Microsoft Teams 2026: Datenschutz-Risiken durch Standort-Tracking

Die Digitalisierung des Arbeitsplatzes hat längst auch die Kommunikationsplattformen erfasst. Tools wie Microsoft Teams, Slack oder Zoom sind aus dem Arbeitsalltag vieler Unternehmen nicht mehr wegzudenken. Sie ermöglichen effiziente Zusammenarbeit, vereinfachen den Austausch und schaffen Transparenz über laufende Projekte. Doch mit den neuen Möglichkeiten geht eine Entwicklung einher, die zunehmend kritisch zu betrachten ist: die schleichende Etablierung digitaler Überwachung im Arbeitsalltag.

Neue Teams-Funktion zur Arbeitsort-Erkennung: Effizienz oder digitale Überwachung?

Ab voraussichtlich Februar 2026 wird Microsoft eine Funktion einführen, die automatisch erkennt, wo sich Mitarbeitende gerade aufhalten. Sobald sich ein Dienstlaptop mit dem Firmen-WLAN verbindet, aktualisiert Teams den Status des Nutzers – etwa „Im Büro“ oder „Im Homeoffice“ – vollautomatisch und ohne manuelle Eingabe. Nach Angaben von Microsoft soll diese Neuerung die hybride Zusammenarbeit erleichtern und die Transparenz im Team erhöhen.

Kritiker sehen darin jedoch eine weitere Stufe in der technologischen Kontrolle von Beschäftigten. Die automatische Standortbestimmung steht nicht isoliert, sondern reiht sich ein in eine zunehmende Ausweitung von Analyse- und Überwachungsfunktionen, etwa durch KI-gestützte Auswertungen von Chats, Besprechungen und Arbeitsaktivitäten. Für Unternehmen ergibt sich daraus ein erhebliches rechtliches und ethisches Spannungsfeld.

Mit der Integration von KI-Funktionen in Kollaborationstools werden künftig voraussichtlich noch detailliertere Leistungsprofile möglich – von Sprach- bis Stimmungsanalysen. Dies verschärft die rechtliche Bewertung erheblich.

Digitale Protokolle im Arbeitsalltag: Wie Teams das Verhalten von Beschäftigten dokumentiert

Viele Kollaborationstools erfassen standardmäßig eine Vielzahl an Daten über die Nutzung ihrer Funktionen. Dazu gehören Login-Zeiten, Dauer und Häufigkeit von Meetings, Chat-Aktivitäten, Dateifreigaben und teilweise sogar Nutzungsanalysen auf individueller Ebene. Diese Daten sollen laut den Anbietern vor allem der Produktivitätssteigerung und IT-Sicherheit dienen. In der Praxis entsteht jedoch oft ein detailliertes Nutzungsprofil, das Rückschlüsse auf das Verhalten einzelner Mitarbeiterinnen und Mitarbeiter zulässt.

Gerade bei Microsoft Teams sind diese Funktionen in den sogenannten „Nutzungsberichten“ oder „Analytics-Dashboards“ integriert, auf die Administratoren und Führungskräfte Zugriff haben. Damit wird es technisch möglich, festzustellen, wer wann und wie lange aktiv war, an welchen Besprechungen teilgenommen oder welche Dokumente bearbeitet wurden.

Diese technischen Möglichkeiten werfen unmittelbar die Frage auf, wie weit insbesondere die datenschutzrechtliche Zulässigkeit solcher Auswertungen reicht.

Datenschutz bei Microsoft Teams: DSGVO-Grenzen der digitalen Mitarbeiterüberwachung

Juristisch bewegen sich Unternehmen hier häufig in einer Grauzone. Nach der Datenschutz-Grundverordnung (DSGVO) darf eine Standorterfassung nur erfolgen, wenn sie einem klar definierten Zweck dient und auf einer freiwilligen Einwilligung der betroffenen Person beruht. In der Praxis werden diese Anforderungen jedoch oft formal abgearbeitet, ohne dass Beschäftigte tatsächlich nachvollziehen können, welche Daten erhoben, wie lange sie gespeichert und wer darauf Zugriff hat.

Erfolgt eine ständige oder anlasslose Protokollierung von Standorten oder Nutzungsdaten, bewegt sich der Arbeitgeber datenschutzrechtlich in einem problematischen Bereich. Denn nach Art. 5 Abs. 1 lit. a und b DSGVO müssen personenbezogene Daten rechtmäßig, zweckgebunden und transparent verarbeitet werden. Eine fortlaufende Standortaufzeichnung ohne konkreten Anlass oder nachvollziehbaren Zweck verstößt gegen diese Grundsätze.

