Zum Hauptinhalt springen


White­pa­per: Cloud mit Kon­trol­le – Ein DSGVO-kon­­­for­­mer Ver­gleich von Kol­la­­bo­ra­­ti­ons-Plat­t­­for­­men

Manage­ment Sum­ma­ry

Die digi­ta­le Kol­la­bo­ra­ti­on ist das Ner­ven­sys­tem des moder­nen Unter­neh­mens. Platt­for­men wie Micro­soft 365 und Goog­le Workspace sind zu unver­zicht­ba­ren Werk­zeu­gen für Pro­duk­ti­vi­tät und Inno­va­ti­on gewor­den. Gleich­zei­tig ste­hen deut­sche Ent­schei­der vor einem stra­te­gi­schen Dilem­ma: Wie las­sen sich die Vor­tei­le die­ser US-domi­nier­ten Cloud-Diens­te mit den stren­gen Anfor­de­run­gen der euro­päi­schen Daten­schutz-Grund­ver­ord­nung (DSGVO) in Ein­klang brin­gen?

Spä­tes­tens seit dem “Schrems II”-Urteil des Euro­päi­schen Gerichts­hofs (EuGH) und dem US CLOUD Act exis­tiert eine signi­fi­kan­te recht­li­che Grau­zo­ne bezüg­lich des Daten­trans­fers in die USA. Die pau­scha­le Annah­me, Daten in einem euro­päi­schen Rechen­zen­trum sei­en auto­ma­tisch DSGVO-kon­form, ist ein gefähr­li­cher Trug­schluss. Dies stellt für Geschäfts­füh­rer und IT-Ver­ant­wort­li­che ein unkal­ku­lier­ba­res unter­neh­me­ri­sches Risi­ko dar.

Die­ses White­pa­per ist ein stra­te­gi­scher Leit­fa­den für prag­ma­ti­sche Ent­schei­der, kei­ne Rechts­be­ra­tung. Wir durch­leuch­ten die Kom­ple­xi­tät und lie­fern eine nüch­ter­ne, archi­tek­to­ni­sche Ver­gleichs­ana­ly­se der drei rele­van­tes­ten Lösungs­an­sät­ze:

  1. Micro­soft 365: Die Nut­zung des Markt­füh­rers mit Fokus auf die tech­ni­schen und ver­trag­li­chen Maß­nah­men zur Risi­ko­mi­ni­mie­rung.
  2. Goog­le Workspace: Die Ana­ly­se des agi­len Her­aus­for­de­rers und sei­ner Posi­ti­on im euro­päi­schen Daten­schutz­kon­text.
  3. Pri­va­te Cloud (Next­cloud): Die Bewer­tung einer selbst-gehos­te­ten Alter­na­ti­ve unter dem Aspekt der maxi­ma­len Daten­ho­heit.

Wir bewer­ten jede Platt­form anhand pra­xis­re­le­van­ter Kri­te­ri­en wie DSGVO-Kon­for­mi­tät, tech­ni­sche Kon­troll­mög­lich­kei­ten, Funk­tio­na­li­tät und Total Cost of Owner­ship (TCO). Ziel die­ses Doku­ments ist es, Ihnen eine fun­dier­te, risi­ko­ba­sier­te Ent­schei­dungs­grund­la­ge zu lie­fern, um die für Ihr Unter­neh­men, Ihre Kul­tur und Ihr Risi­ko­pro­fil pas­sen­de Kol­la­bo­ra­ti­ons­stra­te­gie zu ent­wi­ckeln.


Ein­lei­tung

Das digi­ta­le Ner­ven­sys­tem Ihres Unter­neh­mens pul­siert in der Cloud. Die Fähig­keit, in Echt­zeit gemein­sam an Doku­men­ten zu arbei­ten, naht­lo­se Video­kon­fe­ren­zen abzu­hal­ten und von über­all auf der Welt sicher auf Infor­ma­tio­nen zuzu­grei­fen, ist kei­ne Zukunfts­vi­si­on mehr, son­dern die all­täg­li­che Rea­li­tät und der Motor für Effi­zi­enz und Wachs­tum. Die Platt­for­men der gro­ßen US-Hypers­ca­ler – allen vor­an Micro­soft 365 – haben hier einen Stan­dard an Funk­tio­na­li­tät und Inte­gra­ti­on geschaf­fen, der aus dem Geschäfts­all­tag kaum noch weg­zu­den­ken ist.

