# Dropbox-Alternative für Kanzleien: Nextcloud DSGVO-konform nutzen

> Warum US-Filesharing für Kanzleien riskant ist und wie du Nextcloud als DSGVO-konforme Dropbox-Alternative rechtssicher einsetzt.

Quelle: https://www.allapps.cloud/blog/dropbox-alternative-kanzleien-nextcloud
Veröffentlicht: 2026-08-17
Herausgeber: AllAppsCloud — Wodanio (https://www.wodanio.com)

---

Wer in einer Kanzlei nach einer Dropbox-Alternative sucht, hat meist ein konkretes Problem: Mandantenunterlagen liegen auf einem Dienst, dessen Anbieter aus den USA kommt, der Verarbeitungsvertrag ist ein Standardformular, und niemand kann verbindlich sagen, wer auf die Dateien technisch zugreifen könnte. Für Anwältinnen, Steuerberater und Notare ist das keine Geschmacksfrage, sondern ein Haftungsthema. Dieser Artikel zeigt, welche rechtlichen Anforderungen wirklich gelten und wie du Nextcloud DSGVO-konform als Ablage für Mandatsdaten betreibst.

## Das Problem ist nicht die DSGVO allein

Bei Berufsgeheimnisträgern greifen zwei Regelwerke gleichzeitig, und das strengere gewinnt.

Die DSGVO verlangt in Art. 28 einen Auftragsverarbeitungsvertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt und den Auftragsverarbeiter verpflichtet, personenbezogene Daten nur auf dokumentierte Weisung zu verarbeiten. Art. 32 DSGVO fordert zusätzlich geeignete technische und organisatorische Maßnahmen — ausdrücklich genannt sind Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen.

Darüber liegt das Strafrecht. § 203 Abs. 1 StGB stellt das unbefugte Offenbaren fremder Geheimnisse unter Strafe — für Ärzte, Rechtsanwälte, Notare, Wirtschaftsprüfer, Steuerberater und weitere Berufe, mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Entscheidend für die Cloud-Frage ist Absatz 3: Kein Offenbaren liegt vor, wenn Geheimnisse gegenüber „sonstigen Personen" zugänglich gemacht werden, die an der beruflichen Tätigkeit mitwirken — „soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist". Ein Hosting-Dienstleister kann also legal eine mitwirkende Person sein. Aber § 203 Abs. 4 StGB sanktioniert es ausdrücklich, wenn der Berufsgeheimnisträger nicht dafür Sorge getragen hat, dass diese mitwirkende Person zur Geheimhaltung verpflichtet wurde.

Für Anwälte konkretisiert § 43e BRAO das: Der Vertrag mit dem Dienstleister bedarf der **Textform**, der Dienstleister ist unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit zu verpflichten, er darf sich nur soweit Kenntnis verschaffen, wie es zur Vertragserfüllung erforderlich ist, und es muss festgelegt werden, ob er Subdienstleister heranziehen darf. § 43e Abs. 2 BRAO verlangt eine sorgfältige Auswahl und die unverzügliche Beendigung der Zusammenarbeit, wenn die Einhaltung dieser Vorgaben nicht mehr gewährleistet ist.

Besonders wichtig ist § 43e Abs. 4 BRAO: Bei Dienstleistungen, die **im Ausland** erbracht werden, darf der Anwalt den Zugang zu fremden Geheimnissen nur eröffnen, wenn der dortige Schutz dem Schutz im Inland vergleichbar ist. Genau an dieser Stelle wird US-Filesharing unangenehm.

## Warum ein Angemessenheitsbeschluss die Berufspflicht nicht ersetzt

Datenschutzrechtlich ist der Transfer in die USA seit dem Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 wieder auf einer Grundlage — personenbezogene Daten dürfen an teilnehmende US-Unternehmen fließen. Der Beschluss folgte auf eine Executive Order und eine Regulation des US-Justizministers, die auf die Kritik des EuGH aus der Schrems-II-Entscheidung von Juli 2020 reagieren.

