--- title: "KI-Nutzung messen, ohne den Betriebsrat zu übergehen" source: https://bitvaria.com/ki-nutzung-messen-ohne-betriebsrat --- 12\. Sept. 2026 · [KI](https://bitvaria.com/category/ki/)  · 7 min read # KI-Nutzung messen, ohne den Betriebsrat zu übergehen Welche KI-Zugänge werden genutzt? Vor der Auswertung gehören Datenzugriff, bestehende Vereinbarungen und die erforderliche Einigung auf den Tisch. Ein Ablauf für IT und Geschäftsführung. ![Welche KI-Zugänge werden genutzt? Vor der Auswertung gehören Datenzugriff, bestehende Vereinbarungen und die erforderliche Einigung auf den Tisch. Ein Ablauf für IT und Geschäftsführung.](https://bitvaria.com/_astro/ki-nutzung-messen-ohne-betriebsrat.BCVf1OGz.jpg) > **KI-Nutzung messen mit dem Betriebsrat.** > > Besteht ein zuständiger Betriebsrat, greift bei technischen Einrichtungen zur Beschäftigtenüberwachung § 87 Abs. 1 Nr. 6 BetrVG. Vor dem Einsatz muss die erforderliche Einigung vorliegen. Bestehende Vereinbarungen können den vorgesehenen Umfang bereits abdecken. Verborgene Namen und Gruppensummen ersetzen diese Prüfung nicht. Wie viele bezahlte KI-Zugänge werden genutzt? Für diese Frage kann ein Bericht aus dem Admin Center der Ausgangspunkt sein. Welche Auswertung erlaubt ist, hängt auch von den Vereinbarungen im Betrieb ab. Eine Liste pro Person, eine Abteilungsquote und eine Gesamtsumme unterscheiden sich im Personenbezug. Entscheidend ist außerdem, welche Einzelangaben das System dahinter speichert und wer darauf zugreifen kann. Das sollte feststehen, bevor zusätzliche Datenzugriffe eingerichtet werden. ## Worüber der Betriebsrat mitbestimmt Die folgenden Schritte setzen einen zuständigen Betriebsrat voraus. § 87 Abs. 1 Nr. 6 des Betriebsverfassungsgesetzes (BetrVG) erfasst die Einführung und Anwendung technischer Einrichtungen zur Überwachung von Verhalten oder Leistung. Das Bundesarbeitsgericht stellt auf ihre objektive Eignung ab. Eine Überwachungsabsicht des Arbeitgebers ist dafür nicht nötig (BAG, 1 ABR 20/21, Rn. 30). Ein Bericht mit Nutzungsdaten je Beschäftigtem kann eine solche Überwachung ermöglichen. Auch verborgene Namen lösen die Frage nicht, wenn sich die Daten weiterhin einzelnen Personen zuordnen lassen. Das Recht betrifft die Einführung und Anwendung der Einrichtung. Ein Bericht muss dafür noch nicht geöffnet worden sein. Mitbestimmungswidrige Maßnahmen kann der Betriebsrat gerichtlich unterbinden lassen (BAG, 1 ABR 7/15, Rn. 35). Bleibt eine Einigung aus, sieht § 87 Abs. 2 BetrVG die Einigungsstelle vor. Ihr Spruch ersetzt die Einigung zwischen Arbeitgeber und Betriebsrat. Daraus folgt keine Garantie, dass eine gewünschte Auswertung unverändert möglich wird. ## Vier Schritte vor dem vorgesehenen Einsatz 1. **Vorhandene Regelungen ansehen.** Welche Betriebsvereinbarungen gelten für das System? Decken sie die geplante Auswertung und ihre Zwecke ab? Bei mehreren Betrieben muss auch die Zuständigkeit des Betriebsratsgremiums geklärt sein. 2. **Den Datenzugriff konkret beschreiben.** Welche Kennzahlen werden für welche Entscheidung gebraucht? Halten Sie Datenquelle, Personenbezug, Auswertungsebene und Zugriffsrechte fest. IT, Betriebsrat und die für Datenschutz zuständigen Personen brauchen denselben Stand. 3. **Die erforderliche Einigung herbeiführen.** Fehlt eine passende Regelung, muss sie vor dem mitbestimmungspflichtigen Einsatz zustande kommen. Eine Betriebsvereinbarung wird gemeinsam beschlossen und formgerecht niedergelegt (§ 77 Abs. 2 BetrVG). Ein Entwurf allein reicht nicht. Für den Fall einer ausbleibenden Einigung gilt der gesetzliche Weg über die Einigungsstelle. 4. **Die Technik gegen die Vereinbarung prüfen.