Microsoft 365 in außeruniversitären Forschungseinrichtungen: Institute zwischen Zentrale und Eigenständigkeit

WISSEN Alle Beiträge der Serie zu Microsoft 365 in Hochschule und Forschung an einem Ort. › Microsoft 365 in Hochschule und Forschung	BERATUNG Ihr Institut sitzt zwischen Zentrale, Zuwendungsgeber und Projektpartnern? Wir sortieren mit Ihnen, was Sie selbst entscheiden können. › Beratung für Hochschulen und Forschung	SCHULUNG Für kleine IT-Teams mit großem Aufgabenzettel: Microsoft 365 mit Forschungsbrille. › Schulungen für Forschungseinrichtungen

 

Wer Microsoft 365 an einer Universität plant, hat ein Föderationsproblem. Wer es an einem außeruniversitären Forschungsinstitut plant, hat ein Föderationsproblem, ein Zuwendungsproblem und eine IT-Mannschaft, die man an zwei Händen abzählen kann – an schlechten Tagen an einer. Dazu kommen Gastwissenschaftler aus aller Welt, die am Montag anreisen und am Montag ein Konto wollen, Industriepartner mit Geheimhaltungsvertrag und eigener Meinung zu Dateiablagen, und ein Zuwendungsgeber, der jeden Lizenzeuro im Verwendungsnachweis gern wiedersehen möchte. Ruhig ist es hier selten. Langweilig nie.

Dieser Beitrag nimmt die zweite Hälfte der Zielgruppe unserer Serie in den Blick: die Institute der großen Forschungsgesellschaften, die Landes- und Ressortforschung, An-Institute, Akademien und Forschungs-gGmbHs. Er beschreibt, wie unterschiedlich diese Einrichtungen getragen und organisiert sind, welche Kräfte auf ein Institut wirken, das über Microsoft 365 nachdenkt, und warum die Lizenzfrage hier keine Formalie ist, sondern die erste ernsthafte Weichenstellung. Den Gesamtüberblick über die Serie finden Sie auf der Seite Microsoft 365 in Hochschule und Forschung; die Hochschulseite der Medaille beschreibt der Beitrag Microsoft 365 an Hochschulen: Wo der Campus anders tickt als Verwaltung und Wirtschaft.

Eine Vorbemerkung, damit niemand enttäuscht wird: Wir sagen hier nichts darüber, wie eine bestimmte Forschungsgesellschaft ihre IT intern organisiert, welche Verträge sie hat oder welchen Tenant sie betreibt – solange das nicht öffentlich belegt ist. Wir beschreiben Muster. Ob Ihr Institut dem Muster entspricht, wissen Sie besser als wir. Und zur Abgrenzung: Universitätsklinika mit ihren Anforderungen aus Gesundheitswesen und kritischer Infrastruktur sowie allgemeinbildende Schulen sind eigene Welten und kommen hier nicht vor.

FAKTEN · Die vier großen Gesellschaften in Zahlen (Selbstauskunft, Stand Herbst 2026) Fraunhofer-Gesellschaft: nach eigenen Angaben 74 Institute und selbstständige Forschungseinrichtungen in Deutschland, mehr als 30.000 Mitarbeiterinnen und Mitarbeiter, rund 3,6 Milliarden Euro Finanzvolumen, davon der weit überwiegende Teil Vertragsforschung. Helmholtz-Gemeinschaft: 18 Zentren mit zusammen mehr als 48.000 Mitarbeiterinnen und Mitarbeitern. Leibniz-Gemeinschaft: 96 eigenständige Forschungseinrichtungen mit rund 21.400 Mitarbeiterinnen und Mitarbeitern, davon rund 12.200 Wissenschaftler. Max-Planck-Gesellschaft: 85 Institute und Forschungseinrichtungen in der Rechtsform eines eingetragenen Vereins; nach eigenen Angaben arbeiten jedes Jahr mehr als 6.000 ausländische Gast- und Nachwuchswissenschaftler an den Instituten. Gemeinsamer Rahmen: Bund und Länder finanzieren die vier Gesellschaften über den Pakt für Forschung und Innovation, der 2005 erstmals geschlossen wurde und seither fortgeschrieben wird. Dazu kommen Ressortforschungseinrichtungen von Bund und Ländern, Akademien und eine kaum zu zählende Menge kleinerer Träger.

 

Die Landschaft: Wer außeruniversitär forscht und wem das Institut gehört

„Außeruniversitäre Forschung“ ist ein Sammelbegriff, der ungefähr so präzise ist wie „Fahrzeug“. Darunter fallen Institute mit 100 Köpfen, die rechtlich nicht einmal selbst existieren, ebenso wie Großforschungszentren mit eigenem Kraftwerk, eigener Feuerwehr und mehr Personal als manche Universität. Für die Microsoft-365-Planung zählt weniger die Größe als zwei Fragen: Wer ist Rechtsträger – und wer entscheidet über IT?

Die großen Gesellschaften: zentral geführt oder föderal unter einem Dach

Die vier großen Gesellschaften folgen zwei sehr unterschiedlichen Grundmodellen. Bei Fraunhofer und Max-Planck ist die Gesellschaft selbst, ein eingetragener Verein, Rechtsträger; die Institute sind in der Regel Organisationseinheiten dieses einen Rechtsträgers. Das heißt nicht, dass jedes Institut am Gängelband hängt – Institutsleitungen haben dort traditionell viel Gestaltungsspielraum. Es heißt aber, dass Verträge, Lizenzbeziehungen und arbeitsrechtliche Fragen grundsätzlich auf der Ebene der Gesellschaft hängen und dass ein Institut einen Microsoft-Vertrag nicht einfach selbst unterschreiben kann, als wäre es eine eigene Firma.

