Für deutsche Unternehmen kommen Microsoft 365 mit OneDrive und SharePoint, Google Workspace mit Drive, verwaltete Nextcloud- oder ownCloud-Angebote sowie deutsche Dienste wie TeamDrive grundsätzlich infrage. Keiner dieser Anbieter ist jedoch allein durch seinen Firmensitz oder einen Serverstandort automatisch datenschutzkonform. Entscheidend sind der gewählte Tarif, der Auftragsverarbeitungsvertrag, mögliche Drittlandzugriffe, die Verschlüsselung, administrative Einstellungen und die Art der gespeicherten Daten.
Für stark in Windows und Microsoft-Dienste eingebundene Betriebe ist OneDrive mit SharePoint meist die technisch naheliegende Option. Wer Datenhaltung und Serverbetrieb stärker kontrollieren möchte, sollte ein europäisch betriebenes Nextcloud- oder ownCloud-Angebot prüfen. TeamDrive ist besonders interessant, wenn verschlüsselte Zusammenarbeit und ein deutscher Anbieter im Vordergrund stehen. Google Drive bleibt eine leistungsfähige Alternative, verlangt aber ebenso wie Microsoft 365 eine sorgfältige Prüfung von Verträgen, Übermittlungen und Mandanteneinstellungen.
Datenschutzkonformität ist keine feste Produkteigenschaft
Die Datenschutz-Grundverordnung bewertet nicht bloß den Namen eines Cloudprodukts. Das Unternehmen, das den Speicher einsetzt, bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Der Anbieter arbeitet bei typischen Geschäftskonten regelmäßig als Auftragsverarbeiter. Dafür wird grundsätzlich eine Vereinbarung nach Artikel 28 DSGVO benötigt.
Zusätzlich müssen die technischen und organisatorischen Maßnahmen zum Risiko passen. Artikel 32 DSGVO verlangt ein angemessenes Schutzniveau, ohne eine bestimmte Marke oder einen bestimmten Serverstandort vorzuschreiben. Werden personenbezogene Daten aus dem Europäischen Wirtschaftsraum in ein Drittland übertragen oder können Stellen dort darauf zugreifen, kommen außerdem die Anforderungen der Artikel 44 bis 49 DSGVO ins Spiel.
Ein Rechenzentrum in Frankfurt oder einer anderen deutschen Stadt löst daher nur einen Teil der Aufgabe. Zu prüfen ist ebenfalls, von wo Support, Administration, Telemetrie, Missbrauchserkennung und Unterauftragnehmer auf Daten zugreifen können. Auch eine EU-Datenresidenz bedeutet nicht zwingend, dass jede Verarbeitung und jeder Fernzugriff auf die EU begrenzt ist.
Die fünf sinnvollen Anbieterkategorien im direkten Vergleich
Ein belastbarer Vergleich muss dieselben Maßstäbe auf alle Kandidaten anwenden. Für Unternehmen sind vor allem Vertragsgrundlage, Daten- und Zugriffskontrolle, Windows-Integration, Zusammenarbeit sowie der Betriebsaufwand relevant. Preise eignen sich ohne festgelegte Nutzerzahl, Speicherbedarf und Tarifstufe nicht als stabile Rangfolge.
Microsoft 365 mit OneDrive und SharePoint
OneDrive for Business dient vor allem als persönlicher Arbeitsbereich eines Benutzers. Gemeinsame Unternehmensdateien gehören in der Regel in SharePoint-Bibliotheken oder in die dahinterliegenden Speicherbereiche von Microsoft Teams. Diese Trennung ist für Berechtigungen, Mitarbeiterwechsel und Aufbewahrung wichtiger als die reine Installation des OneDrive-Synchronisierungsclients.
Die Stärke liegt in der Einbindung in Windows, Office, Teams, Microsoft Entra ID und die Verwaltungswerkzeuge von Microsoft 365. Dateien lassen sich im Explorer synchronisieren, während Zugriffe über Gruppen, Richtlinien und bedingten Zugriff gesteuert werden können. Je nach Lizenz stehen zusätzliche Funktionen für Aufbewahrung, Informationsschutz, Überwachung und Gerätekontrolle bereit.
