Copilot und Personalrat: Bausteine einer Dienstvereinbarung

Es gibt in der Verwaltung zwei Sorten von IT-Projekten: solche, die am Personalrat scheitern, und solche, bei denen der Personalrat rechtzeitig gefragt wurde. Der Unterschied liegt erstaunlich selten am Personalrat. Er liegt an der Reihenfolge – daran, ob die Beteiligung der letzte Arbeitsschritt vor dem Rollout war oder der erste Arbeitsschritt der Konzeption.

Bei Microsoft 365 Copilot fällt das stärker auf als bei jeder Fachanwendung davor. Ein Fachverfahren für die Gewerbeanmeldung ist ein Werkzeug mit klarem Zweck und einem überschaubaren Kreis von Benutzern. Copilot ist eine Funktion, die in Outlook, Word, Excel, Teams und im Browser gleichzeitig auftaucht, die Besprechungen zusammenfasst, Aktenvermerke entwirft und dabei – das ist der Punkt – eine ausgesprochen ordentliche Telemetrie hinterlässt. Wer wann wie oft mit dem Werkzeug gearbeitet hat, lässt sich pro Konto und pro Anwendung auf den Tag genau ablesen und als Tabellendatei herunterladen. Das ist keine Unterstellung gegenüber dem Hersteller, das ist der dokumentierte Lieferumfang.

Genau deshalb landet Copilot bei Ihnen im Beteiligungsverfahren. Und genau deshalb reicht es nicht, eine Vorlage „Einführung KI-Assistenz“ ins Fach des Personalrats zu legen und auf Zustimmung zu hoffen. Was Sie brauchen, ist eine Dienstvereinbarung, die abbildet, was technisch tatsächlich passiert – und die die richtigen sechs bis zwölf Dinge regelt statt der falschen dreiundzwanzig.

Dieser Beitrag gehört zur Reihe Microsoft 365 in der öffentlichen Verwaltung. Er beschreibt, welche Regelungsgegenstände in eine Dienstvereinbarung zu Copilot gehören, warum sie hineingehören und woran man merkt, dass ein Entwurf am Thema vorbeiregelt. Er ist ausdrücklich kein Muster und keine Rechtsberatung.

WICHTIG · Was diese Seiten sind – und was nicht Das hier ist eine Gesprächsgrundlage. Sie können sie in einen Workshop mitnehmen, an die Datenschutzbeauftragte weiterreichen oder als Gliederung für den eigenen Entwurf benutzen. Was Sie hier nicht finden: eine Mustervereinbarung zum Abschreiben. Es gibt sie im Netz, sie kostet meistens nichts, und sie taugt in der Regel genau so viel. Personalvertretungsrecht ist Landesrecht, die Zuständigkeitskataloge unterscheiden sich zwischen den Ländern erheblich, kirchliche Träger arbeiten mit ganz eigenen Ordnungen, und Ihre Tenant-Konfiguration ist ohnehin nicht die aus dem Muster. Alle Angaben zu Paragraphen, Fristen und Schwellen sind Orientierung. Maßgeblich sind Ihr Landespersonalvertretungsgesetz, Ihre Hauptsatzung und die Einschätzung der Personen, die dafür ausgebildet sind. Die eine Sorte Beratung, die hier bewusst unterbleibt, ist die rechtliche.

 

Warum die Beteiligung kein Formfehlerrisiko, sondern eine Terminfrage ist

Die Mitbestimmung bei der Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, ist der Klassiker unter den Beteiligungstatbeständen. Im Bundespersonalvertretungsgesetz steht sie in § 80 Absatz 1 Nummer 21, in den Landesgesetzen an unterschiedlicher Stelle und mit unterschiedlichem Zuschnitt; für kirchliche Träger übernehmen die Mitarbeitervertretungsordnungen diese Rolle. Die Rechtsprechung hat in den vergangenen Jahren betont, dass es auf den Einzelfall ankommt: Ob ein System beteiligungspflichtig ist, entscheidet sich daran, ob es unter den konkreten Umständen seines Einsatzes zur Überwachung geeignet ist – nicht daran, ob jemand Überwachung beabsichtigt.

Für Copilot können Sie sich die Diskussion sparen. Ein Werkzeug, das pro Konto zählt, wie viele Eingaben an welchen Tagen in welcher Anwendung erfolgt sind, ist zur Verhaltenskontrolle geeignet. Punkt. Die interessante Frage ist nicht, ob beteiligt werden muss, sondern wann und in welcher Form. Und das ist eine Projektfrage, keine juristische.

Der Anhörungspfad und seine Kosten

Eine Stadtverwaltung mit rund 1.000 Rufnummern hatte den Fahrplan sauber aufgeschrieben: Beschlussvorlage im Frühjahr, Lizenzbeschaffung im Sommer, Pilot mit vierzig Konten im Herbst. Der Personalrat war in der Vorlage genannt – als Punkt 7 unter „Beteiligung erfolgt“. Die Vorlage ging drei Wochen vor dem geplanten Pilotstart raus. Die Rückfragen kamen prompt und waren allesamt berechtigt: Was wird protokolliert? Wer kann die Protokolle einsehen? Was passiert mit dem Wortlaut der Eingaben? Wird das Ergebnis in Mitarbeitergesprächen verwendet?

Niemand konnte diese Fragen beantworten. Nicht, weil die IT unfähig gewesen wäre, sondern weil sie sie nie gestellt hatte – es war ja bloß ein Zusatzmodul zu einem Produkt, das seit drei Jahren in Betrieb war. Der Pilot verschob sich um fünf Monate. In dieser Zeit liefen die Lizenzen, die Kämmerei fragte nach, und die Verwaltungsspitze hatte im Rat bereits einen Termin genannt. Der zweite Anlauf begann mit einem gemeinsamen Workshop und dauerte insgesamt kürzer als die Nachverhandlung des ersten.

Skizze 1: Zwei Wege zur Dienstvereinbarung. Der zeitliche Unterschied entsteht nicht aus Rechtsauffassungen, sondern aus der Reihenfolge der Arbeitsschritte.

