Desk Sharing und DSGVO: Leitfaden für HR und IT. Worauf sollten Sie bei der Einführung achten?

Bei der Einführung von Desk Sharing sollten HR und IT darauf achten, dass Zweck, Rechtsgrundlage, Datenarten, Zugriffsrechte, Löschfristen und Auftragsverarbeitung vor dem Go Live schriftlich festgelegt sind und die eingesetzte Desk Booking Software Datensparsamkeit technisch unterstützt. Dann lässt sich Desk Sharing in der Regel DSGVO-konform umsetzen. Die Bewertung im Einzelfall liegt bei den Datenschutzbeauftragten und sollte juristisch geprüft werden.

Der typische Anlass: Ein Unternehmen will Desk Sharing mit einer Buchungssoftware in Microsoft 365 als organisatorisches Modell einführen. HR und IT sollen gemeinsam mit dem Datenschutz klären, welche personenbezogenen Daten dabei entstehen. Betriebsrat und Datenschutzbeauftragte wollen Klarheit, bevor sie die Freigabe erteilen.

Dieser Leitfaden richtet sich an HR, IT, Datenschutzbeauftragte und Betriebsratsmitglieder in Unternehmen ab 250 Mitarbeitenden mit Microsoft 365. Im Mittelpunkt stehen die personenbezogenen Daten einer Desk Booking Lösung, die Aufgabenteilung zwischen den beteiligten Rollen und eine Checkliste für die DSGVO-Freigabe.

Welche personenbezogenen Daten beim Desk Sharing entstehen

Desk Sharing Projekte betreffen in der Regel personenbezogene Daten. Sobald Mitarbeitende einen Arbeitsplatz buchen, entstehen Datensätze, die einer identifizierbaren Person zugeordnet werden können. Frühzeitige Transparenz gegenüber Betriebsrat und Datenschutz ist deshalb der erste Schritt, um Vertrauen zu schaffen und die Umsetzung nicht zu verzögern.

Stammdaten aus Microsoft Entra ID und HR-Systemen

In einer Desk Booking Lösung landen typischerweise Basisdaten: Name, geschäftliche E-Mail-Adresse, Abteilung, Standort, gegebenenfalls Kostenstelle oder Teamzugehörigkeit. Diese Stammdaten werden in der Regel über einen Verzeichnisdienst wie Microsoft Entra ID oder ein HRIS synchronisiert. Die automatische Synchronisation vermeidet doppelte Datenpflege und reduziert Fehlerquellen.

Stammdaten sind personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) und sollten in der Datenschutzdokumentation als solche beschrieben werden.

Buchungsdaten mit Ort, Zeitraum und Ressource

Jede Buchung erzeugt konkrete Informationen: Datum, Uhrzeit, gebuchte Ressource (geteilter Arbeitsplatz, Meetingraum, Parkplatz), Zone oder Etage. Eine Desk Sharing Software ermöglicht die digitale Reservierung von Arbeitsplätzen in Echtzeit. Genau diese Reservierungsdaten lassen Rückschlüsse auf Anwesenheitsmuster zu, auch ohne explizite Arbeitszeiterfassung.

Werden Auswertungen zu kleinteilig und nicht aggregiert durchgeführt, kann schnell der Eindruck von Leistungs- oder Verhaltenskontrolle entstehen. Deshalb sollte schriftlich festgelegt werden, dass Buchungsdaten in der Regel nur für die Arbeitsplatzorganisation verarbeitet werden.

Buchungsregeln, Clean Desk Policy und Desk Sharing Quote

Auch organisatorische Regeln bestimmen, welche Daten im Buchungssystem entstehen. Buchungsregeln legen fest, wie weit im Voraus Plätze reserviert werden können, wann nicht genutzte Buchungen verfallen und wer für andere buchen darf. Je detaillierter diese Regeln sind, desto mehr Daten fallen an. Beim Hot Desking ohne Reservierung entstehen in der Regel weniger personenbezogene Buchungsdaten als bei einer festen Buchung im Voraus.

Eine Clean Desk Policy ist auch aus Sicht des Datenschutzes sinnvoll: Clean Desk Vorgaben sorgen dafür, dass vertrauliche Unterlagen nicht an gemeinsam genutzten Schreibtischen liegen bleiben. Solche Regeln zur Ordnung im Betrieb können nach dem Arbeitsrecht der Mitbestimmung unterliegen und sollten deshalb mit dem Betriebsrat abgestimmt werden. Die Desk Sharing Quote, also das Verhältnis von Arbeitsplätzen zu Mitarbeitenden, planen Unternehmen idealerweise auf Basis aggregierter Auslastung statt auf Basis personenbezogener Einzelauswertungen.