Helmholtz-Zentren und Leibniz-Institute sind dagegen rechtlich selbständige Einrichtungen – als GmbH, Stiftung, eingetragener Verein oder Körperschaft des öffentlichen Rechts. Die Gemeinschaft darüber ist ein Dach für Strategie, Begutachtung und gemeinsame Interessen, aber kein Konzern mit Durchgriff. Jede Einrichtung hat ihre eigenen Gremien, ihren eigenen Haushalt, oft ihre eigene IT-Abteilung und – wenn sie Microsoft 365 nutzt – meist ihren eigenen Tenant. Ob es darüber hinaus Rahmenvereinbarungen, gemeinsame Beschaffungen oder Erfahrungsaustausch gibt, ist je Gemeinschaft und Zeitpunkt verschieden; fragen Sie im Zweifel Ihre Geschäftsstelle, bevor Sie das Rad neu erfinden.

Landes- und Ressortforschung: Forschung mit Behördenstempel

Ressortforschungseinrichtungen des Bundes und der Länder sind überwiegend Behörden oder Anstalten im Geschäftsbereich eines Ministeriums, daneben gibt es Stiftungen und Gesellschaften in Ressortträgerschaft. Wer hier IT verantwortet, lebt in einer anderen Welt als das Max-Planck-Institut nebenan: Es gelten die IT-Vorgaben des Ressorts oder des Landes, oft gibt es zentrale IT-Dienstleister, Konsolidierungsprogramme und ein Haushaltsrecht, das keine Ausnahmen für Forschung kennt, nur weil Forschung draufsteht. Für diese Einrichtungen liegen die Fragen von Microsoft 365 oft näher an der öffentlichen Verwaltung als am Campus. Was dort typisch ist, beschreibt unser Kompetenzbereich Microsoft 365 in der öffentlichen Verwaltung.

An-Institute, Akademien und Forschungs-gGmbHs

An-Institute sind rechtlich selbständige Einrichtungen, meist ein Verein oder eine gGmbH, die mit einer Hochschule kooperieren, ihre Leitung häufig aus deren Professoren rekrutieren und im Alltag oft wie ein Teil der Hochschule wirken. Sie sind es aber nicht. Das wird spätestens dann interessant, wenn die Mitarbeiterinnen und Mitarbeiter wie selbstverständlich Konten im Hochschul-Tenant haben und niemand mehr weiß, auf welcher Rechtsgrundlage das eigentlich geschieht. Die Wissenschaftsakademien wiederum sind oft Körperschaften des öffentlichen Rechts mit langfristigen Vorhaben, etwa Editions- und Wörterbuchprojekten, deren Laufzeit eher in Jahrzehnten als in Förderperioden gemessen wird. Und schließlich die Forschungs-gGmbHs: von Stiftungen, Unternehmen, Ländern oder Kommunen getragen, gemeinnützig, manchmal mit 40 Köpfen und einer IT, die zur Hälfte aus einem engagierten Physiker und zur anderen Hälfte aus einem Systemhaus besteht.

Einrichtungstyp	Trägerschaft (typisch)	Typische IT-Struktur	Wie beschafft wird
Institut einer Gesellschaft ohne eigene Rechtspersönlichkeit	Gesellschaft als eingetragener Verein, finanziert von Bund und Ländern	Zentrale Dienste und Rahmen der Gesellschaft, lokale IT im Institut für Arbeitsplätze, Labore und Sonderwünsche	Über Vorgaben und Verträge der Gesellschaft; lokale Beschaffung im Rahmen der Ordnungen, Vergaberecht als Zuwendungsauflage
Rechtlich selbständiges Zentrum oder Institut im Verbund	Eigene GmbH, Stiftung, Verein oder Körperschaft; Zuwendungen von Bund und Sitzland	Eigene IT-Abteilung, eigener Tenant, eigene Richtlinien; Austausch mit Schwestereinrichtungen	Eigenständig, gebunden an Zuwendungsbescheid und Vergaberecht; gelegentlich gemeinsame Ausschreibungen
Ressortforschung des Bundes	Behörde, Anstalt oder Gesellschaft im Geschäftsbereich eines Bundesministeriums	IT-Vorgaben des Ressorts und des Bundes, häufig zentrale Dienstleister und Konsolidierung	Öffentliches Vergaberecht direkt, oft über Rahmenverträge des Bundes
Landesforschung	Landesbehörde, Landesbetrieb oder Landesstiftung	Nah an der Landesverwaltung, Vorgaben und Dienstleister des Landes	Landesvergaberecht, Rahmenverträge des Landes, je Bundesland verschieden
An-Institut	Verein oder gGmbH, kooperiert vertraglich mit einer Hochschule	Mal eigene kleine IT, mal faktisch über die Hochschule mitversorgt – Letzteres braucht eine saubere vertragliche Grundlage	Je nach Finanzierung: frei, mit Zuwendungsauflagen oder über die Hochschule
Wissenschaftsakademie	Körperschaft des öffentlichen Rechts, Landesfinanzierung, Bund-Länder-Programme für Langzeitvorhaben	Kleine zentrale IT, viele Projektstellen, Langzeitarchivierung als Dauerthema	Landesvergaberecht, Zuwendungsrecht
Forschungs-gGmbH	Stiftung, Unternehmen, Land oder Kommune als Gesellschafter	Oft ein bis drei Personen IT, starke Abhängigkeit von Dienstleistern	Abhängig von Gesellschaftern und Förderquellen; Vergaberecht greift, sobald Zuwendungsauflagen oder Auftraggebereigenschaft es verlangen

