Der Blick auf die Beschäftigten und das Ganze
Dieser abschließende Teil unserer Linkedin-Serie nimmt sich den Streitpunkt vor, der im Unternehmenseinsatz oft der wichtigste ist, den Beschäftigtendatenschutz. Danach fügen wir die Debatte zu einem Gesamtbild zusammen, ohne sie aufzulösen. Wie in der ganzen Reihe stehen das Kontra und das Pro nebeneinander, gefolgt von einer Einordnung. Es ist eine fachliche Einordnung und keine Rechtsberatung.
Streitpunkt 8: Beschäftigtendatenschutz und Überwachungswerkzeuge
Kontra. Im Unternehmenseinsatz ist Microsoft 365 vor allem ein System zur Verarbeitung von Beschäftigtendaten, und die Rechtsgrundlage ist seit dem Urteil C-34/21 unsicher. § 26 Absatz 1 Satz 1 BDSG gilt überwiegend als unanwendbar, ein Beschäftigtendatengesetz fehlt. Die Verarbeitung muss unmittelbar auf Artikel 6 DSGVO gestützt werden, bei den umfangreichen Protokoll-, Auswertungs- und KI-Funktionen eine anspruchsvolle Abwägung. Hinzu kommt die Mitbestimmung nach § 87 Absatz 1 Nummer 6 BetrVG und der Doppelcharakter der Werkzeuge, denn Defender, Viva Insights, Insider Risk Management und Communication Compliance sind leistungsfähige Überwachungsinfrastrukturen. Eine Betriebsvereinbarung bindet den Zweck, ist aber widerrufbar, während die technische Fähigkeit installiert bleibt.
Pro. Die durch das Urteil ausgelöste Unsicherheit betrifft jede Verarbeitung von Beschäftigtendaten, nicht speziell Microsoft 365, und ist über eine Betriebsvereinbarung als Grundlage im Sinne des Artikel 88 DSGVO lösbar, was etablierte und anerkannte Praxis ist. Der Einwand, die technische Fähigkeit bleibe installiert, trifft auf praktisch jedes IT-System mit Protokollfunktionen zu und kann daher kein spezifisches Ausschlusskriterium sein. Die anerkannte Risikominderung besteht in Governance, also Betriebsvereinbarung, Zweckbindung, Pseudonymisierung, Rollentrennung und Protokollierung, nicht im Verzicht auf die Technik. Mehrere der sensibelsten Werkzeuge sind zudem datenschutzfreundlich voreingestellt.
Einordnung. Unstrittig ist, dass Microsoft 365 überwachungsgeeignete Funktionen enthält und damit mitbestimmungspflichtig ist und dass die Rechtsgrundlage für Beschäftigtendaten nach dem Urteil unmittelbar aus der DSGVO und einer Betriebsvereinbarung abzuleiten ist. Die Positionen unterscheiden sich darin, ob die fortbestehende technische Überwachungsfähigkeit ein eigenständiges, durch Governance nicht vollständig auflösbares Risiko darstellt oder ob die organisatorische Bindung das anerkannte und ausreichende Mittel ist. Diese Frage ist weniger eine Tatsachen- als eine Bewertungs- und Vertrauensfrage gegenüber der eigenen künftigen Organisationsführung.
Das Gesamtbild: Was unstrittig ist und was offen bleibt
Über die neun Streitpunkte hinweg lässt sich klar trennen, was zwischen den Positionen unstrittig und was umkämpft ist. Diese Trennung ist selbst die nützlichste Orientierung, denn sie zeigt, worüber man nicht mehr streiten muss und worüber die eigene Abwägung zu entscheiden hat.
Empirisch weitgehend belegt und zwischen beiden Seiten unstrittig sind die US-Rechtslage und die grundsätzliche Zugriffsmöglichkeit, die Existenz dokumentierter Ausnahmen der EU Data Boundary und der Flex-Routing-Voreinstellung, ein nicht vollständig abschaltbarer Telemetrie-Reststrom, das Fortbestehen der Festlegung von 2022 neben der Verfahrenseinstellung des Europäischen Datenschutzbeauftragten und dem hessischen Bericht, die produktive Existenz von Alternativen mit eigenen Funktions- und Kostenprofilen sowie die Mitbestimmungspflicht überwachungsgeeigneter Funktionen.
