System im Einsatz

Microsoft 365 Copilot einführen

Nach dem EuGH darf eine Vorschrift nach Art. 88 Abs. 1 DSGVO die Bedingungen des Art. 6 DSGVO nicht bloß wiederholen. Ob § 26 Abs. 1 S. 1 BDSG diesem Maßstab genügt, ist umstritten. Deshalb ist eine Betriebsvereinbarung nach Art. 88 Abs. 2 DSGVO die belastbarere Grundlage. Was Microsoft verarbeitet, entscheidet nicht die Produktbeschreibung, sondern die Kategorienbildung im Vertrag.

Die Lizenzen sind bestellt, die Prüfung soll freigeben

Die Einführung ist beschlossen, die Lizenzen sind bestellt. Die Datenschutzprüfung soll die Freigabe liefern. Vorgesehen ist eine Prüfung nach dem Beschäftigtendatenschutz, eine Vorstellung beim Betriebsrat und ein Verweis auf die Zusagen des Anbieters. Alle drei Punkte sind angreifbar.

Die Rechtsgrundlage ruht auf einer umstrittenen Vorschrift

Worauf sich der Einsatz stützen lässt, wird seit dem 30.03.2023 anders beantwortet als davor. Der EuGH hat in der Sache C-34/21 den Maßstab für Vorschriften nach Art. 88 Abs. 1 DSGVO bestimmt.

Für die Praxis folgt daraus keine Unmöglichkeit, sondern eine Reihenfolge. Wer eine Betriebsvereinbarung schließt, die die drei in Art. 88 Abs. 2 DSGVO genannten Punkte ausfüllt, hat eine Grundlage, die den Maßstab des Urteils erfüllt. Wer allein auf § 26 Abs. 1 BDSG setzt, hat eine Grundlage, deren Bestand von einer Frage abhängt, die er nicht entscheidet.

Die Mitbestimmung hängt an der Auswertbarkeit

Wann der Betriebsrat zu beteiligen ist, entscheidet sich nicht am Erzeugnis, sondern an zwei Merkmalen. Beide sind bei einer üblichen Einführung erfüllt.

Zwei Merkmale, geprüft an der Konfiguration

Objektive Eignung
Nutzungsprotokolle, Anfragen und Ausgaben lassen sich auswerten. Auf eine Überwachungsabsicht kommt es nach dem BAG nicht an.
Zuordenbarkeit
Bei einem personenbezogenen Konto ist sie gegeben. Sie fehlt, wo Anfragen ohne Kennung verarbeitet und nur aggregiert ausgewertet werden.
Folge
Sind beide erfüllt, sind Einführung und Anwendung nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmt. Eine ohne Beteiligung eingeführte Maßnahme ist gegenüber den Beschäftigten unwirksam.

3 von 3

Rechtsgrundlage und Mitbestimmung fallen damit zusammen. Die Betriebsvereinbarung, die die Mitbestimmung ausfüllt, ist zugleich die Grundlage, die nach Art. 88 Abs. 2 DSGVO den Maßstab des Urteils erfüllen kann. Ein Vorhaben, das beides in einem Dokument löst, spart einen Durchgang.

Was Microsoft verarbeitet, steht im Vertrag und nicht im Datenblatt

Was der Anbieter verarbeitet, wird in Vorhaben regelmäßig mit einem Verweis auf die Produktseite beantwortet. Rechtlich zählt eine andere Stelle, nämlich diejenige, an der der Vertrag Datenkategorien bildet und ihnen Rollen zuweist.

Drei Fragen, deren Antwort im Vertrag steht

Welche Kategorien bildet der Vertrag?

Eingaben, Ausgaben, Nutzungs- und Diagnosedaten sind vertraglich meist verschiedene Kategorien mit verschiedenen Regeln. Die Kategorienbildung entscheidet, was überhaupt geprüft werden muss.

Für welche davon ist der Anbieter selbst verantwortlich?