AUS DER PRAXIS · Personalrat im Workshop statt in der Anhörung Setzen Sie den Personalrat nicht an das Ende des Konzeptionsprozesses, sondern an den Anfang – und zwar in dieselbe Runde wie IT, Organisationsamt und Datenschutzbeauftragte. Nicht als Zuhörer, sondern mit eigener Fragenliste. Der Workshop, der das leistet, dauert zwei Tage. Tag eins: Was fällt technisch überhaupt an? Die IT zeigt den Nutzungsbericht live im Admin Center, mit echten Spalten und echtem Export. Das ist unangenehm und genau deshalb wirksam – danach diskutiert niemand mehr darüber, ob „da überhaupt etwas gespeichert wird“. Tag zwei: Was wollen wir davon nicht? Aus dieser Liste entstehen die Auswertungsverbote. Sie sind belastbarer als jede Formulierung aus einem Muster, weil beide Seiten wissen, worauf sie sich beziehen. Nebeneffekt, der in keiner Beschlussvorlage auftaucht: Der Personalrat kann in der Personalversammlung erklären, was geregelt ist. Ein Personalrat, der das kann, ist der beste Multiplikator, den ein Einführungsprojekt bekommen kann. Ein Personalrat, der überrumpelt wurde, ist das Gegenteil.

 

Wer sonst noch an den Tisch gehört

Die Dienstvereinbarung ist ein Papier zwischen Dienststellenleitung und Personalvertretung. Der Inhalt kommt aber aus mehreren Richtungen, und wenn eine davon fehlt, merkt man es später an der Stelle, an der es am teuersten ist.

Beteiligte	Beitrag zur Vereinbarung	Typischer Fehler
Personalrat	Auswertungsverbote, Freiwilligkeit, Beendigung, Konfliktregelung	Wird erst mit dem fertigen Entwurf konfrontiert und muss deshalb misstrauisch sein
Datenschutzbeauftragte	Rechtsgrundlage, Betroffenenrechte, Löschkonzept, Abgleich mit der Folgenabschätzung	Wird als Genehmigungsinstanz behandelt statt als Mitkonstrukteurin
IT-Leitung	Was technisch tatsächlich anfällt, was konfigurierbar ist, was nicht	Sagt „das kann man abschalten“, ohne es vorher geprüft zu haben
Organisationsamt	Pilotumfang entlang der Aufgaben, Prozessauswahl, Evaluationskriterien	Überlässt die Auswahl der Pilotämter der Freiwilligkeit einzelner Amtsleitungen
Registratur	Abgrenzung zwischen Arbeitsständen und aktenrelevantem Schriftgut	Wird gar nicht gefragt, weil Copilot „ja nur Entwürfe“ erzeugt
Rechnungsprüfungsamt	Nachweisführung, Wirtschaftlichkeit, Prüffragen zur Lizenzverwendung	Taucht zwei Jahre später auf und fragt nach Unterlagen, die niemand geführt hat

 

Die Abgrenzung zwischen Arbeitsstand und aktenrelevantem Schriftgut ist dabei kein Nebenschauplatz. Ein von Copilot entworfener Vermerk, der in die Vorgangsbearbeitung eingeht, ist Schriftgut wie jedes andere und unterliegt Ihrem Aktenplan. Wo die Grenze zwischen Zusammenarbeitsplattform und führendem System nach Landes-E-Government-Recht verläuft, ist im Beitrag SharePoint als E-Akte? Was geht, was nicht und wo die Grenze nach Landesrecht liegt ausführlich beschrieben; die Dienstvereinbarung sollte diese Grenze nicht verschieben, sondern sich auf sie beziehen.

Was technisch tatsächlich anfällt

Bevor Sie über Formulierungen reden, sollten alle im Raum dieselbe Vorstellung davon haben, welche Auswertungen es überhaupt gibt. Sonst regelt die Vereinbarung Dinge, die es nicht gibt, und übersieht die, die es gibt. Beides kommt vor, und das zweite ist deutlich unangenehmer.

Skizze 2: Vier Auswertungen mit sehr unterschiedlicher Auflösung. Keine davon lässt sich vollständig abschalten – alle vier lassen sich regeln.

Der Nutzungsbericht im Admin Center

Der Copilot-Nutzungsbericht im Microsoft-365-Admin-Center liefert eine benutzerbezogene Tabelle. Darin stehen der Anmeldename, der Anzeigename, die Zahl der abgesetzten Eingaben insgesamt und je Chatvariante, die Zahl der aktiven Tage sowie das jeweils letzte Aktivitätsdatum – einzeln für Teams, Word, Excel, PowerPoint, Outlook, OneNote und Loop. Die Zeiträume lassen sich auf 7, 28, 90 oder 180 Tage stellen, und die Tabelle umfasst alle Konten, die innerhalb der letzten 180 Tage überhaupt einmal lizenziert waren – auch solche, die die Lizenz inzwischen wieder abgegeben haben. Ein Klick auf „Exportieren“ erzeugt daraus eine Tabellendatei.

Die gute Nachricht: Benutzerbezogene Angaben sind in den Nutzungsberichten standardmäßig verborgen. Statt Namen sehen Sie anonymisierte Kennungen. Die weniger gute Nachricht: Diese Einstellung ist eine Mandanteneinstellung, und sie lässt sich mit wenigen Klicks umlegen. Genau das ist der Grund, warum sie in die Vereinbarung gehört – nicht als technische Behauptung, sondern als organisatorische Zusage mit benanntem Verfahren für Ausnahmen.

Das Copilot-Dashboard in Viva Insights

Das Copilot-Dashboard liefert gruppenbezogene Kennzahlen zu Bereitschaft, Nutzung und Wirkung. Es arbeitet mit einer Mindestgruppengröße: Ergebnisse werden nur angezeigt, wenn die ausgewählte Gruppe groß genug ist. Der Standardwert liegt bei zehn Personen, absenken lässt er sich auf fünf. Kennzahlen für den gesamten Mandanten unterliegen dieser Schwelle nicht.

Für eine Verwaltung ist die Schwelle der entscheidende Hebel. Ein Sachgebiet mit vier Personen ist keine Gruppe, sondern eine Namensliste mit einem Zwischenschritt. Wenn Sie in der Vereinbarung eine Mindestgruppengröße festschreiben und die Absenkung ausschließen, haben Sie eine der wirksamsten Regelungen überhaupt getroffen – und zwar eine, die sich technisch nachprüfen lässt.

