Betriebsvereinbarung zu Microsoft 365: worüber verhandelt wird

Die Funktionen, um die es tatsächlich geht

Der Präsenzstatus in Microsoft Teams steht ganz oben, weil er sich aus Aktivität ableitet und damit sichtbar macht, wer am Rechner sitzt. Dazu kommen die Anwesenheitsliste einer Besprechung, die festhält, wann jemand dazugekommen und wann jemand gegangen ist, sowie Aufzeichnung und Transkription, die aus einem Gespräch ein durchsuchbares Dokument machen.

Auf der Auswertungsseite sind es die Nutzungsberichte im Microsoft 365 Admin Center, die Aktivität je Person und Dienst zeigen, das Überwachungsprotokoll, in dem Anmeldungen und Zugriffe stehen, und die Auswertungen aus Microsoft Viva Insights, die inzwischen auch die Nutzung von Microsoft 365 Copilot abdecken. Bei Viva Insights lohnt die Unterscheidung: Die persönliche Auswertung sieht nur die betroffene Person selbst, während weitergehende organisatorische Auswertungen ein eigenes Thema mit eigener Regelung sind.

Wer eine schnelle Verhandlungshilfe sucht, findet sie im Microsoft 365 Admin Center: Dort lassen sich Namen von Personen, Gruppen und Websites in allen Berichten verdeckt anzeigen. Diese eine Einstellung nimmt aus vielen Berichten die personenbezogene Schärfe heraus und ist überprüfbar, was in einer Vereinbarung mehr wert ist als eine Absichtserklärung.

Regelungen, die sich bewährt haben

Der Kern ist fast immer die Zweckbindung: Die Daten, die beim Betrieb anfallen, dienen der Sicherstellung des Betriebs, der Fehlersuche und der Abwehr von Angriffen, ausdrücklich nicht der Bewertung von Verhalten und Leistung. Daran schließen sich die Regeln an, die diesen Satz überprüfbar machen: Ausgewertet wird nur zusammengefasst und erst ab einer festgelegten Gruppengröße, die Zuständigkeiten sind namentlich benannt, der Betriebsrat wird bei Auswertungen im Einzelfall beteiligt, und jede Auswertung braucht einen dokumentierten Anlass.

Für Protokolldaten gehört eine Aufbewahrungsfrist in die Vereinbarung, für Aufzeichnungen eine Regel zu Ankündigung, Speicherort und Löschung. Bei Aufzeichnungen hilft es, den technischen Ablauf zu kennen: Die Aufzeichnung einer geplanten Besprechung landet im OneDrive der Person, die den Termin angelegt hat, und nicht bei der Person, die auf "Aufzeichnen" geklickt hat. Bei Anrufen ohne Termin ist es umgekehrt, dort speichert das OneDrive der aufzeichnenden Person. Die Aufzeichnung einer Kanalbesprechung liegt in der SharePoint-Ablage des Kanals. Ohne festgelegte Löschfrist sammeln sich dort Mitschnitte über Jahre.

Bewährt hat sich außerdem, den Geltungsbereich als Liste der eingesetzten Dienste zu führen und diese Liste zum Anhang zu machen. Viele Unternehmen schließen deshalb eine Rahmenbetriebsvereinbarung für die Plattform und regeln einzelne Dienste wie Teams, Viva oder Copilot in eigenen Anlagen. Eine Anlage lässt sich fortschreiben, ohne die ganze Vereinbarung neu zu verhandeln.

Neue Funktionen sind der eigentliche Knackpunkt

Der Dienst ändert sich laufend, ohne dass die Organisation ein Update einspielt. Eine Aufzählung einzelner Funktionen veraltet deshalb mit jeder Neuerung und hält den Betrieb auf. Eine Vereinbarung, die pauschal alle künftigen Funktionen einschließt, wird der Betriebsrat zu Recht nicht unterschreiben.