Doch par­al­lel zu die­ser tech­no­lo­gi­schen Erfolgs­ge­schich­te wächst bei vor­aus­schau­en­den Ent­schei­dern im deut­schen Mit­tel­stand ein tie­fes Unbe­ha­gen. Nahe­zu wöchent­lich machen Schlag­zei­len über Daten­schutz-Stra­fen, behörd­li­che Daten­zu­grif­fe und die recht­li­chen Kon­se­quen­zen des trans­at­lan­ti­schen Daten­trans­fers die Run­de. Man fühlt sich gefan­gen zwi­schen den Stüh­len: Auf der einen Sei­te der unab­weis­ba­re Drang zur Moder­ni­sie­rung und die Erwar­tungs­hal­tung der Mit­ar­bei­ter. Auf der ande­ren Sei­te die unter­neh­me­ri­sche Sorg­falts­pflicht und die Furcht vor den dra­ko­ni­schen Stra­fen der DSGVO.

Die­ses White­pa­per ist Ihr Archi­tek­ten-Gespräch, das Klar­heit in die­se kom­ple­xe Situa­ti­on bringt. Wir wer­den die Angst, Unsi­cher­heit und Zwei­fel (FUD — Fear, Uncer­tain­ty, and Doubt) durch eine struk­tu­rier­te, fak­ten­ba­sier­te Ana­ly­se erset­zen. Wir wer­den die recht­li­chen Rah­men­be­din­gun­gen für Sie ver­ständ­lich ein­ord­nen und dann die füh­ren­den Platt­for­men auf dem Sezier­tisch des Prag­ma­tis­mus unter­su­chen. Unser Ziel ist es, Ihnen den Weg von der pas­si­ven Sor­ge zur akti­ven, stra­te­gi­schen Gestal­tung Ihrer digi­ta­len Sou­ve­rä­ni­tät zu wei­sen.


Kapi­tel 1: Das digi­ta­le Dilem­ma – War­um moder­ne Kol­la­bo­ra­ti­on und die DSGVO im Kon­flikt ste­hen

Um fun­dier­te Ent­schei­dun­gen tref­fen zu kön­nen, müs­sen wir die Wur­zel des Pro­blems ver­ste­hen. Der Kon­flikt ist kein tech­ni­scher, son­dern ein fun­da­men­ta­ler, recht­li­cher und phi­lo­so­phi­scher Wider­spruch zwi­schen der euro­päi­schen und der US-ame­ri­ka­ni­schen Sicht auf den Daten­schutz. Die­ses Kapi­tel schlüs­selt die drei ent­schei­den­den recht­li­chen Bau­stei­ne auf, die jeder Ent­schei­der ken­nen muss.

1.1 Die DSGVO als Maß­stab: Das euro­päi­sche Schutz­ver­spre­chen
Die Daten­schutz-Grund­ver­ord­nung (DSGVO) ist mehr als nur ein Regel­werk; sie ist ein Bekennt­nis zum Grund­recht auf infor­ma­tio­nel­le Selbst­be­stim­mung. Ihr Kern­prin­zip ist ein­fach: Per­so­nen­be­zo­ge­ne Daten von EU-Bür­gern genie­ßen einen extrem hohen Schutz. Sie dür­fen nur für einen bestimm­ten Zweck ver­ar­bei­tet wer­den, und ihre Über­tra­gung in ein Land außer­halb der EU (ein “Dritt­land” wie die USA) ist nur dann gestat­tet, wenn in die­sem Land ein “ange­mes­se­nes Schutz­ni­veau” herrscht, das mit dem der EU ver­gleich­bar ist.

1.2 Der Game-Chan­ger: Das “Schrems II”-Urteil des EuGH
Jah­re­lang stütz­te sich der Daten­trans­fer in die USA auf Abkom­men wie “Safe Har­bor” und spä­ter das “Pri­va­cy Shield”. Die­se Abkom­men soll­ten beschei­ni­gen, dass die USA eben jenes “ange­mes­se­ne Schutz­ni­veau” bie­ten.

Im Juli 2020 erklär­te der Euro­päi­sche Gerichts­hof (EuGH) das Pri­va­cy Shield in sei­nem weg­wei­sen­den “Schrems II”-Urteil für ungül­tig. Die Begrün­dung der Rich­ter war knall­hart: Die USA bie­ten eben kein ange­mes­se­nes Schutz­ni­veau. Der Grund sind weit­rei­chen­de US-Über­wa­chungs­ge­set­ze (wie FISA 702), die es US-Geheim­diens­ten erlau­ben, auf Daten zuzu­grei­fen, die bei US-Pro­vi­dern lie­gen – ohne dass die betrof­fe­nen EU-Bür­ger dar­über infor­miert wer­den oder einen wirk­sa­men Rechts­be­helf dage­gen ein­le­gen kön­nen.

Die Ana­lo­gie: Der EuGH hat nicht nur eine ein­zel­ne Brü­cke für unsi­cher erklärt, son­dern die gesam­te Bau­art, nach der die Brü­cken in die USA kon­stru­iert waren, als fun­da­men­tal feh­ler­haft ein­ge­stuft. Seit­dem müs­sen Unter­neh­men, die Daten in die USA trans­fe­rie­ren, für jeden Ein­zel­fall nach­wei­sen, dass sie durch zusätz­li­che Maß­nah­men (sog. “ergän­zen­de Maß­nah­men”) ein Schutz­ni­veau her­stel­len, das die Defi­zi­te des US-Rechts aus­gleicht. Eine Her­ku­les­auf­ga­be.

