Cloud-Lösungen für Non-Profits: sicher, DSGVO-konform und trotzdem bezahlbar

Dienstagmorgen in einer Beratungsstelle. Die Fallakte liegt auf einem USB-Stick in der Handtasche der Kollegin, der Dienstplan wandert als Excel-Datei per E-Mail durchs Team, Termine werden in einer privaten Messenger-Gruppe abgestimmt, und die Fotos vom Sommerfest liegen in einem Cloud-Ordner, den vor drei Jahren ein Praktikant angelegt hat. Niemand weiß mehr, wem der Account gehört. Alles läuft. Bis es nicht mehr läuft.

Gemeinnützige Organisationen stecken in einem bemerkenswerten Missverhältnis: Sie arbeiten mit besonders sensiblen Daten, und trotzdem gibt es in vielen Einrichtungen niemanden, der hauptamtlich für die IT zuständig ist. Genau hier setzen moderne Cloud-Lösungen an. Nicht als Technikspielerei, sondern als Antwort auf eine Frage, die sich jeder Vorstand irgendwann stellen muss: Können wir nachweisen, dass unsere Daten sicher sind?

Warum ausgerechnet Non-Profits die härtesten Auflagen haben

Es klingt paradox. Ein mittelständischer Maschinenbauer verarbeitet Konstruktionszeichnungen und Kundenadressen. Eine Suchtberatungsstelle verarbeitet Diagnosen, Sorgerechtsentscheidungen und Angaben zu Straftaten. Der Maschinenbauer hat drei IT-Kräfte, die Beratungsstelle einen Kollegen, der sich freiwillig gemeldet hat.

Rechtlich landen gemeinnützige Organisationen in puncto Datenschutz fast immer in der obersten Schutzkategorie:

• Artikel 9 DSGVO stuft Gesundheitsdaten, religiöse, politische und weltanschauliche Überzeugungen, die sexuelle Orientierung sowie Angaben zur ethnischen Herkunft als besondere Kategorien personenbezogener Daten ein. Ihre Verarbeitung ist grundsätzlich verboten und nur unter engen Ausnahmen erlaubt.
• § 203 StGB stellt den Bruch der Schweigepflicht unter Strafe. Er gilt unter anderem für staatlich anerkannte Sozialarbeiterinnen und Sozialpädagogen, für Ärztinnen und Ärzte sowie für Beschäftigte anerkannter Beratungsstellen.
• § 35 SGB I schützt Sozialdaten. § 80 Absatz 2 SGB X erlaubt deren Verarbeitung im Auftrag ausdrücklich nur im Inland, in der EU beziehungsweise in gleichgestellten Staaten oder in einem Drittstaat, für den ein Angemessenheitsbeschluss vorliegt.

Welche Kategorien Sie betreffen, hängt von Ihrer Arbeit ab: eine Beratungsstelle verarbeitet Diagnosen, eine Menschenrechtsorganisation Namen von Betroffenen und Hinweisgebern, ein Umweltverband Spenderdaten, die politische Haltungen erkennen lassen. Die Schutzstufe ist in allen drei Fällen dieselbe.

Eine Regelung von 2017 wird dabei regelmäßig übersehen, obwohl sie über die gesamte Cloud-Frage entscheidet. Bis dahin war es für Berufsgeheimnisträger rechtlich riskant, überhaupt einen externen IT-Dienstleister einzuschalten. Viele Träger verzichteten deshalb ganz darauf. Seit der Reform dürfen Berufsgeheimnisträger externe IT-Dienstleister als sogenannte mitwirkende Personen einbinden, ohne sich strafbar zu machen. 

Der Gesetzgeber knüpft das an zwei Bedingungen: Die Einbindung muss erforderlich sein, der Dienstleister muss sorgfältig ausgewählt und schriftlich zur Verschwiegenheit verpflichtet werden. Wer diese Verpflichtung unterlässt, macht sich nach § 203 Absatz 4 StGB selbst strafbar.

Drei Fragen, die der Vorstand beantworten sollte

• Wo genau liegen unsere Daten, mit Adresse und Betreiber?
• Wer könnte darauf zugreifen, ohne dass wir davon erfahren?
• Wann wurde zuletzt getestet, ob sich unsere Daten aus dem Backup zurückholen lassen?

