringen kann - laut Gesetz insbesondere bei neuen Technologien, namentlich bei umfangreicher Bearbeitung besonders schützenswerter Personendaten. Die DSFA besteht aus drei Teilen: Beschreibung der Bearbeitung, Risikobewertung, Schutzmassnahmen. Bleibt trotz Massnahmen ein hohes Risiko, ist vorgängig der EDÖB zu konsultieren (Art. 23 DSG, Antwortfrist zwei Monate). Auch der EDÖB verlangt eine DSFA bei risikoreichen KI-Anwendungen.

Für Büro-Agenten heisst das nach hier vertretener Lesart: Ein Agent, der Personaldossiers, Bewerbungen, Gesundheits- oder Mandatsdaten erreichen kann, ist ein DSFA-Kandidat - neue Technologie plus potenziell besonders schützenswerte Daten. Ein Agent, der nur Projektdokumente ohne Personendaten bearbeitet, eher nicht. Entscheidend ist, dass Sie den Entscheid treffen und begründen - ein dokumentiertes Nein ist besser als keine Auseinandersetzung.

Wer haftet, wenn der Agent Fehler macht?

Die Rollenverteilung ist rechtliche Einordnung, kein Behördenzitat - aber eindeutig: Verantwortlicher ist nach Art. 5 lit. j DSG, wer über Zweck und Mittel der Bearbeitung entscheidet. Das ist Ihr Unternehmen, nicht der Anbieter; Microsoft, Anthropic und OpenAI agieren im Firmeneinsatz als Auftragsbearbeiter. Ein Agent delegiert Arbeit, nicht Verantwortung.

Zwei weitere DSG-Artikel rahmen die Fehlerfrage:

• Art. 21 DSG gibt Betroffenen bei ausschliesslich automatisierten Einzelentscheidungen Informations- und Überprüfungsrechte - ein Verbot ist es nicht. Solange ein Mensch die Agenten-Ergebnisse materiell prüft, liegt regelmässig keine ausschliesslich automatisierte Entscheidung vor; auch das ist Auslegung.
• Art. 24 DSG verlangt bei Datensicherheitsverletzungen mit voraussichtlich hohem Risiko eine Meldung an den EDÖB “so rasch als möglich” - anders als die DSGVO ohne starre 72-Stunden-Frist.

Drei dokumentierte Fälle zeigen, dass das keine Theorie ist:

• EchoLeak (Juni 2025): Zero-Click-Prompt-Injection gegen Microsoft 365 Copilot (CVE-2025-32711, CVSS 9.3). Eine präparierte E-Mail genügte, damit Copilot ohne Nutzerinteraktion Daten aus seinem Zugriffsbereich preisgab. Serverseitig gepatcht.
• ShadowLeak (September 2025): Versteckte Befehle in einer E-Mail brachten ChatGPTs Deep-Research-Agenten dazu, Gmail-Daten direkt aus der Cloud zu exfiltrieren - für die Firmen-Security unsichtbar. Von OpenAI Anfang August 2025 gefixt und am 3. September 2025 als behoben bestätigt.
• Claude Cowork (Januar 2026): PromptArmor zeigte zwei Tage nach dem Desktop-Launch, dass unsichtbarer weisser Text in einer Word-Datei Cowork zum Hochladen von Finanzdokumenten ins Konto des Angreifers brachte.

EchoLeak und ShadowLeak sind behoben; die Cowork-Lücke hat Anthropic bestätigt, das zugrunde liegende Problem ist nach Angaben von PromptArmor aber nicht grundlegend gelöst. Alle drei Fälle zeigen dieselbe Angriffsklasse: indirekte Prompt Injection - versteckte Befehle in Mails oder Dokumenten, die der Agent beim Lesen ausführt. Sie ist strukturell mit dem verbunden, was Agenten nützlich macht: breiter Datenzugriff plus selbstständiges Handeln. Anthropic selbst verlangt deshalb vor dem endgültigen Löschen von Dateien eine explizite Freigabe.

