GitHub Copilot ist das meistgenutzte KI-Coding-Tool weltweit. Mit GitHubs Enterprise-Reichweite und Microsofts Infrastruktur verfügt es auch über eines der ausgereiftesten Compliance-Frameworks im KI-Coding-Bereich. Aber bedeutet das, dass es für Ihre spezifische Situation DSGVO-konform ist?
Die Antwort lautet: Es hängt stark davon ab, welchen Plan Sie nutzen — und selbst der beste Plan hat eine strukturelle Compliance-Herausforderung, die kein AVV vollständig lösen kann.
Die entscheidende Variable: Welchen Plan Sie nutzen
GitHubs Datenpraktiken unterscheiden sich erheblich zwischen Individual- und Business-Plänen. Das ist der wichtigste Faktor für die DSGVO-Konformität:
| Plan | Trainiert mit Ihrem Code? | Zero Retention (IDE)? | AVV verfügbar? |
|---|---|---|---|
| Free | Ja, standardmäßig (Opt-out möglich) | Nein | Nein |
| Pro / Pro+ | Ja, standardmäßig (Opt-out möglich) | Nein | Nein |
| Business | Niemals | Ja | Ja (herunterladbar) |
| Enterprise | Niemals | Ja | Ja (herunterladbar) |
Wenn Sie einen Free- oder Pro-Plan nutzen und sich nicht explizit vom Training-Daten-Einsatz abgemeldet haben (github.com/settings/copilot/features), kann GitHub Ihre Prompts und Vorschläge zur Verbesserung von KI-Modellen verwenden. Für EU-Entwickler, die mit Kundencodes arbeiten, ist das problematisch.
Zero Data Retention: Was das für Copilot bedeutet
Für Business- und Enterprise-Kunden, die Copilot in einer IDE nutzen, bietet GitHub standardmäßig Zero Data Retention für Prompts und Vorschläge:
“GitHub behält keine Prompts oder Vorschläge für die IDE-Nutzung in Copilot Business- und Enterprise-Plänen.”
Das ist die stärkste Retention-Garantie unter den großen KI-Coding-Tools für Enterprise-Pläne. In der Praxis: Wenn Sie eine Code-Vervollständigung oder einen Chat in Ihrer IDE auslösen, wird die Anfrage verarbeitet und die Antwort zurückgegeben — nichts wird gespeichert.
Die Nuance: Diese Zero-Retention-Garantie gilt speziell für IDE-basierte Vervollständigungen und Chats. Für andere Copilot-Oberflächen (github.com-Chat, Mobile, CLI) werden Prompts und Vorschläge auf Business/Enterprise-Plänen 28 Tage aufbewahrt — notwendig für die Thread-History-Funktionalität.
Nutzungs-Telemetrie (pseudonyme Metadaten) wird auf allen Plänen 2 Jahre aufbewahrt — das ist nicht dasselbe wie die Aufbewahrung Ihres tatsächlichen Codes.
GitHubs AVV: Der zugänglichste auf dem Markt
Hier sticht GitHub Copilot wirklich hervor: GitHub veröffentlicht einen frei herunterladbaren Auftragsverarbeitungsvertrag, der Copilot explizit abdeckt.
Verfügbar unter: github.com/customer-terms/github-data-protection-agreement
Der AVV:
- Deckt GitHub Enterprise Cloud, Teams und GitHub Copilot explizit ab
- Referenziert EU-Standardvertragsklauseln (SCC) für EWR/UK-Datentransfers
- Bestätigt Business/Enterprise: kein Training mit Daten
- Ist ein Standardformular — keine Verhandlung erforderlich, für alle qualifizierenden Kunden verfügbar
Für DSGVO-Artikel-28-Compliance ist das, was Sie brauchen. GitHubs Transparenz hier ist deutlich besser als bei den meisten Wettbewerbern.
Die FISA-702-Herausforderung: Kein AVV kann das lösen
GitHub, Inc. ist eine Tochtergesellschaft der Microsoft Corporation — eines US-Unternehmens. Das schafft eine unauflösbare strukturelle Compliance-Spannung.
