Ist Business Central DSGVO-konform, und wo liegen die Daten?

Business Central lässt sich DSGVO-konform betreiben. Der entscheidende Teil ist nicht die Plattform, sondern wie Sie Berechtigungen, Datenflüsse und KI im Projekt aufsetzen. Der Standort der Daten ist geklärt, die Verantwortung für die Konfiguration bleibt bei Ihnen.

Wo liegen Ihre Daten?

Business Central Online läuft in der Microsoft Cloud. Für Kunden mit einer EU-Tenant-Region speichert Microsoft die Kerndaten in Rechenzentren innerhalb der EU und ordnet den Dienst der EU Data Boundary zu. Im Normalbetrieb verlassen Ihre produktiven Geschäftsdaten den europäischen Raum also nicht.

Quelle: Microsoft Learn: What is the EU Data Boundary?

Wichtig ist der Zusatz „im Normalbetrieb“. Es gibt definierte Ausnahmen, etwa bestimmte Support-Szenarien, in denen Daten den Raum verlassen können. Diese Ausnahmen sollten Sie kennen und dokumentiert haben, statt sie vorauszusetzen, denn im Prüfungsfall fragt niemand nach der Regel, sondern nach den Ausnahmen.

Praktisch heißt das: Prüfen Sie beim Anlegen der Umgebung die Region, halten Sie fest, welche Region gewählt wurde, und wissen Sie, wer sie später ändern könnte. Das ist eine Entscheidung von wenigen Minuten mit Wirkung über Jahre.

Wer ist wofür verantwortlich?

Microsoft ist Auftragsverarbeiter, Sie bleiben Verantwortlicher im Sinne der DSGVO. Diese Rollenverteilung ist nicht verhandelbar und hat eine unbequeme Folge: Die Plattform kann vollständig konform sein und Ihr eigenes System trotzdem nicht.

Quelle: Microsoft Learn: General Data Protection Regulation

Grundlage ist der Auftragsverarbeitungsvertrag, den Microsoft über seine Online-Bedingungen bereitstellt. Die Plattform bringt die technischen und organisatorischen Maßnahmen mit. Ob Ihr System am Ende konform ist, entscheidet aber, wie Sie es einrichten: welche Rollen welche Daten sehen, wie lange Belege aufbewahrt werden, welche Schnittstellen Daten nach außen geben.

Diese drei Punkte sind Projektarbeit und keine Einstellung, die man einmal setzt. Sie gehören in die Einführung, nicht in eine Nachbetrachtung Monate nach dem Go-live, wenn die Strukturen längst gewachsen sind.

Welchen Teil nimmt Ihnen kein Rechenzentrum ab?

Die häufigste Lücke im Mittelstand ist nicht der Standort der Daten, sondern die gewachsene Berechtigungsstruktur. Wenn faktisch jeder alles sieht, hilft ein EU-Rechenzentrum wenig, denn die DSGVO fragt nach Zweckbindung und Datenminimierung und nicht nach Geografie.

Quelle: Microsoft Learn: Security in Business Central

Datenminimierung, saubere Rollen und ein bewusster Umgang mit personenbezogenen Feldern sind deshalb der eigentliche Aufwand. Der übliche Ausgangszustand ist eine Handvoll breiter Rollen, die über Jahre um Einzelrechte gewachsen sind, bis niemand mehr genau sagen kann, warum wer was sehen darf.

Genau hier setzen wir an: Wir richten Berechtigungen, Aufbewahrung und Datenflüsse so ein, dass die Steuerung bei Ihnen bleibt. Der Prüfstein dafür ist einfach: Können Sie für eine beliebige Rolle in zwei Minuten benennen, welche personenbezogenen Daten sie sieht?

Wie stehen KI und Copilot im DSGVO-Blick da?

Copilot und KI-Agenten arbeiten auf Ihren Geschäftsdaten. Für die EU gelten dieselben Regionsgrenzen wie für Business Central selbst, und Microsoft nutzt Ihre Geschäftsdaten nicht, um seine Basismodelle zu trainieren.

Quelle: Microsoft Learn: Copilot FAQ

Wichtig ist, dass Sie vor dem Einschalten klären, welche Daten ein Agent sehen und verändern darf. Diese Steuerung ist vorgesehen und dokumentiert, sie muss aber bewusst gesetzt werden, sonst gilt der voreingestellte Standardumfang, und den hat niemand bewusst gewählt.

Quelle: Microsoft Learn: Configure Copilot and agent capabilities

Der inhaltliche Kern bleibt derselbe wie ohne KI: Eine unsaubere Datenbasis wird durch einen Agenten nicht besser, sondern nur schneller wirksam, und zwar in beide Richtungen. KI verschärft eine unsaubere Datenbasis, sie heilt sie nicht. Dieser Beitrag ordnet die Praxis ein und ersetzt keine Rechtsberatung.