Nextcloud und die DSGVO: Warum die Datenfrage zum wichtigsten Argument geworden ist

Die EU-Datenschutz-Grundverordnung hat eine bemerkenswerte Nebenwirkung gehabt: Sie hat einer Software zu neuer Popularität verholfen, die vor einigen Jahren noch als Nischenprojekt galt. Nextcloud ist heute gesetzt, wenn es um datenschutzfreundliche Collaboration, Dateiablage und den eigenen digitalen Tresor geht. Dabei zeigt sich: Die Software allein macht noch keinen DSGVO-konformen Betrieb. Aber sie schafft die Möglichkeit, Datenhoheit noch einmal ganz neu zu denken.

Was 2016 als Abspaltung von ownCloud begann, ist inzwischen ein Ökosystem. Nextcloud lässt sich auf dem eigenen Server im Keller betreiben, im Rechenzentrum eines Dienstleisters oder als gehostete Variante bei einem spezialisierten Anbieter – dies wiederum innerhalb der EU, wenn man es richtig anstellt. Die Werbung klingt oft nach der Allzweckwaffe für den Datenschutz: Open Source, Verschlüsselung, keine Datenweitergabe an Dritte. So einfach ist es freilich nicht. Wer sich auf dieses Versprechen verlässt, ohne die Technik hinter den Kulissen zu verstehen, der kauft womöglich nur eine teure Illusion.

Nicht zuletzt deshalb lohnt sich der Blick darauf, was Nextcloud wirklich kann, wo die Fallstricke liegen und was Unternehmen, Behörden und Selbständige beachten müssen, wenn sie sich ernsthaft mit dem Thema Nextcloud und DSGVO beschäftigen. Der Anspruch dieses Artikels ist es, die technischen und rechtlichen Zusammenhänge so zu erklären, dass man danach eine fundierte Entscheidung treffen kann – und keine bösen Überraschungen erlebt.

Was Nextcloud anders macht

Nextcloud ist im Kern ein klassischer Cloud-Speicher: Dateien werden zentral abgelegt und über Weboberfläche, Desktop-Client oder mobile App synchronisiert. Dazu kommen Kalender, Kontakte, kollaborative Dokumente, Videokonferenzen und eine wachsende Zahl von Apps. Der Unterschied zu den großen US-Plattformen liegt nicht in der Funktionsvielfalt, sondern in der Architektur und der Verfügungsgewalt.

Die Software läuft auf einem Server, den man selbst kontrolliert. Das ist kein technischer Selbstzweck, sondern ein fundamentaler Eingriff in die Datenbeziehungen: Wer den Server betreibt, bestimmt, wo die Daten liegen, wer darauf zugreifen kann und welche Logs gespeichert werden. Die Datenströme lassen sich auf ein eigenes Netz begrenzen, ohne Umwege über fremde Rechenzentren. Für viele Unternehmen ist genau das der entscheidende Vorteil gegenüber einem Konzern wie Google oder Microsoft, bei denen die Frage, auf welchem Kontinent die Daten verarbeitet werden, oft nur mit vagen Aussagen und komplexen Vertragswerken beantwortet wird.

Ein interessanter Aspekt ist dabei die wirtschaftliche Logik: Nextcloud selbst ist Open Source und kann kostenlos von GitHub bezogen werden. Geld verdient wird mit Support, Enterprise-Funktionen und Cloud-Diensten. Das ändert die Interessenlage gegenüber klassischen Cloud-Anbietern. Ein Unternehmen, das Nextcloud auf einem eigenen Server betreibt, ist nicht mehr nur Konsument, sondern Organisationseinheit. Es trägt die Verantwortung, hat aber auch die Freiheit, selbst zu entscheiden.

Diese Freiheit darf man allerdings nicht mit Beliebigkeit verwechseln. Denn so offen die Software ist, so sehr ist sie auf den Menschen angewiesen, der sie einrichtet. Ein Administrator, der die Verschlüsselung nicht aktiviert, oder ein Unternehmen, das die Updates verschleppt, kann aus einem datenschutzfreundlichen Werkzeug schnell ein Risiko machen. Nextcloud ist kein Selbstläufer.

Die DSGVO als politischer Kompass

Die Datenschutz-Grundverordnung wird oft als Last empfunden, als Bürokratiemonster oder als Verhinderer digitaler Innovation. Aus der Perspektive eines IT-Verantwortlichen betrachtet, steckt aber ein klarer gedanklicher Kern dahinter: personenbezogene Daten müssen in einer Art und Weise verarbeitet werden, die die Rechte der betroffenen Personen respektiert. Dazu gehören Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und nicht zuletzt die Integrität und Vertraulichkeit der Daten.

