In den öffentlich-rechtlichen Rundfunkanstalten der ARD ist die Arbeit mit Office-Standardanwendungen gang und gäbe, nun soll auch Office 365 eingeführt werden. Gerade Sender mit großem Ausstrahlungs-gebiet und mehreren Standorten versprechen sich von den zusätzlichen Funktionen eine deutliche Arbeitserleichterung.

Das große Aber: Microsoft wird seit längerem dafür kritisiert, Nutzerdaten auch ohne Einwilligung zu sammeln. Bereits unter Windows 10 existierte das Problem, dass Microsoft heimlich verschlüsselte Daten abgegriffen und an eigene Server in den USA über-mittelt hat. Datenschützer monierten, dass die Datensammelwut von Office-Anwendungen noch weitaus höher sei als die von Windows 10.

Den Personalräten der Sender obliegt es, in ihrer Verantwortung für die Beschäftigten dafür Sorge zu tragen, dass aus dem verführerischen Angebot kein unmoralisches wird. Dafür räumen ihnen die Personalvertretungsgesetze Mitbestimmungsrechte ein: bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen sowie bei der Einführung grundlegend neuer Arbeitsmethoden. Aber wie sieht die Praxis aus?

„Die Arbeitgeber bzw. die ARD haben sich auf Office 365 eingeschworen“, sagt Doris Carstensen, Personalratsvorsitzende beim NDR in Hamburg. „Die Sender wollen unbedingt Office Teams einführen. Es heißt, man benötige das für die ARD-Strukturreform, um besser miteinander arbeiten zu können.“ Der Stand der Dinge ist unterschiedlich. Personalräte der ARD-Anstalten tauschen sich grundsätzlich zwar untereinander aus, auch darüber, welche Neuerungen gerade wo eingeführt werden. „Aber jede Anstalt, jeder Personalrat muss erst einmal für sich klarkommen“, so David Jacobs, Personalrat im WDR.

Aufgerüttelt haben den WDR-Personalrat Nachrichten aus den Niederlanden. Als dort 300.000 Behördenarbeitsplätze von der lokalen Anwendung der Office-Programme auf die cloudbasierte Arbeit umgestellt werden sollten, beauftragte die Aufsichtsbehörde eine Abschätzung der Datenschutzfolgen. Sie sollte bewerten, ob die Verarbeitung den datenschutzrechtlichen Vorgaben gemäß Datenschutz-Grundverordnung (DSGVO) entspricht. Das Gutachten, das im November 2018 vorlag, stellte u. a. fest, dass Office 365-Anwendungen in erheblichem Umfang verschlüsselte Telemetrie-Daten mit zum Teil personenbezogenen Informationen an Microsoft-Entwicklerteams sendeten. Microsoft speicherte die Daten 30 Tage bis 18 Monate und verwendete sie für eigene Zwecke.

WDR: Keine Alternativen geprüft

„Wir machen uns große Sorgen bezüglich der Datensicherheit bei Office 365. Das Gutachten der niederländischen Regierung hat bei uns Zweifel gesät, ob die DSGVO-Konformität vorliegt. Vor einer definitiven Einführung muss das geklärt werden“, erklärt Jacobs.

Beim WDR läuft seit kurzem ein Probebetrieb mit Office 365, der auch durch die Mitbestimmung gegangen ist. 150 Leute vom Interims-Newsroom sollen bis Ende 2019 damit Erfahrungen sammeln. „Der Pilotbetrieb läuft langsam an, die ersten Leute arbeiten damit. Viele Erfahrungen gibt es allerdings noch nicht“, sagt Jacobs, der selbst Testuser werden soll. „Das ist wichtig, Kritik lässt sich besser begründen, wenn man weiß, was man mit einer Aktion auslöst.“ Ergebnisoffen sei der Testbetrieb eher nicht. Man sei im Hause nicht unvoreingenommen auf die Suche nach einem System gegangen, sondern habe gleich gesagt: „Das ist genau das, was wir brauchen.“

Im Personalrat würden auch Alternativen zu Office 365 geprüft. „Vielleicht kann es ein Druckmittel gegenüber Microsoft sein, wenn gleichzeitig etwa auf Open Office geschaut wird. Wir haben das auf jeden Fall angeregt. Über die Einführung von Office 365 sei im Haus intensiv diskutiert worden, der Personalrat und die Datenschutzbeauftragte waren einbezogen. „Die Datenschutzbeauftragte hat dargestellt, worin die juristischen Detailprobleme liegen und worüber man mit Microsoft verhandeln sollte. „Ich habe den Eindruck, dass unser Wort mehr Gewicht bekommt, wenn auch der betriebliche Datenschutz beteiligt ist“, mutmaßt Jacobs.