 

WICHTIG · Muster sind keine Organigramme Die Tabelle beschreibt typische Konstellationen. Innerhalb jeder Kategorie gibt es Ausnahmen, Mischformen und historisch Gewachsenes – Institute mit eigenem Tenant unter zentralem Dach, Zentren, die IT gemeinsam mit einer Universität betreiben, und gGmbHs, die über eine Hochschule mitversorgt werden. Klären Sie für Ihr Haus schriftlich, wer Vertragspartner ist, wer den Tenant verantwortet und wer im Ernstfall haftet. Wer das erst nach einem Sicherheitsvorfall klärt, klärt es unter Zeitdruck und mit Publikum.

 

Das Institut im Kräftedreieck: Zentrale, Zuwendungsgeber, Projektpartner

Eine Universität hat ihr Präsidium, ihre Fakultäten und ihre Gremien – und ist dabei zumindest formal Herrin im eigenen Haus. Ein außeruniversitäres Institut hat dagegen fast immer drei Kraftzentren, die es nicht selbst kontrolliert und die in unterschiedliche Richtungen ziehen. Die IT-Leitung steht in der Mitte und hält das Seil.

Die Zentrale: Rahmen, Vertrag, Tenant – oder nichts davon

Die Zentrale kann vieles sein: die Generalverwaltung einer Gesellschaft, die Geschäftsstelle einer Gemeinschaft, das zuständige Ministerium, der Trägerverein. Entsprechend unterschiedlich ist, was von dort kommt. Im zentralen Modell gibt die Zentrale den Rahmen vor: Lizenzvertrag, Identitätsplattform, vielleicht einen gemeinsamen Tenant, Sicherheitsrichtlinien und Vorgaben zum Datenschutz. Das Institut bekommt dann keinen leeren Tenant, sondern eine Wohnung in einem Haus, dessen Hausordnung andere schreiben. Das ist bequem, solange die Hausordnung passt – und anstrengend, sobald das Institut einen Laborrechner, ein Messgerät oder einen Industriepartner hat, der in keiner Vorlage vorkommt.

Im föderalen Modell kommt von der Zentrale oft wenig Verbindliches: Empfehlungen, Arbeitskreise, vielleicht eine gemeinsame Beschaffung. Das Institut ist frei – und allein. Es entscheidet selbst über Tenant, Richtlinien und Betrieb, muss aber auch jede Sicherheitsfrage, jede Datenschutz-Folgenabschätzung und jede Dienstvereinbarung selbst stemmen. Freiheit ist hier vor allem Arbeit.

Der Zuwendungsgeber: Wirtschaftlichkeit, Vergaberecht, Verwendungsnachweis

Fast alle hier beschriebenen Einrichtungen finanzieren sich ganz oder überwiegend aus öffentlichen Zuwendungen. Das bringt Auflagen mit, die mit Microsoft 365 erst einmal nichts zu tun haben und es dann doch sehr direkt betreffen. Die Nebenbestimmungen zum Zuwendungsbescheid verpflichten in der Regel auf wirtschaftliche und sparsame Mittelverwendung und auf die Einhaltung des Vergaberechts. Eine Lizenzentscheidung muss also nicht nur technisch, sondern auch haushalterisch begründbar sein – und zwar so, dass sie eine Prüfung durch Rechnungshof oder Zuwendungsgeber übersteht.

Für die großen Wissenschaftsorganisationen hat das Wissenschaftsfreiheitsgesetz des Bundes seit 2012 einige Flexibilitäten beim Haushalt, beim Personal und bei Bauvorhaben geschaffen. Einen Freibrief für Beschaffungen ohne Vergabeverfahren enthält es nicht. Dazu kommt die Projektebene: Wer Lizenzen anteilig aus Drittmitteln finanzieren will, muss die Förderrichtlinien des jeweiligen Gebers prüfen. Manche Programme erlauben direkte Projektausgaben für Software, manche decken sie über Pauschalen für indirekte Kosten ab, manche gar nicht. Ein Tenant, dessen Lizenzen je zur Hälfte aus Grundfinanzierung, drei Verbundprojekten und einer Programmpauschale bezahlt werden, ist technisch unproblematisch und buchhalterisch ein Abenteuer.

HINWEIS · Kein Ersatz für Rechtsberatung Zuwendungsrecht, Vergaberecht, Haushaltsrecht und die Nebenbestimmungen Ihres Bescheids sind Einzelfallmaterie. Ob eine Beschaffung ausgeschrieben werden muss, über einen bestehenden Rahmenvertrag abgerufen werden kann oder als Projektausgabe abrechenbar ist, hängt von Rechtsform, Zuwendungsgeber, Bundesland, Auftragswert und Förderprogramm ab. Die Schwellenwerte des Vergaberechts ändern sich regelmäßig. Klären Sie das mit Ihrer Vergabestelle, Ihrer Drittmittelverwaltung und gegebenenfalls juristischer Beratung, bevor Sie Lizenzen bestellen – nicht danach.

