Nextcloud
Beratung und Betreuung
Weg von US-Produkten – hin zu europäischen Cloud-Lösungen
Warum die Frage nach dem Serverstandort keine Nebensache ist
Wer in Deutschland ein Unternehmen führt, hat sich mit der DSGVO auseinanderzusetzen. Das Gesetz regelt, wo und wie personenbezogene Daten verarbeitet werden dürfen – und es ist eindeutig: Daten dürfen nur in Ländern verarbeitet werden, die ein angemessenes Schutzniveau bieten. Die Europäische Union hat dieses Niveau definiert, und innerhalb der EU gelten klare Regeln. Wer seine Daten innerhalb Europas hostet, bewegt sich auf der sicheren Seite. Wer seine Daten in die USA übermittelt, betritt eine rechtliche Grauzone – und das nicht erst seit dem Europäischen Gerichtshof seine Urteile zum Datenschutzabkommen gesprochen hat.
Die Frage nach dem Serverstandort ist also keine Nebensache, sondern eine Frage der rechtlichen Absicherung. Es geht nicht um eine persönliche Vorliebe für europäische Anbieter, sondern um die Frage, ob das Unternehmen bei einer Prüfung durch den Datenschutzbeauftragten oder bei einem datenschutzrechtlichen Verfahren durch den Artuck gerüstet ist. Wer sich darauf verlässt, dass „Microsoft oder Google schon wissen, was sie tun“, hat die Rechnung ohne den Cloud Act gemacht.
Nextcloud Europäische Unabhängigkeit
Nextcloud Moderne Büroarbeit in der Cloud
Das Problem mit US-Produkten
Microsoft 365 und Google Workspace sind die dominierenden Cloud-Lösungen im deutschen Mittelstand. Sie funktionieren, sie sind etabliert, und die meisten Mitarbeiter kennen sie. Aber sie haben einen gemeinsamen Schwachpunkt: Die Daten liegen nicht in Europa – oder wenn, dann unter Bedingungen, die europäisches Recht unterlaufen.
Der Cloud Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Gesetz, das 2018 in Kraft getreten ist. Es verpflichtet US-amerikanische Technologieunternehmen, Daten auf behördliche Anforderung herauszugeben – unabhängig davon, wo auf der Welt diese Daten gespeichert sind. Das bedeutet: Ein deutsches Unternehmen speichert seine Daten in einem Rechenzentrum in Frankfurt, aber der Anbieter hat seinen Sitz in den USA. Auf eine Anforderung der US-Behörden hin müssen die Daten herausgegeben werden, ohne dass das deutsche Unternehmen etwas davon erfährt.
Das kollidiert direkt mit der DSGVO. Die Verordnung verbietet die Übermittlung personenbezogener Daten an Drittstaaten, sofern kein angemessenes Schutzniveau gewährleistet ist. Der Europäische Gerichtshof hat im „Schrems II“-Urteil 2020 klargestellt, dass US-Unternehmen dieses Schutzniveau nicht gewährleisten können, solange US-Behörden Zugriff haben. Das Datenschutzabkommen EU-US Data Privacy Framework, das 2023 in Kraft getreten ist, verbessert die Lage formal, ändert aber nichts am grundlegenden Problem: US-Anbieter unterliegen US-Recht, und US-Recht erlaubt den Behördenzugriff.
Wer seine Unternehmensdaten bei Microsoft 365 oder Google Workspace speichert, vertraut darauf, dass die Daten nicht abgefragt werden. Das ist kein verlässliches Fundament für eine DSGVO-konforme Datenverarbeitung.
Was „europäisch“ wirklich bedeutet
Europäische Cloud-Lösungen unterscheiden sich nicht nur durch den Serverstandort. Der entscheidende Punkt ist, dass der Anbieter europäischem Recht unterliegt – nicht US-Recht. Das bedeutet: Deutsche Behörden können Daten nur im Rahmen deutscher und europäischer Gesetze anfordern, und das Unternehmen wird darüber informiert. Es gibt keinen Cloud Act, der hintenherum Daten in die USA leitet.