1.3 Der Gegen­spie­ler: Der US CLOUD Act
Um die Ver­wir­rung kom­plett zu machen, trat 2018 der ame­ri­ka­ni­sche CLOUD Act in Kraft. Die­ses Gesetz ver­pflich­tet US-ame­ri­ka­ni­sche Tech­no­lo­gie­un­ter­neh­men unter bestimm­ten Umstän­den, US-Behör­den Zugriff auf bei ihnen gespei­cher­te Daten zu gewäh­ren. Der ent­schei­den­de Punkt: Dies gilt unab­hän­gig davon, wo auf der Welt die Daten phy­sisch gespei­chert sind.

Das schafft den ulti­ma­ti­ven Kon­flikt: Ein US-Unter­neh­men wie Micro­soft oder Goog­le könn­te poten­zi­ell durch den CLOUD Act gezwun­gen sein, Daten aus sei­nem Rechen­zen­trum in Frank­furt an eine US-Behör­de her­aus­zu­ge­ben, was gleich­zei­tig einen Ver­stoß gegen die DSGVO dar­stel­len wür­de. Sie ste­cken in einer recht­li­chen Zwick­müh­le.

1.4 Die Kon­se­quenz für Sie als Ent­schei­der: Ein stra­te­gi­sches Risi­ko
Was bedeu­tet die­ses juris­ti­sche Tau­zie­hen für Sie in der Pra­xis? Es bedeu­tet vor allem eines: Rechts­un­si­cher­heit. Die Nut­zung von Cloud-Diens­ten von US-Anbie­tern ist nicht pau­schal ille­gal, aber sie bewegt sich in einer kom­ple­xen Grau­zo­ne und birgt ein kla­res Geschäfts­ri­si­ko.

Die Wahl Ihrer Kol­la­bo­ra­ti­ons­platt­form ist somit kei­ne rein tech­ni­sche oder finan­zi­el­le Ent­schei­dung mehr. Sie ist zu einer stra­te­gi­schen Risi­ko­ma­nage­ment-Ent­schei­dung gewor­den. Sie müs­sen eine bewuss­te Abwä­gung tref­fen zwi­schen Funk­tio­na­li­tät, Kos­ten und dem Grad des recht­li­chen Risi­kos, das Sie als Unter­neh­men bereit sind zu tra­gen. Die fol­gen­den Kapi­tel geben Ihnen die not­wen­di­gen Infor­ma­tio­nen für genau die­se Abwä­gung.

Kapi­tel 2: Die Platt­for­men auf dem Prüf­stand – Eine prag­ma­ti­sche Ana­ly­se

Nach­dem wir das kom­ple­xe recht­li­che Spiel­feld abge­steckt haben, wen­den wir uns nun der Pra­xis zu. Wir ana­ly­sie­ren die drei füh­ren­den Lösungs­an­sät­ze nicht aus der Per­spek­ti­ve eines Ver­käu­fers, son­dern aus der eines Archi­tek­ten, der die Stär­ken, Schwä­chen und vor allem die Risi­ken jeder Kon­struk­ti­on bewer­ten muss.

2.1 Micro­soft 365: Der unum­gäng­li­che Markt­füh­rer

Der Sta­tus Quo: Für den Groß­teil des deut­schen Mit­tel­stands ist Micro­soft 365 (M365) das de-fac­to-Betriebs­sys­tem der digi­ta­len Zusam­men­ar­beit. Sei­ne Stär­ke liegt in der uner­reich­ten Tie­fe der Inte­gra­ti­on. Die naht­lo­se Ver­bin­dung von ver­trau­ten Anwen­dun­gen wie Word, Excel und Out­look mit den Kol­la­bo­ra­ti­ons-Hubs Teams und Share­Point schafft ein leis­tungs­star­kes, geschlos­se­nes Öko­sys­tem. Für Unter­neh­men, die in einer Micro­soft-gepräg­ten Welt auf­ge­wach­sen sind, ist der Wech­sel zu M365 der logischs­te und rei­bungs­ärms­te Schritt in die Cloud.

