Ist GitHub Copilot DSGVO-konform? Eine Plan-für-Plan-Analyse

GitHub Copilot ist das meistgenutzte KI-Coding-Tool weltweit. Mit GitHubs Enterprise-Reichweite und Microsofts Infrastruktur verfügt es auch über eines der ausgereiftesten Compliance-Frameworks im KI-Coding-Bereich. Aber bedeutet das, dass es für Ihre spezifische Situation DSGVO-konform ist?

Die Antwort lautet: Es hängt stark davon ab, welchen Plan Sie nutzen — und selbst der beste Plan hat eine strukturelle Compliance-Herausforderung, die kein AVV vollständig lösen kann.

Die entscheidende Variable: Welchen Plan Sie nutzen

GitHubs Datenpraktiken unterscheiden sich erheblich zwischen Individual- und Business-Plänen. Das ist der wichtigste Faktor für die DSGVO-Konformität:

Plan	Trainiert mit Ihrem Code?	Zero Retention (IDE)?	AVV verfügbar?
Free	Ja, standardmäßig (Opt-out möglich)	Nein	Nein
Pro / Pro+	Ja, standardmäßig (Opt-out möglich)	Nein	Nein
Business	Niemals	Ja	Ja (herunterladbar)
Enterprise	Niemals	Ja	Ja (herunterladbar)

Wenn Sie einen Free- oder Pro-Plan nutzen und sich nicht explizit vom Training-Daten-Einsatz abgemeldet haben (github.com/settings/copilot/features), kann GitHub Ihre Prompts und Vorschläge zur Verbesserung von KI-Modellen verwenden. Für EU-Entwickler, die mit Kundencodes arbeiten, ist das problematisch.

Zero Data Retention: Was das für Copilot bedeutet

Für Business- und Enterprise-Kunden, die Copilot in einer IDE nutzen, bietet GitHub standardmäßig Zero Data Retention für Prompts und Vorschläge:

“GitHub behält keine Prompts oder Vorschläge für die IDE-Nutzung in Copilot Business- und Enterprise-Plänen.”

Das ist die stärkste Retention-Garantie unter den großen KI-Coding-Tools für Enterprise-Pläne. In der Praxis: Wenn Sie eine Code-Vervollständigung oder einen Chat in Ihrer IDE auslösen, wird die Anfrage verarbeitet und die Antwort zurückgegeben — nichts wird gespeichert.

Die Nuance: Diese Zero-Retention-Garantie gilt speziell für IDE-basierte Vervollständigungen und Chats. Für andere Copilot-Oberflächen (github.com-Chat, Mobile, CLI) werden Prompts und Vorschläge auf Business/Enterprise-Plänen 28 Tage aufbewahrt — notwendig für die Thread-History-Funktionalität.

Nutzungs-Telemetrie (pseudonyme Metadaten) wird auf allen Plänen 2 Jahre aufbewahrt — das ist nicht dasselbe wie die Aufbewahrung Ihres tatsächlichen Codes.

GitHubs AVV: Der zugänglichste auf dem Markt

Hier sticht GitHub Copilot wirklich hervor: GitHub veröffentlicht einen frei herunterladbaren Auftragsverarbeitungsvertrag, der Copilot explizit abdeckt.

Verfügbar unter: github.com/customer-terms/github-data-protection-agreement

Der AVV:

• Deckt GitHub Enterprise Cloud, Teams und GitHub Copilot explizit ab
• Referenziert EU-Standardvertragsklauseln (SCC) für EWR/UK-Datentransfers
• Bestätigt Business/Enterprise: kein Training mit Daten
• Ist ein Standardformular — keine Verhandlung erforderlich, für alle qualifizierenden Kunden verfügbar

Für DSGVO-Artikel-28-Compliance ist das, was Sie brauchen. GitHubs Transparenz hier ist deutlich besser als bei den meisten Wettbewerbern.

Die FISA-702-Herausforderung: Kein AVV kann das lösen

GitHub, Inc. ist eine Tochtergesellschaft der Microsoft Corporation — eines US-Unternehmens. Das schafft eine unauflösbare strukturelle Compliance-Spannung.