Anwesenheitsinformationen und IP-basierte Präsenz

Anwesenheitsinformationen beschreiben, ob sich eine Person an einem Tag im Büro befindet, unabhängig von der exakten Arbeitszeit. IP-basierte Präsenz erkennt Anwesenheit automatisch über die bestehende Netzwerkinfrastruktur, ohne zusätzlichen Check-in. Es findet keine Geolokalisierung statt, es werden keine Bewegungsprofile erstellt, und es erfolgt keine Arbeitszeiterfassung.

Die Bewertung der Zulässigkeit solcher Anwesenheitsinformationen hängt von der konkreten Ausgestaltung ab und sollte im Einzelfall durch Datenschutzbeauftragte erfolgen.

Nutzungsauswertungen und aggregierte Office Intelligence

Für Flächen- und Kostenentscheidungen, etwa zur Zahl benötigter Schreibtische oder zur Optimierung von Bereichen, sind nicht die Buchungsdaten einzelner Personen relevant, sondern anonymisierte, aggregierte Kennzahlen: durchschnittliche Auslastung je Fläche, stark genutzte Zonen, Vergleich von Standorten. Solche Auswertungen erlauben keine Rückschlüsse auf einzelne Mitarbeitende und liefern zugleich eine Grundlage, um Kosten für Miete und Fläche zu überprüfen. Wie sich die Nutzung von Büroflächen mit unterschiedlichen Messmethoden datenschutzkonform erfassen und anonymisiert auswerten lässt, zeigt unser Leitfaden zur DSGVO-konformen Messung der Büroauslastung.

Das Zielbild für HR, IT und Betriebsrat ist ein Aufbau, in dem strategische Flächenentscheidungen auf aggregierten Daten basieren, ohne Mitarbeitende zu überwachen. Buchungsdaten sollten in der Regel anonymisiert oder gelöscht werden, sobald sie für den festgelegten Zweck nicht mehr benötigt werden. In kleinen Teams oder bei seltenen Ressourcen ist besondere Sorgfalt nötig, da Re-Identifikation durch Kombination mit anderen Datenquellen möglich sein kann.

Die DSGVO-Grundsätze, die beim Desk Sharing in der Regel betroffen sind

HR, IT und Datenschutz sollten die relevanten DSGVO-Artikel gemeinsam durchgehen, bevor der Betriebsrat seine Mitbestimmung ausübt. Alle folgenden Aussagen beschreiben, was in der Regel gilt. Die juristische Prüfung im Einzelfall bleibt erforderlich.

Zweckbindung und Datenminimierung nach Art. 5 DSGVO

Typische legitime Zwecke im Kontext Desk Sharing: Organisation von Arbeitsplätzen, Planung von Büroflächen, Einhaltung von Arbeitsschutzvorgaben. Die DSGVO fordert Datenminimierung während der Verarbeitung personenbezogener Daten. Praktisch bedeutet das: Verzicht auf unnötige Felder, optionale Angaben zum Arbeitsort, Beschränkung der Buchungshistorie auf sinnvolle Zeiträume.

Zweckbindung sollte schriftlich dokumentiert und intern kommuniziert werden, insbesondere gegenüber Betriebsrat und Mitarbeitenden.

Rechtsgrundlage nach Art. 6 DSGVO festlegen

Im Beschäftigungskontext werden in der Regel zwei Rechtsgrundlagen diskutiert: die Erfüllung arbeitsvertraglicher Pflichten und das berechtigte Interesse des Arbeitgebers an einer effizienten Arbeitsplatzorganisation. Welche im konkreten Unternehmen greift, entscheiden Datenschutzbeauftragte und Rechtsberatung gemeinsam mit HR.

Die gewählte Rechtsgrundlage sollte später in den Datenschutzinformationen nach Art. 13 DSGVO wieder aufgegriffen werden.

Informationspflichten nach Art. 13 DSGVO

Mitarbeitende sollten transparent über Datenerhebungen beim Desk Sharing informiert werden. Vor dem Start des Systems sollten sie in der Regel erfahren: Zwecke der Verarbeitung, Datenkategorien, Speicherdauer, Empfängergruppen und Hinweis auf die Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung).

Die Desk Sharing Regelungen sollten mit den Datenschutzinformationen und einer gegebenenfalls bestehenden Betriebsvereinbarung abgestimmt werden, um Widersprüche zu vermeiden. Dort kann auch die Clean Desk Policy als schriftlich kommunizierte Regel für aufgeräumte Arbeitsplätze festgehalten werden.

