Microsoft 365 vs. Sovereign Workspace: Mitbestimmung für Betriebsrat und HR

Die Modernisierung des digitalen Arbeitsplatzes entwickelt sich in zahlreichen europäischen Unternehmen und Behörden zu einer chronischen Zerreißprobe zwischen technologischem Erneuerungsdruck und deutschem Arbeitsrecht. Während Vorstände und IT-Leitungen auf rasche Produktivitätsgewinne durch vernetzte Cloud-Suiten und KI-Assistenten drängen, legen Betriebsräte und Datenschutzbeauftragte regelmäßig ihr Veto ein. Im Zentrum steht dabei keine Technikfeindlichkeit, sondern eine handfeste architektonische und juristische Asymmetrie.

Amerikanische Hyperscaler-Ökosysteme wie Microsoft 365 sind im Kern darauf ausgelegt, jede Interaktion der Beschäftigten als auswertbares Datensignal zu erfassen. Vom ersten Login am Morgen über Reaktionszeiten in E-Mails und Chat-Kanälen bis hin zu Bearbeitungsintervallen in Dokumenten fließen hunderte telemetrische Ereignisse pro Stunde in zentrale Cloud-Datenbanken. Für die betriebliche Mitbestimmung ist damit die Schwelle zur technischen Verhaltens- und Leistungskontrolle dauerhaft überschritten.

Für CIOs, Digital Workplace Leads und HR-Direktoren erweist sich diese Konstellation zunehmend als strategische Sackgasse. Jahrelange Verhandlungen in Einigungsstellen, teure externe Rechtsgutachten und hunderte Seiten starke Anlagen zu Betriebsvereinbarungen binden enorme personelle wie finanzielle Kapazitäten. Dieser Leitfaden analysiert die rechtliche und technische Mechanik hinter dem Dauerkonflikt und zeigt, wie ein souveräner Workspace-Stack die Mitbestimmung in einen Beschleuniger verwandelt.

Die juristische Mechanik des § 87 Abs. 1 Nr. 6 BetrVG: Warum die objektive Eignung entscheidet

Um zu verstehen, warum Standard-Cloud-Suiten in deutschen Mitbestimmungsverfahren regelmäßig scheitern oder jahrelang blockiert werden, lohnt ein Blick auf die ständige Rechtsprechung des Bundesarbeitsgerichts (BAG). Nach Paragraph 87 Absatz 1 Nummer 6 des Betriebsverfassungsgesetzes hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen.

In seinen wegweisenden Beschlüssen hat das Bundesarbeitsgericht klargestellt, dass es für das Eingreifen dieses Mitbestimmungstatbestands überhaupt nicht darauf ankommt, ob der Arbeitgeber tatsächlich die Absicht verfolgt, seine Mitarbeitenden zu kontrollieren oder Leistungsprofile zu erstellen. Ausreichend ist allein die objektive technische Eignung der eingesetzten Software, verhaltens- oder leistungsbezogene Angaben einzelner Beschäftigter automatisiert zu erheben, zu speichern oder für eine spätere Auswertung bereitzuhalten.

Genau an dieser Hürde kollidiert die Architektur von Microsoft 365 mit dem Betriebsverfassungsrecht. Das Herzstück der Plattform bildet die Microsoft Graph API: eine zentrale Datendrehscheibe, die sämtliche Aktivitäten eines Nutzerkontos über Exchange Online, SharePoint, OneDrive und Microsoft Teams hinweg in Echtzeit miteinander verknüpft. Selbst wenn ein Unternehmen verspricht, diese Daten niemals für Personalgespräche heranzuziehen, bleibt die Überwachungsinfrastruktur im Hintergrund voll aktiv.

Hinzu kommt die enge Verzahnung zwischen Betriebsverfassungsgesetz und Europäischer Datenschutz-Grundverordnung (DSGVO). Nach Artikel 25 DSGVO sind Verantwortliche gesetzlich verpflichtet, bereits bei der Auswahl der Verarbeitungsmittel geeignete technische und organisatorische Maßnahmen wie Datensparsamkeit und datenschutzfreundliche Voreinstellungen (Privacy by Design und Privacy by Default) umzusetzen. Wie das Bundesarbeitsgericht im Beschluss 1 ABR 22/21 betont hat, kann auch eine Betriebsvereinbarung Verstöße gegen zwingendes Datenschutzrecht nicht heilen.