Datenschutzrechtlich muss das Unternehmen die für seinen Vertrag geltenden Datenschutzbestimmungen, die Vereinbarung zur Auftragsverarbeitung, die Liste der Unterauftragsverarbeiter und die angebotene Datenresidenz prüfen. Bei möglichen Übermittlungen in Drittländer sind die tatsächlich verwendeten Garantien und ergänzenden Schutzmaßnahmen zu bewerten. Eine Microsoft-Lizenz oder die Anzeige eines europäischen Speicherorts ersetzt diese Prüfung nicht.
Die Option passt besonders gut zu Unternehmen, die Windows-PCs zentral verwalten und bereits mit Microsoft 365 arbeiten. Weniger überzeugend ist sie, wenn vollständige Kontrolle über Server, Verschlüsselungsschlüssel und Softwarebetrieb gefordert wird oder eine interne Richtlinie Zugriffe durch außereuropäische Konzernstrukturen ausschließt.
Google Workspace mit Google Drive
Google Drive verbindet persönlichen Speicher mit gemeinsamen Ablagen für Teams. Der Dienst ist im Browser stark, besitzt aber auch eine Windows-Anwendung, die Dateien in den Explorer einbindet. Gemeinsame Ablagen sind für Unternehmensdaten meist geeigneter als Dateien, die dauerhaft einem einzelnen Benutzerkonto zugeordnet bleiben.
Für die Auswahl gelten ähnliche rechtliche Prüfpunkte wie bei Microsoft: Auftragsverarbeitung, Unterauftragnehmer, Speicherregion, Supportzugriffe und Drittlandübermittlungen müssen zur eigenen Risikobewertung passen. Die Einstellungen der Administrationskonsole sind Bestandteil des Schutzkonzepts. Dazu zählen unter anderem Freigaberegeln, Mehrfaktor-Authentifizierung, Sitzungssteuerung und die Einschränkung externer Zusammenarbeit.
Google Drive ist eine plausible Wahl für browserorientierte Teams und Unternehmen, die intensiv mit den Workspace-Anwendungen arbeiten. In einer Umgebung, deren Abläufe auf Windows-Gruppen, Office-Desktopanwendungen, SharePoint oder Teams aufbauen, entsteht dagegen häufig zusätzlicher Integrations- und Verwaltungsaufwand. Datenschutzrechtlich ist Google Drive weder pauschal ausgeschlossen noch ohne Einzelfallprüfung freigegeben.
Nextcloud bei einem deutschen oder europäischen Betreiber
Nextcloud ist Software, keine einheitliche Anbieterleistung. Unternehmen können sie selbst betreiben oder als verwalteten Dienst bei einem Hoster buchen. Genau diese Wahlmöglichkeit ist der zentrale Unterschied zu einer vollständig vom Hersteller kontrollierten globalen Plattform.
Ein verwaltetes Angebot kann Datenstandort, Supportzuständigkeit und Unterauftragnehmer stärker auf Deutschland oder den Europäischen Wirtschaftsraum begrenzen. Der Windows-Client synchronisiert ausgewählte Ordner; zusätzlich sind Webzugriff und je nach Installation Erweiterungen für Zusammenarbeit verfügbar. Funktionsumfang, Sicherung, Wiederherstellung und Office-Bearbeitung hängen jedoch vom Betreiber und dem gebuchten Paket ab.
Die größere Kontrolle bringt mehr Prüfbedarf mit sich. Das Unternehmen sollte klären, wer Sicherheitsupdates einspielt, wie schnell kritische Aktualisierungen übernommen werden, ob Backups getrennt gespeichert werden und wie eine Wiederherstellung getestet wird. Bei Eigenbetrieb liegen Patchmanagement, Monitoring, Absicherung und Notfallvorsorge vollständig oder weitgehend beim eigenen Unternehmen.