Der tragfähige Weg liegt dazwischen und besteht aus drei Elementen: Kategorien statt Einzelfunktionen, eine Informationspflicht mit Frist und ein Gremium, das entscheidet. Als Quelle für die Information eignet sich das Nachrichtencenter im Microsoft 365 Admin Center, in dem angekündigte Änderungen mit Termin stehen. Vereinbart wird, dass relevante Meldungen daraus regelmäßig weitergegeben und gemeinsam bewertet werden.

Ergänzend hilft eine Erprobungsphase mit festem Enddatum und vereinbarter Auswertung. Das senkt die Hürde für die Zustimmung erheblich, weil keine Seite eine Entscheidung für die Ewigkeit trifft.

Das beste Beispiel für eine solche Kategorie ist Microsoft 365 Copilot. Copilot fasst Besprechungen zusammen, wertet Mails aus und schreibt Texte, und dafür greift es auf Daten zu, die bisher niemand gebündelt ausgewertet hat. Für Besprechungen legen Richtlinie und Besprechungsoptionen fest, ob Copilot ein Transkript braucht und ob nach dem Termin etwas davon gespeichert bleibt. Genau diese Einstellungen gehören in die Anlage, zusammen mit der Frage, wer Copilot-Nutzungsberichte zu sehen bekommt.

Vertrauliche Kommunikation von Personalabteilung und Betriebsrat

Der Einwand kommt in jeder Verhandlung: Die Administration könne ohnehin alles lesen. Das ist technisch nicht ganz falsch, denn wer Websitesammlungen verwaltet, kann sich Berechtigungen verschaffen. Dagegen hilft nur eine Kombination aus technischen und organisatorischen Maßnahmen.

Technisch am stärksten wirkt eine Vertraulichkeitsbezeichnung mit Verschlüsselung, deren Berechtigung ausschließlich auf den Kreis des Gremiums lautet. Wer nicht in dieser Berechtigung steht, kann die Datei auch mit Zugriff auf die Ablage nicht öffnen, solange die Superbenutzer-Funktion ausgeschaltet bleibt; ob sie aktiviert werden darf und wie das protokolliert wird, gehört in die Vereinbarung. Dazu kommen ein eigenes Team ohne externe Freigabe, eine enge Rollenvergabe für Suchwerkzeuge wie eDiscovery und die Protokollierung administrativer Zugriffe.

Organisatorisch gehören dazu eine schriftliche Erklärung darüber, wer diese Bereiche nicht betritt, ein Vier-Augen-Prinzip für Ausnahmen und die Klarstellung, dass das Gremium seine eigenen Daten datenschutzkonform verarbeitet, während der Arbeitgeber datenschutzrechtlich verantwortlich bleibt. Diese Rollenverteilung steht seit dem Betriebsrätemodernisierungsgesetz von 2021 ausdrücklich in § 79a BetrVG.

Wie der Weg zur Unterschrift meistens verläuft

Am Anfang steht eine gemeinsame Bestandsaufnahme: Welche Dienste sind aktiv, welche Daten fallen an, wer kann sie sehen. Wenn beide Seiten dieselbe Liste vor sich haben, verkürzt das die Verhandlung erheblich, weil viele Befürchtungen sich an Funktionen entzünden, die gar nicht eingeschaltet sind.

Danach folgt die Datenschutz-Folgenabschätzung, die ohnehin gebraucht wird und als gemeinsame Faktengrundlage dient, anschließend der Entwurf, ein begrenzter Pilotbetrieb und die Auswertung zu einem festen Termin. Wer den Pilotbetrieb überspringt, verhandelt über Vermutungen.

Rechtlich gehört zur Vorbereitung ein Blick auf die Grundlage für die Verarbeitung von Beschäftigtendaten: Der Gerichtshof der Europäischen Union hat im März 2023 in der Rechtssache C-34/21 eine hessische Regelung verworfen, die wortgleich zu § 26 Absatz 1 BDSG gefasst war. Ein eigenes Beschäftigtendatengesetz lag 2024 als Referentenentwurf vor, in Kraft ist es nicht (Stand Oktober 2026). Formulierungen, die sich zu eng an eine einzelne Norm hängen, altern deshalb schnell. Die Bewertung im Einzelfall gehört in die Hände der Rechtsberatung und nicht in eine Mustervorlage aus dem Netz.