Betriebsvereinbarung zu Microsoft 365: die Streitpunkte
Mitbestimmungspflichtig ist Microsoft 365 schon deshalb, weil es Verhalten und Leistung auswertbar machen könnte, und nicht erst, wenn jemand das auch vorhat.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Vereinbarung veraltet schneller als der Dienst
Die Verhandlung startet meistens mit einer Liste aller Funktionen, die Microsoft 365 mitbringt. Das Problem daran zeigt sich nach wenigen Monaten, denn der Dienst ändert sich laufend, ohne dass jemand ein Update einspielt. Eine Vereinbarung, die jede Funktion einzeln aufzählt, blockiert damit früher oder später den Betrieb.
Der umgekehrte Weg funktioniert genauso wenig. Eine Klausel, die alle künftigen Funktionen pauschal einschließt, wird der Betriebsrat zu Recht nicht unterschreiben, weil sie die Mitbestimmung leerlaufen ließe. Zwischen diesen beiden Enden liegt der eigentliche Verhandlungsgegenstand.
Wird die Einführung vorher gestartet, kostet das doppelt. Die Diskussion dreht sich dann um Funktionen, die längst laufen, Aufzeichnungen von Besprechungen sammeln sich ohne Löschfrist in den Ablagen der Beteiligten, und die Nachverhandlung beginnt mit einem Vertrauensschaden statt mit einer gemeinsamen Faktenlage.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Geltungsbereich, also welche Dienste erfasst sind | Geschäftsleitung und Betriebsrat gemeinsam | IT-Leitung pflegt den Anhang mit den aktiven Diensten | Steht die Liste im Haupttext, muss für jeden neuen Dienst die ganze Vereinbarung geöffnet werden. |
| Auswertung von Nutzungsberichten | Beide Seiten legen Anlass, Gruppengröße und Beteiligung fest | Administration, unter anderem über die verdeckte Anzeige von Namen in Berichten | Eine Zusage ohne technische Entsprechung lässt sich nicht überprüfen und trägt in der Verhandlung wenig. |
| Aufzeichnung und Transkription von Besprechungen | Beide Seiten, mit Regel zu Ankündigung und Freiwilligkeit | Administration über die Besprechungsrichtlinien in Microsoft Teams | Die Aufzeichnung liegt im OneDrive der Person, die den Termin angelegt hat, und nicht bei der Person, die aufgezeichnet hat. |
| Umgang mit neuen Funktionen | Ein paritätisch besetztes Gremium innerhalb einer vereinbarten Frist | IT-Leitung gibt die Ankündigungen aus dem Nachrichtencenter weiter | Ohne Frist und benannte Zuständigkeit bleibt die Informationspflicht eine Formulierung ohne Wirkung. |
| Vertrauliche Ablagen von Personalabteilung und Betriebsrat | Betriebsrat und Personalabteilung für ihren jeweiligen Bereich | Administration über Vertraulichkeitsbezeichnung mit Verschlüsselung und enge Rollenvergabe | Berechtigungen lassen sich ändern, deshalb zählt die Protokollierung dieser Änderung genauso viel wie die Berechtigung selbst. |
Geltungsbereich, also welche Dienste erfasst sind
- Wer entscheidet
- Geschäftsleitung und Betriebsrat gemeinsam
- Wer setzt um
- IT-Leitung pflegt den Anhang mit den aktiven Diensten
- Stolperfalle
- Steht die Liste im Haupttext, muss für jeden neuen Dienst die ganze Vereinbarung geöffnet werden.
Auswertung von Nutzungsberichten
- Wer entscheidet
- Beide Seiten legen Anlass, Gruppengröße und Beteiligung fest
- Wer setzt um
- Administration, unter anderem über die verdeckte Anzeige von Namen in Berichten
- Stolperfalle
- Eine Zusage ohne technische Entsprechung lässt sich nicht überprüfen und trägt in der Verhandlung wenig.
Aufzeichnung und Transkription von Besprechungen
- Wer entscheidet
- Beide Seiten, mit Regel zu Ankündigung und Freiwilligkeit
- Wer setzt um
- Administration über die Besprechungsrichtlinien in Microsoft Teams
- Stolperfalle
- Die Aufzeichnung liegt im OneDrive der Person, die den Termin angelegt hat, und nicht bei der Person, die aufgezeichnet hat.