Die DSGVO-Her­aus­for­de­rung: Trotz aller funk­tio­na­len Stär­ken ist Micro­soft der Pro­to­typ des Pro­blems, das in Kapi­tel 1 beschrie­ben wur­de. Als US-ame­ri­ka­ni­sches Unter­neh­men unter­liegt es dem CLOUD Act und den weit­rei­chen­den Über­wa­chungs­ge­set­zen. Der zen­tra­le Knack­punkt, der von Daten­schüt­zern immer wie­der kri­ti­siert wird, ist die Ver­ar­bei­tung von soge­nann­ten Tele­me­trie- und Dia­gno­se­da­ten. Dies sind Daten, die von den Anwen­dun­gen und Betriebs­sys­te­men gesam­melt wer­den, um die Funk­tio­na­li­tät zu ver­bes­sern und Feh­ler zu ana­ly­sie­ren. Die Sor­ge ist, dass die­se Daten (die poten­zi­ell auch per­so­nen­be­zo­ge­ne Infor­ma­tio­nen ent­hal­ten kön­nen) in die USA über­tra­gen und dort von Behör­den ein­ge­se­hen wer­den könn­ten.

Der Trug­schluss des deut­schen Rechen­zen­trums: Micro­soft bie­tet sei­nen Kun­den die Mög­lich­keit, ihre pri­mä­ren Inhalts­da­ten (E‑Mails, Doku­men­te) in euro­päi­schen, bzw. deut­schen Rechen­zen­tren zu spei­chern. Dies ist eine wich­ti­ge und not­wen­di­ge Maß­nah­me, aber es ist kei­ne All­zweck-Lösung für die DSGVO-Kon­for­mi­tät. Solan­ge der Betrei­ber des Rechen­zen­trums ein US-Unter­neh­men ist, greift poten­zi­ell der CLOUD Act und das “Schrems II”-Problem bleibt bestehen. Die phy­si­sche Loka­ti­on der Daten allein heilt nicht das recht­li­che Grund­pro­blem.

Micro­softs Ant­wort: Die “ergän­zen­den Maß­nah­men” in der Pra­xis
Micro­soft ist sich die­ser Pro­ble­ma­tik bewusst und hat in den letz­ten Jah­ren mas­siv in tech­ni­sche, ver­trag­li­che und orga­ni­sa­to­ri­sche Maß­nah­men inves­tiert, um das Risi­ko für sei­ne euro­päi­schen Kun­den zu mini­mie­ren. Ein “Ja” zu Micro­soft 365 ist heu­te immer an die Bedin­gung geknüpft, dass die­se Maß­nah­men aktiv genutzt und im eige­nen Daten­schutz­kon­zept doku­men­tiert wer­den.

  • Ver­trag­li­che Grund­la­ge (Stan­dard­ver­trags­klau­seln — SVK): Die Basis jeder Daten­ver­ar­bei­tung durch Micro­soft sind die von der EU-Kom­mis­si­on geneh­mig­ten Stan­dard­ver­trags­klau­seln (engl. Stan­dard Con­trac­tu­al Clau­ses, SCCs). Sie bil­den das recht­li­che Grund­ge­rüst, sind aber nach dem Schrems-II-Urteil allein nicht mehr aus­rei­chend.
  • Tech­ni­sche Maß­nah­men (Ver­schlüs­se­lung & Zugriffs­kon­trol­le):
    • Ver­schlüs­se­lung “in Tran­sit” und “at Rest”: Alle Ihre Daten sind sowohl auf dem Trans­port­weg als auch auf den Ser­vern von Micro­soft stan­dard­mä­ßig stark ver­schlüs­selt.
    • Cus­to­mer Lock­box: Dies ist eine der wich­tigs­ten tech­ni­schen Kon­trol­len. Sie stellt sicher, dass ein Micro­soft-Tech­ni­ker im sel­te­nen Fall eines Sup­port-Pro­blems, das einen direk­ten Zugriff auf Ihre Daten erfor­dern wür­de, die­sen Zugriff expli­zit bei Ihnen anfra­gen muss. Sie als Kun­de haben die vol­le Kon­trol­le und kön­nen den Zugriff geneh­mi­gen oder ver­wei­gern. Das schafft eine wich­ti­ge Pro­to­kol­lie­rungs- und Kon­troll-Ebe­ne.
    • Bring Your Own Key (BYOK) / Dou­ble Key Encryp­ti­on (DKE): Für Unter­neh­men mit höchs­ten Sicher­heits­an­for­de­run­gen bie­tet Micro­soft die Mög­lich­keit, die Ver­schlüs­se­lung mit eige­nen Schlüs­seln zu steu­ern. Bei der Dou­ble Key Encryp­ti­on wird ein Schlüs­sel von Ihnen und einer von Micro­soft gehal­ten – nur bei­de zusam­men kön­nen die Daten ent­schlüs­seln. Dies macht einen ein­sei­ti­gen Zugriff durch Micro­soft tech­nisch unmög­lich, erhöht aber auch die Kom­ple­xi­tät und die Eigen­ver­ant­wor­tung mas­siv.
  • Orga­ni­sa­to­ri­sche Trans­pa­renz: Micro­soft ver­pflich­tet sich in sei­nen Ver­trä­gen, Kun­den zu infor­mie­ren, wenn eine behörd­li­che Anfra­ge nach ihren Daten ein­geht (sofern recht­lich zuläs­sig) und sol­che Anfra­gen, die nicht recht­lich bin­dend sind, anzu­fech­ten. Die regel­mä­ßig ver­öf­fent­lich­ten Trans­pa­renz­be­rich­te geben Auf­schluss über die Anzahl sol­cher Anfra­gen.
  • Die EU-Daten­gren­ze (EU Data Boun­da­ry): Dies ist Micro­softs weit­rei­chends­tes Ver­spre­chen an euro­päi­sche Kun­den. Mit die­sem Pro­jekt ver­pflich­tet sich Micro­soft, die Ver­ar­bei­tung und Spei­che­rung aller Kun­den­da­ten (inklu­si­ve der pro­ble­ma­ti­schen Tele­me­trie­da­ten) für kom­mer­zi­el­le und öffent­li­che Kun­den aus­schließ­lich inner­halb der Euro­päi­schen Uni­on durch­zu­füh­ren. Die­ses Vor­ha­ben ist tech­no­lo­gisch extrem kom­plex und befin­det sich in der fina­len Umset­zungs­pha­se. Es ist die stärks­te Ant­wort Micro­softs auf die Schrems-II-Pro­ble­ma­tik.