Entwickelt hier, gehostet hier, Daten liegen hier – das ist die Formel, auf die es ankommt. Entwickelt hier bedeutet, dass die Software unter europäischen Datenschutzstandards gepflegt wird und der Quellcode offen liegt. Gehostet hier bedeutet, dass die Server physisch in Deutschland oder innerhalb der EU stehen. Daten liegen hier bedeutet, dass keine Übermittlung in Drittstaaten stattfindet und keine Replikation auf US-Server erfolgt.
Nextcloud erfüllt diese Kriterien. Die Software ist Open Source, entwickelt von einer internationalen Community mit Wurzeln in Europa, die Server stehen in Deutschland. Der AV-Vertrag nach DSGVO ist Standard, die Auftragsverarbeitung ist geregelt. Wer eine Nextcloud-Lösung nutzt, hat die Gewissheit, dass seine Daten in Europa bleiben – nicht als Versprechen, sondern als vertragliche und technische Realität.
Der Unterschied zwischen Serverstandort und Firmensitz
Viele Anbieter werben damit, dass ihre Server in Europa stehen. Das allein reicht nicht. Entscheidend ist, wo der Anbieter seinen Firmensitz hat und welchem Recht er unterliegt. Ein US-Unternehmen, das Server in Frankfurt betreibt, unterliegt weiterhin US-Recht – und damit dem Cloud Act. Die physische Lage der Server ist ein Baustein, aber nicht der entscheidende. Erst wenn Anbieter mit Sitz in der EU,Hosting in der EU und Softwareentwicklung unter EU-Recht zusammenkommen, entsteht tatsächlich europäische Unabhängigkeit.
Genau hier liegt der Unterschied. Nextcloud wird von einem Unternehmen mit Sitz in Europa entwickelt und gepflegt. Die Hosting-Partner stehen in Deutschland. Die Verträge unterliegen deutschem Recht. Es gibt keine Muttergesellschaft in den USA, die eine behördliche Anforderung durchsetzen könnte. Wer das will, hat mit Nextcloud eine Lösung, die nicht nur behauptet, europäisch zu sein, sondern es in jeder Hinsicht ist.
Die Konsequenzen für den Mittelstand
Für kleine und mittlere Unternehmen ist die Entscheidung für eine europäische Cloud-Lösung keine ideologische, sondern eine wirtschaftliche und rechtliche. Wer bei einer DSGVO-Prüfung nachweisen muss, wo seine Daten liegen, hat mit einer europäischen Lösung eine klare Antwort. Wer seine Daten bei einem US-Anbieter speichert, muss mit Standard Contractual Clauses und Transfer Impact Assessments argumentieren – Dokumente, die im Zweifelsfall vor Gericht nicht standhalten.
Hinzu kommt das Risiko von Geldbußen. Die DSGVO erlaubt Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wer datenschutzrechtliche Vorgaben nicht einhält, riskiert nicht nur seinen Ruf, sondern existenzielle Summen. Eine Cloud-Lösung, die von vornherein DSGVO-konform arbeitet, minimiert dieses Risiko.
Die Entscheidung für Nextcloud ist also keine Entscheidung gegen Microsoft oder Google aus prinzipiellen Gründen. Sie ist eine Entscheidung für Datenhoheit, rechtliche Absicherung und Unabhängigkeit von US-Behörden. Wer das ernst nimmt, kommt an einer europäischen Lösung nicht vorbei.
Der Weg dorthin
Der Wechsel von einer US-Lösung zu einer europäischen Cloud ist weniger aufwendig, als viele vermuten. Die bestehenden Daten – E-Mails, Dateien, Kalender, Kontakte – werden vollständig migriert, die Mitarbeiter arbeiten nach der Umstellung mit vertrauten Funktionen in einer neuen Umgebung. Der Unterschied liegt nicht in der Bedienung, sondern darunter: Die Daten bleiben in Europa.