** Kontrollieren Sie Zugriffsrechte, Ausgaben und Löschregeln. Prüfen Sie auch, wer Einstellungen ändern oder Einzelangaben exportieren kann. So wird sichtbar, ob die Einrichtung dem vereinbarten Umfang entspricht. Die datenschutzrechtliche Prüfung gehört dazu. Auch eine Betriebsvereinbarung muss die geltenden Datenschutzanforderungen einhalten. Eine neue Auswertung kann andere Zwecke oder Zugriffe haben als die bisher erlaubte Nutzung. ## Was die Vereinbarung festhalten sollte Für eine Auswertung zur Lizenzentscheidung sind diese Regelungspunkte ein Ausgangspunkt: - **Zweck:** Welche Entscheidung soll die Auswertung unterstützen? Eine spätere Nutzung zur individuellen Leistungsbeurteilung ausdrücklich ausschließen, wenn sie nicht zum vereinbarten Zweck gehört. - **Auswertungsebene:** Die nötigen Team- oder Abteilungskennzahlen festlegen. Keine Einzelpersonen-Rankings. Personenbeziehbare Rohdaten und erlaubte Ausgaben getrennt regeln. - **Mindestgruppengröße:** Festlegen, ab welcher Gruppengröße Zahlen ausgegeben werden und welche zusätzlichen Filter erlaubt sind. Kleine Gruppen und Zusatzwissen können Rückschlüsse auf einzelne Personen ermöglichen. - **Löschfristen:** Für Rohdaten und Auswertungen festlegen, wie lange sie gebraucht werden und wann sie gelöscht werden. - **Zugriffsrechte:** Benennen, wer Daten sehen, exportieren oder Einstellungen ändern darf. Dazu gehört die Frage, wer eine Zuordnung zu Personen herstellen könnte. Eine Mindestgruppengröße ist dabei eine technische Schutzmaßnahme. Sie legt nicht allein fest, ob Daten anonym sind oder eine Auswertung zulässig ist. Microsoft verwendet in Viva Insights eine einstellbare Mindestgruppengröße von mindestens fünf Personen. In der Gruppenansicht zur Copilot-Nutzung blendet das Dashboard Kennzahlen aus, wenn Gruppen kleiner als die eingestellte Mindestgröße sind. Das ist eine Produktvorgabe, keine gesetzliche Grenze. Bei Microsoft 365 werden Nutzernamen in Nutzungsberichten seit September 2021 standardmäßig verborgen. Die Einstellung lässt sich im Admin Center ändern. Prüfen Sie deshalb den tatsächlichen Zustand und die vergebenen Rechte, bevor Sie sich auf diese Voreinstellung verlassen. ## Wann ein AVV gebraucht wird Vor einem Export an einen Dienstleister ist zu klären, welche Daten er erhält und welche Rolle er übernimmt. Verarbeitet er personenbezogene Daten im Auftrag der Firma, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Die Firma bleibt für diese Verarbeitung verantwortlich und gibt die Weisungen vor. Ein Dienstleister kann für bestimmte Verarbeitungen auch selbst Verantwortlicher sein. Das hängt von seiner tatsächlichen Tätigkeit ab. Die Bezeichnung „Anbieter“ oder „Auditor“ entscheidet diese Frage nicht, wie der Europäische Datenschutzausschuss in seinen Leitlinien 07/2020 erläutert. Tatsächlich anonyme Daten fallen nicht unter die DSGVO. Pseudonyme oder eine Zusammenfassung zu Gruppen belegen für sich allein keine Anonymität. Deshalb muss der Personenbezug vor der Weitergabe geprüft werden. Der AVV regelt unter anderem Zweck, Dauer, Datenarten sowie Rechte und Pflichten. Dazu gehören Weisungen, Vertraulichkeit, Schutzmaßnahmen und Regeln für weitere Auftragsverarbeiter. Art. 28 verlangt außerdem Unterstützung bei Betroffenenrechten, Kontrollmöglichkeiten und Regeln zur Löschung oder Rückgabe. Das ist eine Auswahl; der vollständige Pflichtenkatalog steht in der verlinkten Vorschrift. Besteht bereits ein AVV mit Microsoft oder einem anderen Anbieter, prüfen Sie, ob er die vorgesehene Verarbeitung abdeckt. Der Vertrag ersetzt nicht die Prüfung, auf welcher Rechtsgrundlage die Firma die Daten überhaupt verarbeiten darf. ## Was vor dem Start feststehen muss Für den nächsten Abstimmungstermin lassen sich drei Dinge vorbereiten: die benötigten Kennzahlen, die dazu nötigen Datenzugriffe und die bereits geltenden Regelungen. Daran lässt sich konkret prüfen, was noch vereinbart oder technisch begrenzt werden muss. **Vor dem vorgesehenen Einsatz müssen Umfang und Rechte geklärt sein. Die erforderliche Einigung muss vorliegen.