Der Lizenz-Einschnitt 2025 als Weckruf

Jahrelang war die Rechnung einfach: Microsoft stellte gemeinnützigen Organisationen bis zu zehn Lizenzen Microsoft 365 Business Premium sowie Office 365 E1 kostenfrei zur Verfügung. Damit ließ sich eine komplette Geschäftsstelle betreiben, ohne einen Cent für Software ausgeben zu müssen.

2025 hat Microsoft beide Spendenprogramme beendet, wirksam jeweils zur nächsten Vertragsverlängerung. Kostenfrei bleiben bis zu 300 Lizenzen Microsoft 365 Business Basic, allerdings ohne die installierten Desktop-Programme. Wer Word, Excel und Outlook weiterhin lokal nutzen möchte, muss zahlen. Es gibt weiterhin Rabatte von bis zu 75 Prozent gegenüber dem gewerblichen Preis – das Non-Profit-Engagement läuft inzwischen unter dem Namen Microsoft Elevate. 

Aus „kostenlos“ ist „günstiger“ geworden. Für einen Non-Profit-Haushalt, der auf Spenden und Zuwendungen beruht, ist das ein großer Unterschied. Für Vereine, Verbände und NGOs ist der Lizenz-Einschnitt ein guter Anlass, die eigene IT-Strategie zu überdenken – bevor die nächste Rechnung kommt.

Sie möchten wissen, was eine souveräne Alternative für Ihre Einrichtung konkret leistet?

Managed Nextcloud als Alternative entdecken

Die Anbieterwahl: Fünf Fragen, die Klarheit schaffen

Viele Anbieter werben mit „DSGVO-konform“. Das kann ein Serverstandort sein oder ein vollständig geprüftes Betriebskonzept. Die Spannweite ist enorm. Fünf Fragen holen das Verkaufsgespräch auf den Boden der Tatsachen.

Frage an den Anbieter	Warum sie zählt	Woran Sie eine gute Antwort erkennen
In welchem Rechenzentrum liegen unsere Daten und wie lautet die  Adresse?	Sozialdaten dürfen im Auftrag nur im Inland, in der EU oder in einem Drittstaat mit Angemessenheitsbeschluss verarbeitet werden.	Der Anbieter nennt Standorte und Zertifikate, ohne lange zu suchen.
Wer sind die Unterauftragnehmer?	Die Kette entscheidet. Ein deutscher Anbieter mit US-Subdienstleister verschiebt das Problem nur.	Eine vollständige Liste liegt dem Auftragsverarbeitungsvertrag bei und wird gepflegt.
Verpflichten Sie Ihre Beschäftigten auf die Schweigepflicht?	Bei Berufsgeheimnisträgern verlangt § 203 Abs. 4 StGB genau das vom Auftraggeber.	Der Anbieter kann die vertragliche Regelung benennen und ist bereit, eine ergänzende Vereinbarung zu unterzeichnen.
Wie oft wird gesichert, und wann wurde zuletzt eine Wiederherstellung getestet?	Ein Backup, das noch nie zurückgespielt wurde, ist kein Schutz.	Der Anbieter nennt Sicherungsintervalle, Aufbewahrungsdauer und den letzten Test.
Was passiert, wenn wir kündigen?	Datenexport und Löschfristen entscheiden darüber, ob Sie frei bleiben.	Export in offenen Formaten, dokumentierte Löschung, keine Ausstiegsgebühr.

Dürfen US-Dienste weiterhin genutzt werden?

Ein US-Gesetz namens CLOUD Act verpflichtet amerikanische Anbieter, Daten an US-Behörden herauszugeben – auch dann, wenn diese auf europäischen Servern liegen. Datenschutzrechtlich ist das heikel, denn die DSGVO lässt die Herausgabe an Behörden aus Drittstaaten grundsätzlich nur auf dem Weg der Rechtshilfe zu. Erlaubt sind Transfers an US-Dienste trotzdem: Seit Juli 2023 gibt es dafür ein Abkommen zwischen der EU und den USA, das EU-US Data Privacy Framework. Ein erster Versuch, es vor Gericht zu kippen, scheiterte im September 2025.