 

Die Projektpartner: Industrie, Universitäten, internationale Konsortien

Die dritte Ecke ist die lebendigste. Außeruniversitäre Institute arbeiten in Verbundprojekten mit Universitäten, in Auftragsforschung mit Unternehmen und in europäischen oder internationalen Konsortien. Jeder Partner bringt seine eigene IT-Welt mit: den eigenen Tenant, ein anderes Kollaborationswerkzeug, eigene Sicherheitsanforderungen und einen Geheimhaltungsvertrag, der manchmal genauer regelt, wo Daten liegen dürfen, als es der eigene Datenschutzbeauftragte je gewagt hätte.

Für Microsoft 365 heißt das: Gastzugriff, Freigaben über Mandantengrenzen hinweg und geteilte Kanäle in Teams sind keine Randfunktionen, sondern Kerngeschäft. Gleichzeitig ist genau hier das Risiko am größten, dass vertrauliche Projektdaten eines Industriepartners in einem Team landen, in dem auch ein Gastwissenschaftler eines Wettbewerbers sitzt. Wer exportkontrollrelevante Technologie erforscht, hat zusätzlich die Exportkontrolle im Nacken; die Zuständigkeit dafür liegt beim BAFA, die Umsetzung aber im Institut. Sensitivity Labels, Freigaberichtlinien und ein klares Konzept für Gäste sind hier keine Kür.

TYPISCHE SITUATION · Der Verband, der niemandem gehört Aus Projekten bei öffentlichen Auftraggebern kennen wir diese Lage gut: Ein kommunaler Verband mit eigenem Rechtsträger, aber getragen von mehreren Mitgliedskommunen, sollte auf Microsoft 365 umstellen. Jede Mitgliedskommune hatte eine Meinung, zwei hatten eigene Tenants, eine wollte den Verband am liebsten in ihren eigenen Tenant holen, und die Verbandsversammlung tagte zweimal im Jahr. Technisch war das Projekt in wenigen Wochen machbar. Organisatorisch dauerte es, bis schriftlich feststand, wer Vertragspartner, wer Tenant-Verantwortlicher und wer Ansprechpartner für den Datenschutz ist. Übertragen auf das Forschungsinstitut: Ersetzen Sie Mitgliedskommunen durch Zentrale, Sitzland und Kooperationsuniversität – die Dynamik ist dieselbe. Die Technik ist selten das Problem. Die Frage „Wer darf das eigentlich entscheiden?“ ist es fast immer.

 

Die typische Lage: 100 bis 1.500 Köpfe und ein IT-Team im Kleinformat

Die meisten Institute, um die es hier geht, liegen irgendwo zwischen 100 und 1.500 Köpfen. Das ist zu groß, um IT nebenher zu machen, und zu klein, um für jede Disziplin eine Spezialistin oder einen Spezialisten zu haben. Das IT-Team betreibt Netz, Arbeitsplätze, Server, Speicher, Laborrechner, Telefonie, vielleicht ein kleines Rechencluster – und soll nebenbei Microsoft 365 einführen, absichern, lizenzieren und erklären. Wer in so einem Team arbeitet, weiß, dass „nebenbei“ das gefährlichste Wort im Projektplan ist.

Kleine IT, große Erwartungen

Microsoft 365 verschiebt Arbeit, es nimmt sie nicht weg. Statt Exchange-Patches stehen Conditional Access, Lizenzzuweisung, Gastkonten-Hygiene, Aufbewahrungsrichtlinien und das monatliche Lesen des Message Center auf dem Zettel. Für ein Team von drei bis acht Leuten ist das machbar, wenn die Grundarchitektur einfach bleibt und Automatisierung von Anfang an mitgedacht wird. Es wird unmachbar, wenn jede Arbeitsgruppe ihr eigenes Sonder-Setup bekommt, weil die Abteilungsleitung „das so braucht“.

Realistisch ist meist eine Arbeitsteilung: Die Zentrale oder ein Verbund liefert, was skaliert – Identitätsplattform, Basisrichtlinien, Vertrag. Das Institut kümmert sich um das, was lokal ist: Labore, Gäste, Projektteams, Geräte. Und für Spitzen – Einführung, Sicherheitsüberprüfung, Telefonieumstellung – holt man sich Unterstützung, statt das eigene Team für ein Jahr in Projekte zu versenken und den Betrieb liegen zu lassen. Genau für diese Spitzen ist unsere Microsoft-365-Beratung für Hochschulen und Forschung gedacht; wer das Wissen lieber ins eigene Team holt, findet passende Formate bei den Microsoft-365-Schulungen für Hochschulen und Forschungseinrichtungen.

Internationale Gäste: Konto für drei Monate, Daten für zehn Jahre

Kaum etwas unterscheidet außeruniversitäre Institute so sehr von einer Behörde wie der Anteil internationaler Gäste. Gastwissenschaftler, Doktoranden mit Stipendium, Sommerschüler, Austauschwissenschaftler: Sie kommen für Wochen oder Monate, brauchen vom ersten Tag an Zugriff auf Projektdaten, Laborsysteme und Besprechungen und verschwinden dann wieder – oft mit einem Abschiedsvortrag, selten mit einer geordneten Kontoübergabe. Viele haben bereits ein Konto bei ihrer Heimateinrichtung und würden am liebsten damit arbeiten. Andere brauchen ein eigenes Konto, weil sie auf Systeme zugreifen, die keinen Gastzugriff erlauben.