Das Rest­ri­si­ko und die archi­tek­to­ni­sche Bewer­tung:
Selbst mit all die­sen Maß­nah­men bleibt ein theo­re­ti­sches Rest­ri­si­ko, dass Micro­soft unter dem CLOUD Act zur Her­aus­ga­be von Daten an US-Behör­den gezwun­gen wer­den könn­te. Die EU-Daten­gren­ze mini­miert die­ses Risi­ko erheb­lich, kann es aber nach aktu­el­ler Rechts­auf­fas­sung vie­ler Daten­schüt­zer nicht voll­stän­dig eli­mi­nie­ren, solan­ge die Kon­zern­mut­ter in den USA sitzt.

Fazit für Micro­soft 365: Die Nut­zung von M365 ist eine bewuss­te, doku­men­tier­te Risi­koent­schei­dung. Ein pau­scha­les “Ja” ist fahr­läs­sig. Ein fun­dier­tes “Ja” ist jedoch mög­lich, wenn das Unter­neh­men die von Micro­soft bereit­ge­stell­ten Werk­zeu­ge (wie Cus­to­mer Lock­box, kor­rek­te Rechen­zen­trums-Loka­ti­on, ggf. erwei­ter­te Ver­schlüs­se­lung) aktiv nutzt, die­se in einer Daten­schutz-Fol­gen­ab­schät­zung (DSFA) doku­men­tiert und das ver­blei­ben­de Rest­ri­si­ko als für sei­nen Geschäfts­zweck trag­bar ein­stuft.

2.2 Goog­le Workspace: Der agi­le Her­aus­for­de­rer

Der Sta­tus Quo: Goog­le Workspace ist der pri­mä­re Kon­kur­rent zu Micro­soft 365 und beson­ders stark in der Start­up-Sze­ne, bei agi­len Teams und in der Krea­tiv­wirt­schaft ver­an­kert. Sei­ne Phi­lo­so­phie basiert auf radi­ka­ler Ein­fach­heit, Brow­ser-Zen­trie­rung und unüber­trof­fe­ner Echt­zeit-Kol­la­bo­ra­ti­on in Tools wie Goog­le Docs und Sheets.

Die DSGVO-Her­aus­for­de­rung: Struk­tu­rell steht Goog­le Workspace vor exakt der glei­chen Her­aus­for­de­rung wie Micro­soft. Als US-ame­ri­ka­ni­sches Unter­neh­men unter­liegt es dem CLOUD Act und dem Schrems-II-Dilem­ma. Die Beden­ken von Daten­schüt­zern sind hier oft sogar noch aus­ge­präg­ter, da Goo­gles Kern­ge­schäft his­to­risch auf der Ana­ly­se gro­ßer Daten­men­gen für Wer­be­zwe­cke basiert. Auch wenn Goog­le klar zwi­schen den Daten aus sei­nen Wer­be­diens­ten und den Unter­neh­mens­da­ten in Workspace trennt, bleibt bei vie­len euro­päi­schen Ent­schei­dern eine tief­sit­zen­de Skep­sis.