Nextcloud eignet sich besonders, wenn Datenhoheit, Betreiberwahl und offene Schnittstellen höher gewichtet werden als eine möglichst enge Microsoft-Integration. Der Name Nextcloud allein sagt allerdings nichts über die Datenschutzqualität eines bestimmten Hosters aus.
ownCloud und ownCloud Infinite Scale
ownCloud verfolgt ebenfalls einen Ansatz, bei dem Unternehmen die Plattform selbst betreiben oder über einen Dienstleister beziehen können. Für die Bewertung muss zwischen Produktgeneration, Betreiber und tatsächlicher Vertragsleistung unterschieden werden. Aussagen über eine bestimmte Hostingregion oder Sicherungsfunktion lassen sich nicht von der Softwaremarke auf jedes Angebot übertragen.
Windows-Clients und Webzugriff ermöglichen die Einbindung in übliche Arbeitsplatzumgebungen. Für größere Installationen können Skalierbarkeit, zentrale Administration und die Anbindung vorhandener Identitätsdienste wichtige Gründe für ownCloud sein. Welche Funktionen verfügbar sind, hängt von Edition, Architektur und Betreiber ab.
Datenschutzrechtlich bietet ownCloud vor allem Gestaltungsspielraum. Dieser wird erst zum Vorteil, wenn Zuständigkeiten für Updates, Protokollierung, Schlüssel, Backups und Störungsbehebung eindeutig geregelt sind. Ein selbst betriebener Server ohne verlässliche Wartung kann trotz Standort im eigenen Gebäude riskanter sein als ein professionell verwalteter Cloudservice.
TeamDrive
TeamDrive ist ein deutscher Anbieter mit Schwerpunkt auf synchronisierter und verschlüsselter Zusammenarbeit. Der Dienst ist für Windows verfügbar und kann für Unternehmen interessant sein, die Dateien zwischen klar abgegrenzten Benutzergruppen austauschen möchten. Seine Eignung sollte anhand der angebotenen Unternehmensvariante und nicht anhand einer allgemeinen Produktbeschreibung bewertet werden.
Zu prüfen sind insbesondere Schlüsselverwaltung, Wiederherstellungsmöglichkeiten, administrativer Zugriff, Hostingmodell, Protokollierung und die Einbindung externer Partner. Eine starke clientseitige Verschlüsselung kann den Inhalt gegenüber Infrastrukturbetreibern abschirmen, erschwert aber je nach Umsetzung zentrale Suche, Schadsoftwareprüfung, Wiederherstellung oder Compliance-Kontrollen.
TeamDrive ist eine beachtenswerte Option für Unternehmen, die einen deutschen Vertragspartner und verschlüsselte Dateiräume priorisieren. Für Betriebe, die umfangreiche Office-Co-Autorenschaft, Teams-Arbeitsräume oder breit integrierte Plattformdienste benötigen, muss geprüft werden, ob die verfügbaren Integrationen den Arbeitsablauf vollständig tragen.
Welcher Anbieter passt zu welcher Unternehmenslage?
- Windows, Office und Teams bestimmen den Arbeitsalltag: Microsoft 365 mit OneDrive und SharePoint bietet die engste Einbindung. Vor einer Freigabe müssen Tarif, Datenresidenz, Vertragsunterlagen und Verwaltungsrichtlinien geprüft werden.
- Browserbasierte Zusammenarbeit steht im Mittelpunkt: Google Workspace mit Drive kann technisch gut passen. Die Bewertung möglicher Drittlandzugriffe bleibt ein eigener Pflichtpunkt.
- Betreiberwahl und Datenhoheit sind vorrangig: Ein verwaltetes Nextcloud- oder ownCloud-Angebot aus Deutschland oder der EU bietet mehr Gestaltungsspielraum. Sicherheitsbetrieb und Wiederherstellung müssen vertraglich abgedeckt sein.
- Verschlüsselte Dateiräume und ein deutscher Anbieter werden bevorzugt: TeamDrive gehört auf die Auswahlliste. Vorher ist zu klären, ob Administration und Schlüsselkonzept mit den internen Kontrollpflichten vereinbar sind.
- Besonders schutzbedürftige Daten sollen verarbeitet werden: Keine Produktauswahl allein genügt. Verarbeitung, Zugriffsmodell, Verschlüsselung, Übermittlungen und gegebenenfalls eine Datenschutz-Folgenabschätzung müssen gemeinsam bewertet werden.