Ergänzende Architektur-Analysen und technische Entscheidungsmatrizen für Ihre IT-Planung finden Sie in unseren weiterführenden Leitartikeln zu Sovereignty by Design im Enterprise-Einsatz, zu HR-Tech im Enterprise-Einsatz sowie zu Digital Workplace im Enterprise-Einsatz.

Technischer Deep-Dive: Graph API, Viva Insights und die Illusion administrativer Abschaltung

In Verhandlungen mit der Arbeitnehmervertretung argumentieren IT-Abteilungen und Hersteller-Berater häufig, man könne problematische Überwachungsmodule im Microsoft 365 Admin Center einfach per Haken deaktivieren oder die Namen der Beschäftigten in den Aktivitätsberichten pseudonymisieren. Eine Analyse der technischen Datenflüsse zeigt jedoch, warum sachkundige Betriebsräte und externe IT-Sachverständige dieser Argumentation immer seltener folgen.

Wenn ein Administrator im Tenant-Menü die Option zur Pseudonymisierung von Nutzungsberichten aktiviert, werden die Klarnamen in der grafischen Oberfläche zwar durch kryptische Zeichenketten ersetzt. In der darunterliegenden Datenbankstruktur sowie über privilegierte PowerShell-Abfragen und Graph-API-Endpunkte bleiben die eindeutigen Objekt-IDs (Entra ID User Object IDs) jedoch weiterhin erhalten und können von globalen Administratoren jederzeit wieder konkreten Personen zugeordnet werden.

Vom Passiv-Logging in Purview bis zur KI-gestützten Verhaltensanalyse

Noch deutlicher tritt das Problem bei der Unified Audit Log-Architektur in Microsoft Purview sowie bei den Analysefunktionen von Viva Insights zutage. Um Sicherheitsfunktionen, Insider-Risk-Management und die kontextbezogene Arbeitsweise von Microsoft 365 Copilot technisch zu versorgen, protokolliert das System auf Einzelereignisebene, wann welcher Nutzer welche Datei geöffnet, welchen Suchbegriff eingegeben und an welcher Videokonferenz teilgenommen hat.

Mit der Einführung von Microsoft 365 Copilot verschärft sich diese Überwachungsdimension dramatisch. Der Semantic Index durchsucht und korreliert sämtliche im Mandanten gespeicherten Kommunikations- und Dokumentenbestände, während jeder einzelne Prompt eines Mitarbeiters inklusive Zeitstempel im System hinterlegt wird. Welche gravierenden Sicherheits- und Datenschutzfolgen eine fehlerhafte Berechtigungsstruktur hierbei auslöst, zeigt unser 72-Stunden-Notfallplan beim Copilot-Berechtigungskollaps.

„Ein souveräner Arbeitsplatz scheitert nie an der Software, sondern am fehlenden Vertrauen. Wenn Betriebsrat, HR und IT den Wechsel nicht als bloßen Werkzeugtausch, sondern als architektonischen Schutz vor digitaler Verhaltensüberwachung begreifen, wird Souveränität zum echten Wettbewerbsvorteil.“

Ganz anders verhält sich die Architektur eines souveränen Open-Source-Workspaces, wie er im vom Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) entwickelten Projekt openDesk oder in Enterprise-Umgebungen auf Basis von Nextcloud Hub, Collabora Online, Open-Xchange und dem Matrix-Protokoll zum Einsatz kommt. Hier gilt das Prinzip des architektonischen Überwachungsausschlusses direkt im Quellcode.

Architektonische Null-Telemetrie und kryptografische Hoheit im Sovereign Stack

In einem souveränen Workspace-Stack existiert keine zentrale Verhaltens-Engine, die Arbeitsmuster über Fachtools hinweg zu Produktivitäts-Scores verdichtet. Wenn Beschäftigte in Nextcloud gemeinsam an einer Kalkulation in Collabora Online arbeiten, werden lediglich die technisch für die Dokumentensynchronisation und Versionshistorie notwendigen Arbeitsschritte auf dem eigenen Storage-Cluster verarbeitet, ohne dass im Hintergrund Persönlichkeitsprofile entstehen.

Ebenso konsequent ist die Trennung in der Echtzeit-Kommunikation über das föderierte Matrix-Protokoll. Während in Microsoft Teams sämtliche Chat-Nachrichten, Anwesenheitszeiten (Grün-, Gelb- oder Rot-Status der Präsenzanzeige) und Sprachdaten zentral entschlüsselt in der Hersteller-Cloud durchlaufen, nutzt Matrix eine standardmäßige Ende-zu-Ende-Verschlüsselung (Olm und Megolm) auf den Endgeräten sowie streng kontrollierbare Log-Rotationsregeln auf dem eigenen Homeserver.