Eine separate Betriebsvereinbarung zu Office 365 gebe es im WDR nicht, nur für E-Mail und Internet habe man eine, die schon ziemlich alt sei. Von Cloud-Lösungen sei da noch nicht die Rede, so Jacobs. Er selbst sei auch skeptisch gegenüber solchen Vereinbarungen – damit würden auch für den Arbeitgeber rechtliche Grundlagen geschaffen, das System zu nutzen. Man nehme Kolleginnen und Kollegen unter Umständen damit das Recht, individuell vorzugehen und zu klagen. „Seit Jahresbeginn hat sich die Situation bei uns ein wenig entschärft, viele neue Funktionen von Office 365 werden genutzt, aber die E-Mails verbleiben erst mal auf den Servern der WDR-Media-Group.“ Dennoch werde der Personalrat am Ende ein eigenes Gutachten einfordern müssen, um sich ein Bild zu machen.

Dicke Luft im NDR

Im NDR ist die Stimmung wegen Office 395 angespannt, die Mitbestimmung war bei der Einführung ein strittiges Thema. „Wir haben die Entwürfe zu den ersten Mitbestimmungsanträgen zu Windows 10 und Office 365 abgelehnt. Sie waren mit einem negativen Votum des Datenschutzbeauftragten versehen“, erklärt Doris Carstensen, NDR-Personalratsvorsitzende. Anschließend habe sie sich vom Justiziar anhören müssen, dass dazu gar keine Mitbestimmungsrechte bestünden. „Zunächst einmal stimmt das, beim Datenschutz haben wir keine Mitbestimmung. Wenn aber in der Folge von Datenschutzproblemen den Mitarbeiter*innen negative Konsequenzen drohen, sind wir sehr wohl wieder im Spiel.“

Außerdem frage man bei wichtigen betrieblichen Veränderungen – auch wenn sie per Gesetz kein Bestandteil der Mitbestimmung sind – bei der Betriebsärztin, bei der Arbeitssicherheit, beim Sicherheitsbeauftragten und eben auch beim Datenschutz nach. Und gerade der Datenschutz habe „Nein“ zu Office 365 gesagt. „Dann gab es ein bisschen Gerangel; wir wollten eine Expertise anfertigen lassen, für die uns die Geschäftsleitung nur zögerlich Geld gegeben hat. Aber schließlich bekamen wir unser Gutachten von den Informatikern der Universität Hamburg.“ Darin sei zu lesen gewesen, dass die Cloud-Funktionen von Office 365 keine Möglichkeit bieten, die Systeme gemeinsam mit Microsoft so zu konfigurieren, dass ein Datenabfluss aus der Europäischen Union verhindert wird. Als Ergebnis der Mitbestimmung wird im NDR jetzt ein Office 365 ohne die Clouddienste betrieben. „Wir werden auch Outlook ‚on premise‘ stellen, d. h. die Software wird auf einem Server im eigenen Unternehmen installiert. Die große Microsoft-Cloud zur Ablage unserer Daten benutzen wir noch nicht“, erklärt Carstensen.

Bisher gibt es im NDR zur Nutzung mobiler Geräte nur eine Dienstanweisung. „Damit sind wir kreuzunglücklich. Wir dringen darauf, dass schnellstmöglich Dienstvereinbarungen getroffen werden. Insgesamt sei die Mitbestimmung in Bezug auf die neuen Software-systeme im NDR sehr schleppend gewesen. „Wirklich mitgenommen wurden wir nicht. Immer wieder haben wir darauf gedrängt, informiert zu werden. Die Transparenz, wie wir sie aus anderen Themenbe-reichen kennen, gab es nicht. Tatsächlich herrscht momentan zwischen den Personalräten und den Projektplanern dicke Luft.“

RBB: Schnelle Dienstvereinbarung

Geräuschloser verläuft die Umstellung beim RBB. Dort befindet sich der Einsatz von Office 365 derzeit in der Migrationsphase, erste Abteilungen werden umgestellt. „Der Arbeitgeber hat dafür beim Personalrat einen Antrag für einen Probebetrieb in bestimmten Bereichen gestellt. Das ist der normale Weg, wir prüfen solche Anträge und lassen unsere Mitbestimmungstatbestände einfließen“, erklärt die Personalratsvorsitzende Melanie Matthews. Ein Probebetrieb sei es nur insofern, als dass einiges noch nachjustiert werden könne, bevor das System in den Regelbetrieb übergehe. „Für den E-Mail-Verkehr wird jetzt auf Microsoft Outlook umgestellt, im Anschluss sollen weitere Funk-tionen wie SharePoint, OneDrive und die Teamfunktionen hinzukommen“, ergänzt Matthews Stellver-treterin Tanja Baumgarten, die sich in verschiedenen Arbeitsgruppen intensiv mit Office 365 befasst.

Parallel wird regelmäßig über eine Dienstvereinbarung zu Office 365 verhandelt. „Da sind wir in einem guten und konstruktiven Austausch mit dem Haus, auch die Datenschutzbeauftragte und der IT-Sicherheits-beauftragte sind mit im Boot“, sagt Baumgarten. Grundsätzliche Bedenken gegen die Software habe der Personalrat nicht, „uns ist bewusst, dass in unserer heutigen Welt jeder flexibel und von überall arbeiten möchte.“ Vor allem die neuen Cloudfunktionen und die mögliche Leistung- und Verhaltenskontrolle der Teamfunktionen wolle man sich jedoch sehr genau anschauen. „Eine solche Kontrolle wollen wir ausschließen. Dazu muss es konkrete Regelungen in der Dienstvereinbarung geben.“ Auch die Klassifizierung von Dokumenten sei sehr wichtig – was ist streng vertraulich, was vertraulich, was darf, was darf nicht in der Wolke abgelegt werden.