Offen und Gegenstand der Kontroverse bleiben dagegen die Fragen, ob für die Zulässigkeit die abstrakte Zugriffsmöglichkeit oder die konkrete Eintrittswahrscheinlichkeit maßgeblich ist, ob nicht selbst prüfbare, aber extern testierte Zusagen ein hinreichendes Vertrauensfundament bilden, wie das Opt-out-Prinzip bei Copilot datenschutzrechtlich zu bewerten ist, wie § 25 TDDDG auf die Telemetrie anzuwenden ist, ob organisatorische Governance den Doppelcharakter überwachungsgeeigneter Technik hinreichend einhegt, und schließlich der Ausgang des Verfahrens vor dem Europäischen Gerichtshof sowie die weitere Entwicklung des US-Rechts.
Ein Wort zum Schluss
Wie diese offenen Punkte zu gewichten sind und welche Schlussfolgerung daraus für eine konkrete Organisation folgt, ist eine Abwägung, die wir bewusst nicht treffen. Sie hängt vom Schutzbedarf der Daten, von der Branche, der vorhandenen IT-Kompetenz und der Risikobereitschaft ab und liegt beim Verantwortlichen im Sinne der DSGVO. Was wir liefern, ist der Sachstand, die technischen Stellhebel und eine Struktur für die Abwägung, nicht die Entscheidung selbst.
Der zweite Bericht und die Quellen
Damit endet unsere Pro-und-Kontra-Reihe. Die vollständige Fassung mit allen neun Streitpunkten, jeweils in der ausführlichen Gegenüberstellung von These, Gegenthese und Einordnung, erscheint zeitgleich mit diesem neunten Teil als eigenes Gesamtdokument. Sämtliche Quellen und Verzeichnisse sind darin enthalten und amtlich oder durch Originaldokumente des Herstellers belegt. Dieses zweite Dokument bildet zusammen mit der Bestandsaufnahme aus den Teilen 1 bis 5 das komplette Bild.
So unterstützt improve it
Die improve it GmbH aus Weingarten bei Karlsruhe ist auf Datenschutz, Informationssicherheit und Compliance rund um Microsoft 365 spezialisiert. Wir verbinden technische Expertise mit Datenschutz- und Informationssicherheitswissen, von der Tenant-Konfiguration bis zur Betriebsvereinbarung. Mit dem M365 Compliance Radar überwachen wir Konfigurationen fortlaufend und machen Änderungen für Datenschutz und Betriebsrat transparent. Beide Berichte sowie die konkreten Arbeitshilfen, die Konfigurations-Checkliste, den Leitfaden zur Datenschutz-Folgenabschätzung und die Souveränitäts-Entscheidungsmatrix, stellen wir Ihnen in einem kostenfreien Infopaket zur Verfügung. Fordern Sie es an, und wir klären Ihre wichtigsten Fragen in einem kostenfreien Erstgespräch.
In dieser Reihe
Teil 6: Vertrauen und Zugriff. Teil 7: Copilot und Telemetrie. Teil 8: Aufsicht, Souveränität und Alternativen. Teil 9: Beschäftigte und Gesamtbild.
Einstieg verpasst? Schauen Sie unsere Einordnungsserie Teil 1: Warum die Frage neu zu stellen ist, Teil 2: Der lange Arm der USA, Teil 3: Die EU Data Boundary und die Aufsichtsbehörden, Teil 4: Copilot, die KI-Modelle und die Mitbestimmung, Teil 5: Digitale Souveränität und das Fazit.
Dieser Beitrag gibt den Recherchestand Juni 2026 wieder. Er ist eine fachliche Einordnung einer Datenschutzberatung, stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar und ersetzt keine anwaltliche Prüfung des Einzelfalls.