Soweit der Anbieter Zwecke und Mittel selbst bestimmt, ist er insoweit Verantwortlicher und nicht Auftragsverarbeiter. Nach Art. 28 Abs. 10 DSGVO gilt das auch dann, wenn er es unter Verstoß gegen die Verordnung tut. Für diese Kategorien gibt es keine Weisung, sondern nur eine Offenlegung.

Welche Unterauftragnehmer und welche Orte?

Die Liste der Unterauftragnehmer und die Verarbeitungsorte bestimmen, ob Kapitel V der Verordnung einschlägig ist. Beide ändern sich häufiger als der Vertrag. Deshalb gehört der Stand mit Datum in die Dokumentation.

Warum der Stand mit Datum festzuhalten ist

Bei der Prüfung
Die geprüfte Fassung benennen
Ohne Angabe der Fassung lässt sich die Prüfung später nicht nachvollziehen. Der Nachweis nach Art. 5 Abs. 2 DSGVO ist dann nicht zu führen.
Im Verzeichnis
Die Kategorien der Empfänger
Art. 30 Abs. 1 DSGVO verlangt sie. Sie folgen aus der Liste der Unterauftragnehmer und ändern sich mit ihr.
Bei jeder Änderung
Erneut lesen
Die Bedingungen großer Anbieter werden mehrmals im Jahr geändert. Ein Termin dafür gehört in die Vereinbarung.

So unterstützen wir Sie bei der Einführung von Copilot

Die drei Punkte lassen sich in einem Dokument beantworten. Dieses Dokument ist die Betriebsvereinbarung mit einer Anlage. Die Vereinbarung erfüllt die Mitbestimmung und, wenn sie die drei Punkte des Art. 88 Abs. 2 DSGVO ausfüllt, zugleich die Rechtsgrundlage. Die Anlage hält fest, welche Fassung der Anbieterbedingungen geprüft wurde, welche Kategorien sie bildet und für welche der Anbieter selbst verantwortlich ist. Beides zusammen ist der Nachweis. Beides entsteht vor der Freischaltung.

Häufige Fragen

Genügt § 26 Abs. 1 BDSG als Rechtsgrundlage?

Das ist offen. Der EuGH hat entschieden, dass eine Vorschrift nach Art. 88 Abs. 1 DSGVO die Bedingungen des Art. 6 DSGVO nicht bloß wiederholen darf. Ob § 26 Abs. 1 S. 1 BDSG diesem Maßstab genügt, wird unterschiedlich beurteilt. Praktisch bedeutet das, dass eine Prüfung, die allein darauf ruht, angreifbar bleibt.

Ist eine Betriebsvereinbarung die bessere Grundlage?

Regelmäßig ja, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllt. Verlangt sind angemessene und besondere Maßnahmen zur Wahrung der Würde, der berechtigten Interessen und der Grundrechte, insbesondere zu Transparenz, konzerninterner Übermittlung und Überwachungssystemen. Eine Vereinbarung, die nur den Einsatz erlaubt, erfüllt das nicht.

Muss der Betriebsrat auch ohne Auswertungsabsicht beteiligt werden?

Ja, sofern zwei Merkmale zusammentreffen. Das System muss objektiv geeignet sein, Verhaltens- oder Leistungsinformationen zu erheben. Die Daten müssen sich einzelnen Beschäftigten zuordnen lassen. Bei einem personenbezogenen Konto mit Nutzungsprotokollen ist das regelmäßig der Fall. Auf eine Absicht kommt es nach der Rechtsprechung nicht an.

Wo steht, was der Anbieter zu eigenen Zwecken verarbeitet?

In den Vertragsbedingungen und nicht in der Produktbeschreibung. Zu suchen ist die Stelle, an der der Vertrag Datenkategorien bildet und für einzelne davon eine eigene Verantwortlichkeit des Anbieters vorsieht. Diese Stelle ändert sich mit den Bedingungen. Deshalb gehört ihr Stand mit Datum in die Dokumentation.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.