Betriebsrat, Personalrat oder MAV: Mitbestimmung bei Microsoft 365 je nach Trägerschaft

Drei mögliche Stühle, ein Tisch. Wer darauf Platz nimmt, entscheidet der Träger.

Wissen Alle Beiträge der Serie im Überblick: › Microsoft 365 im Krankenhaus	Beratung Rahmenvereinbarung und Einführung planen: › Microsoft 365 Beratung für Krankenhäuser	Schulung Für IT, Datenschutz und Vertretungen: › Microsoft 365 Schulung für Krankenhäuser

 

Es gibt in der Krankenhaus-IT einen Moment, den jede IT-Leitung irgendwann erlebt. Der Tenant ist eingerichtet, die Pilotgruppe in der Verwaltung ist begeistert, die Geschäftsführung hat den Rollout für das nächste Quartal angekündigt. Dann kommt eine freundliche, aber sehr bestimmte E-Mail der Vertretung: Man habe gehört, dass Microsoft 365 eingeführt werde, und bitte um Unterlassung bis zum Abschluss einer Vereinbarung. Ab diesem Moment läuft das Projekt nicht mehr nach Projektplan, sondern nach Sitzungskalender.

Welche Vertretung diese E-Mail schreibt, hängt am Träger. In einer privaten Klinik-GmbH ist es der Betriebsrat, im kommunalen Eigenbetrieb oder im Universitätsklinikum der Personalrat, im Haus der Diakonie oder der Caritas die Mitarbeitervertretung. Drei Rechtsgrundlagen, drei Verfahren, ein gemeinsamer Kern: Microsoft 365 ist eine technische Einrichtung, die zur Leistungs- und Verhaltenskontrolle geeignet ist. Daran führt kein Weg vorbei, und das ist auch gut so.

Dieser Beitrag zeigt, wer im Krankenhaus zuständig ist, warum Microsoft 365 in allen drei Welten mitbestimmungspflichtig ist und welche Bausteine eine Rahmenvereinbarung für den Klinikalltag braucht – vom Anwesenheitsstatus im Schichtdienst bis zu Copilot. Er gehört zur Serie Microsoft 365 im Krankenhaus und richtet sich an IT-Leitung, Geschäftsführung, Datenschutz, Informationssicherheit – und ausdrücklich auch an Betriebsräte, Personalräte und Mitarbeitervertretungen, die wissen wollen, worüber sie eigentlich verhandeln.

Hinweis: keine Rechtsberatung Dieser Beitrag beschreibt die Mitbestimmung aus Sicht der IT-Beratung. Er ersetzt keine Rechtsberatung. Welche Vertretung zuständig ist, welcher Mitbestimmungstatbestand greift und wie das Verfahren läuft, hängt von Rechtsform, kirchlicher Zuordnung, Bundesland und der jeweils geltenden Fassung des Gesetzes oder der kirchlichen Ordnung ab. Lassen Sie die Einordnung von Ihrem Justiziariat oder einer arbeitsrechtlich spezialisierten Kanzlei vornehmen – und rechnen Sie damit, dass die Vertretung ihrerseits sachkundige Unterstützung hinzuzieht.

 

Wer am Tisch sitzt: Die Trägerschaft entscheidet

Krankenhäuser in Deutschland kommen in drei Trägerformen daher: öffentlich, freigemeinnützig und privat. Für die Mitbestimmung ist diese Einteilung allerdings nur eine grobe Orientierung. Entscheidend sind zwei andere Fragen: Ist das Haus einer Kirche zugeordnet? Und wenn nicht – ist der Träger privatrechtlich oder öffentlich-rechtlich organisiert? Wer das einmal sauber geklärt hat, weiß, welches Gesetz auf dem Tisch liegt.

Erst die kirchliche Zuordnung, dann die Rechtsform – der Eigentümer allein entscheidet nichts.

Betriebsrat: private Träger und viele gemeinnützige GmbHs

Das Betriebsverfassungsgesetz gilt für Betriebe in privater Rechtsform. Das betrifft die großen privaten Klinikkonzerne, aber auch viele Häuser, die man im Alltag für „kommunal“ hält: Wenn der Landkreis sein Krankenhaus als GmbH oder gGmbH führt, ist die Klinik privatrechtlich organisiert, und es gibt einen Betriebsrat. Der Eigentümer ist öffentlich, die Rechtsform ist es nicht. Dasselbe gilt für freigemeinnützige Häuser ohne kirchliche Zuordnung, etwa von Stiftungen oder Wohlfahrtsverbänden in GmbH-Form.