Nextcloud adressiert viele dieser Grundsätze direkt. Transparenz entsteht dadurch, dass die Software keine proprietären Hintertüren besitzt und der Quellcode öffentlich einsehbar ist. Zweckbindung und Datenminimierung lassen sich durch Verarbeitungsregeln und Zugriffskontrollen umsetzen. Und die Vertraulichkeit wird durch Verschlüsselungstechniken unterstützt, die je nach Konfiguration sehr weitgehend sind.

Doch es wäre naiv, daraus abzuleiten, dass eine DSGVO-Konformität automatisch entstünde. Die Verordnung ist kein Ankreuzkatalog, sondern eine riskobasierte Anforderung. Das bedeutet: Der Einsatz von Nextcloud kann ein wichtiger Baustein sein, ersetzt aber nicht die Datenschutz-Folgenabschätzung, das Verarbeitungsverzeichnis oder die technisch-organisatorischen Maßnahmen, die dokumentiert und gelebt werden müssen.

Genau hier setzt die Debatte um Nextcloud und DSGVO an. Viele Berater und Dienstleister verkaufen Nextcloud als „DSGVO-konforme Cloud“. Dabei handelt es sich nicht um eine zertifizierte Eigenschaft, sondern um eine materialreiche Fähigkeit. Das ist ein Unterschied, der im Ernstfall vor dem Verwaltungsgericht oder bei einer Datenschutzaufsicht eine große Rolle spielen kann.

Ein Beispiel: Ein mittelständisches Unternehmen speichert Personaldaten in Nextcloud. Die Software läuft auf einem Server in Frankfurt. Die Festplatten sind mit AES-256 verschlüsselt, die Verbindungen via TLS abgesichert. Trotzdem fehlt ein Konzept zur Löschung alter Mitarbeiterakten. Dann bleibt der Betrieb theoretisch rechtswidrig, weil die Speicherbegrenzung missachtet wird. Die Software hat das Problem nicht gelöst, sondern nur den Rahmen bereitgestellt, in dem es sich hätte lösen lassen.

Deshalb ist es hilfreich, Nextcloud nicht als Heilsbringer zu betrachten, sondern als ein Werkzeug, das in ein umfassendes Datenschutzmanagement eingebettet werden muss. Wer das versteht, kann die Software tatsächlich als strategischen Vorteil nutzen.

Verschlüsselung, Zugriffsschutz und andere graue Theorie

Nextcloud bietet mehrere Ebenen der Verschlüsselung, die oft verwechselt werden. Da ist zum einen die Server-seitige Verschlüsselung, die die Dateien auf dem Speichermedium schützt. Sie verhindert, dass ein Dieb die Festplatten ausbaut und die Daten unverschlüsselt lesen kann. Sie schützt aber nicht vor dem Betreiber des Servers selbst, also zum Beispiel vor einem Administrator, der die Verschlüsselungsschlüssel kontrolliert.

Zum anderen gibt es die Ende-zu-Ende-Verschlüsselung, bei der die Daten bereits auf dem Client verschlüsselt werden und der Server nur noch die Chiffrate speichert. Der Serverbetreiber kann dann selbst die Inhalte nicht mehr sehen. Das klingt verlockend, ist aber mit praktischen Einschränkungen verbunden: Die Ende-zu-Ende-Verschlüsselung von Nextcloud unterstützt momentan nicht alle Funktionen in vollem Umfang, etwa die gleichzeitige Bearbeitung von Dokumenten oder die Vorschau von Bildern. Und sie muss auf Client-Ebene eingerichtet werden – ein Vorgang, der technisches Verständnis voraussetzt.

Für die meisten Unternehmen ist die Server-seitige Verschlüsselung das Mittel der Wahl. Sie schützt vor physischen Zugriffen, verhindert aber nicht, dass der Serverbetreiber die Daten in einer Notfallsituation entschlüsseln könnte. Das ist nicht zwangsläufig ein Makel. Wenn das Rechenzentrum in Deutschland steht und der Betreiber als Auftragsverarbeiter vertraglich gebunden ist, kann dieses Modell durchaus den Anforderungen entsprechen. Das gilt besonders dann, wenn es um Sync- and-Share-Funktionen geht, bei denen eine Ende-zu-Ende-Verschlüsselung die Funktionen spürbar einschränken würde.

