Microsoft hat im Juli 167 Änderungen im Message Center veröffentlicht. 24 davon sind für deutsche Betriebsräte relevant. Drei stechen heraus, und zwar nicht wegen ihrer Tragweite, sondern wegen ihres Zeitplans: Bei einer ist die Frist am 24. Juli bereits abgelaufen, zwei weitere greifen Ende August automatisch. In allen drei Fällen entsteht der neue Zustand ohne Entscheidung, wenn niemand hinschaut. Genau das macht sie zu Themen für den August und nicht für den Herbst.

1. OpenAI wird Subprozessor, und die Einstellung hat sich selbst aktiviert (MC1422074)

Was passiert: Microsoft hat OpenAI als Subprozessor für Microsoft 365 Copilot aufgenommen. Damit stehen von OpenAI selbst betriebene Modelle zur Verfügung, beginnend mit GPT-5.6. Am 9. Juli erschien die zugehörige Einstellung im Microsoft 365 Admin Center, zunächst deaktiviert. Wer bis zum 24. Juli nicht reagiert hat, bei dem hat Microsoft sie automatisch aktiviert. Wer das nicht wollte, musste vorher aktiv „No users“ auswählen. Betroffen sind ausschließlich Modelle auf Infrastruktur von OpenAI, nicht die von Microsoft über Azure OpenAI betriebenen.

Warum das brennt: Es ist der zweite Fall dieser Art in diesem Jahr. Im April wurden die Anthropic-Modelle in Word, Excel und PowerPoint standardmäßig aktiviert. Das Muster wiederholt sich: Eine Frist verstreichen zu lassen hat dieselbe Wirkung wie eine Entscheidung zu treffen. Die Frist ist vorbei, die Prüfung findet also rückwirkend statt. Wer im Herbst darlegen muss, welcher Anbieter wann an der Verarbeitung beteiligt war, braucht die Antwort jetzt.

Konkrete Maßnahmen für den Betriebsrat:

1. Bestandsaufnahme: Lassen Sie sich den heutigen Stand der Einstellung im Admin Center zeigen. Drei Fragen: Ist sie aktiv? Wurde sie bewusst gesetzt oder ist sie durch Fristablauf angesprungen? Wer war beteiligt?
2. Unterrichtung einfordern: Bitten Sie um eine schriftliche Darstellung, welche Modelle heute im Einsatz sind, für welche Nutzergruppen und wo verarbeitet wird. Der übliche Anknüpfungspunkt dafür ist § 80 Abs. 2 BetrVG; die Bewertung, ob und in welchem Umfang der Anspruch greift, gehört zu Ihrer Rechtsberatung.
3. Abweichungen von den Standardzusagen klären: Microsoft schreibt, es gälten die üblichen Zusagen der Produktbedingungen und des Datenschutznachtrags, „soweit in der Dokumentation nichts anderes offengelegt ist“. Lassen Sie sich zeigen, was diese Dokumentation zu den OpenAI-betriebenen Modellen sagt.
4. Muster für künftige Fälle vereinbaren: Sinnvoller als jeden Einzelfall nachzulaufen ist eine Verabredung, dass Einstellungen mit automatischer Aktivierung vor Ablauf der Frist gemeldet werden. Das kostet die IT wenig und nimmt den Druck aus jedem folgenden Fall.
5. Fachstellen einbinden: Datenschutzbeauftragte und, sofern im Haus benannt, die für die KI-Verordnung zuständige Person gehören in diesen Vorgang. Die technische Frage lautet: Was ist eingeschaltet? Die Bewertung der Auslagerung liegt bei den Fachstellen.