Es ist bereits das dritte Abkommen dieser Art – die beiden Vorgänger wurden vom Europäischen Gerichtshof aufgehoben, zuletzt 2020. Gegen das aktuelle läuft ein Berufungsverfahren, und die US-Behörde, die die Zusagen durchsetzen soll, hat 2026 durch ein Urteil des Supreme Court an Unabhängigkeit verloren. Die EU-Kommission kann den Beschluss zurücknehmen, wenn sich die Lage ändert.

Wer Sozialdaten verarbeitet, hat noch eine zusätzliche Hürde: § 80 SGB X lässt die Verarbeitung im Auftrag nur in Deutschland, der EU, gleichgestellten Staaten und solchen Drittstaaten zu, für die ein Angemessenheitsbeschluss vorliegt. Die USA erfüllen das derzeit – bei einer Kehrtwende wären Leistungsträger und Jugendhilfe jedoch sofort ohne Rechtsgrundlage.

Wer heute in Deutschland speichert, muss dagegen nichts umbauen. Und genau das ist der Punkt: Datensouveränität ist hier nicht nur Haltung, sondern vor allem eine Frage der Planungssicherheit.

Datensicherheit im Sozialsektor: Vertrauenssache

Ein Datenleck ist für jedes Unternehmen unangenehm. Bei einer Beratungsstelle oder einem Jugendhilfeträger trifft es tiefer: Hier geht es um Menschen, die sich in einer verletzlichen Lage anvertraut haben. Wer dieses Vertrauen einmal verliert, gewinnt es nicht mit einer Pressemitteilung zurück.

Die Bedrohungslage ist längst kein Randthema mehr. Nach der Bitkom-Studie „Wirtschaftsschutz 2025“ waren 87 Prozent der befragten Unternehmen in Deutschland binnen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen. Der Gesamtschaden lag bei 289,2 Milliarden Euro, davon entfielen 202,4 Milliarden auf Cyberangriffe. Ransomware, also die Verschlüsselung von Daten mit anschließender Lösegeldforderung, traf 34 Prozent der Unternehmen.

Dass soziale Einrichtungen nicht außen vor bleiben, hat sich mehrfach gezeigt. Beim Angriff auf die Berliner Johannesstift Diakonie im Oktober 2024 waren nach Presseberichten Daten von bis zu 200.000 Patientinnen und Patienten betroffen. Für Angreifer zählen oft nur offene Türen.

Eine professionell betriebene Plattform schließt diese Türen mit Mitteln, die einzeln unspektakulär sind und gemeinsam den Unterschied machen:

• Zwei-Faktor-Authentifizierung, damit ein gestohlenes Passwort allein nichts wert ist
• Verschlüsselung auf dem Transportweg und im Speicher
• Rollen- und Rechtekonzepte, die den Zugriff auf das Notwendige begrenzen
• Protokollierung, damit im Ernstfall nachvollziehbar bleibt, wer was getan hat
• Backups mit getesteter Wiederherstellung, dazu laufendes Monitoring und zeitnahe Updates

Unsicher, wie belastbar Ihre heutige Lösung im Ernstfall ist? Unsere Managed Services übernehmen Monitoring, Updates und Backup für Sie.

Nextcloud: Die deutsche Antwort auf Microsoft 365 & Co.

Die Software, die im Sozialsektor besonders häufig als Alternative auftaucht, kommt aus Stuttgart. Vollständig quelloffen und inhabergeführt, hat sich Nextcloud seit 2016 zu einer kompletten Kollaborationsplattform entwickelt: von der reinen Dateiablage zu einem System für Chat, Videokonferenzen, Kalender, Kontakte, Aufgabenmanagement und Office-Bearbeitung.

Wie gut das läuft, zeigt sich derzeit in den Landesverwaltungen. Schleswig-Holstein hat im Oktober 2025 die Landesverwaltung mit mehr als 40.000 Postfächern auf quelloffene Mail- und Kalendersoftware umgestellt. Mecklenburg-Vorpommern hat im Juli 2026 den Wechsel von Microsoft SharePoint auf Nextcloud begonnen: Rund 5.000 Beschäftigte arbeiten bereits damit, perspektivisch sollen es bis zu 50.000 werden. Die eingesetzte Plattform läuft nach Herstellerangaben auf über 500.000 Servern weltweit.