Umgang mit neuen Funktionen
- Wer entscheidet
- Ein paritätisch besetztes Gremium innerhalb einer vereinbarten Frist
- Wer setzt um
- IT-Leitung gibt die Ankündigungen aus dem Nachrichtencenter weiter
- Stolperfalle
- Ohne Frist und benannte Zuständigkeit bleibt die Informationspflicht eine Formulierung ohne Wirkung.
Vertrauliche Ablagen von Personalabteilung und Betriebsrat
- Wer entscheidet
- Betriebsrat und Personalabteilung für ihren jeweiligen Bereich
- Wer setzt um
- Administration über Vertraulichkeitsbezeichnung mit Verschlüsselung und enge Rollenvergabe
- Stolperfalle
- Berechtigungen lassen sich ändern, deshalb zählt die Protokollierung dieser Änderung genauso viel wie die Berechtigung selbst.
Sechs Stationen bis zur Unterschrift
- 01 Am Anfang steht eine gemeinsame Liste der tatsächlich aktiven Dienste.
- 02 Die Datenschutz-Folgenabschätzung liefert beiden Seiten dieselbe Faktenlage.
- 03 Der Entwurf regelt Zweckbindung, Auswertung und Fristen für Protokolldaten.
- 04 Ein begrenzter Pilotbetrieb ersetzt die Diskussion über Vermutungen.
- 05 Die Auswertung des Pilotbetriebs steht mit festem Termin in der Vereinbarung.
- 06 Ein Verfahren für neue Funktionen hält die Vereinbarung danach am Leben.
Was du danach in der Hand hast
Am Ende steht eine Vereinbarung, die nicht den heutigen Funktionsstand beschreibt, sondern das Verfahren, mit dem beide Seiten mit dem nächsten umgehen.
Zweckbindung überprüfbar machen
Du formulierst, wofür die Daten aus dem Betrieb genutzt werden, und ergänzt die Regeln, die diesen Satz nachprüfbar machen: Auswertung erst ab einer festgelegten Gruppengröße, namentlich benannte Zuständigkeiten und ein dokumentierter Anlass.
Berichte entschärfen
Du kennst die Einstellung im Microsoft 365 Admin Center, mit der Namen von Personen, Gruppen und Websites in allen Berichten verdeckt angezeigt werden. Sie ist überprüfbar und damit mehr wert als eine Absichtserklärung.
Aufzeichnungen regeln
Du weißt, dass die Aufzeichnung im OneDrive der Person landet, die den Termin angelegt hat, und bei Kanalbesprechungen in der Ablage des Kanals. Darauf baust du Ankündigung, Speicherort, Weitergabe und Löschfrist auf.
Neue Funktionen verfahren statt verbieten
Du vereinbarst Kategorien statt Einzelfunktionen, eine Informationspflicht auf Basis des Nachrichtencenters mit einer Frist und ein Gremium, das über die Freigabe entscheidet.
Den Geltungsbereich fortschreibbar halten
Du führst die eingesetzten Dienste als Anhang zur Vereinbarung. Ein Anhang lässt sich anpassen, ohne dass für einen neuen Dienst die ganze Vereinbarung wieder aufgemacht wird.
Vertrauliche Bereiche technisch absichern
Du schützt die Ablagen von Personalabteilung und Betriebsrat mit einer verschlüsselnden Vertraulichkeitsbezeichnung, deren Berechtigung nur auf den Kreis des Gremiums lautet, und protokollierst jede Änderung daran.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Funktionen, um die es tatsächlich geht
Der Präsenzstatus in Microsoft Teams steht ganz oben, weil er sich aus Aktivität ableitet und damit sichtbar macht, wer am Rechner sitzt. Dazu kommen die Anwesenheitsliste einer Besprechung, die Beitritts- und Verlassenszeiten ausweist, sowie Aufzeichnung und Transkription, die aus einem Gespräch ein durchsuchbares Dokument machen.