Die Daten dagegen bleiben. Der Kodex der DFG zur guten wissenschaftlichen Praxis sieht vor, dass Forschungsdaten in der Regel zehn Jahre aufbewahrt werden. Das Konto des Gastes ist nach drei Monaten weg, seine Messreihen, Notizbücher und Teams-Unterhaltungen müssen aber auffindbar bleiben. Wer das nicht vorher regelt, regelt es nach dem Löschen – also gar nicht mehr.

Personengruppe	Typische Dauer	Naheliegendes Kontomodell	Stolperstein
Stammpersonal	Jahre bis Jahrzehnte	Mitgliedskonto, verwaltetes Gerät	Rechte sammeln sich über Jahre an; regelmäßige Überprüfung nötig
Befristete Wissenschaftler	Projektlaufzeit, oft mehrere Verträge hintereinander	Mitgliedskonto mit Lebenszyklus aus der Personalverwaltung	Lücke zwischen zwei Verträgen: Konto weg, Projekt noch da
Doktoranden	Mehrere Jahre	Mitgliedskonto, oft parallel zum Konto der Universität	Zwei Identitäten, zwei Tenants, eine Dissertation
Gastwissenschaftler	Wochen bis Monate	B2B-Gast mit Heimatkonto oder befristetes Mitgliedskonto	Ablaufdatum fehlt; Daten liegen im persönlichen OneDrive
Studentische Hilfskräfte	Semesterweise	Befristetes Mitgliedskonto mit engen Rechten	Vertragsverlängerung kommt nach Kontoablauf
Projektpartner	Laufzeit des Verbundprojekts	B2B-Gast, ggf. mandantenübergreifende Zusammenarbeit	Projekt endet, Gastzugriff nicht

 

TIPP · Ablaufdatum zuerst, Konto danach Legen Sie keine Konten für befristete Personengruppen an, ohne dass ein Enddatum und eine verantwortliche Person im Institut hinterlegt sind. Entra ID bietet mit Zugriffsüberprüfungen und Berechtigungspaketen Werkzeuge dafür; welche davon Ihre Lizenz enthält, prüfen Sie im aktuellen Funktionsumfang. Wichtiger als das Werkzeug ist die Regel: Wer einen Gast einlädt, ist für ihn verantwortlich – auch für seine Daten nach der Abreise.

 

Drittmittel mit Industriepartnern: Vertraulichkeit als Vertragsbestandteil

In der Auftragsforschung sind Vertraulichkeit und Rechte an Ergebnissen keine Frage der Höflichkeit, sondern Vertragsbestandteil. Industriepartner verlangen zunehmend Nachweise: Wo liegen unsere Daten? Wer hat Zugriff? Wie wird verschlüsselt? Was passiert nach Projektende? Ein Institut, das diese Fragen mit „im Microsoft-Tenant, irgendwo“ beantwortet, verliert im besten Fall Zeit und im schlechtesten den Auftrag.

Hilfreich ist ein kleines, belastbares Schema: eine Handvoll Vertraulichkeitsstufen, Projektbereiche mit klarer Eigentümerschaft, ein dokumentierter Weg für den Austausch mit Partnern und ein Verfahren für Projektende und Archivierung. Das muss nicht perfekt sein. Es muss existieren und gelebt werden – zwei Eigenschaften, die viele Klassifizierungskonzepte nur auf Folie besitzen.

WARNUNG · Die geerbte Freigabe Der Klassiker: Ein Industrieprojekt startet in einem bestehenden Team, weil es schnell gehen muss. In dem Team sitzen seit Jahren auch Gäste früherer Projekte. Niemand hat sie entfernt, niemand hat sie bemerkt. Erst bei der Abschlussprüfung fällt auf, wer alles die vertraulichen Messdaten hätte lesen können. Neue vertrauliche Projekte gehören in neue, sauber angelegte Bereiche – nicht in den Raum, der gerade frei war.

 

Mitbestimmung und Datenschutz: Erst die Rechtsform, dann die Folien

Hier lauert ein Unterschied, der in Hochschulprojekten nicht vorkommt: Ob Ihr Gegenüber ein Personalrat oder ein Betriebsrat ist, hängt von der Rechtsform ab. Einrichtungen in privatrechtlicher Form – eingetragener Verein, GmbH, gGmbH – unterliegen in der Regel dem Betriebsverfassungsgesetz. Behörden, Anstalten und Körperschaften des öffentlichen Rechts fallen unter das Personalvertretungsrecht des Bundes oder des jeweiligen Landes, und das unterscheidet sich zwischen den Ländern teils deutlich. Beide Welten kennen die Mitbestimmung bei technischen Einrichtungen, die zur Leistungs- und Verhaltenskontrolle geeignet sind, aber Verfahren, Fristen und Einigungsstellen funktionieren unterschiedlich. Bei Gesellschaften mit vielen Standorten kommt die Frage hinzu, ob ein örtliches oder ein Gesamtgremium zuständig ist.

