Cloud-Speicher fürs Büro: DSGVO-konform

Ein Steuerberater ruft an und braucht die Belege des letzten Quartals. Sie greifen zum Laptop, öffnen die Cloud, und die Datei liegt genau da, wo sie hingehört. Kein USB-Stick, kein Suchen im Mail-Postfach, kein Anhang, der zu groß war. Genau dafür ist Cloud-Speicher da. Die schwierigere Frage ist, ob dieser Speicher auch datenschutzrechtlich sauber aufgestellt ist, sobald Kundendaten, Verträge oder Personalunterlagen darin landen. Dieser Beitrag zeigt, worauf es dabei wirklich ankommt, welche Anbieter für kleine Firmen in Frage kommen und wie Sie sich einen sauberen Ausweg offenhalten.

DSGVO-konform: was es wirklich bedeutet

„DSGVO-konform“ ist kein Siegel, das ein Anbieter allein vergibt. Es beschreibt einen Zustand, den Sie als Verantwortlicher herstellen, gemeinsam mit dem Dienstleister. Sobald Sie personenbezogene Daten in eine Cloud legen, also Namen, Adressen, E-Mails, Rechnungen oder Bewerbungen, verarbeitet der Anbieter diese Daten in Ihrem Auftrag. Das macht ihn zum Auftragsverarbeiter, und Sie brauchen dafür eine rechtliche Grundlage.

Drei Bausteine gehören zusammen. Erstens ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, oft AVV oder englisch DPA genannt. Zweitens angemessene technische und organisatorische Maßnahmen nach Artikel 32 DSGVO, also Verschlüsselung, Zugriffskontrolle und Ähnliches. Drittens Klarheit darüber, wo die Daten liegen und ob sie in Länder außerhalb der EU übertragen werden. Fehlt einer dieser Bausteine, hilft der schönste Serverstandort nichts.

Serverstandort vs. Verschlüsselung vs. AVV

Viele glauben, ein Server in Deutschland löse das Datenschutzthema. Das greift zu kurz. Der Serverstandort ist ein Faktor, aber nicht der einzige. Entscheidend ist auch, wer den Anbieter kontrolliert und welche Gesetze für ihn gelten.

Ein Beispiel: Ein US-Konzern kann Rechenzentren in Frankfurt betreiben. Trotzdem unterliegt das Mutterunternehmen amerikanischem Recht, das unter Umständen Zugriff verlangt. Der Europäische Gerichtshof hat diese Spannung im Schrems-II-Urteil deutlich gemacht und den damaligen EU-US-Datenschutzschild gekippt. Seit 2023 gibt es mit dem EU-US Data Privacy Framework wieder eine offizielle Grundlage für Übertragungen in die USA, sofern der jeweilige Anbieter dort zertifiziert ist. Prüfen Sie also nicht nur den Standort, sondern auch die Rechtslage hinter dem Anbieter.

So ordnen Sie die drei Begriffe ein:

• Serverstandort: Wo liegen die Daten physisch? EU-Standort erleichtert vieles, ersetzt aber die anderen Punkte nicht.
• Verschlüsselung: Transportverschlüsselung schützt den Weg, Verschlüsselung im Ruhezustand die gespeicherte Datei. Die höchste Stufe ist die Ende-zu-Ende- oder Zero-Knowledge-Verschlüsselung, bei der selbst der Anbieter Ihre Inhalte nicht lesen kann.
• AVV: Der Vertrag, der die Verarbeitung regelt. Ohne ihn ist die Nutzung für geschäftliche personenbezogene Daten formal angreifbar. Fast alle seriösen Anbieter stellen ihn bereit, oft als Download im Konto.

Anbieter und EU-Alternativen im Vergleich

Es gibt nicht die eine richtige Lösung, sondern eine, die zu Ihrem Team und Ihren Daten passt. Grob lassen sich vier Gruppen unterscheiden.

Ansatz	Beispiele	Stärke	Grenze
Große Office-Suiten	OneDrive (Microsoft 365), Google Drive (Workspace)	Eng verzahnt mit E-Mail, Dokumenten und Kalender	US-Anbieter, Prüfung von Framework und AVV nötig
EU-Anbieter	IONOS HiDrive, STRATO HiDrive, MagentaCLOUD	EU-Standort, deutschsprachiger Support	Weniger Integration mit anderen Tools
Zero-Knowledge	Tresorit, pCloud (Krypto-Ordner)	Anbieter kann Inhalte nicht lesen	Komfort-Einbußen, Team-Funktionen begrenzt
Selbst gehostet	Nextcloud (eigener Server oder bei Hetzner, luckycloud)	Volle Kontrolle über Daten und Speicherort	Mehr technischer Aufwand oder Managed-Hosting nötig

Wenn Sie ohnehin Microsoft 365 oder Google Workspace nutzen, ist der integrierte Speicher naheliegend, weil er mit E-Mail und Dokumenten zusammenspielt. Wie sich diese beiden Welten sonst unterscheiden, lesen Sie im Vergleich Microsoft 365 vs. Google Workspace. Wer Wert auf einen EU-Anbieter oder auf Zero-Knowledge legt, findet mit HiDrive, Tresorit oder einer gehosteten Nextcloud solide Alternativen zu Dropbox. Nextcloud ist quelloffen und lässt sich als fertig betriebenes Paket buchen, sodass Sie nicht selbst einen Server pflegen müssen. Preise nennen die Anbieter je nach Speicher und Nutzerzahl unterschiedlich, prüfen Sie die aktuellen Tarife direkt auf deren Seiten, statt sich auf Faustwerte zu verlassen.