Auditprotokoll und der Wortlaut

Im Auditprotokoll von Microsoft Purview landet für jede Copilot-Interaktion ein Ereignis: welches Konto, wann, in welcher Anwendung, und auf welche Ressourcen zur Beantwortung zugegriffen wurde. Was dort nicht steht, ist der Wortlaut. Die Aufbewahrung liegt in der Grundausstattung bei 180 Tagen, in der höheren Ausbaustufe bei einem Jahr, und sie lässt sich auf mehrere Jahre konfigurieren.

Der Wortlaut von Eingaben und Antworten existiert trotzdem. Er wird als Compliance-Kopie in einem verborgenen Ordner des jeweiligen Benutzerpostfachs abgelegt. Dieser Ordner ist über die normale Oberfläche weder für die Belegschaft noch für die Administration erreichbar – aber er ist mit den eDiscovery-Werkzeugen durchsuchbar. Genau dafür ist er gedacht: für Auskunftsersuchen, für rechtliche Verfahren, für die Erfüllung von Aufbewahrungspflichten.

Skizze 3: Der Lebenslauf einer Eingabe. Zwischen „Chat geschlossen“ und „endgültig gelöscht“ liegen mehrere Stationen und mindestens einige Tage.

FAKTENCHECK · Zahlen, die in den Workshop gehören Nutzungsbericht: Zeiträume 7, 28, 90 oder 180 Tage; benutzerbezogene Tabelle mit Anmeldename, Anzeigename, Zahl der Eingaben, aktiven Tagen und letztem Aktivitätsdatum je Anwendung; Export als Tabellendatei; benutzerbezogene Angaben im Standard verborgen. Copilot-Dashboard: Mindestgruppengröße standardmäßig zehn Personen, absenkbar bis fünf; Mandantenkennzahlen ohne Schwelle. Auditprotokoll: Ereignisse ohne Wortlaut; Aufbewahrung 180 Tage im Standard, ein Jahr in der höheren Ausbaustufe, konfigurierbar auf mehrere Jahre. Compliance-Kopie: Wortlaut von Eingabe und Antwort in einem verborgenen Postfachordner; nach Ablauf Verschiebung in einen zweiten verborgenen Ordner, dort mindestens einen Tag; endgültige Löschung typischerweise innerhalb von einem bis sieben Tagen danach. Haltegründe aus laufenden Verfahren setzen diesen Ablauf aus. Verlässt jemand die Dienststelle und wird das Konto gelöscht, wandern die aufbewahrungspflichtigen Interaktionen in ein inaktives Postfach und bleiben dort auffindbar.

 

Der Sonderfall Besprechung

Copilot in Teams-Besprechungen ist der Regelungsgegenstand, der in den meisten Entwürfen fehlt und in den meisten Personalversammlungen als erstes zur Sprache kommt. Technisch hängt Copilot hier eng an der Transkription. Die einladende Person kann in den Besprechungsoptionen zwischen drei Werten wählen: während und nach der Besprechung, nur während der Besprechung, oder aus. Die Variante „nur während“ arbeitet mit einer Sprache-zu-Text-Verarbeitung, die nach dem Ende nicht gespeichert wird. Wird Copilot ganz abgeschaltet, sind auch Aufzeichnung und Transkription für diese Besprechung aus.

WARNUNG · Die Standardeinstellung arbeitet gegen Ihre Vereinbarung Der voreingestellte Richtlinienwert für Copilot in Besprechungen lautet „aktiviert mit erforderlichem gespeicherten Transkript“. In dieser Einstellung steht die Besprechungsoption fest auf „während und nach der Besprechung“ – und die einladende Person kann daran nichts ändern. Wenn Ihre Dienstvereinbarung der einladenden Person ein Wahlrecht einräumt, die Besprechungsrichtlinie aber auf dem Standard steht, haben Sie ein Papier, das die Konfiguration nicht abbildet. Das fällt spätestens beim ersten Personalgespräch über ein Transkript auf. Zweiter Punkt, der überrascht: Auch wenn Aufzeichnung und Transkription ausgeschaltet sind, können Eingaben und Antworten aus der Besprechung über die Aufbewahrungsrichtlinien erfasst werden. „Kein Transkript“ ist also nicht gleichbedeutend mit „keine Daten“. Konsequenz für den Entwurf: Legen Sie den Richtlinienwert je Nutzergruppe ausdrücklich fest und nehmen Sie ihn in die Anlage auf. Sonst regeln Sie an der Technik vorbei.

 

Die sechs Regelungsgegenstände

Jetzt zum Kern. Eine belastbare Dienstvereinbarung zu Copilot kommt mit einer überschaubaren Zahl von Regelungsgegenständen aus. Sechs davon sind unverzichtbar, ein paar weitere sind je nach Haus sinnvoll. Alles darüber hinaus macht das Papier nicht besser, sondern nur schwerer änderbar.

Skizze 5: Die sechs Regelungsgegenstände. Hinter jedem steht eine Frage, die eine Verwaltung ohnehin beantworten muss.

Zweckbindung: der Satz, an dem alles andere hängt

Die Zweckbindung ist der kurze Satz, der am Anfang steht und dessen Wirkung man erst zwei Jahre später bemerkt. Er legt fest, dass Copilot als Arbeitsmittel zur Unterstützung der Aufgabenerledigung eingesetzt wird – und dass eine Verwendung zur Bewertung von Personen ausgeschlossen ist. Ohne diesen Satz ist jede spätere Auswertung eine Frage der Abwägung. Mit diesem Satz ist sie begründungspflichtig, und die Begründung muss gegen den vereinbarten Zweck anschreiben.

Ein zweiter Halbsatz gehört dazu, und er ist verwaltungsspezifisch: Ergebnisse von Copilot werden nicht ungeprüft Grundlage von Entscheidungen mit Außenwirkung. Das ist keine KI-Besonderheit, sondern Verwaltungsverfahrensrecht in einem Nebensatz. Die Verantwortung für den Bescheid bleibt bei der Sachbearbeitung, und zwar vollständig. Wer das aufschreibt, nimmt der Diskussion um „automatisierte Entscheidungen“ den größten Teil ihrer Schärfe.