Ähnlich beim Datenschutz: Öffentliche Stellen des Bundes beaufsichtigt die oder der Bundesbeauftragte, öffentliche Stellen eines Landes die jeweilige Landesbeauftragte oder der jeweilige Landesbeauftragte. Privatrechtlich organisierte Einrichtungen fallen grundsätzlich unter die Aufsicht für nicht-öffentliche Stellen ihres Sitzlandes – wobei manche Landesgesetze privatrechtlich organisierte Einrichtungen unter bestimmten Voraussetzungen wie öffentliche Stellen behandeln. Welches Gesetz gilt und welche Aufsicht zuständig ist, gehört deshalb auf die erste Seite jedes Datenschutzkonzepts, nicht in eine Fußnote auf Seite 40.

HINWEIS · Zuständigkeit klären, bevor diskutiert wird Welche Mitbestimmungsordnung und welches Datenschutzrecht für Ihre Einrichtung gelten, ist eine Rechtsfrage, die sich aus Rechtsform, Trägerschaft und Landesrecht ergibt. Lassen Sie sie von Ihrer Rechtsabteilung oder Ihrem Datenschutzbeauftragten verbindlich klären. Dieser Beitrag beschreibt typische Konstellationen und ersetzt keine Rechtsberatung.

 

Die Lizenzfrage: Bildungseinrichtung, Behörde, gemeinnützig – oder nichts davon

An Hochschulen ist die Lizenzwelt klar: Education. Über Pläne und Details kann man streiten, über die Berechtigung selten. Bei außeruniversitären Einrichtungen ist genau das die erste offene Frage – und eine, die man ehrlich beantworten sollte, statt sie wegzuhoffen. Wer sich Education-Lizenzen besorgt, ohne berechtigt zu sein, spart heute Geld und hat morgen ein Gespräch, das niemand führen möchte.

FAKTEN · Was Microsoft öffentlich regelt Education: Wer Lizenzen für Bildungseinrichtungen erwerben darf, regelt Microsoft in einer eigenen Definition des „Qualified Educational User“. Für Europa, den Nahen Osten und Afrika gibt es ein eigenes Dokument, das im Lizenzportal von Microsoft auch auf Deutsch bereitsteht; die zum Zeitpunkt der Recherche aktuelle Fassung trägt den Stand August 2023. Microsoft behält sich darin vor, den Status zu überprüfen und eine Berechtigung zu verweigern oder zu entziehen, wenn sie nicht klar nachgewiesen wird. Gemeinnützige Organisationen: Nach den Teilnahmebedingungen von Microsoft for Nonprofits sind unter anderem staatliche Organisationen und Behörden sowie Schulen, Hochschulen und Universitäten ausdrücklich ausgeschlossen. Gefordert sind ein anerkannter gemeinnütziger Status im jeweiligen Land und ein gemeinwohlorientierter Zweck. Behörden: Für öffentliche Auftraggeber gibt es eigene Government-Angebote mit eigener Berechtigungsdefinition.

 

Was heißt das für die Institute? Die Education-Definition knüpft im Kern an Lehre und staatliche Anerkennung als Bildungseinrichtung an. Ein Forschungsinstitut, das zwar Doktoranden betreut, aber selbst keine Studenten einschreibt und keine Abschlüsse vergibt, fällt nicht automatisch darunter, nur weil es „Wissenschaft“ macht. Die Definition enthält zudem eine eigene Passage zu Forschungslaboren und deren Verhältnis zu berechtigten Bildungseinrichtungen. Lesen Sie diese Passage im Original und im aktuellen Stand, bevor Sie argumentieren – und lassen Sie sich das Ergebnis von Ihrem Lizenzpartner schriftlich bestätigen.

Für Ressortforschungseinrichtungen in Behördenform liegt die Government-Welt nahe, möglicherweise auch ein Rahmenvertrag des Bundes oder des Landes. Für gemeinnützige gGmbHs und Vereine stellt sich die Frage, ob sie die Kriterien des Nonprofit-Angebots erfüllen – oder ob sie als Forschungseinrichtung mit öffentlicher Finanzierung eher in eine andere Kategorie fallen. Und für Institute einer Gesellschaft ohne eigene Rechtspersönlichkeit ist die Antwort ohnehin nicht im Institut zu finden, sondern bei der Gesellschaft. Der Prüfpfad unten zeigt die Reihenfolge der Fragen; die Antworten liefert er bewusst nicht.

Einrichtungstyp	Naheliegende Lizenzwelt	Offene Prüffrage
Institut einer Gesellschaft ohne eigene Rechtspersönlichkeit	Was die Gesellschaft vereinbart hat	Gibt es einen zentralen Vertrag, und deckt er alle Personengruppen ab, auch Gäste?
Rechtlich selbständiges Zentrum im Verbund	Kommerziell oder über Rahmenvereinbarungen; Education nur mit belastbarer Begründung	Erfüllt die Einrichtung die aktuelle Education-Definition überhaupt – und wer bestätigt das?
Ressortforschung, Landesforschung	Government-Angebote, Rahmenverträge von Bund oder Land	Ist die Einrichtung in den Rahmenvertrag einbezogen, und welche Vorgaben gelten zum Betrieb?
An-Institut	Eigene Lizenzen des Rechtsträgers	Werden Mitarbeiterinnen und Mitarbeiter heute über die Hochschule mitlizenziert – und ist das gedeckt?
Wissenschaftsakademie	Öffentliche Stelle, ggf. Landesrahmen	Greift ein Landesvertrag, oder ist die Akademie eigenständige Kundin?
Forschungs-gGmbH	Kommerziell oder Nonprofit	Erfüllt die gGmbH die Nonprofit-Kriterien, oder schließt der Forschungszweck sie aus?