Der EDÖB schaut hin

Am 30. Juni 2026 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte seinen 33. Tätigkeitsbericht publiziert - 118 Seiten, mit eigenem KI-Kapitel. Die Kernbotschaft: Das DSG ist technologieneutral und direkt auf KI-gestützte Datenbearbeitungen anwendbar - Ihre Agenten-Nutzung ist heute schon reguliert.

Die Behörde kommentiert nicht nur: Sie prüfte die KI-Trainingspläne des Kurznachrichtendienstes X, führt eine Untersuchung gegen eine Schweizer Firma für KI-basierte Altersverifikation und führte eine Vorabklärung zu Metas geplanter Smart-Glasses-Gesichtserkennung durch (ohne Eröffnung einer formellen Untersuchung). Dazu die Jahreszahlen: über 2’000 Meldungen zu möglichen Datenschutzverletzungen, 156 Interventionen, 22 Vorabklärungen, 9 Untersuchungen.

Die inhaltliche Linie steht seit längerem auf der EDÖB-Themenseite zu KI: Zweck, Funktionsweise und Datenquellen transparent ausweisen; Nutzer müssen wissen, ob sie mit einer Maschine korrespondieren; Betroffene können automatisierter Bearbeitung widersprechen oder menschliche Überprüfung verlangen.

Die Freigabe-Checkliste

Acht Punkte, die vor dem Produktivstart eines Büro-Agenten beantwortet sein sollten. In Schulungen erlebe ich regelmässig, dass Punkt 1 der unangenehmste ist - weil oft niemand im Raum genau weiss, was ein Konto alles lesen kann.

1. Inventar: Was erreicht der Agent wirklich? Der Agent sieht alles, was das verwendete Konto sieht - auch die vergessene SharePoint-Ablage mit Lohndaten von 2019. Berechtigungen sind der Agentenradius. Erst aufräumen, dann freigeben.
2. Vertrag: DPA geprüft? Trainings-Ausschluss, Unterauftragnehmer, Meldeweg, Region - schriftlich.
3. Auslandsbekanntgabe dokumentiert? Welche Region, welcher DPF-Status? Ein Absatz im Bearbeitungsverzeichnis genügt, aber er muss existieren.
4. DSFA-Entscheid gefällt und begründet? Ja oder begründetes Nein - beides schriftlich abgelegt.
5. Mensch in der Schleife für Aussenwirkung? Offerten, Absagen, Mahnungen: Was das Unternehmen verlässt oder Personen betrifft, prüft ein Mensch materiell - nicht per Abnicken.
6. Incident-Prozess definiert? Wer meldet wem was, wie schnell? Der Weg vom Anbieter-Alert bis zur allfälligen EDÖB-Meldung nach Art. 24 gehört vor dem ersten Vorfall festgelegt.
7. Nutzungsregeln und Schulung? Wer darf den Agenten wofür einsetzen, und kennen die Nutzer die Grundzüge von Prompt Injection? Genau diese Freigabe-Logik gehe ich in meinen KI-Schulungen für Schweizer KMU mit Teams durch.
8. Modell- und Feature-Gates bewusst geschaltet? Preview-Modelle mit Data Retention, Browser-Nutzung, neue Plugins: Alles, was den Datenfluss ändert, wird aktiv entschieden - nicht per Default übernommen.

Grenzen und offene Fragen

Ebenso auf den Tisch gehört, was offen bleibt:

• DPF-Restrisiko: Die PCLOB-Schwächung ist dokumentiert, eine offizielle Schweizer Stellungnahme dazu liegt nicht vor (Stand 14. Juli 2026). Mehr als “Rechtslage stabil, Fortbestand nicht garantiert” lässt sich seriös nicht sagen.
• OpenAI-Residenz für ChatGPT Business: nicht belegt - direkt beim Anbieter klären.
• Verfügbarkeiten im Fluss: ChatGPT Work für Plus/Business und Claude Cowork Web/Mobile ausserhalb des Max-Plans waren am 14. Juli 2026 angekündigt, aber nicht belegt verfügbar.
• Microsoft-Lücken: Eine Cowork-spezifische Residenz-Zusage und ein dokumentierter Outlook-Postfach-Zugriff von Copilot Cowork fehlen in den geprüften Quellen - beides gehört in Ihre Anbieter-Abklärung.
• Haftungspraxis: Behörden- oder Gerichtsentscheide zur Haftung bei autonomen Agentenfehlern gibt es in der Schweiz noch nicht. Die Einordnungen oben sind Auslegung des geltenden Rechts.