Ausschluss der Leistungs- und Verhaltenskontrolle: ein Verwertungsverbot, kein Erhebungsversprechen

Hier machen die meisten Entwürfe denselben Fehler. Sie versprechen, dass keine Daten erhoben werden. Das ist unwahr, es lässt sich nicht einhalten, und es fällt beim ersten Auskunftsersuchen auf. Der Nutzungsbericht existiert, das Auditprotokoll existiert, die Compliance-Kopie existiert. Sie können diese Datenquellen konfigurieren, aber nicht wegregeln.

Was Sie regeln können, ist der Umgang. Die tragfähige Formulierung ist deshalb ein Verwertungsverbot: Die im Betrieb anfallenden personenbezogenen Nutzungsdaten werden nicht zur Leistungs- und Verhaltenskontrolle verwendet; Erkenntnisse, die unter Verstoß gegen diese Vereinbarung gewonnen wurden, dürfen weder in Personalgesprächen noch in dienstlichen Beurteilungen noch in Personalmaßnahmen verwendet werden. Ein solcher Satz ist ehrlich, er ist überprüfbar, und er wirkt genau dort, wo es darauf ankommt.

Dazu gehört zwingend eine Anlage, die benennt, welche Auswertungen es überhaupt gibt. Ein großer Landschaftsverband hat das elegant gelöst: Die Auswertungen stehen nicht im Vereinbarungstext, sondern in einer Anlage, die durch übereinstimmende Erklärung beider Seiten fortgeschrieben werden kann. Wenn der Hersteller einen neuen Bericht ausliefert – und das tut er regelmäßig – wird die Anlage ergänzt, ohne dass die Vereinbarung neu verhandelt werden muss. Der Preis dafür ist ein fester Termin, zu dem beide Seiten die Anlage gemeinsam durchgehen. Zweimal im Jahr reicht.

Pilotumfang: der Deckel, der verhindert, dass der Pilot einfach weiterläuft

Ein Pilot ohne Deckel wird zum Regelbetrieb, ohne dass jemand darüber entschieden hätte. Das ist keine böse Absicht, das ist Organisationsphysik. Deshalb gehören drei Zahlen und eine Liste in die Vereinbarung: die Höchstzahl der Lizenzen, die Dauer, die beteiligten Ämter – und das Verfahren, in dem sich das ändern lässt.

Bei der Auswahl der Ämter lohnt sich Zurückhaltung an einer bestimmten Stelle. Eine Stadtverwaltung, die SharePoint im Sozialbereich im Einsatz hatte, hat die betroffenen Organisationseinheiten für die erste Pilotphase bewusst ausgenommen – nicht aus Misstrauen gegenüber Copilot, sondern weil die Berechtigungsstruktur dort über Jahre gewachsen war und niemand zuverlässig sagen konnte, wer auf welche Ablage zugreifen kann. Diese Reihenfolge ist der eigentliche Rat: erst die Berechtigungen aufräumen, dann den Assistenten dazuschalten.

Warum das kein theoretisches Problem ist, beschreibt der Beitrag Oversharing im Verwaltungs-Tenant: Warum Copilot die Personalakte findet im Detail. Kurzfassung: Copilot vergibt keine Rechte und umgeht keine, es liest, was das anfragende Konto ohnehin lesen darf. Nur eben schneller und in ganzen Sätzen. Ein Pilot in einem Amt mit ungeklärter Berechtigungslage produziert deshalb zuverlässig genau den Vorfall, den niemand im Protokoll der Personalversammlung haben möchte.

Evaluationskriterien: vorher festlegen oder gar nicht

Kriterien, die nach dem Pilot entstehen, sind keine Kriterien, sondern Begründungen. Beide Seiten wissen das, und beide Seiten wissen, dass die andere Seite es weiß. Legen Sie die Kriterien deshalb vor dem Start fest, schriftlich, in einer Anlage – und akzeptieren Sie, dass ein Teil davon unangenehm ausfallen kann.

Der zweite Punkt ist die Erhebungsmethode. Es ist verführend, alles aus der Telemetrie zu ziehen, weil sie da ist und nichts kostet. Aber die Telemetrie beantwortet die falschen Fragen. Sie sagt, wie oft jemand ein Werkzeug angefasst hat, nicht ob die Arbeit besser geworden ist. Eine strukturierte Befragung mit dreißig Minuten Aufwand pro Person liefert für die Evaluation deutlich mehr als eine Tabelle mit Aktivitätsdaten – und sie ist beteiligungsrechtlich unkritisch, solange sie freiwillig und nicht personenbeziehbar ist.

Auswertungsverbote und die Ausnahme, die man regeln muss

Ein Verbot ohne geregelte Ausnahme wird im Ernstfall gebrochen. Das ist keine zynische Beobachtung, sondern eine praktische: Wenn ein begründeter Verdacht auf eine schwere Pflichtverletzung im Raum steht, wird jemand in die Protokolle schauen. Die Frage ist nur, ob das nach einem vereinbarten Verfahren geschieht oder nach Lage der Dinge.

Das vereinbarte Verfahren hat vier Bestandteile, und sie passen in drei Sätze: ein konkreter, dokumentierter Anlass; die vorherige Unterrichtung des Personalrats; das Vier-Augen-Prinzip bei der Durchführung; und ein Protokoll, das der Personalvertretung zugänglich ist. Wer diese vier Punkte regelt, bekommt eine Ausnahme, die tatsächlich eingehalten wird – weil sie handhabbar ist.

Wie die Protokollierung technisch funktioniert und welche Nachweise sich daraus führen lassen, ist Gegenstand des Beitrags Microsoft 365 Audit-Log und Rechnungsprüfung: Nachweise, die Verwaltungen liefern müssen. Er ist auch für den Personalrat lesenswert: Wer weiß, was das Auditprotokoll leisten kann, kann besser einschätzen, welche Zusage überhaupt überprüfbar ist.

Beendigung: die Frage, die niemand stellt

Eine Dienstvereinbarung ohne Ausstieg ist ein Dauerzustand mit Unterschrift. In der Praxis ist die Beendigungsregelung derjenige Baustein, der am häufigsten fehlt und am seltensten vermisst wird – bis zu dem Tag, an dem die Verwaltung feststellt, dass sie das Werkzeug so nicht weiterbetreiben will oder kann.