 

WARNUNG · Das Konto im Hochschul-Tenant ist keine Lizenzstrategie Besonders bei An-Instituten und eng kooperierenden Instituten ist es verbreitet, dass Mitarbeiterinnen und Mitarbeiter einfach Konten im Tenant der Partneruniversität bekommen – mit Education-Lizenz. Das fühlt sich pragmatisch an. Ob es lizenzrechtlich, datenschutzrechtlich und arbeitsrechtlich trägt, ist eine ganz andere Frage: Wer ist verantwortlich für die Daten des Instituts? Wer darf auf das Postfach zugreifen, wenn jemand ausscheidet? Und was passiert, wenn die Universität die Kooperation beendet? Prüfen Sie das, bevor es jemand anderes tut.

 

TYPISCHE SITUATION · Wenn der Träger wechselt In einem Krankenhausverbund unter kirchlicher Trägerschaft haben wir erlebt, wie eine Einrichtung den Träger wechselte und mit ihr die Lizenzberechtigung. Was jahrelang über den Vertrag des alten Trägers lief, musste binnen weniger Monate neu beschafft, migriert und vertraglich sortiert werden – mitten im laufenden Betrieb. Typische Situation am Forschungsinstitut: Ein An-Institut wird in eine Gemeinschaft aufgenommen, ein Landesinstitut wird verselbständigt, eine Arbeitsgruppe wird als gGmbH ausgegründet. Jede dieser Änderungen kann die Lizenzwelt verschieben. Planen Sie Tenant-Migration und Lizenzwechsel in jede Strukturreform mit ein – sie sind teurer als die Festschrift.

 

Tenant-Architektur: Eigener Mandant, Mandant der Zentrale oder Verbund

Aus den drei Kräften und der Lizenzfrage ergibt sich die Architekturfrage fast von selbst. Es gibt im Wesentlichen drei Muster, und jedes hat seine Fans und seine Leidtragenden.

Modell	Passt typischerweise zu	Stärken	Schwächen
Ein Tenant für die ganze Gesellschaft oder das Ressort	Zentral geführte Organisationen, Behördenverbünde	Einheitliche Identitäten, einfache Zusammenarbeit intern, Skaleneffekte bei Sicherheit und Betrieb	Institut hat wenig eigene Stellschrauben; Sonderwünsche brauchen Abstimmung; delegierte Administration muss sauber geschnitten sein
Eigener Tenant pro Einrichtung	Rechtlich selbständige Zentren und Institute, gGmbHs, An-Institute	Klare Verantwortung, eigene Richtlinien, passend zur Rechtsträgerschaft	Alles selbst: Sicherheit, Lizenzen, Datenschutz, Betrieb; Zusammenarbeit mit Schwestereinrichtungen über Mandantengrenzen
Mehrere Tenants im Verbund	Gemeinschaften mit vielen selbständigen Mitgliedern, enge Kooperationen	Eigenständigkeit bleibt, Zusammenarbeit wird über mandantenübergreifende Funktionen erleichtert	Konfiguration und Vertrauensbeziehungen müssen gepflegt werden; Governance über den Verbund ist eine eigene Daueraufgabe

 

Microsoft bietet für die Zusammenarbeit über Mandantengrenzen inzwischen mehrere Bausteine, von B2B-Gastzugriff über mandantenübergreifende Zugriffseinstellungen und Synchronisierung bis hin zur sogenannten Multitenant-Organisation. Welche davon im Verbund sinnvoll sind, hängt weniger von der Technik ab als von der Frage, wie viel Vertrauen die Beteiligten einander organisatorisch entgegenbringen wollen. Technik kann Vertrauen abbilden. Herstellen kann sie es nicht.

Und dann gibt es noch die Welt, die neben Microsoft weiterläuft: die DFN-AAI mit Shibboleth für Verlagszugänge und föderierte Dienste, eduroam für den Netzzugang an jedem Campus, Nextcloud oder Ähnliches für die Datenhaltung, die nicht in die Cloud darf, eigene Rechencluster und Forschungsdaten-Infrastruktur. Koexistenz ist auch hier der Normalfall, nicht die Ausnahme. Microsoft 365 ist ein Werkzeug für Zusammenarbeit und Büroarbeit – kein Forschungsdatenmanagement und kein Ersatz für die Forschungsinfrastruktur des Hauses.

TIPP · Drei Fragen für die erste Sitzung Erstens: Wer ist Rechtsträger, und wer darf für ihn Verträge mit Microsoft schließen? Zweitens: Welche Lizenzwelt ist für uns belegbar – nicht wünschenswert, belegbar? Drittens: Mit wem müssen wir über Mandantengrenzen hinweg am häufigsten zusammenarbeiten, mit der eigenen Zentrale, mit der Kooperationsuniversität oder mit Industriepartnern? Wer diese drei Fragen beantwortet hat, hat die Architektur zur Hälfte entschieden.

 

FAQ: Häufige Fragen zu Microsoft 365 in Forschungseinrichtungen

Bekommt unser Forschungsinstitut automatisch Education-Lizenzen?