Häufige Fragen

Brauchen wir für jeden der drei Agenten eine eigene Freigabe?

Ja. Die Checkliste ist dieselbe, die Antworten sind es nicht: Zugriffsradius, Speicherort, Vertragswerk und Modell-Optionen unterscheiden sich erheblich. Eine Pauschalfreigabe “KI-Agenten erlaubt” ist keine Freigabe, sondern ein Blankoscheck.

Reicht unsere bestehende M365-Copilot-Freigabe auch für Copilot Cowork?

Nicht automatisch. Cowork arbeitet end-to-end statt assistierend und bietet Drittanbieter-Modelle an, darunter ein Preview-Modell, das Data Retention beim Modellanbieter voraussetzt. Mindestens Inventar, Modell-Gates und Vertrag gehören neu bewertet.

Was ist mit Mitarbeitenden, die Claude Cowork privat abonniert haben?

Die Desktop-App greift auf lokale Dateien und den Browser zu. Ein privates Abo auf dem Geschäftsgerät schafft eine Datenbearbeitung ausserhalb jedes Vertrags, den Ihr Unternehmen kontrolliert. Das gehört ins Nutzungsreglement: geschäftliche Daten nur über zentral verwaltete Firmenkonten.

Müssen wir Kunden informieren, wenn ein Agent ihre Daten bearbeitet?

Der EDÖB verlangt, Zweck, Funktionsweise und Datenquellen KI-gestützter Bearbeitungen transparent auszuweisen; wer mit einer Maschine korrespondiert, muss das erkennen können. Praktisch: Datenschutzerklärung aktualisieren, KI-Kontaktpunkte kennzeichnen.

Praxis-Fazit

Das DSG ist für Büro-Agenten kein Verbotsgesetz und kein Freipass - es ist ein Arbeitsprogramm. Der EDÖB behandelt KI als normales Aufsichtsthema; die Sicherheitsvorfälle zeigen, dass der Agentenradius das eigentliche Risiko ist. Wer die acht Punkte dokumentiert abarbeitet, klein startet und den Radius bewusst erweitert, kann alle drei Agenten datenschutzkonform einsetzen. Wer den Agenten zuerst auf alles loslässt und die Fragen danach stellt, hat die Reihenfolge verwechselt.

---

Quellen (geprüft 14. Juli 2026):

• Copilot Cowork is now generally available (Microsoft 365 Blog, 16. Juni 2026)
• What’s new in Copilot Cowork (Microsoft Learn, Stand 8. Juli 2026)
• Data Residency for Microsoft 365 Copilot and Copilot Chat (Microsoft Learn, Stand 1. September 2025)
• Claude Cowork expands to mobile and web (TechCrunch, 7. Juli 2026)
• OpenAI Debuts ChatGPT Work Agent and New GPT-5.6 Models (MacRumors, 9. Juli 2026)
• Tätigkeitsbericht 2025/2026 des EDÖB (EDÖB, 30. Juni 2026)
• EDÖB-Tätigkeitsbericht 2025/2026: KI, systemische Risiken und Transparenz (Steiger Legal, 30. Juni 2026)
• Künstliche Intelligenz und Datenschutz (EDÖB, Stand 24. September 2025)
• Bundesgesetz über den Datenschutz (DSG, SR 235.1) (Fedlex, Stand 7. Juli 2025)
• Verordnung über den Datenschutz (DSV, SR 235.11), Anhang 1 (Fedlex, Stand 1. Dezember 2025)
• Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data (The Hacker News, 12. Juni 2025)
• ShadowLeak: Zero-Click-Angriff auf ChatGPTs Deep-Research-Agent (Radware, 18. September 2025)
• Claude Cowork Exfiltrates Files (PromptArmor, 14. Januar 2026)
• Use Claude Cowork safely (Claude Help Center, Stand Juli 2026)
• Where are your servers located? (Anthropic Privacy Center, Stand Juli 2026)
• Introducing data residency in Europe (OpenAI, Februar 2025)