Einen universellen Sieger gibt es nicht. Microsoft 365 gewinnt bei der Integration in Microsoft-Dienste, während verwaltete Nextcloud- und ownCloud-Installationen mehr Einfluss auf Betreiber und Architektur ermöglichen. TeamDrive setzt einen anderen Schwerpunkt bei verschlüsselter Dateizusammenarbeit. Google Drive ist vor allem in einer ohnehin auf Google Workspace ausgerichteten Organisation schlüssig.
Prüfreihenfolge vor Vertragsabschluss
- Datenarten festlegen: Erfasse, ob normale Geschäftsdokumente, Beschäftigtendaten, Kundenakten, Gesundheitsdaten, Geschäftsgeheimnisse oder andere besonders schutzbedürftige Inhalte gespeichert werden sollen. Davon hängt das erforderliche Schutzniveau ab.
- Verantwortlichkeiten dokumentieren: Kläre, welche Gesellschaft Vertragspartner und Auftragsverarbeiter ist. Der Vertrag nach Artikel 28 DSGVO muss zum gebuchten Dienst und zum tatsächlichen Kunden passen.
- Verarbeitungsorte erfassen: Prüfe nicht nur den primären Speicherort, sondern auch Backups, Protokolldaten, Support, Telemetrie und Unterauftragnehmer. Die Anbieterunterlagen sollten Änderungen der Unterauftragnehmer nachvollziehbar machen.
- Drittlandzugriffe bewerten: Falls Daten oder Zugriffe den Europäischen Wirtschaftsraum verlassen können, sind Übermittlungsgrundlage, Standardvertragsklauseln und ergänzende Maßnahmen zu untersuchen. Die Datenschutzaufsichtsbehörden stellen hierfür Orientierungshilfen bereit.
- Sicherheitsfunktionen testen: Verlange Mehrfaktor-Authentifizierung, rollenbasierte Administration, verschlüsselte Übertragung, nachvollziehbare Protokolle und eine angemessene Verschlüsselung gespeicherter Daten. Prüfe außerdem, wer Schlüssel kontrolliert und welche Metadaten unverschlüsselt bleiben.
- Windows-Einsatz erproben: Teste Synchronisierung, Dateisperren, sehr lange Pfade, Berechtigungsänderungen, Offlinezugriff und Konfliktfälle mit den tatsächlich eingesetzten Windows- und Office-Versionen. Ein erfolgreicher Login ist noch kein belastbarer Praxistest.
- Austritt und Störung durchspielen: Exportiere einen Testbestand, stelle gelöschte Daten wieder her und prüfe, wie Konten ausgeschiedener Mitarbeiter übernommen werden. Vertragsende, Löschbestätigung und Datenportabilität gehören in die Auswahlentscheidung.
Verschlüsselung richtig einordnen
Transportverschlüsselung schützt die Verbindung zwischen Windows-PC und Cloud. Verschlüsselung im Rechenzentrum schützt unter anderem Datenträger und Sicherungsmedien. Beide Verfahren sind wichtig, hindern den Cloudanbieter aber nicht zwangsläufig daran, Inhalte im laufenden Dienst zu verarbeiten.
Bei einer echten Ende-zu-Ende-Verschlüsselung besitzt der Anbieter idealerweise keinen Schlüssel für den Klartext. Das verbessert den Schutz gegenüber Infrastrukturzugriffen, kann aber Funktionen einschränken. Webvorschau, serverseitige Suche, gemeinsame Dokumentbearbeitung, Virenprüfung und zentrale Wiederherstellung funktionieren dann möglicherweise nur eingeschränkt oder nach einem anderen Konzept.
Unternehmen sollten deshalb nicht nur nach dem Wort Verschlüsselung suchen. Die entscheidenden Fragen lauten: Wo wird entschlüsselt, wer kann Schlüssel zurücksetzen, wie werden neue Geräte autorisiert und was geschieht, wenn ein Mitarbeiter seinen Zugang verliert? Für hochsensible Ordner kann zusätzliche clientseitige Verschlüsselung sinnvoll sein, während andere Arbeitsbereiche serverseitige Zusammenarbeit benötigen.