Nein. Maßgeblich ist die aktuelle Microsoft-Definition des „Qualified Educational User“ für Ihre Region. Sie knüpft im Kern an anerkannte Bildungseinrichtungen an und enthält eine eigene Passage zu Forschungslaboren. Ob Ihr Institut berechtigt ist, sollten Sie anhand des Originaltextes prüfen und von Ihrem Lizenzpartner schriftlich bestätigen lassen.

Kann eine gemeinnützige Forschungs-gGmbH das Nonprofit-Angebot von Microsoft nutzen?

Möglicherweise, aber nicht selbstverständlich. Die Teilnahmebedingungen schließen unter anderem staatliche Organisationen sowie Schulen und Hochschulen aus und verlangen einen anerkannten gemeinnützigen Status. Ob eine Forschungs-gGmbH mit öffentlicher Finanzierung darunterfällt, ist eine Einzelfallprüfung.

Dürfen Mitarbeiterinnen und Mitarbeiter eines An-Instituts im Tenant der Hochschule arbeiten?

Technisch ja, rechtlich ist es eine Frage der Vereinbarungen. Lizenzberechtigung, Verantwortlichkeit für die Daten, Zugriffsrechte bei Ausscheiden und das Ende der Kooperation müssen vertraglich geregelt sein. Ohne solche Regelungen ist das Hochschulkonto eine Zwischenlösung mit Verfallsdatum.

Brauchen wir einen eigenen Tenant, wenn die Zentrale einen anbietet?

Nicht zwingend. Ein zentraler Tenant spart Betriebsaufwand und vereinfacht die interne Zusammenarbeit. Ein eigener Tenant passt besser, wenn Ihr Haus rechtlich selbständig ist, eigene Verantwortung tragen muss oder sehr spezielle Anforderungen hat. Entscheidend ist, dass Rechtsträgerschaft, Vertrag und Tenant-Verantwortung zusammenpassen.

Wie gehen wir mit Gastwissenschaftlern um, die nur wenige Wochen bleiben?

Mit einem Ablaufdatum ab dem ersten Tag, einer verantwortlichen Person im Institut und einer Regel, wo Projektdaten abgelegt werden – in Projektbereichen, nicht im persönlichen OneDrive. Ob Gastzugriff mit Heimatkonto oder ein befristetes eigenes Konto besser passt, hängt davon ab, auf welche Systeme der Gast zugreifen muss.

Haben wir einen Personalrat oder einen Betriebsrat?

Das hängt von der Rechtsform ab. Privatrechtlich organisierte Einrichtungen wie Vereine und GmbHs haben in der Regel einen Betriebsrat, öffentlich-rechtliche einen Personalrat nach Bundes- oder Landesrecht. Die Mitbestimmung bei Microsoft 365 betrifft beide, die Verfahren unterscheiden sich aber.

Können wir Microsoft-365-Lizenzen aus Drittmitteln bezahlen?

Das hängt vom Förderprogramm ab. Manche Programme erlauben Software als direkte Projektausgabe, andere decken sie über Pauschalen für indirekte Kosten, andere schließen sie aus. Klären Sie das mit Ihrer Drittmittelverwaltung, bevor Sie Lizenzen einem Projekt zuordnen.

Ersetzt Microsoft 365 unsere Forschungsdaten-Infrastruktur?

Nein. Microsoft 365 ist eine Plattform für Zusammenarbeit und Büroarbeit. Für große Datenmengen, langfristige Archivierung, Rechencluster und fachspezifische Repositorien braucht es eigene Infrastruktur. Sinnvoll ist eine klare Grenze, welche Daten wo liegen.

Fazit: Erst die Rechtsform, dann die Lizenz, dann die Technik

Außeruniversitäre Forschungseinrichtungen sind keine kleinen Universitäten und keine Behörden mit Labor. Sie sind etwas Drittes: rechtlich und organisatorisch so unterschiedlich, dass jede Pauschalaussage mindestens einem Institut Unrecht tut. Gemeinsam ist ihnen das Kräftedreieck aus Zentrale, Zuwendungsgeber und Projektpartnern, eine kleine IT mit großem Auftrag, viele Menschen auf Zeit und Daten, die länger leben als die Verträge der Menschen, die sie erzeugt haben.

Wer Microsoft 365 in so einem Haus einführt, sollte die Reihenfolge einhalten: zuerst klären, wer Rechtsträger ist und wer entscheidet; dann belegbar klären, welche Lizenzwelt gilt; dann die Architektur festlegen – zentral, eigenständig oder im Verbund. Die Technik kommt zum Schluss, und sie ist erfahrungsgemäß der einfachste Teil. Das klingt nach Bürokratie. Es ist aber genau die Bürokratie, die Ihnen später die Sonderprüfung, den Lizenz-Audit und das hektische Umziehen eines Tenants erspart. Und wenn es doch einmal brennt, hat wenigstens jemand schriftlich, wer den Feuerlöscher bezahlt.

WEITERLESEN · Weiterlesen Die Serie zu Microsoft 365 in Hochschule und Forschung wird fortgesetzt. Bisher erschienen und für diesen Beitrag besonders passend: › Microsoft 365 in Hochschule und Forschung › Microsoft 365 an Hochschulen: Wo der Campus anders tickt als Verwaltung und Wirtschaft › Microsoft 365 in der öffentlichen Verwaltung › Microsoft-365-Beratung für Hochschulen und Forschung