Nextcloud DSGVO konform betreiben

Auch wenn die Einführung der Datenschutz-Grundverordnung (DSGVO), schon etwas zurückliegt, ist sie ständig präsent und im deutschen Raum kaum mehr wegzudenken. Betreiben Sie also eine Nextcloud Instanz, müssen auch Sie sich an geltendes Recht halten.

Dieser Beitrag gibt keine Rechtssicherheit und der Betreiber übernimmt keine Gewährleistung für Klarheit, Beständigkeit, Vorhersehbarkeit und Rechtsnormen sowie die an diese gebundenen konkreten Rechtspflichten und Berechtigungen.

Welche Daten werden erhoben?

Diese Frage ist gar nicht mal so schnell zu beantworten. Denn es spielen einige Faktoren hinein, die offensichtlich sind und einige sind es nicht. Hier ein kleiner Exkurs, was alles unter personenbezogene Daten fällt.

Definition personenbezogene Daten

Gesetzlich definiert wird der Begriff personenbezogene Daten in Artikel 4 der DSGVO als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person [...] beziehen“.

Daten gelten nur dann als personenbezogen, wenn sie sich auf eine natürliche Person beziehen. Natürlich ist dabei eine lebende Person unabhängig ihrer Herkunft.

Juristische Personen wie Gesellschaften, Vereine oder Stiftungen fallen nicht unter die Definition und sind damit nicht durch die DSGVO geschützt.

Welche Daten zählen dazu?

Grundsätzlich fallen alle Daten unter die personenbezogenen Daten, mit deren Hilfe ein Personenbezug hergestellt werden kann.

Artikel 4 der DSGVO spricht dabei von einer Zuordnung einer Person „wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind“.

Es wären unter anderem diese:

• Name
• Adresse
• Telefonnummer
• die Kreditkarten- oder Personalnummer
• Autokennzeichen
• Kontodaten
• Online-Daten wie IP-Adresse oder Standortdaten

Somit kann diese Frage auch nur von Ihnen beantwortet werden, da eine Datenerhebung sehr umfangreich sein kann.

Welche Daten erhebt der Server?

Jeder Webserver im Internet erhebt Daten, die unter die DSGVO fällt. Und zwar spreche ich hier, über die Server-Logfiles. Welche Daten im genauen gemeint sind:

• IP-Adresse eines Besuchers
• verwendeter Browser
• das genutzte Betriebssystem
• Zugriffszeitpunkt
• Cookies?

Profilinformationen Ihrer Nextcloud

Auch in Ihrer Cloud werden Daten erfasst. Allerdings geschieht dies nicht automatisch, sondern der Nutzer muss diese aktiv hinterlegen. Da hier auch Profilfelder hinzugefügt werden können, kann die Masse der Daten ein enormes Ausmaß annehmen.

Nextcloud Apps

Die Nextcloud GmbH, hat selbst einige Apps in Ihrem App-Store, die das Leben des Administrators ein wenig erleichtern.

• Terms of service
• Auditing / Logging
• File access control
• User account deletion
• Theming
• Impressum (Link)
• Datenschutzerklärung (Link)

Datenschutzerklärung

Eine Datenschutzerklärung ist ein Dokument, das angibt, welche persönlichen Daten Sie zu welchem Zweck von Ihren Nutzern erfassen und wie Sie diese privat halten.

Der Zweck der Datenschutzrichtlinie besteht darin, Ihre Benutzer darüber zu informieren, wie mit ihren Daten umgegangen wird. Daher sollte die Datenschutzrichtlinie für Ihre Benutzer zugänglich und in einer einfachen und lesbaren Sprache gehalten werden.

Wie diese aussehen kann, zeigt dieses Muster.

Impressum

Fast alle Betreiber von Internetseiten müssen Nutzern bestimmte Angaben über ihre Identität bereitstellen. Der Gesetzgeber hat dies im Telemediengesetz (TMG) geregelt. Er spricht dort von allgemeinen Informationspflichten.

Wer muss ein Impressum angeben?

Wenn die Impressumspflicht trifft, regelt primär § 5 TMG. Grundsätzlich kann man sagen, dass die Pflicht für alle Anbieter einer Internetseite gilt, wenn die Plattform geschäftlichen Zwecken dient. Damit fallen ausschließlich privat genutzte Seiten nicht unter die Impressumspflicht (§ 18 Medienstaatsvertrag spricht von „ausschließlich persönlichen oder familiären Zwecken“).

Wichtig: Ist auf der privat genutzten Seite Werbung geschaltet, mit der Geld verdient wird, kann dies eine Impressumspflicht begründen.

Vor allem Verkaufsplattformen wie Online-Shops und Suchmaschinen müssen ein Impressum angeben. Aber auch Accounts in sozialen Netzwerken wie Facebook und Co. benötigen ein Impressum, wenn das Konto auch gewerblich, beispielsweise für Stellenanzeigen, genutzt wird.

Die Aktivität muss auf einen längeren Zeitraum angelegt sein. Gemeint ist damit, dass bei bloß gelegentlichen Tätigkeiten wie seltenen Verkäufen auf einer Auktions-Plattform kein Impressum angegeben werden muss.

§ 5 TMG spricht außerdem von „in der Regel gegen Entgelt angebotene Telemedien“. Es genügt also, wenn mit der angebotenen Leistung auf dem Markt Geld verdient werden kann. Der Anbieter muss dies nicht zwingend tun.

Was muss ein Impressum enthalten?

Es gibt bestimmte Mindestanforderungen an das Impressum. Daneben hält das Gesetz für verschiedene Gruppen die Pflicht für weitere Angaben bereit. Aber nun erst einmal zu den allgemeinen Anforderungen. Danach muss das Impressum enthalten:

• Den Namen (bei natürlichen Personen sind es Vor- und Nachname. Bei Unternehmen, also den sogenannten juristischen Personen, der Unternehmensname sowie Name und Vorname des Vertretungsberechtigten),
• bei juristischen Personen außerdem die Rechtsform,
• die Anschrift (Straße, Hausnummer, Postleitzahl und Ort. Nicht ausreichend ist ein Postfach),
• einen Kontakt, unter dem Sie die Person oder das Unternehmen schnell erreichen können – elektronisch als auch nicht elektronisch. In der Regel sind das E-Mail-Adresse und Telefonnummer,
• soweit vorhanden, die Umsatzsteuer- oder Wirtschaftssteuer-Identifikationsnummer,
• ebenfalls, soweit vorhanden, das Handels-, Vereins-, Partnerschafts- oder Genossenschaftsregister mit Registernummer.

Wo muss das Impressum stehen?

Bei den meisten Anbietern ist das Impressum über einen Link zu finden. Das ist auch ausreichend, soweit dieser Link gut sichtbar und von jeder Seite aus abrufbar ist. Das Gesetz spricht von „leicht erkennbar, unmittelbar erreichbar und ständig verfügbar zu halten“.