Nach FISA Section 702 können US-Geheimdienste US-amerikanische Anbieter elektronischer Kommunikationsdienste zur Offenlegung von Daten über ausländische Zielpersonen verpflichten. Diese Befugnis:

• Gilt für GitHub/Microsoft unabhängig vom physischen Speicherort der Daten
• Kann nicht durch SCC gemindert werden — SCC adressieren kommerzielle Transfers, nicht staatliche Zugriffsanordnungen
• Gilt auch bei 0-Tage-Retention — Daten im Transit bei der Anfrageverarbeitung bleiben zugänglich

Für die meisten EU-Entwickler: Das praktische Risiko ist theoretisch. GitHub verarbeitet enorme Mengen Enterprise-Daten unter FISA-Jurisdiktion ohne bekannte Vorfälle bei Entwickler-Code.

Für regulierte Branchen (Gesundheit, Finanzen, Recht, öffentlicher Sektor): Ihr Datenschutzbeauftragter und Ihre Rechtsabteilung müssen dieses Risiko explizit bewerten, besonders im Rahmen des EU-KI-Gesetzes.

EU-Datenresidenz: Wo verarbeitet Copilot tatsächlich?

GitHub betreibt auf Microsofts globaler Azure-Infrastruktur. Es gibt keine Copilot-spezifische DSGVO-Datenresidenz-Option, die sicherstellt, dass Ihr Code DSGVO-konform verarbeitet wird.

GitHub Enterprise Cloud-Kunden können von Microsofts breiteren Azure-Datenresidenz-Verpflichtungen profitieren, aber diese sind nicht als Copilot-spezifisches Feature dokumentiert. Für die meisten Business-Plan-Kunden werden Daten auf GitHubs global verteilter Infrastruktur verarbeitet.

Praktische Handlungsempfehlungen nach Team-Typ

Einzelne Entwickler (Free/Pro):

• Melden Sie sich sofort vom Training-Daten-Einsatz ab unter github.com/settings/copilot/features, wenn Sie an Kunden- oder Arbeitgebercodes arbeiten
• Verstehen Sie: Ihr Code geht unabhängig vom Opt-out-Status auf GitHubs US-Infrastruktur
• Der Opt-out verhindert Training, nicht Transfer

Kleine Teams (Business-Plan):

• Wechseln Sie von Free/Pro auf Business für Zero-Retention und AVV-Abdeckung — das ist das DSGVO-Mindestsetup
• Laden Sie den GitHub AVV herunter und unterzeichnen Sie ihn für formale Artikel-28-Compliance
• Prüfen Sie, ob Ihre Kunden EU-Datenresidenz vertraglich fordern

Enterprise-Teams in regulierten Branchen:

• Der AVV ist verfügbar und umfassend
• Die FISA-702-Exposition erfordert rechtliche Bewertung
• Dokumentieren Sie Ihre Bewertung im DSGVO-Verzeichnis der Verarbeitungstätigkeiten (VVT)

Öffentlicher Sektor / Behörden:

• Die meisten EU-Beschaffungsanforderungen verlangen EU-basierte Verarbeitung
• GitHub Copilot erfüllt diese Anforderungen ohne Microsofts dediziertes Government-Cloud-Produkt wahrscheinlich nicht

Zusammenfassung

Frage	Free/Pro	Business/Enterprise
Trainiert mit Ihrem Code?	Ja, standardmäßig (Opt-out möglich)	Niemals
Zero Data Retention (IDE)?	Nein	Ja
AVV verfügbar?	Nein	Ja — öffentlich herunterladbar
EU-Datenresidenz?	Nein	Nein (globale Infrastruktur)
Unterliegt FISA 702?	Ja	Ja (GitHub ist ein US-Unternehmen)
Geeignet für professionelle EU-B2B-Nutzung?	Nicht empfohlen	Ja, mit Bewertung

Fazit: Wenn Sie GitHub Copilot für professionelle EU-Arbeit nutzen, ist Business oder Enterprise der einzige Plan mit einem praktikablen DSGVO-Setup. Free- und Pro-Pläne trainieren standardmäßig mit Ihren Daten und haben keinen AVV. Selbst auf Business/Enterprise erfordern das Fehlen EU-exklusiver Verarbeitung und die FISA-702-Exposition explizite rechtliche Bewertung für regulierte Branchen.

---

Quellen: docs.github.com/en/copilot, github.com/features/copilot, github.com/customer-terms/github-data-protection-agreement — verifiziert April 2026.