Kurz beantwortet: Eine selbst betriebene Nextcloud auf einem Server in Deutschland ist datenschutzrechtlich einfacher als ein Cloud-Abo im Drittland — aber sie ist nicht automatisch DSGVO-konform. Sie brauchen weiterhin einen Auftragsverarbeitungsvertrag mit dem Rechenzentrum, ein Verzeichnis der Verarbeitungstätigkeiten, ein Löschkonzept und Zugriffsbeschränkungen, die auch stimmen.
Der verbreitete Irrtum lautet: „Server steht in Deutschland, also passt das.“ Der Serverstandort löst genau einen Punkt — den Drittlandtransfer. Die übrigen Pflichten bleiben.
Der Auftragsverarbeitungsvertrag gilt auch beim Selbsthosten
Sobald Ihr Server bei einem Anbieter steht, verarbeitet dieser Anbieter in Ihrem Auftrag personenbezogene Daten — schon deshalb, weil er physischen Zugang zur Maschine hat. Nach Artikel 28 DSGVO brauchen Sie dafür einen Vertrag zur Auftragsverarbeitung.
Alle größeren deutschen Anbieter stellen einen solchen Vertrag bereit, meist als Selbstbedienung im Kundenkonto. Der Punkt ist nicht, dass er schwer zu bekommen wäre — der Punkt ist, dass er oft schlicht vergessen wird, weil man sich als Selbsthoster nicht als Auftraggeber sieht.
Was zusätzlich ins Verzeichnis gehört
- Zweck: wofür die Nextcloud genutzt wird (Dateiablage, Kalender, Kontakte — jedes separat).
- Kategorien betroffener Personen: Beschäftigte, Kundinnen und Kunden, Bewerberinnen und Bewerber.
- Löschfristen: je Kategorie, nicht pauschal.
- Empfänger: auch der Hoster und, falls vorhanden, externe Dienstleister für Wartung.
Verschlüsselung: drei Ebenen, die oft verwechselt werden
„Verschlüsselt“ ist keine Eigenschaft, sondern drei verschiedene Dinge. Wer sie verwechselt, verspricht in der Datenschutzerklärung mehr, als die Anlage leistet.
Transportverschlüsselung
TLS zwischen Browser und Server. Pflicht, unstrittig, mit Let's Encrypt kostenlos. Prüfen Sie zusätzlich, dass alte Protokollversionen abgeschaltet sind — mehr dazu im Beitrag Nginx härten.
Verschlüsselung im Ruhezustand
Die Festplatte des Servers. Schützt gegen den Diebstahl des Datenträgers, nicht gegen einen Angreifer mit Zugang zum laufenden System. Der Unterschied ist wichtig, weil er den Schutzzweck begrenzt.
Serverseitige Verschlüsselung in Nextcloud
Nextcloud bringt ein eigenes Verschlüsselungsmodul mit. Es schützt die Dateien gegenüber dem Speicher-Backend — sinnvoll, wenn die Daten auf fremdem Objektspeicher liegen. Liegt alles auf Ihrem eigenen Server, bringt es wenig zusätzlichen Schutz und macht die Wiederherstellung komplizierter. Schalten Sie es bewusst ein oder bewusst aus, nicht aus Gefühl.
Zugriffsrechte, die auch stimmen
Der häufigste Befund bei Prüfungen ist kein technischer Fehler, sondern ein gewachsener Rechtezustand: Ordner, die „nur für die Geschäftsführung“ gedacht waren und für alle lesbar sind. Freigabelinks ohne Ablaufdatum. Konten von Personen, die das Unternehmen verlassen haben.
Drei Einstellungen, die viel abfangen:
- Ablaufdatum für Freigabelinks erzwingen.
- Öffentliche Uploads nur dort erlauben, wo sie gebraucht werden.
- Zwei-Faktor-Anmeldung für alle Konten mit administrativen Rechten.
Löschen heißt wirklich löschen
Nextcloud hat einen Papierkorb und eine Dateiversionierung. Beides ist nützlich und beides bedeutet: Eine gelöschte Datei ist zunächst nicht weg. Für ein Auskunfts- oder Löschersuchen nach Artikel 15 und 17 DSGVO müssen Sie wissen, wie lange beides aufbewahrt wird — und die Frist muss zu Ihrem Löschkonzept passen, nicht zur Standardeinstellung.
Denken Sie auch an die Backups. Eine Datei, die aus der Nextcloud gelöscht ist, liegt weiterhin in den Sicherungen. Das ist zulässig, muss aber im Löschkonzept beschrieben sein, samt der Frist, nach der die Sicherung selbst verfällt.
Protokollierung: so viel wie nötig
Zugriffsprotokolle helfen bei der Aufklärung von Vorfällen und sind gleichzeitig selbst personenbezogene Daten. Legen Sie eine Aufbewahrungsfrist fest, kürzen Sie IP-Adressen, wo es geht, und beschreiben Sie beides im Verzeichnis. Unbegrenzte Protokolle „für den Fall der Fälle“ sind der Fall, der Ihnen bei einer Prüfung vorgehalten wird.
Fazit
Der Serverstandort ist der einfachste Teil. Die Arbeit steckt im Auftragsverarbeitungsvertrag, im Löschkonzept und in Zugriffsrechten, die dem entsprechen, was Sie in der Datenschutzerklärung behaupten.
Wir richten solche Installationen samt Dokumentation ein — siehe DevOps & Automation. Wenn Sie zuerst wissen wollen, wie es um eine bestehende Anlage steht, ist ein Sicherheitstest der ehrlichere Anfang als eine Neuinstallation.