Auftragsverarbeitung nach Art. 28 DSGVO

Die Desk Booking Software ist in aller Regel ein Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Das Unternehmen bleibt Verantwortlicher. Im Auftragsverarbeitungsvertrag sind besonders relevant: Gegenstand und Dauer der Verarbeitung, Kategorien der Daten, Unterauftragsverarbeitende, technische und organisatorische Maßnahmen (TOMs), etwa von automatischen Bildschirmsperren bis zu individuellen Zugriffsrechten, sowie das Löschkonzept.

HR, IT und Datenschutz sollten diesen Vertrag gemeinsam prüfen, bevor die Entscheidung für einen Anbieter fällt.

Sicherheit der Verarbeitung nach Art. 32 DSGVO

Aus Sicht von Betriebsrat und Datenschutz sind folgende Sicherheitsaspekte besonders wichtig: Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrolle mit differenzierten Rollen, Protokollierung von Administrationszugriffen und Schutz vor unbefugten Einsichten. Diese technischen und organisatorischen Maßnahmen (TOMs) sollten dokumentiert sein. DSGVO-konforme Lösungen sollen Mitarbeitende vor Datenmissbrauch schützen.

Eine Zertifizierung nach ISO 27001 ist ein starkes Signal für ein strukturiertes Information Security Management System, ersetzt aber nicht automatisch alle gesetzlichen Anforderungen. Sie zeigt, dass der Anbieter seine Sicherheitsprozesse regelmäßig durch externe Prüfer bewerten lässt.

Prüfung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist

Eine Datenschutz-Folgenabschätzung (DSFA) kann bei bestimmten Desk Booking Systemen erforderlich sein. Systeme, die Anwesenheitsdaten verarbeiten, insbesondere mit automatischer oder IP-basierter Präsenzerkennung, sollten von den Datenschutzbeauftragten ausdrücklich auf Art. 35 DSGVO hin geprüft werden. Die Entscheidung über die DSFA und ihre Durchführung liegt bei den Datenschutzbeauftragten und sollte juristisch bewertet werden.

In Deutschland ist zusätzlich in der Regel die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz berührt, wenn technische Einrichtungen geeignet sind, Verhalten oder Leistung zu überwachen. Regeln zur Ordnung im Betrieb, etwa Buchungsregeln oder Clean Desk Vorgaben, können zusätzlich unter § 87 Abs. 1 Nr. 1 BetrVG fallen. Das sollte juristisch geprüft werden. In Österreich und der Schweiz gelten teilweise andere Regeln, die gesondert geprüft werden sollten.

Aufgabenteilung: Was HR, IT und Datenschutz jeweils klären

Ein gemeinsamer Fahrplan mit klaren Zuständigkeiten reduziert Reibungsverluste und Misstrauen in Desk Sharing Projekten. Die folgende Tabelle zeigt, wer welche Aufgaben übernimmt und welches Ergebnis am Ende stehen sollte.

Tabelle: Rollen und Verantwortlichkeiten im Desk Sharing Projekt

Binden Sie den Betriebsrat frühzeitig ein. Bei Desk Sharing können einzelne Teile der Ausgestaltung der Mitbestimmung nach § 87 BetrVG unterliegen, sodass je nach Maßnahme die Zustimmung des Betriebsrats erforderlich sein kann. Je nach Ausgestaltung können neben Transparenz und Auswertungen auch Fragen des Gesundheitsschutzes und der Arbeitsplatzgestaltung berührt sein. Eine Betriebsvereinbarung ist in der Regel der übliche Weg, diese Punkte verbindlich zu regeln und die Einbindung aller Beteiligten festzuhalten. Ihre Ausgestaltung sollte juristisch geprüft werden.

Prüfliste für die DSGVO-Freigabe einer Desk Booking Software

Die folgende Checkliste ist als Arbeitsgrundlage für Datenschutzbeauftragte und Betriebsrat gedacht. Sie ersetzt keine juristische Prüfung, gibt aber Struktur für die wichtigsten Prüfpunkte vor der Einführung.

Zweck und Rechtsgrundlage

• Ist der Zweck der Desk Booking Lösung schriftlich definiert (z. B. Organisation von Arbeitsplätzen, Planung von Flächen, Einhaltung von Arbeitsschutz) und intern abgestimmt?
• Ist dokumentiert, auf welche Rechtsgrundlage sich die Verarbeitung der Buchungs- und Anwesenheitsdaten im Beschäftigungskontext stützt?
• Wird sichergestellt, dass die Daten nicht für Leistungs- oder Verhaltenskontrolle genutzt werden, und ist dies gegenüber Mitarbeitenden klar kommuniziert?