Ein anderer, oft übersehener Aspekt ist die Verschlüsselung der Übertragung. Nextcloud setzt standardmäßig auf HTTPS, sofern das richtig konfiguriert ist. Das ist mehr als eine Selbstverständlichkeit, denn viele Hauslösungen scheitern genau dort. Ein unsicheres TLS-Zertifikat oder fehlende HTTP-Strict-Transport-Security kann die gesamte Kommunikation angreifbar machen. Ein erfahrener Admin wird solche Punkte bei einem Penetrationstest prüfen – aber wer die Software zum ersten Mal installiert, läuft Gefahr, diese Details unter den Tisch fallen zu lassen.

Neben der Verschlüsselung spielen Zugriffsschutz und Protokollierung eine zentrale Rolle. Nextcloud kann pro Ordner und pro Benutzer eine feingranulare Rechtevergabe vornehmen. Das ist mehr als nur die Unterscheidung zwischen Lesen und Schreiben. Damit lassen sich Fachabteilungen voneinander trennen, interne und externe Benutzer klar unterscheiden und bestimmte Dateien nur für eine definierte Personengruppe freigeben.

Ebenso wichtig ist die Nachvollziehbarkeit von Zugriffen. In den Protokolldateien lässt sich nachvollziehen, wer wann welche Datei geöffnet oder verändert hat. Diese Logs können im Fall einer Datenschutzverletzung wertvolle Hinweise liefern und sind zugleich Bestandteil der Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO. Wer diese Funktionen nicht nutzt, verschenkt praktisches Compliance-Potenzial.

Ein interessanter Aspekt in der Praxis ist die Integration von Virenscannern, die Antiviren-Software wie ClamAV anbinden. Das mag zunächst banal klingen, hat aber mit Datenschutz zu tun: Denn wenn sich Schadsoftware unbemerkt über freigegebene Links verbreitet, können die Daten der Nutzer gefährdet werden. Eine Nextcloud-Instanz, die solche Schutzmechanismen unterstützt, trägt damit zur Integrität der Verarbeitung bei.

Selfhosting oder Anbieter: Ein Entscheidungsdilemma

Die Frage, ob man Nextcloud auf der eigenen Hardware betreibt oder bei einem Dienstleister, wird immer kontrovers diskutiert. Aus technischer Sicht spricht einiges für das Selfhosting: Die volle Kontrolle liegt beim eigenen IT-Team. Daten verlassen das Haus nicht, es sei denn, man möchte es. Updates und Konfigurationen können selbst festgelegt werden. Außerdem spart sich das Unternehmen die laufenden Mietkosten – vorausgesetzt, man rechnet den Pflegeaufwand nicht als Kosten ein.

Auch das Argument der Zuverlässigkeit ist nicht zu unterschätzen. Wer schon einmal versucht hat, einen eigenen Mailserver zu betreiben, weiß, wie viel Detailarbeit solche Projekte verlangen. Nextcloud ist einfacher als ein Mailserver, aber nicht trivial. Backup, Monitoring, Disaster Recovery, Performance-Tuning – das alles ist kein Hexenwerk, braucht aber Personal und Zeit. In einem kleinen Team mit wenig IT-Personal kann dieser Aufwand schnell zur Last werden, zumal die Software in regelmäßigen Abständen Sicherheitsupdates benötigt.

Dafür bieten externe Anbieter eine interessante Alternative. Zahlreiche Firmen in Deutschland und der EU bieten Nextcloud als Managed Service an. Dort kümmert sich der Betreiber um die Infrastruktur, die Updates und das Monitoring. Der Kunde meldet sich einfach über das Webinterface an. Das ist bequem, kann aber zu einer neuen Abhängigkeit führen. Wenn das Vertragsverhältnis endet oder der Anbieter insolvent wird, muss die Datenübergabe funktionieren. Sonst steht man plötzlich ohne die eigenen Dateien da.

Ein weiterer Punkt ist die geografische Platzierung. Nextcloud-Anbieter, die ihre Server in Frankfurt, Berlin oder Amsterdam betreiben, können die Daten innerhalb der EU halten. Das allein ist kein Freibrief, aber ein wichtiger Baustein für die Rechtmäßigkeit der Verarbeitung. Denn jede Übertragung personenbezogener Daten in ein Drittland braucht einen besonderen Rechtsgrund. Wer den Umweg über ein US-Rechenzentrum nimmt, muss sich der Zusatzrisiken bewusst sein.