Belege und Verträge geordnet ablegen

Sicherer Speicher nützt wenig, wenn niemand die Datei wiederfindet. Legen Sie deshalb früh eine einfache Ordnerlogik fest und halten Sie sich daran. Bewährt hat sich eine Trennung nach Jahr und Bereich, etwa 2025 / Rechnungen-Ausgang, 2025 / Belege-Eingang, Verträge, Personal. Personalunterlagen und Bewerbungen gehören in einen Ordner mit eng begrenztem Zugriff, denn hier sind die Daten besonders sensibel.

Für die Buchhaltung zahlt sich ein festes Namensschema aus, zum Beispiel 2025-06-10_Lieferant_Betrag. So sortiert sich alles von selbst und der Steuerberater bekommt einen sauberen Ordner statt eines Wühltischs. Wer Rechnungen elektronisch empfängt und versendet, sollte die Ablage gleich darauf ausrichten. Den Empfang von E-Rechnungen im B2B-Bereich müssen Unternehmen bereits seit 2025 sicherstellen, das verpflichtende Versenden greift dann gestaffelt ab 2027 und 2028. Was das konkret für kleine Betriebe bedeutet, erklärt der Beitrag zur E-Rechnungspflicht. Denken Sie auch an Aufbewahrungsfristen: Buchhaltungsunterlagen müssen mehrere Jahre lesbar bleiben, Ihre Ablage sollte das aushalten.

Backup und Versionierung nicht vergessen

Ein weit verbreiteter Irrtum: Die Cloud sei automatisch ein Backup. Das stimmt nicht. Synchronisation bedeutet, dass eine gelöschte oder verschlüsselte Datei auf allen Geräten verschwindet. Fängt sich ein Rechner Ransomware ein, wandert der Schaden ohne weiteres in die Cloud.

Zwei Dinge federn das ab. Erstens die Versionierung, die viele Anbieter mitbringen. Sie stellt frühere Stände einer Datei wieder her, oft über einige Tage oder Wochen. Prüfen Sie, wie lange Ihr Anbieter Versionen und gelöschte Dateien vorhält. Zweitens ein echtes, getrenntes Backup nach der bekannten 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine an einem anderen Ort. In der Praxis kann das die Cloud plus eine regelmäßige Sicherung auf eine externe Festplatte sein, die Sie nach dem Sichern abstecken. Wichtig ist, dass Sie die Wiederherstellung einmal testen. Ein Backup, das im Ernstfall nicht zurückspielt, ist keins.

Datenexport nutzen und Lock-in vermeiden

Die unbequemste Frage stellen die wenigsten vor dem Start: Wie kommen Sie wieder heraus? Ein Anbieter kann teurer werden, den Betrieb einstellen oder schlicht nicht mehr passen. Dann brauchen Sie Ihre Daten in einer Form, die woanders funktioniert.

Achten Sie auf zwei Punkte. Erstens die Dateiformate. Solange Ihre Dokumente als PDF, DOCX, XLSX oder in gängigen Bildformaten liegen, sind sie portabel. Heikel wird es bei proprietären Formaten, die nur im System des Anbieters lesbar sind. Zweitens der Massenexport. Ein guter Dienst erlaubt es, den gesamten Bestand strukturiert herunterzuladen, bei den großen Anbietern etwa über eine Export- oder Datenübernahme-Funktion. Testen Sie das früh mit einem Teilbestand, nicht erst unter Zeitdruck beim Wechsel. Wer die Ordnerstruktur sauber hält, hat es beim Umzug spürbar leichter.

Kosten für kleine Teams

Für Einzelunternehmer und kleine Teams ist der Speicher selten der große Kostenblock. Oft reicht der Platz, der in Microsoft 365 oder Google Workspace ohnehin enthalten ist, ein zusätzlicher Cloud-Dienst wäre dann doppelt bezahlt. Erst wenn Sie viele große Dateien ablegen, etwa Fotos, Videos oder Pläne, oder wenn Sie bewusst einen EU- oder Zero-Knowledge-Anbieter wollen, lohnt ein eigener Speicherdienst.

Rechnen Sie pro Nutzer und Monat und beziehen Sie den AVV, den Serverstandort und die Backup-Frage in die Auswahl ein, nicht nur die Gigabyte. Für eine Person genügt häufig ein günstiger Einzeltarif. Ab drei bis vier Personen wird ein Team-Tarif mit gemeinsamer Rechteverwaltung sinnvoll. Und manchmal ist die ehrlichste Antwort, dass Sie gar keinen neuen Dienst brauchen, weil das vorhandene Paket bereits alles abdeckt. Wenn Sie ohnehin an Ihrem Kommunikations-Setup schrauben, passt der Blick auf DSGVO-konforme Videokonferenz-Tools gut dazu, denn dort stellen sich dieselben Fragen nach Standort, AVV und Verschlüsselung noch einmal.

Am Ende ist DSGVO-konformer Cloud-Speicher weniger eine Frage des richtigen Logos als eine der Hausaufgaben: AVV abschließen, Verschlüsselung prüfen, Backup einrichten, Exportweg testen. Wer diese vier Punkte einmal sauber erledigt, hat eine Ablage, die sowohl im Alltag funktioniert als auch einer Prüfung standhält.