Auf der Auswertungsseite sind es die Nutzungsberichte im Microsoft 365 Admin Center, die Aktivität je Person und Dienst zeigen, das Überwachungsprotokoll, in dem Anmeldungen und Zugriffe stehen, und die Auswertungen aus Microsoft Viva Insights, die inzwischen auch die Nutzung von Microsoft 365 Copilot abdecken. Bei Viva Insights lohnt die Unterscheidung: Die persönliche Auswertung sieht nur die betroffene Person selbst, während weitergehende organisatorische Auswertungen ein eigenes Thema mit eigener Regelung sind.
Wer eine schnelle Verhandlungshilfe sucht, findet sie im Microsoft 365 Admin Center: Dort lassen sich Namen von Personen, Gruppen und Websites in allen Berichten verdeckt anzeigen. Diese eine Einstellung nimmt aus vielen Berichten die personenbezogene Schärfe heraus und ist überprüfbar, was in einer Vereinbarung mehr wert ist als eine Absichtserklärung.
Regelungen, die sich bewährt haben
Der Kern ist fast immer die Zweckbindung: Die Daten, die beim Betrieb anfallen, dienen der Sicherstellung des Betriebs, der Fehlersuche und der Abwehr von Angriffen, ausdrücklich nicht der Bewertung von Verhalten und Leistung. Daran schließen sich die Regeln an, die diesen Satz überprüfbar machen: Ausgewertet wird nur zusammengefasst und erst ab einer festgelegten Gruppengröße, die Zuständigkeiten sind namentlich benannt, der Betriebsrat wird bei Auswertungen im Einzelfall beteiligt, und jede Auswertung braucht einen dokumentierten Anlass.
Für Protokolldaten gehört eine Aufbewahrungsfrist in die Vereinbarung, für Aufzeichnungen eine Regel zu Ankündigung, Speicherort und Löschung. Bei Aufzeichnungen hilft es, den technischen Ablauf zu kennen: Die Aufzeichnung einer normalen Besprechung landet im OneDrive der Person, die den Termin angelegt hat, und nicht bei der Person, die auf "Aufzeichnen" geklickt hat. Die Aufzeichnung einer Kanalbesprechung liegt dagegen in der SharePoint-Ablage des Kanals. Ohne festgelegte Löschfrist sammeln sich dort Mitschnitte über Jahre.
Bewährt hat sich außerdem, den Geltungsbereich als Liste der eingesetzten Dienste zu führen und diese Liste zum Anhang zu machen. Ein Anhang lässt sich fortschreiben, ohne die ganze Vereinbarung neu zu verhandeln.
Neue Funktionen sind der eigentliche Knackpunkt
Der Dienst ändert sich laufend, ohne dass die Organisation ein Update einspielt. Eine Vereinbarung, die jede Funktion einzeln aufzählt, blockiert damit früher oder später den Betrieb. Eine Vereinbarung, die pauschal alle künftigen Funktionen einschließt, wird der Betriebsrat zu Recht nicht unterschreiben.
Der tragfähige Weg liegt dazwischen und besteht aus drei Elementen: Kategorien statt Einzelfunktionen, eine Informationspflicht mit Frist und ein Gremium, das entscheidet. Als Quelle für die Information eignet sich das Nachrichtencenter im Microsoft 365 Admin Center, in dem angekündigte Änderungen mit Termin stehen. Vereinbart wird, dass relevante Meldungen daraus regelmäßig weitergegeben und gemeinsam bewertet werden.
Ergänzend hilft eine Erprobungsphase mit festem Enddatum und vereinbarter Auswertung. Das senkt die Hürde für die Zustimmung erheblich, weil keine Seite eine Entscheidung für die Ewigkeit trifft.
Vertrauliche Kommunikation von Personalabteilung und Betriebsrat
Der Einwand kommt in jeder Verhandlung: Die Administration könne ohnehin alles lesen. Das ist technisch nicht ganz falsch, denn wer Websitesammlungen verwaltet, kann sich Berechtigungen verschaffen. Dagegen hilft nur eine Kombination aus technischen und organisatorischen Maßnahmen.