Maßgeblich ist § 87 Abs. 1 Nr. 6 BetrVG: Der Betriebsrat hat mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Kommt keine Einigung zustande, entscheidet nach § 87 Abs. 2 BetrVG die Einigungsstelle, und ihr Spruch ersetzt die Einigung. Für Tendenzbetriebe nach § 118 Abs. 1 BetrVG gelten Einschränkungen, die die soziale Mitbestimmung bei technischen Einrichtungen in aller Regel aber nicht berühren.

Personalrat: öffentlich-rechtliche Häuser und Universitätsklinika

Ist das Krankenhaus ein Eigenbetrieb, eine Anstalt des öffentlichen Rechts oder Teil einer Körperschaft, gilt Personalvertretungsrecht. Für Krankenhäuser ist das fast immer das Landespersonalvertretungsgesetz, denn Träger sind Kommunen, Landkreise oder das Land. Das Bundespersonalvertretungsgesetz betrifft nur Einrichtungen des Bundes, etwa die Bundeswehrkrankenhäuser; sein § 80 Abs. 1 Nr. 21 formuliert den Tatbestand nahezu wortgleich zum BetrVG und dient vielen Landesgesetzen als Muster.

Hier hört die Einheitlichkeit allerdings auf. Die Länder regeln Mitbestimmungskataloge, Fristen, das Stufenverfahren und die Frage, wer am Ende entscheidet, unterschiedlich. Manche Länder kennen weitgehende Allzuständigkeiten des Personalrats, andere enge Kataloge. Manche geben der Einigungsstelle das letzte Wort, andere sehen in bestimmten Fällen nur eine Empfehlung vor, über die die oberste Dienstbehörde oder das zuständige Organ des Trägers entscheidet. Universitätsklinika haben zusätzlich oft eigene Regelungen im Universitätsklinikagesetz oder Hochschulgesetz ihres Landes – Parallelen zur Hochschulwelt finden Sie im Kompetenzbereich Microsoft 365 in Hochschule und Forschung, zur Verwaltung im Kompetenzbereich Microsoft 365 in der öffentlichen Verwaltung.

Mitarbeitervertretung: kirchliche Häuser

Das Betriebsverfassungsgesetz findet nach § 118 Abs. 2 BetrVG keine Anwendung auf Religionsgemeinschaften und ihre karitativen und erzieherischen Einrichtungen – unabhängig von der Rechtsform. Eine diakonische gGmbH hat also keinen Betriebsrat, sondern eine Mitarbeitervertretung nach kirchlichem Recht. Auf evangelischer Seite ist das das Mitarbeitervertretungsgesetz der EKD (MVG-EKD) mit seinen landeskirchlichen Anwendungsgesetzen, auf katholischer Seite die Mitarbeitervertretungsordnung (MAVO) in der Fassung des jeweiligen Bistums. Beide kennen einen Mitbestimmungs- beziehungsweise Zustimmungstatbestand für technische Einrichtungen zur Überwachung von Verhalten oder Leistung, in der MAVO in ihrer Rahmenfassung in § 36 Abs. 1 Nr. 9.

Die Details – Fristen, Einigungsstelle, kirchliche Arbeitsgerichte – unterscheiden sich von der weltlichen Welt, und auch zwischen Landeskirchen und Bistümern. Wenn der Datenschutz dann noch nach KDG oder DSG-EKD läuft, wird es endgültig eine eigene Disziplin. Mehr dazu im Kompetenzbereich Microsoft 365 in Kirche, Diakonie und Caritas.

Sonderfälle: Klinikverbund, Trägerwechsel, Servicegesellschaften

Spannend wird es im Klinikverbund. Ein Verbund kann ein kommunales Haus als Anstalt, eine Reha-Klinik als GmbH und eine Servicegesellschaft für Reinigung, Küche und IT umfassen – mit Personalrat, Betriebsrat und womöglich einem Gesamt- oder Konzernbetriebsrat obendrauf. Ein gemeinsamer Microsoft-365-Tenant für alle Standorte ist technisch naheliegend, mitbestimmungsrechtlich aber ein Gespräch mit mehreren Gremien unter verschiedenen Gesetzen. Nach einem Trägerwechsel, etwa der Übernahme eines kirchlichen Hauses durch einen privaten Konzern, wechselt mit der Zuordnung auch das Recht – bestehende Dienstvereinbarungen sind dann ein eigenes Thema für das Justiziariat.

Ausdrücklich nicht Thema dieses Beitrags sind Arztpraxen, Pflegeheime und Krankenkassen; dort gelten zwar dieselben Gesetze, aber andere Strukturen.