Die Mitbestimmungs- und Überwachungs-Matrix: Microsoft 365 versus Sovereign Workspace

Für eine sachliche Entscheidungsfindung zwischen Vorstand, IT-Leitung, Personalabteilung und Betriebsrat empfiehlt sich eine strukturierte Gegenüberstellung der kritischen Funktionsbereiche. Entscheidend ist dabei die Frage, wo personenbezogene Verhaltensdaten technisch entstehen, wer den kryptografischen Schlüssel hält und welcher Verhandlungsaufwand in der betrieblichen Mitbestimmung resultiert.

Die nachfolgende Bloomberg-Radar-Matrix vergleicht die proprietäre Cloud-Architektur von Microsoft 365 E3/E5 direkt mit einem modularen Sovereign-Workspace-Stack auf Basis von openDesk und Nextcloud Hub:

Die Gegenüberstellung macht deutlich, warum der vermeintlich bequeme Einkauf einer proprietären Cloud-Suite in mitbestimmten Unternehmen oft zu massiven versteckten Transaktionskosten führt. Ein souveräner Arbeitsplatz verlagert die Lösung hingegen von der juristischen Papierform direkt auf die technische Architektur: Wo Überwachungsfunktionen gar nicht erst im Programmcode angelegt sind, entfällt das Misstrauen zwischen Arbeitgeber und Betriebsrat an der Wurzel.

Kulturwandel und die hybride Betriebsvereinbarung 2.0 im Parallelbetrieb

Ein Wechsel der täglichen Büro- und Kommunikationswerkzeuge ist niemals ein reines IT-Infrastrukturprojekt, sondern immer eine kulturelle Transformation. Über Jahre eingeübte Klickpfade in Outlook, Word oder Teams prägen den Arbeitsalltag. Erfolgreiche CIOs und Personalleitungen schmieden deshalb frühzeitig eine Allianz mit dem Betriebsrat: Wenn die Arbeitnehmervertretung den Wechsel als Schutz vor Leistungsverdichtung vertritt, steigt die Akzeptanz in der Belegschaft rapide.

Gleichzeitig gilt es, die juristische Brücke für die Phase des Übergangs zu bauen, in der einzelne Abteilungen bereits auf dem Sovereign Stack arbeiten, während andere noch Bestandsanwendungen nutzen. Hierfür hat sich die hybride Rahmenbetriebsvereinbarung 2.0 bewährt: Ein schlanker Mantelvertrag regelt verbindlich das Verbot automatisierter Verhaltensprofile, während einzelne Software-Module über kompakte Funktions-Steckbriefe im Anhang gesteuert werden.

Für den souveränen Ziel-Stack erteilt der Betriebsrat auf Basis der offenen Architektur eine dauerhafte Grundfreigabe inklusive Fast-Track-Verfahren für Sicherheitsupdates. Die abzulösenden proprietären Cloud-Lizenzen erhalten parallel eine streng befristete Übergangsduldung bis zum definierten Abschaltdatum, was beiden Sozialpartnern maximale Planungssicherheit verschafft.

Die Make-or-Buy Sourcing-Weiche: Drei Bereitstellungsmodelle für den Sovereign Workplace

Der Ausstieg aus US-amerikanischen Cloud-Suiten erfordert keineswegs zwingend den Aufbau großer interner Administratorenteams für den Selbstbetrieb aller Kollaborationsdienste. In der europäischen Unternehmenspraxis haben sich drei klar abgegrenzte Betriebsmodelle etabliert, die sich präzise an die jeweilige IT-Fertigungstiefe anpassen lassen.

Erstens (Souveräner Eigenbetrieb): Organisationen mit hohen Geheimschutzanforderungen und eigenem Linux- und Container-Team betreiben den Stack aus openDesk bzw. Nextcloud Enterprise, Collabora Online und Matrix Synapse auf eigenen Kubernetes- oder Virtualisierungs-Clustern. Sämtliche Dokumente, Metadaten und kryptografischen Schlüssel verbleiben physisch wie logisch zu hundert Prozent unter eigener Kontrolle, was alle Bedenken nach § 87 BetrVG sofort ausräumt.