Vier Punkte gehören hinein: eine Frist, innerhalb derer gekündigt werden kann; eine Aussage zur Nachwirkung; ein Zeitplan für den Lizenzabbau; und ein Löschkonzept für die angefallenen Interaktionsdaten. Der letzte Punkt ist der, den die IT vorbereiten muss, bevor er unterschrieben wird – denn er hängt an den Aufbewahrungsrichtlinien und an möglichen Haltegründen aus laufenden Verfahren.

Wie Aufbewahrung, Disposition und Nachweis in Purview zusammenhängen, beschreibt Aufbewahrung und Aussonderung mit Purview: Fristen, Disposition, Vernichtungsnachweis. Wichtig für die Vereinbarung ist vor allem eines: Die zugesagte Löschfrist muss zu dem passen, was das System tatsächlich tut. Eine Zusage „sofortige Löschung“ ist bei einem Verfahren, das mehrere Tage für die endgültige Entfernung braucht, schlicht falsch.

Die Tabelle für den Workshop

Die folgende Tabelle ist als Arbeitsmittel gedacht. Die mittlere Spalte enthält Formulierungsideen – keine Klauseln. Sie sind bewusst so geschrieben, dass sie im Workshop widersprochen werden können. Genau das sollen sie auslösen.

Regelungsgegenstand	Formulierungsidee	Warum das hineingehört
Zweckbindung	Copilot wird ausschließlich als Arbeitsmittel zur Unterstützung der Aufgabenerledigung eingesetzt. Eine Verwendung zur Bewertung von Personen ist ausgeschlossen.	Ohne Zweckbindung ist jede spätere Auswertung eine Abwägungsfrage. Mit ihr ist sie begründungspflichtig.
Verantwortung für Entscheidungen	Ergebnisse von Copilot werden nicht ungeprüft Grundlage von Entscheidungen mit Außenwirkung oder von Personalmaßnahmen.	Nimmt der Debatte um automatisierte Entscheidungen die Schärfe und hält die Verantwortung dort, wo sie ohnehin liegt.
Ausschluss der Leistungs- und Verhaltenskontrolle	Anfallende personenbezogene Nutzungsdaten werden nicht zur Leistungs- und Verhaltenskontrolle verwendet. Unter Verstoß gewonnene Erkenntnisse dürfen in Personalmaßnahmen nicht verwendet werden.	Ein Verwertungsverbot ist einhaltbar. Ein Erhebungsversprechen ist es nicht – die Protokollierung lässt sich nicht abschalten.
Benannte Auswertungen	Anlage 1 benennt die im Regelbetrieb erzeugten Auswertungen. Sie wird zweimal jährlich gemeinsam überprüft und im Einvernehmen fortgeschrieben.	Was nicht benannt ist, wird später bestritten. Eine Anlage lässt sich anpassen, ohne die Vereinbarung aufzuschnüren.
Anonymisierte Berichte als Regelfall	Die Anzeige benutzerbezogener Angaben in den Nutzungsberichten bleibt deaktiviert. Eine Aufhebung erfolgt nur im Verfahren nach Ziffer X.	Die Einstellung ist im Standard bereits aktiv – und mit wenigen Klicks umlegbar. Genau das gehört geregelt.
Mindestgruppengröße	Gruppenbezogene Auswertungen erfolgen nur ab einer Mindestgruppengröße von zehn Personen. Eine Absenkung ist ausgeschlossen.	Ein Sachgebiet mit vier Personen ist keine Gruppe, sondern eine Namensliste mit Zwischenschritt.
Pilotumfang	Der Pilot umfasst höchstens N Lizenzen in den Ämtern A, B und C für die Dauer von X Monaten. Eine Ausweitung bedarf einer erneuten Verständigung.	Ohne Deckel wird aus dem Pilot der Regelbetrieb, ohne dass jemand entschieden hätte.
Freiwilligkeit und Rückgabe	Die Teilnahme ist freiwillig. Die Lizenz kann jederzeit ohne Angabe von Gründen zurückgegeben werden; daraus dürfen keine Nachteile entstehen.	Freiwillig ist nur, was sich ohne Erklärungsnot beenden lässt.
Besprechungen	Der Richtlinienwert für Copilot in Besprechungen wird je Nutzergruppe in Anlage 1 festgelegt. Das Wahlrecht der einladenden Person bleibt erhalten.	Die Voreinstellung erzwingt ein gespeichertes Transkript. Wer das Wahlrecht zusagt, muss die Richtlinie ändern.
Evaluationskriterien	Die Evaluation stützt sich auf die in Anlage 2 vor Pilotbeginn festgelegten Kriterien. Erhebung vorrangig über freiwillige Befragung.	Kriterien, die nach dem Pilot entstehen, sind keine Kriterien, sondern Begründungen.
Auswertungsverbote und Ausnahme	Einzelfallbezogene Auswertungen nur bei konkretem, dokumentiertem Anlass, nach vorheriger Unterrichtung der Personalvertretung, im Vier-Augen-Prinzip und mit Protokoll.	Ein Verbot ohne geregelte Ausnahme wird im Ernstfall gebrochen. Eine geregelte Ausnahme wird eingehalten.
Qualifizierung	Vor Freischaltung erhalten die Beteiligten eine Einweisung in Funktionsweise, Grenzen und Protokollierung des Werkzeugs.	Wer nicht weiß, was protokolliert wird, kann nicht souverän damit arbeiten – und überzeichnet die Risiken in beide Richtungen.
Beendigung	Kündigungsfrist X Monate. Nach Beendigung Lizenzentzug binnen Y Wochen und Löschung nach Anlage 3, soweit keine Aufbewahrungspflicht entgegensteht.	Eine Vereinbarung ohne Ausstieg ist ein Dauerzustand mit Unterschrift.
Konfliktregelung	Bei Streit über die Auslegung tritt binnen zwei Wochen eine paritätisch besetzte Arbeitsgruppe zusammen, bevor das förmliche Verfahren eingeleitet wird.	Das förmliche Verfahren ist langsam, teuer und selten das, was beide Seiten eigentlich wollten.