2. Elf zusätzliche Felder auf der Profilkarte, ab Ende August standardmäßig sichtbar (MC1438571)

Was passiert: Microsoft ändert Ende August die Standardsichtbarkeit von elf Feldern auf der Microsoft-365-Profilkarte. Sie werden künftig angezeigt, sobald sie im Verzeichnis gefüllt sind. Es geht um Bereich, Rolle, Personalnummer, Beschäftigtenart, Kostenstelle, Benutzerprinzipalname, Alias, Fax, Straße, Bundesland und Postleitzahl. Bisher musste die Administration jedes dieser Felder einzeln freischalten. Die Werte selbst ändern sich nicht, nur ihre Sichtbarkeit. Betroffen sind ausdrücklich auch Mandanten, die die Profilkarteneinstellungen nie angefasst haben.

Warum das brennt: Personalnummer, Kostenstelle und Beschäftigtenart sind Angaben aus der Personalverwaltung. Sie waren bisher nicht ohne Grund für die ganze Belegschaft unsichtbar. Beschäftigtenart macht für jeden erkennbar, wer befristet beschäftigt, entliehen oder extern ist. Das ist der Eintrag des Monats mit dem härtesten Termin, weil er ohne Zutun scharf wird. Nach Ende August ist es keine Entscheidung mehr, sondern eine Korrektur.

Konkrete Maßnahmen für den Betriebsrat:

1. Bestandsaufnahme: Lassen Sie prüfen, welche der elf Felder im Verzeichnis überhaupt Werte enthalten. Nur gefüllte Felder werden sichtbar. Häufig ist die Liste kürzer als befürchtet, manchmal aber auch länger.
2. Termin vormerken: Die Umstellung beginnt Ende August. Setzen Sie die Befassung so an, dass die Entscheidung vorher steht und nicht danach.
3. Feldweise entscheiden: Die Sichtbarkeit lässt sich weiterhin je Feld steuern. Bereich und Rolle sind etwas anderes als Personalnummer und Kostenstelle. Eine pauschale Freigabe oder Sperre wird der Sache nicht gerecht.
4. Beschäftigtenart gesondert behandeln: Dieses Feld hat eine andere Qualität als die übrigen, weil es den Beschäftigungsstatus offenlegt. Wenn Sie nur einen Punkt vertiefen, dann diesen.
5. Beschäftigte informieren: Was künftig sichtbar ist, sollte vorher bekannt sein und nicht auffallen, weil jemand es zufällig auf der Karte einer Kollegin entdeckt.

3. Copilot nimmt Präsenzgespräche auf, ohne die Gegenseite zu informieren (MC1437679)

Was passiert: Die mobile Copilot-App für iOS und Android bekommt eine Aufnahmefunktion. Beschäftigte können damit Präsenzgespräche oder Sprachnotizen aufzeichnen und erhalten anschließend im Copilot Chat ein automatisch erzeugtes Transkript samt Zusammenfassung. Eine Aufnahme darf bis zu 120 Minuten lang sein und läuft im Hintergrund weiter, wenn die App gewechselt wird. Die Audiodatei landet in OneDrive der aufnehmenden Person. Für alle Nutzer mit Copilot-Lizenz ist die Funktion standardmäßig aktiviert. Allgemeine Verfügbarkeit ab Ende August 2026.

Warum das brennt: Das ist keine Meeting-Aufzeichnung in Teams mehr, bei der ein Banner erscheint und alle es wissen. Das ist eine Aufnahmemöglichkeit für jedes Gespräch, im Büro, im Flur, beim Kunden. Microsoft schreibt in der Ankündigung selbst, dass die App die übrigen Gesprächsteilnehmer nicht über den Aufnahmestart informiert, und verweist die Verantwortung für erforderliche Einwilligungen an die Nutzer. Damit wandert eine Frage, die bisher technisch beantwortet war, in die Verantwortung Einzelner.

