Inhaltliche Schwerpunkte einer Betriebsvereinbarung

Wichtig sind insbesondere Regelungen über die Administration von M365 selbst; besonders die bereits vorgestellten Werkzeuge zu Defender und Purview sollten in einer Betriebsvereinbarung geregelt werden. Dabei sollte festgelegt werden, dass Instrumente wie Archivierung, Überwachung oder Data Loss Prevention (DLP) nur für genau bestimmte Zwecke genutzt werden dürfen; diese Zwecke sollten jeweils in der Betriebsvereinbarung konkret bestimmt werden. Besonders wichtig ist dabei, den Personenkreis beziehungsweise die Funktionen, bei denen bestimmte Überwachungsinstrumente genutzt werden, klar zu umreißen – in der Buchhaltung, im Einkauf oder im Vertrieb etwa gelten bestimmte Dokumentationspflichten, die den Einsatz von Compliance-Instrumenten rechtfertigen können.

Vermutlich ist es sinnvoll, die „größeren“ Dienste – SharePoint/OneDrive, Exchange, Teams – als eigene Anlagen zur eigentlichen Betriebsvereinbarung über M365 zu fassen, weil diese Dienste sehr weitgehende und unterschiedliche Fragestellungen betreffen und es den Rahmen einer einzelnen Betriebsvereinbarung sprengen würde, sie jeweils in eigenen Kapiteln umfassend zu regeln. Der Betriebsrat sollte sich zudem vorbehalten, die tatsächlich vorgenommenen Einstellungen selbst zu überprüfen – etwa, indem die Einhaltung der Betriebsvereinbarung in bestimmten Abständen auditiert wird und diese Möglichkeit in der Vereinbarung selbst verankert wird.

Zu M365 lassen sich nur in sehr beschränktem Umfang verbindliche technische Regelungen treffen: Dazu ist das System zu komplex und die Zahl der möglichen Einstellungen und Instrumente zu groß; vor allem aber lassen sich bestimmte Fragen gar nicht technisch regeln, weil sich bestimmte Instrumente schlicht nicht deaktivieren lassen. Hinzu kommt, dass das System ständig weiterentwickelt wird, sodass eine rein technische Vereinbarung laufend aktualisiert werden müsste. Der Schwerpunkt einer Vereinbarung über M365 sollte deshalb auf deutlich und möglichst klar geregelten Zwecken liegen, für die eine Verarbeitung von Verhaltensdaten der Beschäftigten zulässig ist.