Trägerschaft	Vertretung	Rechtsgrundlage	Besonderheit
Privat (GmbH, AG, Konzern)	Betriebsrat, ggf. Gesamt- und Konzernbetriebsrat	BetrVG, § 87 Abs. 1 Nr. 6	Einigungsstelle entscheidet verbindlich; im Konzern Zuständigkeit des Konzernbetriebsrats prüfen, wenn der Tenant konzernweit läuft
Kommunal in Privatrechtsform (GmbH, gGmbH)	Betriebsrat	BetrVG, § 87 Abs. 1 Nr. 6	Öffentlicher Eigentümer, aber privates Recht – häufigste Fehleinschätzung in Projekten
Öffentlich-rechtlich (Eigenbetrieb, Anstalt)	Personalrat, ggf. Gesamt- oder Hauptpersonalrat	Landespersonalvertretungsgesetz	Katalog, Fristen, Stufenverfahren und Letztentscheidung je Bundesland verschieden
Universitätsklinikum	Personalrat (teils getrennt für wissenschaftliches und nicht wissenschaftliches Personal)	Landespersonalvertretungsgesetz, ggf. Sonderregeln im Landesrecht	Schnittstelle zur Universität: wer nutzt welchen Tenant, wer ist Dienststelle
Freigemeinnützig ohne kirchliche Zuordnung	Betriebsrat	BetrVG, § 87 Abs. 1 Nr. 6	Tendenzschutz nach § 118 Abs. 1 möglich, bei technischer Überwachung meist ohne Wirkung
Evangelisch, Diakonie	Mitarbeitervertretung, ggf. Gesamt-MAV	MVG-EKD und landeskirchliches Anwendungsrecht	BetrVG ausgeschlossen (§ 118 Abs. 2); kirchliche Schlichtung und Kirchengerichte
Katholisch, Caritas	Mitarbeitervertretung, ggf. Gesamt-MAV	MAVO in diözesaner Fassung	Zustimmungserfordernis; Fassung des jeweiligen Bistums maßgeblich

 

Der gemeinsame Kern: Geeignet zur Kontrolle reicht

So unterschiedlich die drei Welten sind, beim Kern sind sie sich einig. Alle drei Regelwerke knüpfen an technische Einrichtungen an, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen. Und alle drei werden seit Jahrzehnten so ausgelegt, dass es auf die Absicht des Arbeitgebers nicht ankommt.

Fakten auf einen Blick Wortlaut BetrVG: Mitbestimmung bei „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“ (§ 87 Abs. 1 Nr. 6). Auslegung: Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt die objektive Eignung zur Überwachung. Ob der Arbeitgeber tatsächlich auswerten will, spielt keine Rolle. Einführung und Anwendung: Mitbestimmt ist nicht nur das „Ob“, sondern auch jede wesentliche Änderung – neue Funktionen, neue Auswertungen, neue Dienste. Auch der Pilot: Eine probeweise Einführung ist ebenfalls Einführung. Die Pilotgruppe in der Verwaltung ist kein mitbestimmungsfreier Raum. Personalvertretung und Kirche: Landespersonalvertretungsgesetze, MVG-EKD und MAVO enthalten vergleichbare Tatbestände; die Rechtsprechung legt sie ähnlich aus.

 

Für Microsoft 365 bedeutet das: Die Frage, ob die Plattform mitbestimmungspflichtig ist, stellt sich nicht ernsthaft. Exchange protokolliert Postfachzugriffe, SharePoint und OneDrive protokollieren Dateiaktivitäten, Entra ID protokolliert jede Anmeldung, Teams kennt den Anwesenheitsstatus und die Verbindungsdaten, und das Microsoft 365 Admin Center liefert Nutzungsberichte bis auf Benutzerebene. Wer der Vertretung erzählt, man wolle doch gar nicht kontrollieren, hat zwar vermutlich recht, aber das Argument zählt nicht. Es geht um das, was möglich ist.

Die eigentliche Frage ist deshalb nicht das Ob, sondern das Wie: Welche Daten fallen an, wer darf sie sehen, zu welchem Zweck, wie lange, und was passiert, wenn doch jemand auswerten möchte? Genau das regelt eine gute Betriebs- oder Dienstvereinbarung.

Achtung: Die Vertretung ist nicht der Datenschutz Mitbestimmung und Datenschutz überschneiden sich, ersetzen sich aber nicht. Eine Betriebsvereinbarung kann eine Rechtsgrundlage für die Verarbeitung von Daten der Mitarbeiterinnen und Mitarbeiter sein, sie macht aber die Datenschutz-Folgenabschätzung, das Verzeichnis der Verarbeitungstätigkeiten und die Beteiligung des Datenschutzbeauftragten nicht überflüssig. Umgekehrt ersetzt ein grünes Licht des Datenschutzes nicht die Zustimmung der Vertretung. Beide Wege laufen parallel, und am besten am selben Tisch.