Konkrete Maßnahmen für den Betriebsrat:

1. Bestandsaufnahme: Ist die mobile Copilot-App im Haus verteilt? Wird sie über Intune verwaltet? Wie viele Beschäftigte haben eine Copilot-Lizenz? Ohne diese drei Antworten lässt sich die Reichweite nicht einschätzen.
2. Steuerbarkeit klären: Fragen Sie konkret, mit welchen Mitteln sich die Funktion einschränken lässt, und lassen Sie sich die Antwort belegen. Microsoft nennt die Verwaltung der mobilen App als Ansatzpunkt, einen eigenen Schalter für die Aufnahmefunktion nennt die Ankündigung nicht.
3. Das Hinweisproblem benennen: Verabreden Sie, wie Beschäftigte darüber informiert werden, dass die App die Gegenseite nicht warnt. Wer die Funktion nutzt, sollte wissen, dass der Hinweis von ihm selbst kommen muss.
4. Ablage und Aufbewahrung regeln: Aufnahme, Transkript und Zusammenfassung erben die Berechtigungen und Regeln von OneDrive. Klären Sie, welche Aufbewahrungsdauer gilt, ob Vertraulichkeitskennzeichnungen greifen und wer im Rahmen von Auskunfts- oder Ermittlungsvorgängen darauf zugreifen kann.
5. Sensible Gesprächssituationen ausnehmen: Personalgespräche, Konfliktgespräche und Gespräche mit der Interessenvertretung gehören ausdrücklich adressiert. Technisch ist eine solche Aufnahme von einer normalen Sprachnotiz nicht zu unterscheiden, deshalb muss die Regel es sein.

Was noch im Juli-Newsletter steht

21 weitere Einträge, darunter drei, die wir im August weiter beobachten. Purview greift künftig auf den Netzwerkverkehr durch (MC1419797): Über die Verbindung mit Entra Internet Access wirken Klassifizierung und Datenverlustschutz nicht mehr nur in den Microsoft-Anwendungen, sondern auf Ebene der Internetverbindung, mit Anbindung an das Insider Risk Management. Allgemeine Verfügbarkeit ab Ende September. Teams erzeugt KI-Archivdateien zu Besprechungen (MC1429018), standardmäßig aktiv, für Nutzer nicht einsehbar, gekoppelt an das gespeicherte Transkript. Und das Insider Risk Management bekommt freie Notizfelder, erweiterte Angaben zur Person einschließlich letztem Arbeitstag sowie eine KI-gestützte Vorsortierung der Meldungen (MC1430534, MC1430536, MC1438568).

Unsere Einordnungen sind fachlicher Arbeitsstand aus technischer Sicht und keine Rechtsberatung. Wir sagen, was eine Funktion technisch tut, was sich einstellen lässt und welche Stelle im Haus das bewerten muss. Die rechtliche Bewertung bleibt dort, wo sie hingehört.

Den vollständigen Monatsüberblick gibt es mit unserem M365 Compliance Radar: improve-it.gmbh/m365-compliance-radar

Beitrag zum improve it M365 Compliance Radar — Ausgabe Juni 2026

Microsoft hat im Juni 2026 rund 161 Änderungen am Message Center veröffentlicht. Achtzehn davon sind für deutsche Betriebsräte mitbestimmungsrelevant. Drei Themen ragen so weit heraus, dass sie in den kommenden Wochen aktiv angegangen werden sollten — nicht später, weil bei allen drei die Umsetzung ohne aktives Zutun bereits läuft.

1. Automatische Aufzeichnung und Transkription in Teams Call Queues (MC1401299)

Was passiert: Ab Anfang August 2026 (GA: Mitte bis Ende August) können Administratoren die automatische Aufzeichnung und Transkription auf Ebene einzelner Call Queues in Microsoft Teams aktivieren. Sobald das für eine Warteschlange geschieht, werden alle von den Agenten der Queue angenommenen Anrufe ohne weitere Nutzeraktion aufgezeichnet, transkribiert und in SharePoint abgelegt. Über die Queues-App sind sie mit Teams-Premium-Lizenz abrufbar.