Goo­gles Ant­wort: Ein ähn­li­cher Werk­zeug­kas­ten
Ähn­lich wie Micro­soft hat auch Goog­le ein umfas­sen­des Set an Maß­nah­men imple­men­tiert, um die DSGVO-Anfor­de­run­gen zu adres­sie­ren und Kun­den bei der Risi­ko­mi­ni­mie­rung zu unter­stüt­zen:

  • Ver­trag­li­che Grund­la­ge: Auch Goog­le stützt sich auf die Stan­dard­ver­trags­klau­seln (SVK) als Basis für die Daten­ver­ar­bei­tung.
  • Wahl des Daten­spei­cher­orts: Goog­le bie­tet eben­falls die Mög­lich­keit, die pri­mä­ren Inhalts­da­ten in euro­päi­schen Rechen­zen­tren (z.B. Frank­furt) zu spei­chern. Der Trug­schluss des Rechen­zen­trums gilt hier aber in glei­chem Maße wie bei Micro­soft.
  • Tech­ni­sche Maß­nah­men: Goog­le inves­tiert mas­siv in Sicher­heit und Ver­schlüs­se­lung und bie­tet eben­falls fort­schritt­li­che Kon­trol­len wie den “Access Trans­pa­ren­cy” (ver­gleich­bar mit Micro­softs Cus­to­mer Lock­box), der Zugrif­fe durch Goog­le-Mit­ar­bei­ter pro­to­kol­liert und für den Kun­den sicht­bar macht.
  • Trans­pa­renz­be­rich­te: Auch Goog­le ver­öf­fent­licht regel­mä­ßig Berich­te über die Anzahl und Art von behörd­li­chen Daten­an­fra­gen.

Das Rest­ri­si­ko und die archi­tek­to­ni­sche Bewer­tung:
Genau wie bei Micro­soft 365 ist die Nut­zung von Goog­le Workspace eine bewuss­te Risi­koent­schei­dung. Die recht­li­chen Grund­la­gen und die ver­blei­ben­den Risi­ken sind nahe­zu iden­tisch. Unter­neh­men, die sich für Goog­le Workspace ent­schei­den, müs­sen einen eben­so dis­zi­pli­nier­ten Pro­zess der Risi­ko­be­wer­tung und Doku­men­ta­ti­on durch­lau­fen, um ihre Sorg­falts­pflicht nach der DSGVO zu erfül­len. Die Wahl zwi­schen Micro­soft und Goog­le soll­te daher weni­ger auf der Grund­la­ge ver­meint­li­cher DSGVO-Vor­tei­le getrof­fen wer­den, son­dern viel­mehr auf Basis funk­tio­na­ler, kul­tu­rel­ler und preis­li­cher Erwä­gun­gen. Das recht­li­che Grund­pro­blem tei­len bei­de.

2.3 Pri­va­te Cloud (Next­cloud): Der Weg der maxi­ma­len Daten­ho­heit

Der Sta­tus Quo: Ange­sichts der recht­li­chen Unsi­cher­hei­ten rund um die US-Anbie­ter wächst im Mit­tel­stand das Inter­es­se an einer fun­da­men­tal ande­ren Archi­tek­tur: der Pri­va­te Cloud. Anstatt einen Ser­vice von einem Hypers­ca­ler zu mie­ten, betreibt das Unter­neh­men sei­ne eige­ne Kol­la­bo­ra­ti­ons-Platt­form auf Ser­vern, über die es die vol­le Kon­trol­le hat. Der mit Abstand pro­mi­nen­tes­te und aus­ge­reif­tes­te Ver­tre­ter in die­sem Seg­ment ist die Open-Source-Platt­form Next­cloud.

Die DSGVO-Lösung: Die Rück­kehr der Ver­ant­wor­tung
Next­cloud ist im Kern eine Art “fir­men­in­ter­nes Dropbox/Microsoft 365”. Es bie­tet die Kern­funk­tio­nen der digi­ta­len Zusam­men­ar­beit: Datei­syn­chro­ni­sa­ti­on und ‑frei­ga­be (ähn­lich OneDrive/SharePoint), Online-Bear­bei­tung von Office-Doku­men­ten (über inte­grier­te Engi­nes wie Col­la­bo­ra oder ONLYOFFICE), Kalen­der, Kon­tak­te, Video-Chats (Next­cloud Talk) und vie­les mehr.

Der ent­schei­den­de archi­tek­to­ni­sche Unter­schied: Die gesam­te Platt­form läuft auf einer Infra­struk­tur Ihrer Wahl. Das kann ein dedi­zier­ter Mana­ged Ser­ver in einem deut­schen Rechen­zen­trum eines deut­schen Anbie­ters sein oder sogar die eige­ne Ser­ver-Infra­struk­tur (“On-Pre­mi­se”).

  • Die Kon­se­quenz für die DSGVO: Mit die­ser Archi­tek­tur umge­hen Sie das Schrems-II-Dilem­ma und den CLOUD Act voll­stän­dig. Da kein US-Unter­neh­men als Betrei­ber der Platt­form invol­viert ist, gibt es kei­nen trans­at­lan­ti­schen Daten­trans­fer und kei­ne recht­li­che Grund­la­ge für den Zugriff durch US-Behör­den. Sie als deut­sches Unter­neh­men haben die allei­ni­ge Kon­trol­le und Hoheit über Ihre Daten. Das DSGVO-Rest­ri­si­ko wird auf ein Mini­mum redu­ziert.