In einer umfangreichen Anlage zur Dienstvereinbarung werden die einzelnen Komponenten von Office 365 beschrieben. Bei Updates muss dann nur die Anlage angepasst werden und nicht die ganze Vereinbarung. Um die regelmäßigen Updates zu Office 365 zu bewältigen, kommen künftig die IT-Abteilung und entsandte Personalratsmitglieder vierteljährlich zusammen; sie prüfen, ob Mitbestimmungstatbestände berührt werden.

Da die Software in der Migrationsphase ist, will der RBB-Personalrat bei der Dienstvereinbarung auf die Tube drücken. „Unser Ziel ist es, sie in Grundzügen noch in diesem Jahr oder spätestens Anfang nächsten Jahres umzusetzen. Und dann verhandeln wir weiter zu den einzelnen Komponenten. Denn spannend wird es ja erst bei den Cloud- und den Teamfunktionen“, so Matthews.

SWR-Personalrat fordert Schulungen

Melanie Wolber, Gesamtpersonalratsvorsitzende im SWR, berichtet von unterschiedlichen Positionen innerhalb des Personalrats gegenüber Office 365: „Es gibt Befürworter, es gibt Gegner im Gremium. Office 365 hat große Vorteile und große Probleme. Mir persönlich erleichtert die Cloud meine Arbeit, weil ich permanent zwischen den Hauptstandorten hin und her reise. Aber es gibt auch Vorbehalte – was den Datenschutz angeht, was die Sicherheit im Allgemeinen angeht, was Überforderung angeht.“ Wolber betont daher die Wichtigkeit von Schulungen der rund 6.000 Mitarbeiter*innen mit dem neuen System. „Damit die Leute wissen, was sie tun und was alles passieren kann.“ Noch geschehe da zu wenig, kleine Filme im SWR-Schulungsportal Campus reichten nicht aus. Die Erfahrung zeige, dass zum Begreifen der neuen Cloud-Denke neben E-Learning auch Präsenzschulungen erforderlich seien.

„Wir haben eine sehr gute Dienstvereinbarung bezüglich der Einführung elektronischer Neuerungen und haben daher erst mal keine neue Dienstvereinbarung speziell für Office 365 abgeschlossen. Bestimmte kritische Bestandteile wie Microsoft Analytics haben wir von der IT-Abteilung abschalten lassen.“ Aber sie bleibe vorsichtig, noch könne sie nicht sagen, dass alles super läuft. „Ich weiß noch nicht, ob wir vielleicht doch mehr regeln sollten. Wir sind noch in der Abstimmung darüber, welche Informationen der Personalrat eigentlich braucht. Müssen wir wirklich wissen, was Microsoft jeden Monat ändert?“ Grundsätzlich sei die Entscheidung für Office 365 sehr rasch gefällt worden, moniert Wolber. „Wir wurden zwar von Anfang an einbezogen, aber ich hätte mir mehr Vorlauf, mehr Vorbereitung gewünscht. Mein Problem: Office 365 wurde immer als alternativlos dargestellt. Damit kann ich nicht gut umgehen; so etwas gibt es meiner Meinung nach nicht.“

Einlenken beim Softwareriesen

Microsoft zeigte sich nach der Kritik aus den Niederlanden gesprächsbereit – schließlich ist der europä-ische Markt bedeutend. Das Unternehmen hat einige technische Änderungen vorgenommen und am Daten-schutz bei Office 365 nachgebessert. Die niederländischen Behörden urteilen nun, dass die Software unter gewissen Voraussetzungen datenschutzkonform eingesetzt werden könne. Ein neues Gutachten kommt zu dem Ergebnis, dass die Risiken durch technische, vertragliche und organisatorische Maßnahmen ausreichend gesenkt wurden. Dennoch sollten Anwender*innen bzw. Administrator*innen zusätzlich aktiv werden, die Abschaltung bzw. Nichtnutzung einiger Funktionen wird weiterhin empfohlen.

„Das Gutachten aus Holland hat eine Menge in Bewegung gesetzt, nicht nur im Rundfunk, sondern auch im Öffentlichen Dienst“, resümiert David Jacobs. „Der Druck auf Microsoft, das Produkt datenschutzrechtlich zu verbessern, ist deutlich gewachsen.“

Bei der Axel Springer SE wurde bereits vor Jahren die Microsoft Office 365-Plattform „moveoffice“ eingeführt. Eine Konzernbetriebsvereinbarung sicherte dem Betriebsrat 2016 eine umfangreiche Mitbestimmung. M 3/2018 berichtete.

Mitbestimmung bei neuer Software