Warum das brennt: Das ist ein klassischer Fall der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG — Aufzeichnung von Arbeitsergebnissen einzelner Beschäftigter. Zusätzlich greift die TDDDG- und DSGVO-Perspektive, weil externe Anrufer über die Aufzeichnung informiert werden und wirksam einwilligen müssen. Ohne saubere Regelung sind sowohl arbeitsrechtliche Folgen als auch Bußgeldrisiken realistisch.

Konkrete Maßnahmen für den Betriebsrat:

1. Bestandsaufnahme: Welche Call Queues gibt es aktuell? Welche werden im Servicekontext, welche intern genutzt? Verlangen Sie eine Liste aller aktiven Warteschlangen mit Zweck und Nutzergruppe.
2. Freigabekonzept vereinbaren: Für jede Warteschlange muss vor Aktivierung schriftlich geklärt sein, ob Aufzeichnung und Transkription gemeinsam oder getrennt aktiviert werden, und für welchen Zeitraum. Trennung zwischen Quality Assurance (Stichprobe) und flächendeckend ist essentiell.
3. Externe-Anrufer-Ansage abstimmen: Text der automatischen Aufzeichnungs-Ansage gemeinsam mit Datenschutzbeauftragtem und Rechtsabteilung festlegen — inklusive Widerspruchsmöglichkeit.
4. Zugriffs- und Auswertungsregeln festlegen: Wer sieht Transkripte? Wer darf Aufzeichnungen abhören? Wie werden Auswertungen dokumentiert? Verbot der Nutzung für Leistungs- und Verhaltenskontrolle explizit in der BV verankern.
5. Aufbewahrungsfristen setzen: Wie lange bleiben Aufzeichnungen und Transkripte verfügbar? Nach welcher Zeit werden sie automatisch gelöscht? Retention-Policy technisch prüfen.

2. Microsoft 365 Archive: Datei-Ebene-Archivierung wird Standardfunktion (MC1381114)

Was passiert: Was im Mai noch in Public Preview war, ist ab Anfang bis Ende Juli 2026 allgemein verfügbar — und wichtig: In Tenants mit aktiviertem Microsoft 365 Archive ist die Funktion standardmäßig auf allen SharePoint-Sites aktiv, sofern der Administrator sie nicht abschaltet. Nutzer mit Edit-Berechtigung können damit einzelne Dateien in den Archiv-Speicher verschieben; sie bleiben sichtbar am Ursprungsort, aber können nicht mehr direkt geöffnet werden.

Warum das brennt: Der Schritt von Opt-in (Mai) zu Default-on (Juni) verändert die Reichweite fundamental. Nicht mehr nur bewusst konfigurierte Sites sind betroffen, sondern die gesamte SharePoint-Umgebung. In der Praxis bedeutet das: Sitzungsprotokolle, Bewerbungsunterlagen, Personalakten, Beurteilungen — alle diese Inhalte können durch einzelne Bearbeitungsberechtigte in den Archiv-Status versetzt werden. Retention- und BR-Vereinbarungen zur Aufbewahrung geraten schnell in Konflikt mit der neuen Standardfunktion.

Konkrete Maßnahmen für den Betriebsrat:

1. Tenant-Entscheidung dokumentieren: Bleibt die Datei-Archivierung tenant-weit aktiv oder wird sie zur Wiederkehr des Opt-in-Zustands deaktiviert? Diese Entscheidung mit Datum und Begründung schriftlich festhalten.
2. Site-Governance nachziehen: Für sensible SharePoint-Sites (HR, Betriebsrat, Geschäftsführung, Compliance) explizit prüfen, ob Archivierung erlaubt bleibt und wer archivieren darf. Sensitivity-Label-basierte Sperre als technische Umsetzung.
3. Beschäftigte informieren: Klarer Kommunikationsplan — was passiert bei Archivierung, wie lange dauert die Reaktivierung (sofort binnen 7 Tagen, danach bis zu 24 Stunden), wie erkennt man den Archiv-Status?
4. Verhältnis zur Retention klären: Bestehende Retention-Policies bleiben laut Microsoft gültig — aber wie interagieren sie mit user-initiierter Archivierung? Beispielszenario „Compliance-relevante Datei wird vom Nutzer archiviert“ mit Datenschutz und IT durchspielen.
5. Übersichts-Report vereinbaren: Regelmäßiger Auszug archivierter Dateien pro Site (quartalsweise), damit Muster erkennbar bleiben.