** Was sich aus einer Nutzungszahl für die nächste Lizenzentscheidung ableiten lässt, ist die anschließende Frage. Dazu [Bezahlt pro Lizenz, genutzt pro Aufgabe](https://bitvaria.com/bezahlt-pro-lizenz-genutzt-pro-aufgabe). ## Häufige Fragen **Ist die Messung von KI-Nutzung mitbestimmungspflichtig?** Besteht ein zuständiger Betriebsrat, regelt § 87 Abs. 1 Nr. 6 BetrVG die Mitbestimmung. Es geht um technische Einrichtungen, die Verhalten oder Leistung von Beschäftigten überwachen können. Eine Überwachungsabsicht ist dafür nicht erforderlich. Mit dem zuständigen Betriebsrat ist zu klären, welche bestehenden Vereinbarungen den geplanten Einsatz abdecken. **Wann muss der Betriebsrat einbezogen werden?** Das Mitbestimmungsrecht betrifft die Einführung und Anwendung der zur Überwachung geeigneten Einrichtung. Es entsteht nicht erst beim Öffnen eines Berichts. Vor dem vorgesehenen Einsatz muss die erforderliche Einigung vorliegen. Ein Entwurf einer Betriebsvereinbarung genügt dafür nicht. **Was sollte die Betriebsvereinbarung zur Nutzungsauswertung regeln?** Wichtige Punkte sind Zweck, Auswertungsebene, Mindestgruppengröße, Löschfristen und Zugriffsrechte. Personenbeziehbare Rohdaten und die ausgegebenen Kennzahlen gehören getrennt beschrieben. Welche Regelungen nötig und zulässig sind, hängt vom konkreten Einsatz ab. **Reichen verborgene Namen oder aggregierte Zahlen aus?** Verborgene Namen können weiterhin zuordenbar sein. Auch bei aggregierter Ausgabe sind die Rohdaten und weitere Auswertungsfunktionen der Einrichtung zu prüfen. Eine Mindestgruppengröße ist eine Schutzmaßnahme, kein pauschaler Nachweis von Anonymität oder Zulässigkeit. ## Quellen - Einführung, Anwendung und Einigungsstelle: [§ 87 BetrVG](https://www.gesetze-im-internet.de/betrvg/__87.html). Abschluss von Betriebsvereinbarungen: [§ 77 Abs. 2 BetrVG](https://www.gesetze-im-internet.de/betrvg/__77.html). - Zuständigkeit bei mehreren Betrieben: [§ 50 BetrVG](https://www.gesetze-im-internet.de/betrvg/__50.html). - Objektive Eignung zur Überwachung, unabhängig von der Absicht: [BAG 08.03.2022, 1 ABR 20/21, Rn. 30](https://www.bundesarbeitsgericht.de/entscheidung/1-abr-20-21/). - Individualisierbarkeit und Gruppenbezug, Unterlassungsanspruch: [BAG 13.12.2016, 1 ABR 7/15, Rn. 27 und 35](https://www.bundesarbeitsgericht.de/entscheidung/1-abr-7-15/). - Anonymität, Rechtsgrundlage und Auftragsverarbeitung: [DSGVO, Erwägungsgrund 26, Art. 6, 28 und 88](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex%3A32016R0679). - Rollen von Verantwortlichem und Auftragsverarbeiter: [Europäischer Datenschutzausschuss, Leitlinien 07/2020, Rn. 76 und 82](https://www.edpb.europa.eu/system/files/documents/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf). - Verborgene Nutzernamen seit 01.09.2021 und Änderung der Einstellung: [Microsoft Learn, Reports show anonymous user names](https://learn.microsoft.com/en-us/troubleshoot/microsoft-365/admin/miscellaneous/reports-show-anonymous-user-name). - Mindestgruppengröße: [Microsoft Learn, Viva Insights privacy settings](https://learn.microsoft.com/en-us/viva/insights/advanced/setup-maint/privacy-settings). Ausblenden kleiner Gruppen: [Microsoft Learn, Copilot Dashboard](https://learn.microsoft.com/en-us/viva/insights/org-team-insights/copilot-dashboard). * * * *Verwandt: [Residenz ist nicht Jurisdiktion](https://bitvaria.com/residenz-ist-nicht-jurisdiktion) und [Was passiert, wenn der Dienstleister wegfällt](https://bitvaria.com/was-passiert-wenn-der-dienstleister-wegfaellt).* - [ki](https://bitvaria.com/tag/ki/) - [mitbestimmung](https://bitvaria.com/tag/mitbestimmung/) - [datenschutz](https://bitvaria.com/tag/datenschutz/) - [mittelstand](https://bitvaria.com/tag/mittelstand/) - [compliance](https://bitvaria.com/tag/compliance/) Share: [Back to Blog](https://bitvaria.com/blog/)