 

Die Bausteine für den Klinikalltag

Muster-Betriebsvereinbarungen für Microsoft 365 gibt es viele. Die meisten sind für Büros geschrieben: feste Arbeitsplätze, Kernarbeitszeit, ein Gerät pro Person. Das Krankenhaus funktioniert anders. Hier gibt es Schichtdienst und Rufbereitschaft, gemeinsam genutzte Stationsrechner, eine Klinik-TK-Anlage neben Teams und Chefärzte, die zwischen OP, Visite und Gremiensitzung pendeln. Fünf Bausteine verdienen deshalb besondere Aufmerksamkeit.

Nicht jede Funktion ist gleich heikel – die Verhandlungszeit sollte dorthin fließen, wo es rot leuchtet.

Anwesenheitsstatus im Schichtdienst

Der Teams-Status ist der Klassiker jeder Mitbestimmungsdebatte. Grün, gelb, rot – und die Sorge, dass jemand daraus Arbeitszeiten ablesen könnte. Im Krankenhaus kommt hinzu, dass der Status im Schichtdienst wenig Aussagekraft hat: Die Pflegedirektion, die um sechs Uhr auf Station ist, steht um zehn Uhr als „abwesend“ im Teams, weil sie gerade am Patientenbett steht und nicht am Rechner sitzt. Das ist kein Leistungsdefizit, sondern Krankenhaus.

Regeln Sie deshalb ausdrücklich, dass der Anwesenheitsstatus nicht zur Arbeitszeit- oder Leistungsbewertung herangezogen wird, dass niemand verpflichtet ist, ihn manuell zu pflegen, und dass auch keine Auswertungen über Schnittstellen oder Drittanbieter-Werkzeuge erfolgen. Für die Erreichbarkeit in der Rufbereitschaft ist ohnehin der Dienstplan maßgeblich, nicht ein grüner Punkt.

Audit-Logs: das größte Kontrollpotenzial

Das einheitliche Überwachungsprotokoll in Microsoft Purview ist für die Informationssicherheit unverzichtbar und für die Mitbestimmung der heikelste Punkt. Es zeichnet auf, wer wann welches Dokument geöffnet, bearbeitet, geteilt oder gelöscht hat, wer sich wann angemeldet hat und wer welche Postfachaktionen ausgeführt hat. Laut Microsoft Learn werden Audit-Daten in Audit (Standard) inzwischen standardmäßig 180 Tage aufbewahrt; mit Audit (Premium) und passender Lizenz gilt für Exchange, SharePoint, OneDrive und Entra ID standardmäßig ein Jahr, mit Zusatzlizenz bis zu zehn Jahre. Prüfen Sie den aktuellen Stand vor der Verhandlung, Microsoft hat diese Werte schon mehrfach geändert.

Abschalten ist keine Option – Sie brauchen die Protokolle für Sicherheitsvorfälle, für die Nachweise nach § 391 SGB V oder BSIG und im Ernstfall für die Forensik. Aus Projekten mit Forensikbezug wissen wir: Ohne Protokolle rekonstruiert niemand mehr, was passiert ist. Die Lösung liegt in Rollen und Verfahren: Zugriff nur für benannte Rollen, Auswertung nur anlassbezogen zu Zwecken der Informationssicherheit, Vier-Augen-Prinzip und Information der Vertretung bei personenbezogener Auswertung. Mehr zur technischen Seite im Kompetenzbereich Microsoft Purview.

Tipp: Die Vertretung als Verbündete der Sicherheit Erfahrene Vertretungen wissen, dass Protokolle auch die Mitarbeiterinnen und Mitarbeiter schützen – etwa wenn nach einem kompromittierten Konto geklärt werden muss, wer eine verdächtige Mail tatsächlich geöffnet hat. Formulieren Sie den Zweck deshalb positiv: Informationssicherheit, Abwehr von Angriffen, Aufklärung von Vorfällen. Und schließen Sie ausdrücklich aus, was niemand will: Leistungsvergleiche, Rankings, Produktivitätsauswertungen.