3. OneDrive-Retention für nicht lizenzierte Konten (MC1381110)

Was passiert: Ab Anfang Juli 2026 setzt Microsoft einen erzwungenen Lifecycle für nicht lizenzierte OneDrive-Konten in Kraft. Nach 60 Tagen ohne Lizenz wird OneDrive schreibgeschützt, nach 93 Tagen archiviert (kein direkter Nutzerzugriff mehr; eDiscovery und Legal Hold bleiben verfügbar). Bleibt das Konto insgesamt 12 Monate unlizenziert, drohen ab Juli 2027 endgültige Löschungen. Die Funktion ist standardmäßig aktiv, kein Opt-in erforderlich.

Warum das brennt: Die Regel wirkt technisch, betrifft aber unmittelbar Datenbestände einzelner Beschäftigter. Bei Elternzeit, Langzeitkrankheit, Freistellungen oder unbedachten Lizenzentzügen können Inhalte in die Schreibschutz- oder Archivphase rutschen — und in extremen Fällen unwiederbringlich verloren gehen. Zusätzlich kollidiert das Verhalten mit dem Auskunftsrecht nach Art. 15 DSGVO, wenn Beschäftigte ihre eigenen Inhalte nicht mehr herausbekommen.

Konkrete Maßnahmen für den Betriebsrat:

1. HR-Prozess anpassen: Bei jedem Lizenzentzug (Austritt, längere Abwesenheit, Umstellung) explizite Prüfung, was mit dem OneDrive passiert. Datenübergabe an Vorgesetzte oder Nachfolger als Standardschritt in den Prozess integrieren.
2. Elternzeit- und Freistellungsregelung: Für definierte Abwesenheiten (Elternzeit, Sabbatical, längere Krankheit) darf die Lizenz nicht ohne separate Freigabe entzogen werden. Ausnahme-Prozess mit HR und BR abstimmen.
3. Beschäftigten-Information: Klare Kommunikation an alle Beschäftigten, was mit ihrem OneDrive passiert, wenn die Lizenz endet. Ansprechpartner für Datenanforderungen benennen.
4. Sechzig-Tage-Warnung nutzen: Der 60-Tage-Fensterzeitraum vor Schreibschutz muss in den HR-Prozess einfließen, sodass Beschäftigte oder deren Vorgesetzte vor Ablauf informiert werden.
5. Datenschutzrechtlichen Auskunftsanspruch absichern: Prozess dokumentieren, wie ehemalige Beschäftigte binnen der Monatsfrist nach Art. 12 Abs. 3 DSGVO Zugriff auf ihre archivierten OneDrive-Inhalte bekommen — insbesondere zwischen Tag 93 und der endgültigen Löschung.

Was noch im Juni-Newsletter steht

Neben den drei Top-Themen enthält der vollständige Juni-Newsletter fünfzehn weitere Einträge — darunter der Recap-App-Modus, der Meetings der letzten 30 Tage in einer durchsuchbaren Ansicht und optional als Audio-Podcast bündelt, die neuen Insider-Risk-Trigger für Microsoft Fabric, Box, Dropbox, Google Drive, Azure und AWS, sowie die Nutzer-basierte Aggregation von DLP-Alerts, die faktisch Verhaltensprofile pro Person erzeugt.

Alle achtzehn Einträge sind rechtsinformiert bewertet, mit Querverweisen auf frühere Ausgaben (April, Mai) und mit konkreten Handlungsempfehlungen versehen. Wer den Newsletter regelmäßig beziehen möchte, findet den Zugang zum M365 Compliance Radar unter improve-it.gmbh/m365-compliance-radar.