Darüber hinaus darf die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 26 Abs. 2 BDSG nur dann Grundlage einer solchen Verarbeitung sein, wenn sie freiwillig und informiert erfolgt. Im Arbeitsverhältnis ist dies besonders kritisch, da aufgrund des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Arbeitnehmer nicht ohne Weiteres von einer echten Freiwilligkeit ausgegangen werden kann.

Unternehmen müssen daher sicherstellen, dass die Datenerhebung auf einer klaren Rechtsgrundlage beruht. Im Beschäftigtenverhältnis ist dies in der Regel § 26 Abs. 1 BDSG, wonach die Verarbeitung nur zulässig ist, wenn sie für die Durchführung des Arbeitsverhältnisses erforderlich ist. Die Überwachung von Aktivitätsdaten zu Kontrollzwecken fällt regelmäßig nicht darunter.

Besonders problematisch kann es werden, wenn Arbeitgeber über die Berichtsfunktion oder Exportdaten von Teams individuelle Leistungsprofile erstellen oder analysieren. Hier liegt schnell eine verdeckte Überwachung vor, die nicht nur datenschutzrechtlich unzulässig, sondern auch arbeitsrechtlich brisant ist.

Transparenzpflichten und Mitbestimmung

Unternehmen sind verpflichtet, Beschäftigte transparent über Art, Umfang und Zweck der Datenverarbeitung zu informieren (Art. 13 DSGVO). Fehlt eine entsprechende Information, drohen Bußgelder und arbeitsrechtliche Auseinandersetzungen.

Darüber hinaus ist bei der Einführung oder wesentlichen Änderung von Systemen, die geeignet sind, das Verhalten oder die Leistung von Arbeitnehmern zu überwachen, ein Personalrat bzw. der Betriebsrat zu beteiligen, sofern ein solcher in einem Unternehmen existiert. Nach § 87 Abs. 1 Nr. 6 BetrVG besteht hier regelmäßig ein zwingendes Mitbestimmungsrecht. Wird Teams etwa so konfiguriert, dass Nutzungsdaten systematisch ausgewertet werden können, ist regelmäßig eine Betriebsvereinbarung erforderlich, die den zulässigen Umfang der Datenerhebung und -auswertung verbindlich regelt.

Digitale Kontrolle am Arbeitsplatz: Wie Überwachung die Motivation und Zufriedenheit beeinträchtigt

Unabhängig von der rechtlichen Zulässigkeit ist im Arbeitsalltag jedenfalls nicht auszuschließen, dass digitale Überwachung negative Auswirkungen auf die Arbeitszufriedenheit, das Vertrauen und die Motivation der Mitarbeitenden haben kann. Wenn Beschäftigte das Gefühl haben, ständig beobachtet zu werden, können betriebliche Probleme entstehen, wie beispielsweise Stress, Unsicherheit und ein Verlust von Vertrauen in den Arbeitgeber.

Zudem ist nicht auszuschließen, dass Mitarbeiter Strategien entwickeln, um der Überwachung zu entgehen – etwa durch das bewusste Meiden bestimmter Kommunikationswege oder das Abschalten von Statusanzeigen. Das wiederum kann die Zusammenarbeit im Team beeinträchtigen.

Langfristig führt eine solche Überwachung häufig zu einer Abnahme der Arbeitsleistung, einer geringeren Bindung an das Unternehmen und einer höheren Wechselbereitschaft. Unternehmen können deshalb so Gefahr laufen, nicht nur datenschutzrechtlich, sondern auch organisatorisch Vertrauen und Motivation zu verlieren.

Rechtliche Unsicherheit: Fehlende klare Regeln für digitale Kontrolle im Arbeitsverhältnis

Zwar bietet das bestehende Datenschutzrecht einen grundlegenden Rahmen für den Umgang mit Beschäftigtendaten, doch viele neue Technologien sind bislang nur allgemein geregelt.

Bereits im Jahr 2024 wurde ein Entwurf für ein Beschäftigtendatenschutzgesetz vorgestellt, der insbesondere bei Überwachungs- und Ortungsmaßnahmen klarere Grenzen ziehen soll. Das Gesetz sollte Rechtssicherheit schaffen – sowohl für Arbeitgeber als auch für Beschäftigte. Bis heute ist dieser Entwurf jedoch nicht in Kraft getreten, sodass Unternehmen weiterhin in einem rechtlich unsicheren Raum agieren.