Die Kehr­sei­te der Medail­le: Funk­tio­na­li­tät, Kom­ple­xi­tät und TCO
Maxi­ma­le Kon­trol­le bedeu­tet immer auch maxi­ma­le Ver­ant­wor­tung. Der Wech­sel zu einer selbst-gehos­te­ten Lösung ist ein signi­fi­kan­ter stra­te­gi­scher Schritt mit weit­rei­chen­den Kon­se­quen­zen.

  • Funk­ti­ons­um­fang: Wäh­rend Next­cloud die Kern­funk­tio­nen exzel­lent abdeckt, ist die Tie­fe der Inte­gra­ti­on und der Umfang an hoch­spe­zia­li­sier­ten Enter­pri­se-Fea­tures (z.B. kom­ple­xe Auto­ma­ti­sie­rungs­work­flows, Busi­ness Intel­li­gence) nicht direkt mit dem rie­si­gen Öko­sys­tem von Micro­soft 365 ver­gleich­bar. Es ist ein fokus­sier­te­res, aber poten­zi­ell weni­ger umfas­sen­des Werk­zeug.
  • Benut­zer­ak­zep­tanz: Mit­ar­bei­ter, die die naht­lo­se Inte­gra­ti­on und das Look-and-Feel von Micro­soft Office gewohnt sind, benö­ti­gen eine Pha­se der Umge­wöh­nung. Die Online-Office-Edi­to­ren in Next­cloud sind sehr gut, aber nicht 100% iden­tisch mit den Desk­top-Anwen­dun­gen von Micro­soft. Ein sol­cher Wech­sel erfor­dert akti­ves Chan­ge Manage­ment.
  • Total Cost of Owner­ship (TCO): Auf den ers­ten Blick scheint Next­cloud als Open-Source-Soft­ware “kos­ten­los”. Das ist ein gefähr­li­cher Trug­schluss. Wäh­rend kei­ne Lizenz­kos­ten anfal­len, ent­ste­hen Kos­ten für die Ser­ver-Infra­struk­tur (Mie­te, Strom, etc.) und vor allem für den pro­fes­sio­nel­len Betrieb. Die Ver­ant­wor­tung für Updates, Sicher­heit, Moni­to­ring und Back­ups liegt voll­stän­dig bei Ihnen. Ohne einen pro­fes­sio­nel­len Mana­ged-Ser­vice-Part­ner, der die­se Auf­ga­ben über­nimmt, wird eine Next­cloud-Instanz schnell zu einem unsi­che­ren und insta­bi­len Sys­tem.

Fazit für Next­cloud: Next­cloud ist die archi­tek­to­nisch sau­bers­te Lösung für Unter­neh­men, deren obers­te Prio­ri­tät die maxi­ma­le Daten­ho­heit und die Mini­mie­rung des DSGVO-Risi­kos ist. Es ist die Wahl für den sicher­heits­be­wuss­ten Sou­ve­rän. Die­se Sou­ve­rä­ni­tät hat jedoch ihren Preis in Form von poten­zi­ell gerin­ge­rer funk­tio­na­ler Tie­fe und der Not­wen­dig­keit, die Ver­ant­wor­tung für den Betrieb (intern oder über einen Part­ner) voll­stän­dig selbst zu tra­gen.

Kapi­tel 3: Der stra­te­gi­sche Ver­gleich – Eine Ent­schei­dungs­hil­fe

Kri­te­ri­umMicro­soft 365Goog­le WorkspacePri­va­te Cloud (Next­cloud)
DSGVO-Rest­ri­si­koNied­rig, aber vor­han­den (bedingt durch US-Bezug, CLOUD Act). Risi­ko­mi­ni­mie­rung durch tech­ni­sche & ver­trag­li­che Maß­nah­men ist Pflicht.Nied­rig, aber vor­han­den (iden­ti­sche Pro­ble­ma­tik wie M365).Mini­mal (bei kor­rek­ter Kon­fi­gu­ra­ti­on auf deut­scher/EU-Infra­struk­tur ohne US-Bezug).
Funk­ti­ons­um­fang & Inte­gra­ti­onSehr hoch. Tiefs­tes Öko­sys­tem am Markt. Naht­lo­se Inte­gra­ti­on mit Desk­top-Apps und Win­dows-Infra­struk­tur.Hoch. Star­ke Echt­zeit-Kol­la­bo­ra­ti­on und agi­les, brow­ser-basier­tes Arbei­ten.Gut bis Sehr gut. Kern­funk­tio­nen sind exzel­lent. Modu­lar erwei­ter­bar. Inte­gra­ti­ons­tie­fe von M365 wird nicht erreicht.
Benut­zer­ak­zep­tanzSehr hoch. Mit­ar­bei­ter ken­nen und schät­zen die ver­trau­ten Tools (Word, Excel, Teams). Gerin­ger Schu­lungs­auf­wand.Hoch. Sehr intui­ti­ve und ein­fach zu bedie­nen­de Ober­flä­che.Mode­rat bis Hoch. Erfor­dert Umge­wöh­nung und akti­ves Chan­ge Manage­ment, beson­ders bei den Online-Office-Funk­tio­nen.
Total Cost of Owner­ship (TCO)Plan­ba­re, aber poten­zi­ell hohe Lizenz­kos­ten pro Nut­zer. Risi­ko unge­nutz­ter Fea­tures (“Lizenz-Fried­hof”).Plan­ba­re, oft etwas güns­ti­ge­re Lizenz­kos­ten pro Nut­zer im Ver­gleich zu M365.Kei­ne Lizenz­kos­ten. TCO wird durch Infra­struk­tur- und (ent­schei­dend) Manage­ment-Kos­ten für Betrieb, War­tung & Sicher­heit bestimmt.