Zweitens (Managed Sovereign Cloud): Unternehmen des gehobenen Mittelstands beziehen den souveränen Workspace als schlüsselfertigen Managed Service von zertifizierten europäischen Cloud-Providern und Systemhäusern (etwa über Angebote auf Basis von IONOS, Hetzner, PlusServer, Bechtle oder Univention). Der Dienstleister garantiert das Hosting ausschließlich in deutschen oder EU-Rechenzentren nach BSI-C5-Testat und DSGVO-Auftragsverarbeitung ohne US-CLOUD-Act-Risiko.

Drittens (Gestufte Koexistenz): Wo komplexe Fachanwendungen einen sofortigen Komplettausstieg verzögern, etablieren CIOs den Sovereign Workspace zunächst für schutzbedürftige Bereiche wie Vorstand, Forschung, Personalwesen, Rechtsabteilung und Betriebsrat. Gleichzeitig werden für den Großteil der Belegschaft teure E3/E5-Pläne abgebaut, was bei der nächsten Vertragsrunde eine wirksame BATNA-Verhandlungsmacht im Microsoft EA-Renewal schafft.

Unabhängig davon, ob sich ein Unternehmen für den Eigenbetrieb oder das Managed-Service-Modell entscheidet, bleibt die technische Portabilität jederzeit gewahrt. Da sämtliche Komponenten auf offenen Dokumentenformaten (ODF sowie volle DOCX/XLSX-Kompatibilität) und dokumentierten Standardschnittstellen (WebDAV, CalDAV, CardDAV, OpenID Connect, SAML 2.0) beruhen, entsteht zu keinem Zeitpunkt ein neuer Anbieter-Lock-in.

Der 4-Phasen-Rollout- und Kulturfahrplan: In 180 Tagen zur Arbeitsplatz-Souveränität

Damit das Zusammenspiel aus arbeitsrechtlicher Einigung, technischer Bereitstellung und gelebter Nutzerakzeptanz im Tagesgeschäft reibungslos ineinandergreift, hat sich ein strukturierter 180-Tage-Fahrplan bewährt. Entscheidend ist die Synchronisation von HR, Betriebsrat und IT-Architektur ab dem ersten Projekttag.

Phase 1 (Tag 1 bis 45): Schlichtungs-Audit und modulare Betriebsvereinbarung 2.0

In den ersten sechs Wochen führen IT-Leitung, Datenschutzbeauftragter, Personalabteilung und der IT-Ausschuss des Betriebsrats eine gemeinsame Bestandsaufnahme aller aktiven Cloud-Dienste und offenen Mitbestimmungsverfahren durch. Parallel wird die modulare Rahmenbetriebsvereinbarung 2.0 verabschiedet, die für den neuen Sovereign Stack den technischen Ausschluss von Verhaltens- und Leistungskontrollen dokumentiert und ein beschleunigtes Freigabeverfahren für künftige Open-Source-Releases verankert.

Phase 2 (Tag 46 bis 90): Aufbau der Pilotumgebung und Ausbildung des Champion-Netzwerks

Das Infrastruktur-Team (oder der europäische Managed-Provider) nimmt die souveräne Arbeitsplatz-Umgebung inklusive Single Sign-On (Keycloak/Entra-ID-Federation), Nextcloud Hub, Collabora Online und Matrix in Betrieb; alle architektonischen Details hierzu beschreibt unser openDesk-Leitfaden für den souveränen Arbeitsplatz. Zeitgleich werden fünfzig bis hundert Freiwillige aus allen Fachabteilungen sowie Mitglieder des Betriebsrats zu „Workplace Champions“ geschult, die das System im Alltag testen und als erste Ansprechpartner in ihren Teams wirken.

Phase 3 (Tag 91 bis 150): Abteilungsweise Migrationswellen und begleitende Lernformate

Im Zwei-Wochen-Rhythmus ziehen die Fachabteilungen samt ihrer Gruppenlaufwerke, SharePoint-Bibliotheken, Kalender und Chat-Räume auf die neue Plattform um. Statt trockener mehrstündiger Pflichtschulungen setzen HR und das Change-Team auf kompakte 20-Minuten-Live-Sessions zu konkreten Arbeitsabläufen (etwa gleichzeitige Dokumentenbearbeitung oder sichere externe Dateifreigaben), ergänzt durch kurze Video-Anleitungen und tägliche offene Sprechstunden der Workplace Champions.