 

Teams-Telefonie: Verbindungsdaten in der Unteranlage

Im Krankenhaus ist Teams-Telefonie in aller Regel eine Unteranlage für Verwaltung und ärztliche Leitungspositionen hinter der großen Klinik-TK-Anlage, die für Station, DECT, Zentrale und Patienten führend bleibt. Für die Mitbestimmung ist das trotzdem relevant: Die Anrufliste im Teams Admin Center zeigt, wer wann wen wie lange angerufen hat, und Qualitätsdashboards gehen bis auf einzelne Anrufe herunter. Für die Klinik-TK gibt es in vielen Häusern längst eine Vereinbarung – die neue Unteranlage gehört in denselben Rahmen und sollte nicht schlechter geregelt sein.

Sinnvoll ist eine Regelung, die Verbindungsdaten nur für Abrechnung, Störungsbeseitigung und Qualitätssicherung der Sprachverbindung zulässt, Zugriffsrollen benennt und Fristen festlegt. Besonders sensibel sind Anrufe in der Rufbereitschaft: Wann der Oberarzt nachts zurückgerufen hat, ist keine Frage für ein Admin-Dashboard. Wie die Unteranlage technisch aussieht, beschreibt der Kompetenzbereich Teams-Telefonie im Krankenhaus und in der Pflege.

Anmeldedaten an gemeinsam genutzten Stationsrechnern

Auf Station teilen sich Pflegekräfte und Ärzte die Rechner. Je nach Konzept melden sie sich mit einem Sammelkonto, mit persönlichen Konten über schnellen Benutzerwechsel oder mit Karte an. Das hat zwei Seiten: Sammelkonten verwischen die Zurechnung und sind aus Sicht der Informationssicherheit ein Graus, persönliche Konten erzeugen in Entra ID präzise Anmeldeprotokolle mit Uhrzeit und Gerät – auf Station also faktisch ein Anwesenheitsnachweis. Die Vertretung wird genau das fragen.

Die Vereinbarung sollte deshalb festhalten, dass Anmelde- und Abmeldezeiten an Stationsrechnern nicht zur Arbeitszeitkontrolle verwendet werden – dafür gibt es die Zeiterfassung –, dass Anmeldeprotokolle nur für Sicherheit und Störungsbeseitigung ausgewertet werden und welche Fristen gelten. Wer die Identitätsseite sauber aufsetzen will, findet Hintergründe im Kompetenzbereich Microsoft Entra ID.

Copilot: neue Daten, alte Frage

Microsoft 365 Copilot bringt eine neue Kategorie von Daten: Prompts und Antworten. Copilot-Interaktionen landen im Überwachungsprotokoll, Nutzungsberichte zeigen, wer Copilot wie oft verwendet, und Analysewerkzeuge versprechen Aussagen über Produktivitätsgewinne. Aus Sicht der Vertretung ist das ein Leistungsmessinstrument mit eingebauter Textanalyse – und die Sorge ist nicht abwegig.

Regeln Sie Copilot deshalb in einer eigenen Anlage: Wer bekommt eine Lizenz und nach welchen Kriterien, welche Nutzungsberichte werden nur aggregiert und anonymisiert verwendet, wer darf Prompts im Einzelfall einsehen, und dass Copilot-Ausgaben nicht zur Leistungsbeurteilung herangezogen werden. Im Krankenhaus kommt hinzu, dass Copilot alles findet, worauf ein Nutzer Zugriff hat – auch die Excel-Liste mit Patientennamen, die seit drei Jahren in einem Teams-Kanal liegt. Das ist kein Mitbestimmungsthema, aber ein guter Grund, vor Copilot aufzuräumen. Mehr dazu im Kompetenzbereich Microsoft 365 Copilot.

Achtung: Patientendaten gehören ins KIS Die Realität in vielen Häusern: Belegungslisten, OP-Pläne, Entlassungslisten als Excel-Datei in Teams oder OneDrive. Das ist kein Normalfall und sollte keiner werden. Patientendaten gehören ins KIS und seine Subsysteme; Microsoft 365 ist Werkzeug für Verwaltung, Organisation, Qualitätsmanagement und Zusammenarbeit. Eine Rahmenvereinbarung ist ein guter Anlass, diese Grenze auch schriftlich festzuhalten. Die Hintergründe beschreibt der Beitrag Patientendaten und Microsoft 365: Wo das KIS endet und das Office anfängt.