Datenschutzkonformer Einsatz von Microsoft Teams: Handlungsempfehlungen für Arbeitgeber

Unternehmen sollten den Einsatz von Microsoft Teams und vergleichbaren Tools bewusst und datenschutzkonform gestalten. Dazu gehört u.a.:

• Transparente Information der Beschäftigten über Art, Umfang und Zweck der Datenverarbeitung
• Deaktivierung oder Einschränkung von Funktionen, die eine Überwachung ermöglichen oder den Standort automatisch erfassen
• Einbindung des Datenschutzbeauftragten sowie des Betriebsrats bei der Einführung neuer Funktionen
• Klare interne Regelungen oder Betriebsvereinbarungen zur Nutzung von Status- und Analysetools
• Regelmäßige Überprüfung der Systemeinstellungen, um unzulässige Datenerhebungen zu vermeiden

Zusätzlich sollten Unternehmen die Nutzung von Microsoft Teams immer in den größeren Kontext anderer Cloud-Dienste und Kollaborationssoftware einordnen. Dabei können auch weitere rechtliche Vorgaben, wie z.B. aus der KI-Verordnung (AI-Act) eine Rolle spielen.

Denn in vielen Fällen werden parallel weitere Dienste und Anwendungen eingesetzt, über die Dateien ausgetauscht, Apps angebunden und Meetings sowie Besprechungen organisiert werden. Gerade bei solchen Lösungen ist entscheidend, dass die verantwortlichen Stellen die datenschutzrechtlich relevanten Zwecke der Datenverarbeitung klar definieren und für jeden Fall dokumentieren, auf welcher Rechtsgrundlage die Verarbeitung personenbezogene Daten erfolgt.

Aus Sicht der datenschutzrechtlichen Aufsichtsbehörden ist dabei regelmäßig von Bedeutung, ob ein wirksamer Auftragsverarbeitungsvertrag mit dem Anbieter geschlossen wurde und ob die eingesetzte Software technisch so konfiguriert ist, dass nur die erforderlichen Daten verarbeitet werden. Wichtig ist also die Berücksichtigung des sog. Privacy by default und Privacy bei Design in datenschutzrechtlicher Hinsicht nach der DSGVO.

Gerade beim Betrieb von Cloud Diensten wie z.B. Microsoft Teams als Teil von Microsoft 365 können auch IT sicherheitsrechtliche Aspekte zu beachten sein. Dazu kann beispielsweise die Thematik der KritisV, also der Betrieb im Rahmen von kritischer Infrastruktur, oder Vorgaben an die Cloud-Nutzung, wie die Anforderungen nach BSI Grundschutz etc. zählen.

Daher unterstützen und begleiten wir juristisch mit jahrelanger spezialisierter Expertise neben Datenschutzbeauftragten u d Datenschutzkoordinatoren auch z.B. Informationssicherheitssicherheitsbeauftragte (ISB bzw. ISMS-Verantwortliche), ebenso wie Compliance Officer und KI-Beauftragte neben Geschäftsführung oder Vorstand bei Spezialfragen rund um diese Themen des IT-Sicherheitsrechts.

Neben den Datenschutzbeauftragten  ist es gerade für einen ISMS-Beauftragten (also den Informationssicherheits-Managementsystem-Beauftragten) als die zentrale Person, die für die Implementierung, Betreuung und Weiterentwicklung des Informationssicherheitsmanagementsystems (ISMS) eines Unternehmens verantwortlich ist, oft basierend auf der Norm ISO 27001, wichtig die rechtlichen Rahmenbedingungen zu kennen und im Unternehmen umzusetzen. Denn der ISMS-Beauftragte fungiert regelmäßig als Bindeglied zwischen Geschäftsführung, IT und Mitarbeitern, koordiniert Sicherheitsmaßnahmen, Risikobewertungen, Schulungen und Berichte, um Informationen und Systeme vor Bedrohungen zu schützen und die Einhaltung von Richtlinien sicherzustellen, insbesondere auch im Austausch mit Datenschutzbeauftragten und Datenschutzkoordinatioren und Geschäftsleitung.

Arbeitgeber sollten daher gemeinsam mit dem Datenschutzbeauftragten prüfen, ob die eingesetzten Dienste tatsächlich einen Mehrwert und konkreten Nutzen für die Zusammenarbeit bieten, wie die konkrete Anwendung im Unternehmen aussieht und welchen zusätzlichen Nutzen die Funktionen im Einzelfall haben oder ob bestimmte Funktionen – etwa eine dauerhafte Aufzeichnung von Meetings – deaktiviert werden können.