Fazit & Ihr nächs­ter Schritt: Eine Fra­ge des Risi­ko­pro­fils

Es gibt kei­ne uni­ver­sell “bes­te” oder “DSGVO-sichers­te” Kol­la­bo­ra­ti­ons-Platt­form. Die Wahl ist am Ende eine stra­te­gi­sche Manage­ment-Ent­schei­dung, die von dem indi­vi­du­el­len Risi­ko­pro­fil und der Kul­tur Ihres Unter­neh­mens abhängt.

  1. Der Weg des gema­nag­ten Risi­kos (Micro­soft 365 / Goog­le Workspace): Dies ist der rich­ti­ge Weg für Unter­neh­men, die den maxi­ma­len Funk­ti­ons­um­fang und die höchs­te Benut­zer­ak­zep­tanz benö­ti­gen und bereit sind, das ver­blei­ben­de, durch tech­ni­sche und ver­trag­li­che Maß­nah­men mini­mier­te recht­li­che Rest­ri­si­ko bewusst und doku­men­tiert zu tra­gen.
  2. Der Weg der maxi­ma­len Kon­trol­le (Pri­va­te Cloud / Next­cloud): Dies ist die rich­ti­ge Wahl für Unter­neh­men, für die Daten­ho­heit und die Ver­mei­dung des US-Bezugs eine höhe­re Prio­ri­tät haben als der letz­te Grad an funk­tio­na­ler Inte­gra­ti­on. Es ist die Ent­schei­dung für digi­ta­le Sou­ve­rä­ni­tät, ver­bun­den mit einer höhe­ren Eigen­ver­ant­wor­tung für den Betrieb.
  3. Der prag­ma­ti­sche Mit­tel­weg (Hybrid): Für vie­le Unter­neh­men kann auch eine hybri­de Stra­te­gie die Lösung sein. Die unkri­ti­sche All­tags-Kom­mu­ni­ka­ti­on fin­det auf einer hoch­pro­duk­ti­ven Platt­form wie Micro­soft 365 statt, wäh­rend die wirk­lich sen­si­blen “Kron­ju­we­len” des Unter­neh­mens (z.B. F&E‑Daten, Man­dan­ten­ak­ten) in einer hoch­si­che­ren, abge­schot­te­ten Pri­va­te-Cloud-Umge­bung wie Next­cloud ver­wal­tet wer­den.

Als prag­ma­ti­sche Archi­tek­ten ist es unse­re Auf­ga­be, Sie nicht zu einer Platt­form zu über­re­den, son­dern mit Ihnen gemein­sam die Archi­tek­tur zu ent­wer­fen, die per­fekt zu Ihrer Geschäfts­stra­te­gie, Ihrem Bud­get und Ihrem Risi­ko­pro­fil passt.

Ent­wer­fen Sie Ihre rechts­si­che­re Cloud-Stra­te­gie.
Die Ana­ly­se in die­sem White­pa­per ist der ers­te Schritt. Der ent­schei­den­de zwei­te Schritt ist die Über­set­zung die­ser Erkennt­nis­se in einen kon­kre­ten, auf Ihr Unter­neh­men zuge­schnit­te­nen Fahr­plan.

Ver­ein­ba­ren Sie ein unver­bind­li­ches “Cloud-Stra­te­gie­ge­spräch” mit unse­ren Archi­tek­ten. In die­sem ver­trau­li­chen Dia­log bewer­ten wir gemein­sam Ihr spe­zi­fi­sches Anfor­de­rungs­pro­fil, ana­ly­sie­ren Ihr Risi­ko­pro­fil und ent­wer­fen eine prag­ma­ti­sche, rechts­si­che­re und zukunfts­fä­hi­ge Kol­la­bo­ra­ti­ons-Archi­tek­tur für Ihr Unter­neh­men.

0

Subtotal