 

Funktion	Kontrollpotenzial	Regelungsvorschlag
Anwesenheitsstatus Teams	Echtzeit-Erreichbarkeit; im Schichtdienst wenig aussagekräftig, aber missverständlich	Keine Auswertung zu Arbeitszeit oder Leistung; keine Pflicht zur manuellen Pflege; keine Auswertung über Schnittstellen
Audit-Logs (Purview)	Hoch: Datei-, Postfach- und Anmeldeaktivitäten je Person	Zugriff nur für benannte Rollen; anlassbezogen zu Sicherheitszwecken; Vier-Augen-Prinzip; Information der Vertretung; Aufbewahrungsfristen festlegen
Nutzungsberichte Admin Center	Mittel: Aktivität je Dienst und Person	Anzeige anonymisierter Benutzernamen in Berichten aktiv lassen; nur aggregierte Auswertung
Teams-Telefonie-Verbindungsdaten	Mittel bis hoch: Gesprächspartner, Zeitpunkt, Dauer, auch in der Rufbereitschaft	Zweckbindung auf Abrechnung, Störung, Sprachqualität; Fristen; Gleichlauf mit bestehender TK-Vereinbarung
Anmeldung Stationsrechner	Mittel: Anmeldezeit und Gerät je Person	Keine Arbeitszeitkontrolle; Auswertung nur für Sicherheit und Störung; Kontenkonzept dokumentieren
Copilot	Hoch: Prompts, Antworten, Nutzungsintensität	Eigene Anlage; Lizenzvergabe nach Kriterien; nur aggregierte Berichte; Einzelzugriff nur anlassbezogen; keine Leistungsbeurteilung
Neue Funktionen	Unbekannt bis zur Ankündigung	Änderungsverfahren mit Frist; Bewertung durch IT und Datenschutz; Anlagen fortschreiben

 

Rahmenvereinbarung statt Einzelfallmarathon

Microsoft 365 ist kein Produkt, das man einmal einführt und dann in Ruhe lässt. Funktionen kommen, ändern sich und verschwinden im Monatsrhythmus. Wer für jede Änderung eine neue Vereinbarung verhandelt, verbringt mehr Zeit im Sitzungsraum als im Admin Center. Bewährt hat sich deshalb eine Rahmenvereinbarung mit Anlagen: Der Rahmen regelt die Grundsätze dauerhaft, die Anlagen beschreiben Dienste, Rollen und Protokolle und werden über ein vereinbartes Verfahren fortgeschrieben.

Der Rahmen hält jahrelang, die Anlagen werden gepflegt wie ein Dokument im QM-Handbuch.

Was in den Rahmen gehört

Geltungsbereich: Welche Standorte, welche Gesellschaften, welche Dienste. Im Klinikverbund die Zuständigkeit der Gremien klären.

Zweckbestimmung: Kommunikation, Zusammenarbeit, Verwaltung, Qualitätsmanagement – und ausdrücklich nicht die Verarbeitung von Patientendaten außerhalb freigegebener Verfahren.

Grundsatz: Keine Leistungs- und Verhaltenskontrolle, mit abschließend benannten Ausnahmen für Informationssicherheit, Störungsbeseitigung und begründeten Verdacht.

Verfahren bei Ausnahmen: Wer beantragt, wer genehmigt, wann wird die Vertretung beteiligt, wie wird dokumentiert.

Beweisverwertung: Was unter Verstoß gegen die Vereinbarung gewonnen wurde, wird nicht für arbeitsrechtliche Maßnahmen verwendet.

Änderungsverfahren: Wie neue Funktionen bewertet, mitgeteilt und in die Anlagen aufgenommen werden.

Schulung und Information: Was die Mitarbeiterinnen und Mitarbeiter über Protokolle und Statusanzeigen erfahren.

Das Änderungsverfahren: der unterschätzte Paragraf

Das Änderungsverfahren entscheidet, ob die Vereinbarung nach zwei Jahren noch gelebt wird oder nur noch im Schrank steht. Ein praktikabler Ablauf: Die IT sichtet die Ankündigungen im Message Center, bewertet neue Funktionen gemeinsam mit dem Datenschutz, informiert die Vertretung über mitbestimmungsrelevante Änderungen mit angemessenem Vorlauf und schreibt die Anlage fort. Funktionen ohne Kontrollpotenzial laufen über eine Sammelinformation, Funktionen mit Kontrollpotenzial über eine Einzelzustimmung. Und Funktionen, die Microsoft ohne Vorwarnung einschaltet, gehören auf eine Liste, die die IT bei Bedarf deaktiviert, bis sie geregelt sind.

Tipp: Die Vereinbarung wie ein QM-Dokument lenken Wer im Haus ein QM-Handbuch nach KTQ oder ISO 9001 pflegt, kennt das Prinzip bereits: Version, Freigabe, Gültigkeit, Verteiler. Behandeln Sie die Anlagen der Rahmenvereinbarung genauso – mit Versionsnummer, Freigabedatum und Unterschrift beider Seiten. Dann weiß auch im nächsten Zertifizierungsaudit jeder, welche Fassung gilt.