Das löst aber nur die DSGVO-Frage, nicht die berufsrechtliche. § 203 StGB und § 43e BRAO fragen nicht nach einem Angemessenheitsbeschluss, sondern nach Erforderlichkeit, nach einer wirksamen Verschwiegenheitsverpflichtung deines konkreten Dienstleisters und nach vergleichbarem Geheimnisschutz im Ausland. Ein Angemessenheitsbeschluss ist außerdem politisch angreifbar — zwei Vorgängerregelungen sind vor dem EuGH gescheitert. Wer Mandatsakten in eine Infrastruktur legt, deren Rechtsgrundlage schon zweimal gekippt ist, baut ein Restrisiko ein, das er nicht selbst steuern kann.

Hinzu kommt ein praktisches Problem: Bei den großen US-Filesharing-Diensten kannst du weder die Subdienstleisterkette wirklich begrenzen noch verhandeln, welche Mitarbeiter administrativen Zugriff haben. Die Anforderung „nur soweit Kenntnis verschaffen, wie zur Vertragserfüllung erforderlich" ist bei einem standardisierten Massendienst schwer belegbar.

## Was Nextcloud in der Kanzlei praktisch ersetzt

Nextcloud ist keine reine Dateiablage, sondern ersetzt Dateiablage, Kalender, Kontakte und Office-Zusammenarbeit durch eine Plattform, die vollständig unter deiner Kontrolle läuft. Für Kanzleien sind vor allem vier Bausteine relevant:

- **Dateien und Freigaben** — zentrale Ablage mit Versionierung, Freigabelinks mit Passwortschutz und Ablaufdatum. Das ersetzt den unverschlüsselten E-Mail-Anhang an den Mandanten, der bis heute die häufigste reale Schwachstelle im Kanzleialltag ist.
- **Kalender und Kontakte** — CalDAV und CardDAV für alle gängigen Clients, inklusive geteilter Teamkalender und Ressourcenbuchung für Besprechungsräume.
- **Zusammenarbeit an Dokumenten** — gemeinsames Bearbeiten von Texten und Tabellen im Browser, ohne dass Entwürfe einen fremden Dienst erreichen.
- **Desktop- und Mobile-Sync** — offizielle Clients für Windows, macOS, Linux, iOS und Android, damit das Notebook im Homeoffice denselben Stand hat wie der Arbeitsplatz.

Wichtig ist die Rollenteilung: Die Vertraulichkeit entsteht nicht durch die Software, sondern durch den Betrieb. Nextcloud kannst du auch so aufsetzen, dass es die Anforderungen verletzt — etwa mit öffentlichen Freigabelinks ohne Ablaufdatum, ohne Backup-Konzept oder mit einem Serverstandort, den niemand dokumentiert hat.

## Die Betriebsfrage: selbst hosten oder managed?

Selbst hosten heißt: Du bist der Auftragsverarbeiter. Updates, Härtung, Backup-Tests, Monitoring und Log-Auswertung liegen bei dir oder deinem IT-Dienstleister. Rechtlich ist das die klarste Variante, personell ist sie in kleinen Kanzleien meist unrealistisch — eine Nextcloud, deren Sicherheitsupdates drei Monate liegen bleiben, ist gefährlicher als jeder US-Dienst.

Managed Hosting verlagert genau diese Betriebslast, ohne die Kontrolle über die Daten in ein Drittland zu geben — vorausgesetzt, der Anbieter erfüllt die Anforderungen aus § 43e BRAO und Art. 28 DSGVO in Textform und betreibt im Inland.