Bei international ausgerichteten Cloud-Lösungen stellt sich zudem die Frage, ob für den Datentransfer eine rechtliche Grundlage, wie beispielsweise ein Angemessenheitsbeschluss vorliegt oder ob zusätzliche Garantien erforderlich sind. Eine datenschutzfreundliche Ausgestaltung verlangt in der Praxis häufig eine differenzierte Einschätzung der Risiken und eine Anpassung interner Regelungen, etwa zur Zugriffssteuerung für Benutzer und Administratoren.

Es kann sich für Unternehmen daher anbieten und auch rechtlich auszahlen in der Praxis vermehrt auf spezialisierte, besonders datenschutzfreundlichen Lösungen zurückgreifen, um sensible Dateien und Kommunikationsinhalte zu schützen. Neben den bekannten Angeboten von Microsoft können auch andere europäische Drittanbieter oder andere europäische Cloud-Plattformen eine Alternative sein, wenn diese die Vorgaben der Datenschutzgrundverordnung einhalten, insbesondere dann,  wenn von Unternehmen ein hoher Schutzstandard gewünscht ist. Wichtig ist, dass die Verantwortlichen die eingesetzte Software und die angebundenen Apps regelmäßig überprüfen und gegenüber der zuständigen Behörde darlegen können, dass die Verarbeitung konform zur DSGVO erfolgt. Bereits vor der Einführung oder dem Einkauf einer neuen Hard- oder Software oder auch Apps oder sonstigen Tools, sollte daher eine Datenschutzfolgenabschätzung und eine Überprüfung entsprechend den Regelungen der KI-Verordnung im Unternehmen erfolgen, um rechtlich auf der sicheren Seite zu sein.

Unsere Erfahrung zeigt, dass es sich lohnt, frühzeitig strukturiert an das Thema heranzugehen. Wer rechtzeitig die einschlägigen Verträge, insbesondere den Auftragsverarbeitungsvertrag, prüft, technische Einstellungen dokumentiert und für typische Fall–Konstellationen klare interne Regelungen definiert, reduziert das Risiko von Beanstandungen durch die jeweilige Aufsichtsbehörde erheblich und sich dadurch vor rechtlichen und finanziellen negativen Folgen proaktiv schützen.

Fazit

Die Einführung neuer Funktionen wie der automatischen Standorterkennung in Microsoft Teams zeigt, wie schmal der Grat zwischen digitaler Effizienz und Überwachung am Arbeitsplatz geworden ist. Was als Unterstützung für hybride Zusammenarbeit gedacht ist, kann schnell zu einem Eingriff in die Privatsphäre der Beschäftigten führen.

Der Beitrag macht deutlich: Unternehmen müssen den Datenschutz aktiv gestalten, statt nur auf neue Funktionen oder gesetzliche Vorgaben zu reagieren.

Die ständige Erfassung von Nutzungs- und Standortdaten birgt erhebliche Risiken – nicht nur im Hinblick auf mögliche Verstöße gegen die DSGVO, sondern auch für Vertrauen, Motivation und Unternehmenskultur. Transparenz, klare Regeln und eine bewusste technische Konfiguration sind daher entscheidend, um rechtliche und organisatorische Konflikte zu vermeiden.

Wer Microsoft Teams oder vergleichbare Tools nutzt, sollte daher prüfen, welche Daten tatsächlich erforderlich sind, welche rechtlichen Grundlagen bestehen und ob die Mitarbeitenden ausreichend informiert wurden. Denn nur ein datenschutzkonformer und fairer Umgang mit digitalen Tools stärkt die Akzeptanz neuer Arbeitsmodelle – und  kann zugleich das Unternehmen vor Sanktionen schützen.

Unsere Kanzlei unterstützt Sie mit unserer langjährigen Expertise dabei, die Nutzung von Microsoft Teams und anderen Kollaborationsplattformen sowie dei Einführung und Umsetzung von Hard- und Software, gerade auch bei KI-Komponenten, rechtssicher und datenschutzkonform zu gestalten.

Wir prüfen Ihre internen Prozesse, nehmen eine rechtliche Gap-Analyse vor und entwickeln passgenaue Betriebsvereinbarungen, unterstützen bei der Erstellung von Unternehmens-Richtlinien und Guidlines. Wir helfen Ihnen und Ihrem Unternehmen und in Ihrer Organisation, technische Einstellungen datenschutzgerecht umzusetzen.

Sprechen Sie uns gerne an, wenn Sie Ihr Unternehmen für die digitale Zusammenarbeit rechtlich und organisatorisch zukunftssicher aufstellen möchten.