Wenn Landesverwaltungen mit Zehntausenden Arbeitsplätzen diesen Weg gehen, ist die Frage der technischen Reife beantwortet. Für eine Einrichtung mit 30 Beschäftigten ist das Vorhaben um ein Vielfaches kleiner.

Der NMMN-Ansatz: Managed heißt, dass Sie sich um nichts kümmern müssen

NMMN betreibt mehrere zertifizierte Rechenzentren in Deutschland, die über redundante Glasfaser-Anbindungen miteinander vernetzt sind. Für soziale Einrichtungen bedeutet das: Ihre Daten liegen nachvollziehbar in Deutschland, auf einer Infrastruktur, die auch für Firmen, Behörden und Freiberufler mit hohen Sicherheitsanforderungen ausgelegt ist, und werden vollständig gemanagt betrieben. Sie müssen also weder eine eigene IT-Abteilung für Updates und Backups vorhalten noch sich selbst mit Serverwartung beschäftigen.

Aus der Praxis: Cloud-Infrastruktur für ein Kinderkrebszentrum

Wie das in einer Einrichtung aussieht, in der besonders schützenswerte Daten den Alltag bestimmen, zeigt ein Projekt aus dem eigenen Kundenkreis: Für das Kinderkrebs-Zentrum Hamburg betreibt NMMN eine Managed-Nextcloud-Umgebung. Das Team tauscht darüber Dokumente aus und arbeitet gemeinsam daran – der Betrieb inklusive Updates, Sicherungen und Überwachung liegt vollständig bei NMMN, und die Daten bleiben in deutschen Rechenzentren.

„Wer mit hochsensiblen Daten arbeitet, hat andere Sorgen als Serverwartung. Unsere Aufgabe ist, dass das Team im Kinderkrebs-Zentrum nicht über die Cloud nachdenken muss.“

— Tobias Link, Sales Manager NMMN

Das Thema liegt uns nicht nur beruflich nahe: NMMN unterstützt die Kinderkrebsforschung seit Jahren auch mit Spenden.

Wie gemeinnützige Organisationen die Plattform im Alltag nutzen

Ob Diakonie, Jugendhilfeträger, Beratungsstelle oder NGO: Der Aufbau ist im Kern immer gleich. NMMN übernimmt Einrichtung, Konfiguration, Updates, Monitoring und Support, während sich das Team der Organisation auf die eigentliche Arbeit konzentrieren kann.

• Teamarbeit ohne Versions-Wirrwarr: Dokumente liegen einmal zentral statt in fünf Versionen in verschiedenen Postfächern. Wer eine ältere Fassung braucht, holt sie über die Versionshistorie zurück. Für gleichzeitiges Arbeiten am selben Dokument gibt es die Bearbeitung direkt im Browser.
• Freigaben nach außen: Jugendamt, Klinik, Fördergeber oder Partnerorganisation erhalten einen passwortgeschützten Link mit Ablaufdatum, statt eines Anhangs, der für immer im Posteingang liegt. Umgekehrt liefern Externe in einen Upload-Ordner, ohne den Rest Ihrer Ablage zu sehen.
• Unterwegs im Dienst: Mobile Pflege, aufsuchende Familienhilfe, Schulbegleitung – Zugriff auf Dienstpläne und Unterlagen per App, verschlüsselt übertragen. Geht ein Gerät verloren, entziehen Sie ihm den Zugriff und löschen die lokal gespeicherten Daten aus der Ferne.
• Gremien und Vorstandsarbeit: Tagesordnungen, Anlagen und Protokolle an einem Ort, sichtbar nur für Berechtigte. Wer neu in den Vorstand kommt, bekommt einen Zugang statt eines Ordners voller PDF-Dateien.

Microsoft 365 und Managed Nextcloud im Vergleich

Kriterium	Microsoft 365 für Non-Profits (Stand Mitte 2026)	Managed Nextcloud von NMMN
Lizenzmodell	Kostenpflichtig mit Non-Profit-Rabatt; nur noch bis zu 300 Basic-Lizenzen ohne Desktop-Apps bleiben gratis	Keine Lizenzkosten, planbare monatliche Servicekosten für Hosting und Betreuung
Rechtsraum / Anbieter	US-Konzern, damit grundsätzlich im Anwendungsbereich des CLOUD Act	Deutsches Unternehmen, deutsches Recht, deutsche Rechenzentren
Office-Programme	Lokale Desktop-Version nur mit kostenpflichtigem Tarif enthalten	Lokal installiertes Office bleibt nutzbar, Synchronisation über den Nextcloud Desktop Client
Videokonferenzen / Chat	Microsoft Teams	Nextcloud Talk
Support	Support über Partnernetz und Ticketsystem, kein fester Ansprechpartner	Fester Ansprechpartner, persönliche 24/7-Betreuung durch NMMN