 

Baustein	Inhalt	Wer pflegt
Rahmenvereinbarung	Grundsätze, Zweck, Verbot der Kontrolle, Ausnahmen, Verfahren, Laufzeit	Geschäftsführung und Vertretung
Anlage Dienste	Freigegebene Dienste und Funktionen, deaktivierte Funktionen	IT-Leitung
Anlage Rollen	Administrative Rollen, Zugriff auf Protokolle, Vier-Augen-Regeln	IT-Leitung, Informationssicherheit
Anlage Protokolle	Protokollarten, Aufbewahrungsfristen, Auswertungsanlässe	Informationssicherheit, Datenschutz
Anlage Telefonie	Verbindungsdaten, Fristen, Abgrenzung zur Klinik-TK	IT-Leitung, Telekommunikation
Anlage Copilot	Lizenzvergabe, Berichte, Einzelzugriff, Ausschlüsse	IT-Leitung, Datenschutz, Vertretung

 

Der richtige Zeitpunkt: vor der technischen Entscheidung

Die häufigste Ursache für Stillstand in Microsoft-365-Projekten im Krankenhaus ist nicht die Technik, nicht die Lizenz und nicht einmal der Datenschutz. Es ist der Zeitpunkt, zu dem die Vertretung erstmals davon hört.

Aus der Praxis: Das Projekt, das Monate stand Eine typische Situation, wie wir sie in Workshops bei Verwaltungen und kirchlichen Trägern immer wieder geschildert bekommen und wie sie im Krankenhaus genauso vorkommt: Die IT hat mit der Geschäftsführung die Plattform ausgewählt, den Tenant eingerichtet, eine Pilotgruppe in der Verwaltung gestartet. Die Vertretung erfährt davon über den Flurfunk. Was folgt, ist kein Fachgespräch, sondern ein Grundsatzstreit: Unterlassung, Rückbau des Piloten, externe Sachverständige, Einigungsstelle oder Schlichtung. Das Projekt steht Monate – nicht, weil die Vertretung Microsoft 365 grundsätzlich ablehnt, sondern weil sie vor vollendete Tatsachen gestellt wurde. Das Vertrauen, das dabei verloren geht, kostet bei jedem Folgeprojekt erneut Zeit.

 

Früh einbinden kostet ein paar Sitzungen. Spät einbinden kostet ein paar Monate.

Der bessere Weg ist unspektakulär: Die Vertretung sitzt in der Konzeptionsphase mit am Tisch, bekommt einen Einführungsworkshop zu den Funktionen und Protokollen von Microsoft 365 und verhandelt die Rahmenvereinbarung parallel zum Fachkonzept. Der Pilot startet erst, wenn zumindest eine Pilotvereinbarung unterschrieben ist. Wie sich die Klinik in diesen Abläufen von Verwaltung und Mittelstand unterscheidet, beschreibt der Beitrag Microsoft 365 im Krankenhaus: Warum die Klinik anders tickt als Verwaltung und Mittelstand.

Dabei hilft es, wenn alle Beteiligten dieselbe Sprache sprechen. Eine Vertretung, die weiß, was ein Überwachungsprotokoll ist und was ein Teams-Status nicht kann, verhandelt sachlicher. Eine IT, die verstanden hat, warum die Vertretung nach Zweckbindung und Beweisverwertung fragt, formuliert bessere Anlagen. Gemeinsame Schulungen für IT, Datenschutz und Vertretung sind deshalb gut investierte Zeit – Angebote dafür finden Sie unter Microsoft 365 Schulung für Krankenhäuser, die konzeptionelle Begleitung unter Microsoft 365 Beratung für Krankenhäuser.

Wichtig: Wer verhandelt, sollte zuständig sein Klären Sie vor der ersten Sitzung, welches Gremium zuständig ist. Läuft ein Tenant für mehrere Gesellschaften eines Verbunds, kann die Zuständigkeit beim Gesamt- oder Konzernbetriebsrat liegen, bei einem Gesamtpersonalrat oder einer Gesamt-MAV – oder bei mehreren Gremien nebeneinander, wenn die Häuser unterschiedlichen Rechtswelten angehören. Eine Vereinbarung mit dem falschen Gremium ist eine Vereinbarung mit niemandem.

 

FAQ: Häufige Fragen zur Betriebsvereinbarung Microsoft 365 im Krankenhaus

Ist Microsoft 365 im Krankenhaus immer mitbestimmungspflichtig?

Praktisch ja. Microsoft 365 ist objektiv geeignet, Verhalten und Leistung zu überwachen – über Protokolle, Nutzungsberichte und Statusanzeigen. Das reicht nach der Rechtsprechung für die Mitbestimmung, egal ob der Arbeitgeber auswerten will. Das gilt für Betriebsrat, Personalrat und Mitarbeitervertretung gleichermaßen.