Windows-Integration vor dem Rollout absichern
Cloudspeicher greifen tief in den Arbeitsablauf eines Windows-PCs ein. Synchronisierte Dateien können lokalen Speicher belegen, durch Ransomware verändert oder bei falscher Freigabe nach außen verteilt werden. Versionsverlauf und Papierkorb helfen bei einzelnen Fehlern, sind aber kein vollständiger Ersatz für eine getrennte, getestete Sicherung.
Ein Pilot sollte verschiedene Rollen umfassen: normale Benutzer, externe Projektpartner, Administratoren und einen typischen mobilen Arbeitsplatz. Dabei sind Office-Dateien, große Dateien, parallele Bearbeitung, Offlinephasen und der Wechsel eines Benutzerkontos zu prüfen. Der Client muss außerdem mit Geräteschutz, Proxy, VPN, Endpoint-Sicherheit und vorhandenen Gruppenrichtlinien zusammenarbeiten.
Bei Microsoft 365 ist zusätzlich festzulegen, welche Inhalte in persönliche OneDrive-Bereiche und welche in SharePoint gehören. Bei Nextcloud, ownCloud und TeamDrive muss das Unternehmen ebenso verhindern, dass kritische Projektordner dauerhaft an einzelne Benutzerkonten oder unkontrollierte Freigaben gebunden werden.
Nachweise helfen, ersetzen aber keine eigene Bewertung
Zertifizierungen nach ISO 27001 oder Prüfberichte nach dem BSI-Kriterienkatalog C5 können Hinweise auf ein strukturiertes Sicherheitsmanagement und geprüfte Kontrollen geben. Sie sind keine pauschale DSGVO-Freigabe. Das Unternehmen muss den Geltungsbereich, den geprüften Dienst, den Berichtszeitraum und mögliche Abweichungen betrachten.
Vor der Entscheidung sollten die jeweils gültigen Vertrags- und Datenschutzunterlagen des Anbieters, die Unterauftragnehmerliste sowie die Sicherheitsdokumentation zur gewählten Tarifvariante geprüft werden. Bei Microsoft geschieht dies in den Vertrags- und Datenschutzbereichen für Microsoft 365, bei Google in den Administrations- und Vertragsunterlagen zu Workspace. Bei einem Nextcloud- oder ownCloud-Hoster ist der Betreiber selbst der entscheidende Prüfpunkt; die Dokumentation des Softwareprojekts ersetzt dessen Vertragsunterlagen nicht.
Für normale Bürodateien kann eine dokumentierte Auswahl mit sauberer Konfiguration ausreichen. Bei umfangreicher Überwachung, besonders sensiblen Daten oder einem voraussichtlich hohen Risiko für Betroffene kann eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich sein. Datenschutzbeauftragte, Informationssicherheit und Fachabteilung sollten dann vor dem Produktivstart gemeinsam entscheiden.
Häufige Fragen zu besonderen Einsatzfällen
Dürfen Beschäftigtendaten im Cloudspeicher liegen?
Das ist nicht generell verboten, erfordert aber eine tragfähige Rechtsgrundlage, eine klare Zweckbindung und begrenzte Zugriffsrechte. Personalakten sollten nicht in allgemein zugänglichen Teamordnern liegen. Zusätzlich zur DSGVO sind die Regeln des Beschäftigtendatenschutzes und gegebenenfalls Mitbestimmungsrechte zu berücksichtigen.
Ist selbst gehostete Nextcloud automatisch die sicherste Lösung?
Nein. Eigenbetrieb verbessert die Kontrolle, überträgt dem Unternehmen aber auch Verantwortung für Updates, Härtung, Monitoring, Backups und Notfallwiederherstellung. Fehlen dafür Personal und Prozesse, kann ein professionell verwaltetes Angebot das geringere Betriebsrisiko haben.
Kann ein Unternehmen zwei Cloudspeicher parallel einsetzen?
Technisch ist das möglich, kann aber Schattenablagen und widersprüchliche Freigaben fördern. Sinnvoll ist ein Parallelbetrieb nur mit eindeutig getrennten Zwecken, etwa Microsoft 365 für interne Zusammenarbeit und ein gesondert verschlüsselter Datenraum für ausgewählte externe Projekte. Datenklassen, zulässige Speicherorte und verantwortliche Administratoren müssen schriftlich festgelegt sein.