 

TIPP · Der Test, ob ein Entwurf trägt Nehmen Sie den Entwurf und lesen Sie ihn mit der Frage: Welcher Satz würde jemanden davon abhalten, etwas zu tun, das er sonst täte? Sätze, auf die Sie keine Antwort finden, sind Dekoration. Zweiter Test, technischer: Gehen Sie jeden zugesagten Punkt mit der IT durch und lassen Sie sich die zugehörige Einstellung im Portal zeigen. Was sich nicht zeigen lässt, ist eine Absichtserklärung – das kann in Ordnung sein, aber beide Seiten sollten wissen, dass es eine ist. Dritter Test: Geben Sie den Entwurf jemandem aus einem Fachamt, der nicht am Verfahren beteiligt war. Wenn diese Person nach fünf Minuten sagen kann, was sie darf und was mit ihren Daten passiert, ist der Text gut. Wenn nicht, ist er zu lang.

 

Vom Pilot zur Evaluation

Der Pilot ist der Teil, den alle wollen, und die Evaluation der Teil, den alle vergessen. Das ist insofern bemerkenswert, als die Evaluation der einzige Grund ist, aus dem ein Pilot einem Regelbetrieb vorzuziehen wäre. Ein Pilot ohne festgelegte Kriterien ist kein Pilot, sondern ein Rollout mit weniger Konten.

Skizze 4: Ein Pilotjahr mit terminierten Beteiligungspunkten. Die Termine stehen in der Vereinbarung, nicht im Kalender einer einzelnen Person.

Was Sie messen dürfen und was Sie messen wollen

Diese beiden Mengen überschneiden sich weniger, als man denkt. Sie dürfen die Nutzungsintensität pro Konto messen – aber Sie wollen es nicht, weil die Zahl nichts über die Qualität der Arbeit aussagt und die Diskussion vergiftet. Sie wollen wissen, ob die Bearbeitung eines Widerspruchsvorgangs schneller und besser geworden ist – aber das steht in keiner Telemetrie.

Kriterium	Wie erhoben	Was es ausdrücklich nicht ist
Nutzungsbreite	Anteil aktiver Konten an den lizenzierten, aggregiert je Amt ab zehn Personen	Kein Ranking, kein Rückschluss auf einzelne Personen
Aufgabenbezug	Strukturierte, freiwillige Befragung nach Monat 3 und Monat 6	Keine Auswertung von Dateizugriffen oder Eingabetexten
Zeitwirkung	Selbsteinschätzung in Bandbreiten, ergänzt um zwei begleitete Vorgänge je Amt	Keine Hochrechnung auf Stellenanteile oder Personalbedarf
Qualitätsrisiken	Sammelstelle für auffällige Antworten, Meldung ohne Namensnennung	Kein Fehlerkonto je Person
Betroffenenrechte	Zahl und Bearbeitungsdauer von Auskunftsersuchen zu Copilot-Daten	Keine Bewertung der anfragenden Personen
Abbruchgründe	Freiwillige Rückgabe der Lizenz mit anonymer Kurzbegründung	Keine Rücksprache mit der Amtsleitung über Einzelfälle
Wirtschaftlichkeit	Lizenzkosten gegen benannten Nutzen, aufbereitet für die Kämmerei	Keine Einsparzusage, die auf Selbsteinschätzungen beruht

 

Der letzte Punkt verdient einen eigenen Satz, weil er regelmäßig Ärger macht. Wenn im Evaluationsbericht steht, dass die Belegschaft im Schnitt vierzig Minuten pro Woche spart, wird irgendwer in der Kämmerei diese Zahl mit der Kopfzahl multiplizieren und daraus Stellen ableiten. Das ist methodisch unsauber und politisch hochexplosiv. Schreiben Sie die Grenze der Aussage in den Bericht hinein, und zwar in denselben Absatz wie die Zahl – nicht in eine Fußnote auf Seite elf.

Der Evaluationsbericht an den Personalrat

Ein guter Evaluationsbericht ist kurz, folgt exakt der Kriterienliste aus der Anlage und enthält keine Kriterien, die dort nicht stehen. Er geht an die Personalvertretung, bevor er in die Beschlussvorlage einfließt – nicht als Höflichkeit, sondern weil ein Bericht, den der Personalrat erstmals im Hauptausschuss sieht, den Rest des Verfahrens vergiftet.

Wie sich eine solche Beschlussvorlage aufbauen lässt und welche Entscheidungen überhaupt in die politische Ebene gehören, ist in Microsoft-365-Einführung in der Verwaltung: Konzeptionsphase in 4,5 Tagen und die Beschlussvorlage und in Microsoft 365 in der Kommune: Was Sie wirklich entscheiden müssen (und was nicht) beschrieben. Für die Dienstvereinbarung ist vor allem eine Abgrenzung wichtig: Die Vereinbarung regelt den Umgang mit dem Werkzeug, nicht die Frage, ob die Verwaltung Microsoft 365 einsetzt. Wer beides vermischt, verhandelt zwei Konflikte gleichzeitig und löst keinen.

Qualifizierung ist ein Regelungsgegenstand, kein Nachgedanke

Die europäische KI-Verordnung verpflichtet Anbieter und Betreiber, sich um die KI-Kompetenz der eigenen Belegschaft zu kümmern. Der Zuschnitt dieser Pflicht ist im Rahmen der Omnibus-Gesetzgebung überarbeitet worden, und die Fristen für Hochrisiko-Systeme haben sich verschoben; das Detail gehört in die Zuständigkeit Ihrer Rechtsabteilung. Für die Dienstvereinbarung ist die Richtung wichtiger als der Paragraph: Eine Einweisung vor Freischaltung ist ohnehin sinnvoll, sie ist billig, und sie löst gleich mehrere Probleme auf einmal.

Denn die überschätzten und die unterschätzten Risiken liegen dicht beieinander. Wer glaubt, Copilot lese die eigene Festplatte mit, wird das Werkzeug meiden. Wer glaubt, Copilot prüfe die Rechtslage, wird einen Bescheid unterschreiben, der nicht trägt. Beides lässt sich in einer Einweisung von neunzig Minuten erledigen – vorausgesetzt, sie handelt von der Arbeit und nicht von Funktionen.