Es gibt übrigens auch Hybride Modelle, die einen Mittelweg anbieten: Nextcloud wird auf eigener Hardware betrieben, ausgelagert gehostet oder als Cluster über mehrere Standorte verteilt. Hier zeigen sich die Stärken von Open Source – man ist nicht an einen Anbieter gebunden. Allerdings steigt auch die Komplexität. Eine solche Umgebung sollten nur Teams in Angriff nehmen, die sich mit Container-Orchestrierung oder hochverfügbaren Architekturen auskennen.

Der Vertrag als Rückgrat der Compliance

Wer Nextcloud nicht selbst betreibt, schließt einen Vertrag mit dem Anbieter ab. Aus datenschutzrechtlicher Sicht ist das in den meisten Fällen eine Auftragsverarbeitung nach Artikel 28 DSGVO. Der Anbieter wird dabei zum Auftragsverarbeiter, der die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten darf. Klingt banal, ist aber in der Praxis der entscheidende Hebel.

Der Vertrag muss regeln, welche Daten verarbeitet werden, zu welchem Zweck, über welchen Zeitraum und mit welchen technischen und organisatorischen Maßnahmen. Dazu gehören unter anderem die Verschlüsselung, die Zugriffskontrolle, die Trennung von Mandanten und die Verfahren zur Löschung. Auch die Pflicht zur Meldung von Datenschutzverletzungen an den Verantwortlichen muss festgeschrieben werden, und zwar unverzüglich.

Dieser Punkt ist in der Realität der wunde Punkt vieler Anbieter. Der eine oder andere Dienstleister wirbt zwar mit dem Hinweis „DSGVO-konform“, liefert aber nur ein lumpiges Vertragswerk, in dem die Rechte des Kunden stiefmütterlich behandelt werden. Unternehmen sollten daher auf die Details schauen und das Kleingedruckte lesen. Nicht selten verlässt man sich lieber auf die großen Cloud-Plattformen, weil diese inzwischen umfangreiche Auftragsverarbeitungsverträge anbieten. Bei Nextcloud-Anbietern ist das Feld unübersichtlicher, gerade weil viele mit dem Datenschutz als Marketingargument arbeiten.

Ein interessanter Aspekt ist die Unterauftragsverarbeitung. Der Anbieter einer Nextcloud-Instanz arbeitet womöglich selbst mit Rechenzentren, Backup-Diensten oder Support-Unternehmen zusammen. Jeder einzelne davon muss ebenfalls als Unterauftragsverarbeiter abgesichert sein. Ohne eine vollständige Kette an Verträgen wird die Compliance schnell brüchig. Im Endeffekt ist der Vertrag eben keine bloße Formalie, sondern das Fundament.

Hinzu kommt die Dokumentation. Ein Unternehmen, das gegenüber einer Aufsichtsbehörde die ordnungsgemäße Verarbeitung nachweisen muss, braucht mehr als ein Vertragsverzeichnis. Es braucht das Verarbeitungsverzeichnis, die Risikobewertung, die Awareness-Schulungen der Mitarbeiter und die technischen Nachweise, etwa über die Aktivierung der Verschlüsselung. All das lässt sich nicht einfach an den Nextcloud-Anbieter delegieren. Der Betreiber der Software ist für die Datenverarbeitung verantwortlich, der Anbieter nur maßgeblich beteiligt. Diese Rollen und Aufgaben müssen vorab klar sein.

Migration und Betrieb – kein Spaziergang, aber machbar

Der Schritt in eine Nextcloud-Welt beginnt selten mit der Installation, sondern mit der Bestandsaufnahme. Welche Daten gibt es? Wer legt sie ab, in welchen Formaten, mit welchen Zugriffsrechten? Welche Altdaten liegen auf Netzlaufwerken, was ist in proprietären Cloud-Speichern, was liegt auf den lokalen Rechnern der Mitarbeiter? Ohne diese Inventur wird die Migration schnell zu einem wilden Zusammensuchen von Dateien, das am Ende mehr Chaos hinterlässt als vorher.