Sie möchten wissen, ob Managed Nextcloud zu Ihrer Organisation passt? Am besten probieren Sie es einfach aus: Fordern Sie einen kostenlosen Demo-Zugang zu einer fertig eingerichteten Testumgebung an.

Kostenlosen Test-Zugang für Ihre Einrichtung anfordern

Der Wechsel Schritt für Schritt

Die häufigste Sorge in Einführungsgesprächen: „Muss das Team jetzt alles neu lernen?“ Eine berechtigte Frage, denn in einer Einrichtung mit hoher Teilzeitquote und wechselnden Ehrenamtlichen ist jede Umstellung teuer.

Wie der Umstieg abläuft, hängt davon ab, womit Sie heute arbeiten. Wer Microsoft Office lokal installiert hat, behält es einfach: Ein Synchronisationsprogramm überträgt die Dateien im Hintergrund, gewachsene Excel-Dateien und Makros laufen unverändert weiter. Wer dagegen bereits im Browser arbeitet, etwa mit Google Workspace, tauscht die Oberfläche – die Arbeitsweise mit gemeinsam bearbeiteten Dokumenten bleibt dieselbe. Der Export der bestehenden Dateien gehört in beiden Fällen zur Migration, die wir übernehmen.

Erst danach nehmen Sie sich die weiteren Bausteine vor, und zwar in dem Tempo, das zu Ihnen passt:

• Dateiablage zuerst, weil sie den größten Nutzen bringt und niemanden überfordert
• Danach Kalender, Kontakte und Aufgaben, damit Terminabstimmung nicht mehr im Messenger stattfindet
• Anschließend Chat und Videokonferenzen als Alternative zu US-Diensten, inklusive Bildschirmfreigabe für Elternabende oder Teambesprechungen
• Zuletzt, wenn überhaupt gewünscht, die gemeinsame Bearbeitung im Browser mit einer Office-Alternative

Bis zu 20.000 Euro Zuschuss für Ihr Digitalprojekt

Für die Umstellung selbst gibt es Fördermöglichkeiten. Das Programm 100xDigital der Deutschen Stiftung für Engagement und Ehrenamt unterstützt gemeinnützige Organisationen mit einem Zuschuss von bis zu 20.000 Euro für ein Digitalprojekt, verbunden mit Qualifizierung und Beratung. Auch die Aktion Mensch fördert Digitalvorhaben, und mehrere Bundesländer haben eigene Programme aufgelegt. Bevor das Vorhaben am Budget scheitert, lohnt sich ein Blick in die Förderdatenbanken.

Fazit: Souveränität macht Ihre IT planbar

Für gemeinnützige Organisationen fällt gerade vieles zusammen. Gestiegene Datenschutzanforderungen, wegfallende Gratis-Lizenzen, eine Bedrohungslage, die keine Rücksicht auf gute Absichten nimmt. Das klingt nach schlechten Nachrichten, ist aber vor allem ein guter Anlass: um eine Entscheidung zu treffen, die ohnehin ansteht.

Eine gemanagte Cloud aus deutschen Rechenzentren löst dabei drei Probleme gleichzeitig. Sie schafft Rechtssicherheit, weil die Daten dort bleiben, wo Sie es verantworten können. Sie schafft Planbarkeit, weil Sie Betriebskosten statt Lizenzrisiken kalkulieren. Und sie schafft Ruhe, weil sich jemand anderes um Updates, Sicherungen und Überwachung kümmert.

Wenn die IT verlässlich funktioniert, bleibt wieder Zeit für die Arbeit, für die Ihre Organisation eigentlich gegründet wurde.

Lassen Sie uns unverbindlich über Ihre Ausgangslage sprechen. Wir hören zu, bevor wir etwas empfehlen. Vereinbaren sie einen Termin!

Lars Sommerfeldt

Geschäftsführer, NMMN