Nach FISA Section 702 können US-Geheimdienste US-amerikanische Anbieter elektronischer Kommunikationsdienste zur Offenlegung von Daten über ausländische Zielpersonen verpflichten. Diese Befugnis:
- Gilt für GitHub/Microsoft unabhängig vom physischen Speicherort der Daten
- Kann nicht durch SCC gemindert werden — SCC adressieren kommerzielle Transfers, nicht staatliche Zugriffsanordnungen
- Gilt auch bei 0-Tage-Retention — Daten im Transit bei der Anfrageverarbeitung bleiben zugänglich
Für die meisten EU-Entwickler: Das praktische Risiko ist theoretisch. GitHub verarbeitet enorme Mengen Enterprise-Daten unter FISA-Jurisdiktion ohne bekannte Vorfälle bei Entwickler-Code.
Für regulierte Branchen (Gesundheit, Finanzen, Recht, öffentlicher Sektor): Ihr Datenschutzbeauftragter und Ihre Rechtsabteilung müssen dieses Risiko explizit bewerten, besonders im Rahmen des EU-KI-Gesetzes.
EU-Datenresidenz: Wo verarbeitet Copilot tatsächlich?
GitHub betreibt auf Microsofts globaler Azure-Infrastruktur. Es gibt keine Copilot-spezifische EU-Datenresidenz-Option, die sicherstellt, dass Ihr Code ausschließlich in EU-Rechenzentren verarbeitet wird.
GitHub Enterprise Cloud-Kunden können von Microsofts breiteren Azure-Datenresidenz-Verpflichtungen profitieren, aber diese sind nicht als Copilot-spezifisches Feature dokumentiert. Für die meisten Business-Plan-Kunden werden Daten auf GitHubs global verteilter Infrastruktur verarbeitet.
Praktische Handlungsempfehlungen nach Team-Typ
Einzelne Entwickler (Free/Pro):
- Melden Sie sich sofort vom Training-Daten-Einsatz ab unter github.com/settings/copilot/features, wenn Sie an Kunden- oder Arbeitgebercodes arbeiten
- Verstehen Sie: Ihr Code geht unabhängig vom Opt-out-Status auf GitHubs US-Infrastruktur
- Der Opt-out verhindert Training, nicht Transfer
Kleine Teams (Business-Plan):
- Wechseln Sie von Free/Pro auf Business für Zero-Retention und AVV-Abdeckung — das ist das DSGVO-Mindestsetup
- Laden Sie den GitHub AVV herunter und unterzeichnen Sie ihn für formale Artikel-28-Compliance
- Prüfen Sie, ob Ihre Kunden EU-Datenresidenz vertraglich fordern
Enterprise-Teams in regulierten Branchen:
- Der AVV ist verfügbar und umfassend
- Die FISA-702-Exposition erfordert rechtliche Bewertung
- Dokumentieren Sie Ihre Bewertung im DSGVO-Verzeichnis der Verarbeitungstätigkeiten (VVT)
Öffentlicher Sektor / Behörden:
- Die meisten EU-Beschaffungsanforderungen verlangen EU-basierte Verarbeitung
- GitHub Copilot erfüllt diese Anforderungen ohne Microsofts dediziertes Government-Cloud-Produkt wahrscheinlich nicht
Zusammenfassung
| Frage | Free/Pro | Business/Enterprise |
|---|---|---|
| Trainiert mit Ihrem Code? | Ja, standardmäßig (Opt-out möglich) | Niemals |
| Zero Data Retention (IDE)? | Nein | Ja |
| AVV verfügbar? | Nein | Ja — öffentlich herunterladbar |
| EU-Datenresidenz? | Nein | Nein (globale Infrastruktur) |
| Unterliegt FISA 702? | Ja | Ja (GitHub ist ein US-Unternehmen) |
| Geeignet für professionelle EU-B2B-Nutzung? | Nicht empfohlen | Ja, mit Bewertung |
Fazit: Wenn Sie GitHub Copilot für professionelle EU-Arbeit nutzen, ist Business oder Enterprise der einzige Plan mit einem praktikablen DSGVO-Setup. Free- und Pro-Pläne trainieren standardmäßig mit Ihren Daten und haben keinen AVV. Selbst auf Business/Enterprise erfordern das Fehlen EU-exklusiver Verarbeitung und die FISA-702-Exposition explizite rechtliche Bewertung für regulierte Branchen.
Quellen: docs.github.com/en/copilot, github.com/features/copilot, github.com/customer-terms/github-data-protection-agreement — verifiziert April 2025.