Cloudsoftware auswählen: Daten, Rollen und Ausstieg mitprüfen
Cloudsoftware für Vereine prüfen: Datenverarbeitung, Berechtigungen, Verträge, Sicherung und Ausstieg vor der Auswahl klären.
Cloudsoftware verlagert technische Aufgaben, aber nicht automatisch die Verantwortung des Vereins für seine Daten. Die Auswahl sollte deshalb über eine Funktionsliste hinausgehen.
Anforderungen und Datenarten beschreiben
Notiert die tatsächlichen Aufgaben und die dafür benötigten Daten. Unterscheidet öffentliche Inhalte, interne Verwaltung und besonders schutzbedürftige Informationen. Ein erfolgreicher Test mit erfundenen Beispieldaten bestätigt noch nicht die rechtliche Eignung für echte Mitgliedsdaten.
Artikel 6 DSGVO (amtlicher BMF-Text) verlangt eine passende Grundlage für die Verarbeitung. Bei Auftragsverarbeitung sind die Anforderungen von Artikel 28 DSGVO (EUR-Lex) zu prüfen. Dazu gehören die konkrete Anbieterrolle und erforderliche Vereinbarungen. Ein Rechenzentrumsstandort allein beantwortet nicht jede Datenschutzfrage.
Betrieb und Berechtigungen testen
Erprobt Rollen, Vertretung, Datenexport und Fehlerkorrektur. Prüft, ob Personen nur die für ihre Aufgabe notwendigen Informationen sehen. Der BSI: Cloud-Dienste sicher nutzen empfiehlt unter anderem zusätzlichen Schutz des Zugangs durch einen zweiten Faktor. Die konkrete Umsetzung muss zum Sicherheitsbedarf passen.
Legt fest, wer Konten verwaltet, Updates beziehungsweise Anbieteränderungen bewertet und bei Vorfällen erreichbar ist. Synchronisierung und Datensicherung sollten nicht ungeprüft gleichgesetzt werden.
Den Ausstieg vorher klären
Welche Daten und Unterlagen lassen sich in welchem Format exportieren? Was geschieht bei Vertragsende und wie werden verbleibende Kopien behandelt? Testet die benötigten Exporte mit unkritischen Daten und prüft die Vertragsbedingungen.
Bedeutet „Cloud“, dass keine eigene Sicherungsplanung nötig ist?
Nein. Welche Wiederherstellung der Anbieter tatsächlich leistet, ergibt sich aus dem vereinbarten Dienst. Der Verein muss seinen Bedarf kennen und die angemessenen Maßnahmen nach Artikel 32 DSGVO (EUR-Lex) organisieren.
Geltungsbereich: Deutschland. Amtliche und weitere Primärquellen geprüft am 23. Oktober 2026. Arbeitsschritte und ausdrücklich bezeichnete Beispiele sind eigene redaktionelle Vorschläge.