Wie ein solches Format für Verwaltungen aufgebaut sein kann, beschreibt die Microsoft-365-Schulung für Verwaltungen. Und wenn Sie einen neutralen Blick von außen auf einen bereits vorliegenden Entwurf brauchen, ist das ein Fall für die Microsoft-365-Beratung für Verwaltungen – die rechtliche Würdigung bleibt allerdings dort, wo sie hingehört.

Sonderfälle, die in der Standardvorlage fehlen

Kirchliche Träger und die Mitarbeitervertretung

Bei Diakonie, Caritas und verfassten Kirchen tritt die Mitarbeitervertretung an die Stelle des Personalrats, und das Datenschutzrecht kommt aus dem kirchlichen Bereich statt aus der Datenschutz-Grundverordnung unmittelbar. Die Regelungsgegenstände bleiben dieselben, die Verfahrenswege nicht. Der Beitrag Microsoft 365 in Kirche, Diakonie und Caritas: DSG-EKD, KDG und Mitarbeitervertretung geht auf die Unterschiede ein. Ein Hinweis vorab: Die Verlockung, eine kommunale Dienstvereinbarung eins zu eins zu übernehmen, ist groß und die Trefferquote klein.

Die Frage nach dem Betriebsmodell

In fast jedem Beteiligungsverfahren kommt an irgendeiner Stelle die Frage, ob man nicht auf eine souveräne Alternative warten sollte. Sie ist berechtigt und gehört beantwortet – aber nicht in der Dienstvereinbarung. Was das Angebot der Delos Cloud umfasst, wen es betrifft und welche Bausteine derzeit nicht darin enthalten sind, ist in Delos Cloud für Kommunen: Was das Angebot ist, wen es betrifft und was fehlt nachzulesen. Für das Beteiligungsverfahren gilt: Die Vereinbarung regelt den Einsatz des Werkzeugs, das Sie jetzt haben. Sie ersetzt keine Plattformentscheidung, und sie sollte auch nicht so tun.

Lizenzen, Gruppen und die stille Ausweitung

Der häufigste Verstoß gegen eine Copilot-Dienstvereinbarung ist kein Datenschutzvorfall, sondern eine Gruppenmitgliedschaft. Jemand legt eine dynamische Gruppe an, die Lizenzzuweisung hängt daran, und plötzlich sind statt vierzig Konten hundertzwanzig freigeschaltet. Deshalb gehört in die Vereinbarung nicht nur eine Höchstzahl, sondern auch die Aussage, wie die Zuweisung erfolgt und wer sie ändern darf. Welche Lizenzstufen es gibt und wie sich Copilot dazu verhält, behandelt Microsoft 365 Lizenzen für Verwaltungen: E3, E5, F3 und die Behördenkonditionen.

Agenten und das, was als Nächstes kommt

Copilot ist kein statisches Produkt. Was heute ein Assistent im Textfeld ist, ist morgen ein Agent, der einen Arbeitsschritt selbstständig ausführt. Eine Dienstvereinbarung, die auf den heutigen Funktionsumfang zugeschnitten ist, läuft deshalb absehbar ins Leere. Der praktikable Umgang damit ist kein Versuch, die Zukunft mitzuregeln, sondern eine Klausel zur Fortschreibung: Neue Funktionen mit eigenständiger Verarbeitung werden vor Freischaltung gemeinsam bewertet, und bis dahin bleiben sie aus. Das ist unbequem für die IT und deutlich weniger unbequem als die Alternative.

Wo die Grenze zwischen Assistenz und automatisierter Vorgangsbearbeitung praktisch verläuft, behandelt Dokumenten-KI in der Verwaltung: Posteingang, Anträge und Klassifizierung. Sobald ein Verfahren Anträge klassifiziert oder Posteingang vorsortiert, reden Sie über einen anderen Gegenstand als über einen Schreibassistenten – mit entsprechend anderen Anforderungen an Transparenz und Nachvollziehbarkeit.

Häufige Fragen

Brauchen wir überhaupt eine Dienstvereinbarung, oder reicht eine Dienstanweisung?

Eine Dienstanweisung ist ein einseitiges Instrument und ersetzt keine Beteiligung, wo ein Mitbestimmungstatbestand greift. Bei einem Werkzeug, das benutzerbezogene Aktivitätsdaten erzeugt, wird man um die Beteiligung nicht herumkommen. Die praktische Frage ist eher umgekehrt: Vieles, was Verwaltungen in die Dienstvereinbarung schreiben möchten, gehört eigentlich in eine Handreichung – etwa der Umgang mit Formulierungshilfen oder Hinweise zur Prüfpflicht. Trennen Sie beides. Die Vereinbarung ist schwer zu ändern, die Handreichung nicht.

Wie lang sollte das Papier sein?

Kürzer als der erste Entwurf. In der Praxis funktionieren Vereinbarungen von fünf bis acht Seiten plus Anlagen gut. Alles, was sich ändert – Auswertungen, Kriterien, technische Einstellungen – gehört in die Anlagen, weil die sich einvernehmlich fortschreiben lassen. Alles, was gelten soll, auch wenn sich die Technik ändert, gehört in den Haupttext.

Können wir die Protokollierung nicht einfach abschalten?

Nein, und Sie wollen es auch nicht. Das Auditprotokoll ist die Grundlage für die Aufklärung von Sicherheitsvorfällen, für die Beantwortung von Auskunftsersuchen und für Nachweise gegenüber dem Rechnungsprüfungsamt. Was Sie konfigurieren können, sind Aufbewahrungsdauern und Zugriffsrechte. Was Sie regeln können, ist der Zweck der Auswertung. Die tragfähige Zusage lautet deshalb nicht „wir protokollieren nicht“, sondern „wir werten nicht personenbezogen aus, und hier ist das Verfahren für den Ausnahmefall“.

Muss die Datenschutz-Folgenabschätzung vor der Dienstvereinbarung fertig sein?

Die beiden Verfahren laufen parallel und nähren sich gegenseitig. Die Folgenabschätzung liefert die Risikoanalyse, aus der sich ein Teil der Regelungsgegenstände ableitet; die Vereinbarung liefert einen Teil der Maßnahmen, mit denen die Risiken behandelt werden. Wer beides nacheinander abarbeitet, verdoppelt den Aufwand. Der Beitrag Microsoft 365 Copilot in der Verwaltung: Datenschutz, Rechtsgrundlage, DSFA geht auf Rechtsgrundlage und Folgenabschätzung im Einzelnen ein.