Technisch am stärksten wirkt eine Vertraulichkeitsbezeichnung mit Verschlüsselung, deren Berechtigung ausschließlich auf den Kreis des Gremiums lautet. Wer nicht in dieser Berechtigung steht, kann die Datei auch mit Administrationsrechten nicht öffnen, selbst wenn er Zugriff auf die Ablage bekommt. Dazu kommen ein eigenes Team ohne externe Freigabe, eine enge Rollenvergabe für Suchwerkzeuge wie eDiscovery und die Protokollierung administrativer Zugriffe.
Organisatorisch gehören dazu eine schriftliche Erklärung darüber, wer diese Bereiche nicht betritt, ein Vier-Augen-Prinzip für Ausnahmen und die Klarstellung, dass das Gremium seine eigenen Daten datenschutzkonform verarbeitet, während der Arbeitgeber datenschutzrechtlich verantwortlich bleibt. Diese Rollenverteilung steht seit der Novelle des Betriebsverfassungsgesetzes ausdrücklich im Gesetz.
Wie der Weg zur Unterschrift meistens verläuft
Am Anfang steht eine gemeinsame Bestandsaufnahme: Welche Dienste sind aktiv, welche Daten fallen an, wer kann sie sehen. Wenn beide Seiten dieselbe Liste vor sich haben, verkürzt das die Verhandlung erheblich, weil viele Befürchtungen sich an Funktionen entzünden, die gar nicht eingeschaltet sind.
Danach folgt die Datenschutz-Folgenabschätzung, die ohnehin gebraucht wird und als gemeinsame Faktengrundlage dient, anschließend der Entwurf, ein begrenzter Pilotbetrieb und die Auswertung zu einem festen Termin. Wer den Pilotbetrieb überspringt, verhandelt über Vermutungen.
Rechtlich gehört zur Vorbereitung ein Blick auf die Grundlage für die Verarbeitung von Beschäftigtendaten: Der Gerichtshof der Europäischen Union hat 2023 eine Regelung verworfen, die wortgleich zur bundesrechtlichen Vorschrift im Bundesdatenschutzgesetz gefasst war, und ein eigenes Beschäftigtendatengesetz liegt zwar im Entwurf vor, ist aber nicht in Kraft. Formulierungen, die sich zu eng an eine einzelne Norm hängen, altern deshalb schnell. Die Bewertung im Einzelfall gehört in die Hände der Rechtsberatung und nicht in eine Mustervorlage aus dem Netz.
Dazu passende Kurse
Für Gremien, die die Werkzeuge vor der Verhandlung selbst kennenlernen wollen, gibt es Microsoft-365-Schulungen im Überblick .
Wie sich das Vereinbarte anschließend technisch abbilden lässt, behandeln die Kurse zur Konfiguration von Microsoft Teams .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Ich bin sehr zufrieden, alles wurde klar erklärt. Insgesamt war der Kurs sehr informativ und sehr empfehlenswert.
Referent und Inhalt sehr gut und vor allem durch den kleinen Teilnehmerkreis sehr hilfreich.
Gut verständlich erklärt, weitere Möglichkeiten und Optionen aufgezeigt. Die Teilnehmer hatten bereits sehr unterschiedliche Vorkenntnisse, da hat der Veranstalter aber keinen Einfluss.
Häufige Fragen
Gilt die Mitbestimmung auch, wenn gar keine Auswertung geplant ist?
Muss jede neue Funktion einzeln verhandelt werden?
Wie sicher ist ein eigenes Team für den Betriebsrat?
Was gehört zu Aufzeichnungen von Besprechungen in die Vereinbarung?
Passt thematisch dazu
Sobald im Mandanten KI-Funktionen dazukommen, greift die bestehende Vereinbarung oft zu kurz, und was dann zusätzlich hineingehört, zeigen die Regelungspunkte für eine Betriebsvereinbarung zu KI .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Microsoft 365-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Eine Vereinbarung, die den nächsten Funktionsstand überlebt
Welche Regelungen sich bewährt haben und wo Leitung und Betriebsrat regelmäßig auseinandergehen, ordnest du in den cmt-Kursen für Betriebsräte und IT-Verantwortliche ein.