Unser Krankenhaus gehört dem Landkreis. Haben wir einen Personalrat?

Das hängt von der Rechtsform ab. Ist das Haus ein Eigenbetrieb oder eine Anstalt des öffentlichen Rechts, gilt das Landespersonalvertretungsgesetz. Ist es eine GmbH oder gGmbH, gilt das Betriebsverfassungsgesetz, und es gibt einen Betriebsrat – auch wenn der Landkreis alle Anteile hält.

Warum hat die diakonische Klinik keinen Betriebsrat?

Nach § 118 Abs. 2 BetrVG findet das Betriebsverfassungsgesetz auf Religionsgemeinschaften und ihre karitativen Einrichtungen keine Anwendung, unabhängig von der Rechtsform. Stattdessen gilt kirchliches Mitarbeitervertretungsrecht, also MVG-EKD oder MAVO.

Dürfen wir einen Piloten ohne Vereinbarung starten?

Auch die probeweise Einführung ist mitbestimmungspflichtig. Üblich und bewährt ist eine kurze Pilotvereinbarung mit begrenztem Teilnehmerkreis, Laufzeit und klaren Regeln für Protokolle. Sie ist schneller verhandelt als ein Grundsatzstreit nach dem Piloten.

Können wir die Audit-Logs einfach abschalten, um die Diskussion zu vermeiden?

Davon ist dringend abzuraten. Ohne Protokolle können Sie Sicherheitsvorfälle nicht aufklären und Pflichten aus der Informationssicherheit kaum nachweisen. Der richtige Weg ist eine Regelung zu Zugriff, Zweck und Fristen, nicht das Abschalten.

Gilt eine bestehende TK-Vereinbarung auch für Teams-Telefonie?

Das hängt vom Wortlaut ab. Viele ältere TK-Vereinbarungen beziehen sich auf eine bestimmte Anlage. Prüfen Sie, ob die Teams-Unteranlage erfasst ist, und ergänzen Sie sonst eine Anlage zur Rahmenvereinbarung, die beide Systeme gleich behandelt.

Braucht Copilot eine eigene Vereinbarung?

Nicht zwingend eine eigene, aber eine eigene Anlage. Copilot erzeugt neue Daten – Prompts, Antworten, Nutzungsberichte – und berührt die Frage, wer überhaupt eine Lizenz bekommt. Beides gehört geregelt, bevor die ersten Lizenzen zugewiesen werden.

Wer zahlt externe Sachverständige der Vertretung?

Die Vertretung kann unter Voraussetzungen, die das jeweilige Gesetz oder die kirchliche Ordnung regelt, Sachverständige hinzuziehen; die Kosten trägt in der Regel der Arbeitgeber. Die Details sind je Rechtswelt verschieden – klären Sie das mit dem Justiziariat, am besten bevor die erste Rechnung kommt.

Fazit: Erst den Träger klären, dann den Tenant

Ob Betriebsrat, Personalrat oder Mitarbeitervertretung – die Trägerschaft entscheidet, wer am Tisch sitzt, nach welchem Gesetz verhandelt wird und wer im Streitfall das letzte Wort hat. Der Kern ist in allen drei Welten derselbe: Microsoft 365 ist zur Leistungs- und Verhaltenskontrolle geeignet, und deshalb ist die Einführung mitbestimmungspflichtig. Wer das akzeptiert, statt dagegen zu argumentieren, spart die meiste Zeit.

Eine gute Rahmenvereinbarung für das Krankenhaus regelt die Dinge, die den Klinikalltag ausmachen: den Anwesenheitsstatus im Schichtdienst, die Audit-Logs, die Verbindungsdaten der Teams-Unteranlage, die Anmeldung an gemeinsam genutzten Stationsrechnern und Copilot. Sie trennt Grundsätze von Anlagen und hat ein Änderungsverfahren, das mit dem Tempo von Microsoft mithält. Und sie entsteht vor der technischen Entscheidung, nicht danach. Das ist weniger aufregend als ein Einigungsstellenverfahren – aber die Station merkt den Unterschied, wenn das neue Intranet tatsächlich im geplanten Quartal startet.

Weiterlesen › Microsoft 365 im Krankenhaus: Warum die Klinik anders tickt als Verwaltung und Mittelstand › Patientendaten und Microsoft 365: Wo das KIS endet und das Office anfängt › Microsoft 365 in Kirche, Diakonie und Caritas › Microsoft 365 Beratung für Krankenhäuser