Nextcloud bietet zwar Werkzeuge zum synchronisieren von lokalen Ordnern und zum Import aus anderen Systemen, aber das ist kein Ersatz für ein klares Datenmodell. Eine gut geplante Ordnerstruktur mit definierten Team-, Abteilungs- und Projektbereichen kann spätere Rechteverwaltung erheblich vereinfachen. Wer dagegen jedem Mitarbeiter erlaubt, seine Dateien wild abzulegen, wird die datenschutzrechtlichen Anforderungen kaum erfüllen können. Die Struktur ist nicht nur eine ästhetische Frage, sondern ein Teil der Kontrolle.

Beim Betrieb selbst kommt es auf die richtige Balance an. Einerseits schätzt die Community die flexible Open-Source-Architektur, die man nach eigenem Gusto anpassen kann. Andererseits bringt jede Anpassung an der Nextcloud-Installation erhöhte Wartungskomplexität mit sich. Je näher die Installation an den Standard-Release-Zyklen bleibt, desto seltener gibt es böse Überraschungen bei großen Versionssprüngen.

Updates haben im Datenschutzkontext eine doppelte Bedeutung: Sie schließen Sicherheitslücken und damit Risiken für die Vertraulichkeit der Daten. Aber sie verändern unter Umständen auch Funktionen, die für eine bestimmte Verarbeitung relevant waren. Ein Unternehmen, das auf einen bestimmten Workflow oder eine spezielle App angewiesen ist, muss vor einem Update testen. Sonst kann der Betrieb stehen bleiben, genau dann, wenn die Datenschutzanforderungen erfüllt werden müssen.

Ein weiterer Punkt ist das Backup. Selbstverständlich, möchte man meinen. Aber in der Praxis wird Nextcloud oft nur mangelhaft in das Backup-Konzept integriert. Die Datenbank und der Datenordner müssen konsistent gesichert werden, am besten über snapshots oder aufeinander abgestimmte Dump-Verfahren. Sonst entstehen unbrauchbare oder sogar inkonsistente Sicherungen. Und auch die Backups selbst unterliegen der DSGVO: Wer personenbezogene Daten in einem Backup aufbewahrt, muss auch dort die Löschkonzepte und Schutzmaßnahmen einhalten.

Nicht zuletzt spielt die Dokumentation des eigenen Systems eine Rolle. Wie ist der Server aufgebaut, welche Apps sind installiert, welche Konfigurationen wurden vorgenommen? Wer das nicht festhält, wird im Falle einer Sicherheitslücke oder eines Wechsels des Administrators lange brauchen, um die Kontrolle zurückzugewinnen. In manchen Unternehmen hängt solche Dokumentation an einzelnen Personen – das ist ein betriebliches Risiko, das man mit ein paar schriftlichen Notizen beheben kann.

Wo Nextcloud an Grenzen stößt

So überzeugend die Grundidee ist, so wenig ist Nextcloud ein Allheilmittel. Ein offener Punkt ist die Performance. Wer große Dateibestände synchronisieren oder auf einem schwachen Server viele Benutzer gleichzeitig bedienen möchte, wird schnell merken, dass Nextcloud Speicher und Rechenleistung braucht. Ohne Cache-System, ohne ausreichenden Arbeitsspeicher und ohne schnelles Backend kann die Benutzererfahrung ernüchternd sein. Man sollte also nicht sparen, gerade wenn die Lösung produktiv genutzt wird.

Ein zweiter Kritikpunkt betrifft die Benutzerfreundlichkeit. Nextcloud hat seit seinen Anfängen deutlich zugelegt, und die Oberfläche wirkt modern. Und dennoch: Manche Enterprise-Funktionen, insbesondere im Bereich der Ende-zu-Ende-Verschlüsselung, bleiben technisch anspruchsvoll. Der durchschnittliche Anwender will auch weiterhin einfach auf Dateien zugreifen und diese teilen können, ohne sich mit Schlüsselverwaltung und Clients herumzuärgern. Wenn die IT-Abteilung hier keine Hilfestellung gibt, werden sich die Mitarbeiter Wege abseits der Plattform suchen – mit allen datenschutzrechtlichen Folgen.

Dazu kommt die Frage der Integrationsfähigkeit. Nextcloud bietet Schnittstellen über WebDAV, eine API und diverse Connectors. Trotzdem ist nicht jede Software der Welt nahtlos anbindbar. Wer heute auf Microsoft 365 setzt und damit stark verwobene Workflows aufgebaut hat, muss sich überlegen, wie wichtig der Wechsel zu eigenen Nextcloud-Strukturen ist. In vielen Fällen ist Nextcloud nicht der Ersatz für das gesamte Ökosystem, sondern eine Ergänzung für bestimmte Datenarten – etwa für vertrauliche Dokumente und interne Kommunikation.