Datenumfang und Anonymisierung

• Werden nur die Daten erhoben, die für die Desk Booking Zwecke erforderlich sind (kein Sammeln von optionalen Informationen ohne konkreten Zweck)?
• Ist vorgesehen, dass Auswertungen zur Büroauslastung anonymisiert oder so aggregiert werden, dass keine Rückschlüsse auf einzelne Personen möglich sind?
• Ist die Angabe des Arbeitsorts (z. B. Büro, Homeoffice, anderer Standort) optional?

Hosting, Serverstandort und Auftragsverarbeitung

• Werden alle Daten in der EU verarbeitet und gehostet, ohne Übermittlung in Drittländer außerhalb des EU/EWR-Raums?
• Liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit klaren Regelungen zu Unterauftragsverarbeitenden, TOMs und Löschpflichten vor?
• Sind die Verarbeitungswege des Anbieters transparent dokumentiert, auch bei angebundenen Tools oder einer Synchronisierung mit dem Kalender (z. B. in einer technischen Leistungsbeschreibung oder TOM-Liste)?

Sicherheit und Zertifizierung

• Werden Daten bei Übertragung und Speicherung nach aktuellem Stand der Technik verschlüsselt, und welche Verfahren nennt der Anbieter?
• Ist der Anbieter nach ISO 27001 zertifiziert, und wird erklärt, welcher Geltungsbereich diese Zertifizierung abdeckt? (Eine ISO-Zertifizierung ist ein Qualitätskriterium, keine gesetzliche Pflicht.)
• Gibt es klare Prozesse zur Meldung und Behandlung von Sicherheitsvorfällen zwischen Unternehmen und Anbieter?

Zugriffsrechte, Rollen und Transparenz im Unternehmen

• Ist ein Rollenkonzept definiert, das festlegt, welche Gruppen (z. B. Facility Management, HR, Führungskräfte) auf welche Daten zugreifen dürfen?
• Ist sichergestellt, dass einzelne Buchungs- oder Anwesenheitsdaten nicht ohne Notwendigkeit für Vorgesetzte sichtbar sind, sondern vor allem Aggregationen genutzt werden?
• Werden administrative Aktivitäten protokolliert, damit unzulässige Zugriffe nachvollzogen werden können?

Löschkonzept und Rechte der betroffenen Personen

• Sind Löschfristen für Buchungs- und Anwesenheitsdaten definiert und dokumentiert?
• Ist geregelt, wie Auskunfts-, Berichtigungs- und Löschersuchen von Mitarbeitenden im Zusammenhang mit Desk Booking bearbeitet werden?
• Können historische Buchungsdaten so reduziert werden, dass nur noch für Auslastungsanalysen relevante, anonymisierte Informationen vorliegen?

Einwand: Macht eine Desk Sharing Software die Anwesenheit einzelner Mitarbeitender sichtbar?

Dieser Einwand kommt in vielen Abstimmungsgesprächen mit Betriebsrat und Datenschutz. Er ist berechtigt und verdient eine sachliche Antwort statt Verharmlosung.

Buchung ist nicht automatisch Anwesenheitskontrolle

Eine Buchung ist zunächst eine Reservierung. Sie belegt nicht, dass eine Person tatsächlich vor Ort war. Nicht genutzte Buchungen und kurzfristige Änderungen weichen diese Gleichsetzung zusätzlich auf. Desk Booking Systeme können bewusst so gestaltet werden, dass sie keine Arbeitszeit erfassen und keine Bewegungsprofile bilden.

Anonyme Buchung und optionale Arbeitsortangabe

Anonyme Buchungen oder Buchungen auf Teamflächen ohne Namensanzeige für Kolleginnen und Kollegen sind technisch umsetzbar. Die Angabe des Arbeitsorts (Büro, Homeoffice, unterwegs) kann optional gestaltet werden und unterstützt so mehr Flexibilität in hybriden Arbeitsmodellen. Sie sollte nicht zur Pflichtkontrolle der Büropräsenz werden, sondern das Desk Sharing Konzept flexibler machen.

Aggregierte Auswertungen und Rollenkonzepte statt Detailkontrolle

Für Management und Flächenplanung sollten vorrangig aggregierte Berichte genutzt werden, die keine Aussagen über einzelne Mitarbeitende ermöglichen. Eine Desk Booking Software kann die Flächeneffizienz im Büro verbessern, wenn sie Auslastung auf Zonen- oder Standortebene sichtbar macht, nicht auf Personenebene.

