Microsoft Teams im Unternehmen und die DSGVO

Mit Vertrag und Regelung einzusetzen. Teams ist kein Werkzeug, sondern eine Oberfläche über vier — und im Verzeichnis der Verarbeitungstätigkeiten steht es als eine Zeile.

• Anbieter: Microsoft Ireland Operations Ltd.
• Zweck: Chat, Besprechungen, Dateiablage
• Verarbeitung in: EU-Rechenzentren über die EU Data Boundary, mit Ausnahmen für einzelne Dienste
• Eingaben fürs Training: Microsoft gibt an, Kundendaten aus Microsoft 365 nicht zum Training der Basismodelle zu verwenden. Für Copilot gelten eigene Bestimmungen.

Welche Daten dort landen#

• Chatnachrichten, die tatsächlich in Exchange-Postfächern liegen
• geteilte Dateien, die in SharePoint oder OneDrive liegen
• Anwesenheitsstatus und Besprechungsteilnahme je Person

Die Zusammenarbeit trägt sich über das Arbeitsverhältnis. Schwierig wird die Auskunftspflicht: Wer nach Art. 15 fragt, fragt nach allen Daten — und die liegen in vier Systemen mit vier Aufbewahrungslogiken.

Der Vertrag mit dem Anbieter#

Der Auftragsverarbeitungsvertrag ist Teil der Microsoft-Produktbestimmungen und gilt mit dem Vertragsabschluss. Er ist umfangreich und gut belegt — die Schwierigkeit liegt nicht am Vertrag.

Was der Betriebsrat damit zu tun hat#

Mitbestimmungspflichtig. Anwesenheitsstatus, Besprechungsberichte und Aktivitätsauswertungen im Verwaltungsbereich sind zur Verhaltenskontrolle geeignet.

Was zu tun ist#

• Die Aufbewahrungsrichtlinien je Dienst setzen — Teams-Chat, Exchange, SharePoint und OneDrive getrennt.
• Im Verzeichnis der Verarbeitungstätigkeiten die vier Ablageorte einzeln führen, nicht „Teams“ als eine Zeile.
• Copilot bewusst freigeben oder sperren; es liest quer über alle vier Ablagen.
• Vor der ersten Auskunftsanfrage einmal durchspielen, wie man alle Daten einer Person zusammenträgt.

Wenn es auch anders gehen soll#

• Nextcloud mit Talk im eigenen Betrieb
• Getrennte Werkzeuge, deren Ablageorte jeweils klar sind

Der Punkt, der bei Microsoft Teams übersehen wird#

Teams speichert selbst fast nichts. Chatnachrichten liegen in verborgenen Ordnern der Exchange-Postfächer, Dateien in SharePoint oder OneDrive, Aufzeichnungen wieder woanders — jeweils mit eigener Aufbewahrung und eigenen Zugriffsrechten. Deshalb scheitern Auskunftsanfragen nach Art. 15 hier häufiger als bei jedem anderen Werkzeug dieser Liste: Nicht weil die Daten geschützt wären, sondern weil niemand im Haus sagen kann, wo eine bestimmte Nachricht liegt. Ein Eintrag „Teams“ im Verzeichnis der Verarbeitungstätigkeiten ist deshalb fast immer falsch.

Dieselbe Frage bei ähnlichen Werkzeugen#

• Slack — Interne Kommunikation
• Zoom — Videokonferenzen

Das ist keine Rechtsberatung, sondern eine Einordnung: Wir geben den Stand wieder, soweit er uns bekannt ist. Ob dein Einsatz zulässig ist, hängt vom Einzelfall ab — und bei Beschäftigtendaten zusätzlich von dem, was in deinem Haus vereinbart ist. Wie die Regeln zusammenhängen, steht auf der Übersicht zur Serie.