Genau darauf ist [AllAppsCloud](https://www.allapps.cloud/) ausgelegt: Managed Open Source Hosting der Wodanio GmbH aus einem eigenen deutschen Rechenzentrum, ausdrücklich ohne Hyperscaler im Unterbau. Bei [Nextcloud Hosting](https://www.allapps.cloud/nextcloud-hosting) bekommst du eine Installation im deutschen Rechenzentrum inklusive Backups, Updates und Monitoring; du verwaltest Nutzer, Freigaben und Apps, der Betrieb darunter liegt beim Anbieter. Als Ergänzung im Kanzleialltag ist [Paperless-ngx Hosting](https://www.allapps.cloud/paperless-ngx-hosting) interessant, weil damit gescannte Eingangspost volltextdurchsuchbar wird statt nur abgeheftet. Den vollständigen Katalog findest du unter [allapps.cloud/hosting](https://www.allapps.cloud/hosting).

Zwei Hinweise zur Ehrlichkeit: AllAppsCloud befindet sich in der Pre-Launch-Phase — die Apps sind mit „bald" markiert, es gibt aktuell keine veröffentlichten Preise, sondern eine Early-Access-Warteliste. Und die ISO-27001-Zertifizierung befindet sich in der Zertifizierung, ist also noch nicht abgeschlossen. Für eine Kanzlei, die heute eine Entscheidung treffen muss, ist das ein relevanter Punkt bei der Auswahlprüfung nach § 43e Abs. 2 BRAO.

## Checkliste vor der Umstellung

- Vertrag in Textform, mit ausdrücklicher Verschwiegenheitsverpflichtung und Belehrung über die strafrechtlichen Folgen (§ 43e Abs. 3 BRAO)
- Regelung, ob und welche Subdienstleister zulässig sind — inklusive Verpflichtung, diese ebenfalls in Textform zu binden
- Serverstandort dokumentiert; keine Verarbeitung in Drittländern ohne Prüfung nach § 43e Abs. 4 BRAO
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Verzeichnis der Verarbeitungstätigkeiten aktualisiert
- Technische Maßnahmen nach Art. 32 DSGVO belegt: Verschlüsselung, Zugriffsbeschränkung, getestete Wiederherstellung
- Interne Regeln für Freigabelinks: immer Passwort, immer Ablaufdatum, keine Dauerlinks für Mandatsakten
- Mandanteneinwilligung dort einholen, wo die Dienstleistung unmittelbar einem einzelnen Mandat dient (§ 43e Abs. 5 BRAO)

## Häufige Fragen

### Ist Nextcloud automatisch DSGVO-konform?

Nein. Nextcloud ist Software, keine Compliance-Zusage. Konform wird erst der konkrete Betrieb: Serverstandort, Auftragsverarbeitungsvertrag, technische Maßnahmen nach Art. 32 DSGVO, Backup-Konzept und die eigene Konfiguration von Freigaben und Rechten. Dieselbe Software kann rechtskonform oder grob fahrlässig betrieben werden.

### Darf ich als Anwalt Mandantendaten überhaupt bei einem Hosting-Anbieter speichern?

Ja, § 203 Abs. 3 StGB erlaubt es, mitwirkende Personen einzubeziehen, soweit das für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. § 43e BRAO nennt dafür die Bedingungen: Vertrag in Textform, Verschwiegenheitsverpflichtung mit Belehrung, Begrenzung der Kenntnisnahme, Regelung zu Subdienstleistern und sorgfältige Auswahl. Ohne diese Verpflichtung droht nach § 203 Abs. 4 StGB eigene Strafbarkeit.

### Reicht der Angemessenheitsbeschluss zum Data Privacy Framework für eine Kanzlei aus?

Für die datenschutzrechtliche Übermittlung in die USA ist er die Grundlage — seit dem 10. Juli 2023. Die berufsrechtliche Prüfung nimmt er dir nicht ab: § 43e Abs. 4 BRAO verlangt bei Dienstleistungen im Ausland einen dem Inland vergleichbaren Geheimnisschutz, und diese Bewertung musst du selbst dokumentieren. Ein Hosting im Inland macht diese Prüfung schlicht überflüssig.