Der Personalrat verlangt ein Verbot von Copilot in Besprechungen. Was tun?

Erst einmal zuhören, denn die Sorge ist berechtigt: Ein Transkript ist etwas qualitativ anderes als eine Zusammenfassung. Technisch haben Sie mehr Optionen als „ganz oder gar nicht“ – Sie können die Variante ohne gespeichertes Transkript zum Regelfall machen, das Wahlrecht bei der einladenden Person belassen und für bestimmte Besprechungsarten, etwa Personalgespräche und Gremiensitzungen, eine ausdrückliche Ausnahme vereinbaren. Wichtig ist nur, dass die Besprechungsrichtlinie danach auch tatsächlich so eingestellt wird.

Was passiert mit den Copilot-Daten, wenn jemand die Dienststelle verlässt?

Aufbewahrungspflichtige Interaktionen wandern in ein inaktives Postfach und bleiben dort im Rahmen der geltenden Aufbewahrungsrichtlinie auffindbar. Das ist für Auskunfts- und Aufbewahrungspflichten sinnvoll und für die Betroffenen erklärungsbedürftig. Nehmen Sie es in die Vereinbarung auf, statt darauf zu warten, dass es jemand herausfindet.

Wie gehen wir mit dem Argument „das machen doch alle so“ um?

Gar nicht, jedenfalls nicht als Argument. Es hilft aber, den Erfahrungsaustausch zu suchen: Andere Verwaltungen ähnlicher Größe haben dieselben Fragen, und die Antworten sind erstaunlich ähnlich. Nur übernehmen sollten Sie den Text nicht – die Zuständigkeitskataloge im Landesrecht und die eigene Tenant-Konfiguration unterscheiden sich zu stark. Was sich übernehmen lässt, ist die Gliederung.

Wer soll den Entwurf eigentlich schreiben?

Nicht die IT allein und nicht der Personalrat allein. In den Fällen, die gut liefen, hat das Organisationsamt die Feder geführt, die IT die technischen Anlagen geliefert, die Datenschutzbeauftragte gegengelesen und der Personalrat von Anfang an mitformuliert. Wenn eine externe Begleitung dazukommt, dann als Moderation und Faktenlieferung – die rechtliche Würdigung bleibt bei den dafür zuständigen Stellen.

Und wenn wir uns nicht einigen?

Dann greift das förmliche Verfahren nach Ihrem Landesrecht, und das dauert. Deshalb der Rat zur Konfliktregelung im Text selbst: eine kleine, paritätisch besetzte Arbeitsgruppe, die bei Auslegungsstreit binnen zwei Wochen zusammentritt. In der Praxis erledigt dieses Gremium die allermeisten Fälle, weil die meisten Konflikte Missverständnisse über technische Sachverhalte sind und keine Interessengegensätze.

Fazit

Eine Dienstvereinbarung zu Copilot ist kein juristisches Kunstwerk und kein Bündnis auf Zeit zwischen zwei misstrauischen Parteien. Sie ist die schriftliche Fassung dessen, was eine Verwaltung ohnehin klären muss, bevor sie ein Werkzeug einführt, das in jeder Anwendung sichtbar ist und dabei eine ordentliche Datenspur legt: Wofür setzen wir das ein? Was passiert mit den Daten, die dabei anfallen? Wer darf sie sehen? Wie groß wird der Versuch? Woran messen wir ihn? Und wie kommen wir wieder heraus?

Sechs Fragen, sechs Regelungsgegenstände. Die Kunst liegt nicht darin, sie besonders elegant zu formulieren, sondern darin, sie ehrlich zu beantworten. Ein Verwertungsverbot, das man einhalten kann, ist mehr wert als ein Erhebungsverbot, das man brechen muss. Eine benannte Ausnahme, die eingehalten wird, ist mehr wert als ein lückenloses Verbot, das im Ernstfall umgangen wird. Und ein Personalrat, der im Workshop saß, ist mehr wert als jede Mustervereinbarung aus dem Netz.

Der Rest ist Terminplanung. Zwei Tage Workshop, vier Wochen Entwurf, ein Beschluss, ein Pilot mit festen Beteiligungspunkten. Das ist weniger Aufwand, als eine gescheiterte Anhörung kostet – und erheblich weniger Aufwand als eine Nachverhandlung vor Publikum.

Weiter im Thema Die folgenden Beiträge dieser Reihe greifen einzelne Punkte auf, die hier nur angerissen sind: › Microsoft 365 Copilot in der Verwaltung: Datenschutz, Rechtsgrundlage, DSFA – Rechtsgrundlage und Folgenabschätzung, parallel zur Beteiligung › Oversharing im Verwaltungs-Tenant: Warum Copilot die Personalakte findet – Warum die Berechtigungen vor dem Pilot an der Reihe sind › Microsoft 365 Audit-Log und Rechnungsprüfung: Nachweise, die Verwaltungen liefern müssen – Was protokolliert wird und welche Nachweise sich daraus führen lassen › Aufbewahrung und Aussonderung mit Purview: Fristen, Disposition, Vernichtungsnachweis – Aufbewahrung, Disposition und Löschnachweis für die Beendigungsklausel › Microsoft-365-Einführung in der Verwaltung: Konzeptionsphase in 4,5 Tagen und die Beschlussvorlage – Konzeptionsphase und Beschlussvorlage im Zusammenhang › Microsoft Teams in der Verwaltung einführen: Informationsarchitektur entlang der Ämter – Informationsarchitektur entlang der Ämter als Grundlage für den Pilotzuschnitt › Schutzbedarf und Microsoft 365: IT-Grundschutz-Abgleich für die Praxis – Schutzbedarfsfeststellung als Vorarbeit für die Auswahl der Pilotämter › Microsoft 365 in Kirche, Diakonie und Caritas: DSG-EKD, KDG und Mitarbeitervertretung – Mitarbeitervertretung, DSG-EKD und KDG statt Personalrat und Landesrecht