Ein interessanter Aspekt ist die Lizenzfrage. Nextcloud ist Open Source, aber nicht jedes Add-on ist komplett frei. Einige Enterprise-Funktionen, etwa bestimmte Workflow-Engines oder die externe Speicheranbindung, stehen hinter einer Bezahlschranke. Das ist legitim, aber es bedeutet, dass die Kosten nicht allein in der Infrastruktur liegen. Wer alle Funktionen schätzen möchte, muss eventuell Lizenzen erwerben. Das sollte vor der Planung kalkuliert werden.

Schließlich sollte man sich der Abhängigkeit von der Nextcloud GmbH bewusst sein. Obwohl die Software quelloffen ist und es eine große Community gibt, wird die Entwicklung stark vom Unternehmen Nextcloud geprägt. Das ist bei vielen Open-Source-Projekten so, und es ist nicht per se problematisch. Aber wer ein strategisches Interesse an der Software hat, sollte die Governance-Strukturen im Blick behalten. Ein Konflikt in der Firma oder ein Wechsel der Produktstrategie kann sich schnell auf die Roadmap auswirken. Erfahrungsgemäß bleibt die Fork-Gefahr gering, aber die Projektstruktur ist ein Unsicherheitsfaktor.

Ausblick: Datenhaltung wird zur strategischen Frage

Die Diskussion um Nextcloud und DSGVO wird nicht abreißen. Im Gegenteil, sie dürfte sich noch verschärfen. Immer mehr Verantwortliche fragen nach Alternativen zu den globalen Plattformen, nicht nur wegen der DSGVO, sondern auch wegen des wachsenden Bewusstseins über Datenrisiken. Die Lieferkette von Daten, die digitale Souveränität und die Unabhängigkeit von einzelnen Konzernen sind Themen, die in Geschäftsführungen stattfinden – nicht nur in IT-Abteilungen.

Nextcloud hat dabei gute Chancen, eine zentrale Komponente dieser neuen Souveränität zu werden. Die Software ist ausgereift, die Community aktiv, und der politische Wind weht in eine Richtung, die öffentliche Einrichtungen und viele Unternehmen dazu ermutigt, eigene Infrastrukturen aufzubauen. Es bleibt jedoch die Aufgabe, dieses Potenzial durch technische Disziplin, juristisch saubere Verträge und eine offene Kommunikation mit den Mitarbeitern zu füllen.

Ein kurzer Blick in die Zukunft: Die Weiterentwicklung von Nextcloud dürfte sich stark um die Verbesserung der Kollaborationsfunktionen, die bessere Ende-zu-Ende-Verschlüsselung und die Einbindung künstlicher Intelligenz drehen, etwa für die erweiterte Dateisuche oder die automatische Klassifizierung. Gerade die KI-Funktionen werden zu einem neuen Datenschutz-Dilemma führen: Modelle, die lokal laufen, sind harmlos, aber alles, was in irgendeiner Form auf externe Dienste zugreift, muss streng kontrolliert werden. Nextcloud wird sich daran messen lassen müssen, wie transparent solche intelligente Funktionen arbeiten.

Für den IT-Verantwortlichen bedeutet das: Die Reise ist noch lange nicht zu Ende. Wer heute Nextcloud einführt, tut gut daran, die Lösungen nicht als statisches Produkt zu betrachten, sondern als Teil einer fortlaufenden Datenschutzstrategie. Das gilt für die Wahl der Verschlüsselung, für die Auswahl des Hosters und für die Bereitschaft, die eigenen Prozesse regelmäßig zu überprüfen. Die DSGVO wird in diesem Zusammenhang nicht veralten – und Nextcloud wird in dem Maß davon profitieren, wie gut es gelingt, die abstrakten Anforderungen der Verordnung in konkrete, nachvollziehbare Technik zu übersetzen.

Letztlich geht es um mehr als nur um einen Cloud-Speicher. Wer Nextcloud einsetzt, positioniert sich in einer Frage, die manchem Unternehmen über das nächste Jahrzehnt hinaus wichtig sein wird: Wem gehört die technische Basis des eigenen Handelns? Nextcloud allein kann diese Frage nicht beantworten – aber es ist eine der wenigen Antworten, die heute technisch erlaubt, juristisch tragfähig und organisatorisch machbar ist. Das ist vielleicht das überzeugendste Argument für die Einführung.