Ein klares Rollenkonzept definiert, wer welche Detaildaten sehen darf. Betriebsrat und Datenschutz sollten dieses Konzept vorab prüfen. Zusätzlich sollte die Zweckbindung schriftlich festgehalten werden.

Eine Garantie, dass jede Ausgestaltung zulässig ist, gibt es nicht. Die konkrete Lösung entsteht in der Regel gemeinsam mit Betriebsrat und Datenschutzbeauftragten.

Wie Seatti die DSGVO-Anforderungen technisch unterstützt

Seatti läuft nativ in Microsoft Teams und Outlook und verbindet als Plattform für das moderne Büro Buchung und Auswertung. Die folgende Tabelle ordnet die Prüfpunkte aus diesem Leitfaden den Eigenschaften von Seatti zu.

Tabelle: DSGVO-Anforderungen im Desk Sharing und Lösung mit Seatti

Seatti ist so gebaut, dass die Mitbestimmung erleichtert wird. Für die Prüfung durch Datenschutz und IT stehen das ISO 27001 Zertifikat, die Angaben zum Datenschutz bei Seatti und die Beschreibung der IP-basierten Anwesenheit bereit. Wie die Buchung in Teams und Outlook eingebunden ist, zeigt die Seite zur Microsoft 365 Integration. Welche Funktionen in welchem Paket enthalten sind, zum Beispiel Buchungen von Besprechungsräumen, Besuchermanagement, die IP-basierte Anwesenheit oder Compliance-Rollen, sehen Sie auf der Preisseite.

Ist die Datenschutzfrage geklärt, bleibt eine zweite: Flächen- und Kostenentscheidungen stützen sich in vielen Unternehmen auf Schätzungen statt auf verlässliche Nutzungsdaten. Eine reine Buchungslösung hält nur fest, wer wann an welchem Platz sitzt. Mit Workspace Management und Office Intelligence bündelt Seatti Buchung und aggregierte Auswertung auf einer Plattform innerhalb von Microsoft 365 und macht sichtbar, welchen Flächenbedarf Ihr Unternehmen wirklich hat. Wer den Datenschutz sauber aufsetzt, schafft damit zugleich die Grundlage für Flächenentscheidungen, die nicht mehr auf Annahmen beruhen.

So bereiten Sie die Datenschutzfreigabe vor

Desk Sharing im Microsoft 365 Umfeld ist in der Regel DSGVO-konform gestaltbar, wenn Zweck, Datenumfang, Rollen, Löschkonzept und Auftragsverarbeitung vorab klar geregelt und dokumentiert sind.

So gehen Sie weiter vor:

• Checkliste aus diesem Artikel gemeinsam von HR, IT, Datenschutzbeauftragten und Betriebsrat durchgehen und offene Punkte dokumentieren.
• Anbieter erst in die engere Auswahl nehmen, wenn Hosting, Zertifizierung und Auftragsverarbeitung geklärt sind.
• Gemeinsame Produktdemo mit Datenschutz und Betriebsrat durchführen, um konkrete Fragen zu Datenflüssen, Rollen und Auswertungen direkt am System zu klären.

Sie möchten sehen, wie Seatti in Ihrem Microsoft 365 Umfeld läuft? In einem Walkthrough von 30 Minuten zeigen wir, wie Seatti Ihre Office Prozesse vereinfacht und Ihre Flächenentscheidungen datenbasiert absichert.

Jetzt Demo buchen

Weiterlesen: Betriebsvereinbarung für Desk Sharing: Checkliste und Muster und Welche Desk Booking Software ist DSGVO-konform?.

Autor und Quellen

Autorin: Saskia Neuner, Chief of Staff bei Seatti. Stand: 11.11.2026.

Dieser Leitfaden stellt keine Rechtsberatung dar und ersetzt keine juristische Prüfung im Einzelfall.

Quellen:

• DSGVO (Art. 5, Art. 6, Art. 13, Art. 28, Art. 32, Art. 35)
• Betriebsverfassungsgesetz (§ 87 Abs. 1 Nr. 1 und Nr. 6)
• Seatti ISO 27001 Zertifikat (Trust Center)
• Seatti Datenschutz
• Seatti IP-basierte Anwesenheitserfassung
• Seatti Integration
• Seatti Preise
• Workplace Analytics
• Office Intelligence
• Leitfaden zur DSGVO-konformen Messung der Büroauslastung