Phase 4 (Tag 151 bis 180): Gezielte De-Lizenzierung und gemeinsames Abschluss-Audit

Sobald die Abteilungen produktiv im souveränen Workspace arbeiten, werden die bisherigen Cloud-Postfächer und OneDrive-Speicher auf Nur-Lese-Zugriff gesetzt, revisionssicher archiviert und die nicht mehr benötigten Microsoft-365-E3/E5-Abonnements fristgerecht abgemeldet. Den Abschluss bildet ein gemeinsames Audit von IT-Sicherheit, Datenschutz und Betriebsrat, das die Einhaltung aller Vorgaben aus der Betriebsvereinbarung protokolliert.

Fünf Kontrollfragen für CIOs, HR-Leitung und Betriebsräte

1. Welche verhaltensbezogenen Metadaten entstehen heute im Hintergrund unserer Cloud-Systeme?

Verlassen Sie sich bei der Bewertung nach § 87 Abs. 1 Nr. 6 BetrVG niemals allein auf die sichtbaren Diagramme im Standard-Admin-Portal. Prüfen Sie gemeinsam mit Ihren Sicherheitsexperten, welche Rohdaten über Schnittstellen wie die Microsoft Graph API, Purview Audit-Logs oder Endpoint-Telemetrie tatsächlich erhoben und gespeichert werden.

2. Wie viel Arbeitszeit und Budget binden unsere laufenden Mitbestimmungsverhandlungen pro Jahr?

Kalkulieren Sie die wahren Gesamtkosten Ihrer Arbeitsplatz-Software ehrlich durch: Wenn hochbezahlte Führungskräfte, Arbeitsrechtler, Datenschutzbeauftragte und Betriebsräte hunderte Stunden pro Jahr mit dem Prüfen immer neuer Cloud-Updates verbringen, übersteigen diese Reibungsverluste oft die gesamten Lizenzkosten einer datensparsamen Open-Source-Alternative.

3. Ist die Pseudonymisierung von Nutzungsdaten technisch oder nur organisatorisch abgesichert?

Hinterfragen Sie kritisch, wer die technische Macht besitzt, eine Pseudonymisierung von Aktivitätsberichten wieder aufzuheben. Solange ein privilegierter Administrator oder der Cloud-Anbieter selbst die Zuordnungstabelle im System einsehen kann, liegt arbeitsrechtlich weiterhin eine überwachungsgeeignete Einrichtung vor.

4. Wie stellen wir sicher, dass die Belegschaft den Wechsel als Gewinn und nicht als Verzicht erlebt?

Binden Sie die Nutzervertretung und ausgewählte Schlüsselanwender aus den Fachbereichen bereits bei der Oberflächengestaltung und den Pilot-Workflows aktiv ein. Wenn moderne Funktionen wie gemeinsame Echtzeit-Dokumentenbearbeitung im Browser, Audio-/Video-Räume und mobile Apps vom ersten Tag an stabil funktionieren, schwindet die Nostalgie für Altsysteme rasch.

5. Haben wir unsere Lizenz-Kündigungsfristen mit dem Abschluss der Pilotphase synchronisiert?

Planen Sie den Aufbau Ihres souveränen Arbeitsplatzes konsequent rückwärts vom nächsten Verlängerungsstichtag Ihres Enterprise Agreements. Nur wenn das Pilotprojekt und die Rahmenbetriebsvereinbarung vor Ablauf der Kündigungsfrist stehen, können Sie Lizenzvolumina wirksam reduzieren.

Strategisches Fazit: Mitbestimmung als Kompass für echte digitale Souveränität

Der jahrelange Grabenkampf um die Einführung und den Betrieb von Microsoft 365 ist in Wahrheit kein Beleg für eine Überregulierung durch das deutsche Betriebsverfassungsgesetz, sondern ein präziser Frühwarnindikator für eine aus dem Gleichgewicht geratene Cloud-Architektur. Wo Software-Konzerne das Arbeitsverhalten ganzer Belegschaften systematisch vermessen, schützt § 87 Abs. 1 Nr. 6 BetrVG nicht nur die Würde und Privatsphäre der Beschäftigten, sondern bewahrt auch das Unternehmen vor unkontrollierbarem Wissensabfluss.

CIOs, Personalleiter und Betriebsräte, die diesen Konflikt durch den gemeinsamen Umstieg auf souveräne Open-Source-Workspaces wie openDesk, Nextcloud Hub und Matrix auflösen, schaffen eine dreifache Entlastung: Sie beenden zermürbende juristische Dauerblockaden, senken ihre laufenden Lizenz- und Beratungsausgaben drastisch und etablieren eine vertrauensbasierte digitale Unternehmenskultur auf europäischem Rechtsboden.

Häufig gestellte Fragen (FAQ) zu Workplace-Souveränität und Betriebsrat