Technische und normative Regelungen

Die Mitbestimmung über die Arbeitnehmerüberwachung mit technischen Einrichtungen kann grundsätzlich auf zwei unterschiedliche Arten ausgeübt werden: durch technische Regelungen oder durch normative Regelungen. Technische Regelungen bestimmen, wie das IT-System einzurichten und zu betreiben ist, um die Möglichkeit der Verhaltenskontrolle auf technischem Wege einzuschränken. Dabei wird etwa festgelegt, welche Daten über das Verhalten verarbeitet werden dürfen und welche nicht, wer darauf zugreifen darf, in welcher Weise die Daten ausgewertet werden – etwa in Reports oder Listen – und wann sie gelöscht werden.

Normative Regelungen zielen dagegen auf die Zweckbestimmung: Sie legen fest, für welche Zwecke Daten über das Verhalten von Beschäftigten verwendet werden dürfen und für welche nicht, regeln den Umfang der Daten und ihrer Verarbeitung selbst aber gar nicht oder nur in geringem Umfang. Bei einer normativen Regelung müssen die zulässigen Zwecke also so konkret wie möglich bestimmt werden; zusätzlich sollte festgelegt werden, dass eine dennoch für andere Zwecke erfolgende Verarbeitung für die Beschäftigten keine Nachteile zur Folge haben darf.

Bei Microsoft 365 ist eine rein technische Regelung in vielen Fällen gar nicht möglich. Weil sich etwa die Versionierung in SharePoint praktisch nicht deaktivieren lässt, ist hier ein normativer Ansatz sinnvoll, der die zulässigen Zwecke der Versionsverwaltung bestimmt. Ein weiteres Beispiel ist der Dienst Graph: Auch für Administratorinnen und Administratoren ist es nicht möglich, Graph zu deaktivieren, weil er als „Datenpipeline“ zwischen den verschiedenen Diensten unverzichtbar ist. Die Elementeinblicke selbst lassen sich dagegen durchaus deaktivieren.