Quelltext der Seite Nextcloud: Datenschutz, DSGVO und KI-Assistent

{{Steckbrief
| gilt_fuer   = Nextcloud 33–35 (Hub 26) im Unternehmen in Deutschland; DSGVO, BetrVG, EU-KI-Verordnung; Nextcloud Assistant mit lokalen oder externen KI-Anbietern; Stand Oktober 2026
| bereich     = Server-Software
| dauer       = Konfiguration ca. 1 Stunde; Dokumentation und Abstimmung ca. 1 Tag
| rechte      = Nextcloud-Administrator; Datenschutzbeauftragte, Geschäftsführung, gegebenenfalls Betriebsrat
| stand       = Oktober 2026
}}
'''Nextcloud datenschutzkonform betreiben''' ist einer der Hauptgründe, warum Unternehmen Nextcloud statt US-Clouddiensten wählen – die Daten bleiben auf eigenen Servern oder bei einem deutschen Hoster. Das allein reicht aber nicht: Papierkorb, Versionen, Aktivitätsprotokolle, Server-Logs und Backups halten personenbezogene Daten oft länger als nötig, und KI-Funktionen können Inhalte an externe Anbieter senden. Diese Anleitung zeigt die wichtigsten Einstellungen für Aufbewahrung und Löschung, die Dokumentation nach DSGVO, Hinweise zur Mitbestimmung und den datenschutzgerechten Einsatz des '''Nextcloud Assistant'''.

[[Datei:Nextcloud-Datenschutz.png|thumb|center|750px|Datenschutz und KI in Nextcloud: Aufbewahrung steuern mit trashbin_retention_obligation (Standard mindestens 30 Tage), versions_retention_obligation, activity_expire_days (Standard 365 Tage), remember_login_cookie_lifetime (15 Tage), Log-Rotation und Backup-Aufbewahrung; Impressum und Datenschutzerklärung im Design einstellen; Verzeichnis der Verarbeitungstätigkeiten, TOMs, AV-Vertrag mit Hoster; Betriebsrat bei Aktivitäts- und Prüfprotokollen; Nextcloud Assistant mit Bewertung grün bis rot: lokale Modelle über ExApps oder Ollama halten Daten im Haus, externe Anbieter wie OpenAI senden Inhalte nach außen; KI-Ausgaben werden gekennzeichnet und protokolliert.]]

== Aufbewahrung und Löschung einstellen ==
Die folgenden Werte stehen in <code>config/config.php</code> (bei All-in-One per <code>occ config:system:set</code> im Nextcloud-Container):
{| class="wikitable"
! Bereich !! Einstellung !! Standard !! Empfehlung
|-
| '''Papierkorb''' || <code>trashbin_retention_obligation</code> || <code>auto</code> – mindestens 30 Tage, früher bei knappem Kontingent || <code>'30, 60'</code>: mindestens 30, spätestens 60 Tage
|-
| '''Versionen''' || <code>versions_retention_obligation</code> || <code>auto</code> – automatisches Ausdünnen || z. B. <code>'auto, 365'</code>: spätestens nach einem Jahr löschen
|-
| '''Aktivitäten''' || <code>activity_expire_days</code> || 365 Tage || z. B. 90 Tage
|-
| '''Angemeldet bleiben''' || <code>remember_login_cookie_lifetime</code> || 15 Tage || belassen oder verkürzen
|-
| '''Server- und Webserver-Logs''' || Log-Rotation (logrotate) || – || feste Frist, z. B. 30–90 Tage
|-
| '''Prüfprotokoll''' (admin_audit) || Log-Rotation || – || Frist mit Datenschutz und Betriebsrat abstimmen
|-
| '''Backups''' || Aufbewahrung im Backup-Werkzeug || AIO: 7 Tage, 4 Wochen, 6 Monate || dokumentieren; gelöschte Daten verschwinden erst mit Ablauf
|}
<syntaxhighlight lang="bash">
docker exec --user www-data nextcloud-aio-nextcloud php occ config:system:set trashbin_retention_obligation --value="30, 60"
docker exec --user www-data nextcloud-aio-nextcloud php occ config:system:set activity_expire_days --value=90 --type=integer
</syntaxhighlight>
* Der Wert <code>disabled</code> beim Papierkorb bedeutet unbegrenzte Aufbewahrung – aus Sicht der DSGVO ungünstig.
* Die IP-Adressen des Brute-Force-Schutzes löscht Nextcloud nach 24 Stunden bzw. nach erfolgreicher Anmeldung selbst.
* '''Ausgeschiedene Mitarbeiter''': Dateien übertragen, Konto deaktivieren und nach Frist löschen, siehe [[Nextcloud: Benutzer, Gruppen, LDAP und SSO]].

== Dokumentation nach DSGVO ==
* '''Verzeichnis der Verarbeitungstätigkeiten''' (Art. 30 DSGVO): Dateiablage und Austausch, Kommunikation (Talk), Groupware – jeweils mit Datenkategorien, Empfängern und Fristen.
* '''Technische und organisatorische Maßnahmen''' (Art. 32): Verschlüsselung, Zwei-Faktor-Anmeldung, Härtung, Backup, Rechtekonzept – siehe [[Nextcloud: Sicherheit und Härtung]] und [[Technische und organisatorische Maßnahmen]].
* '''Auftragsverarbeitung''' (Art. 28): Mit dem Hoster bzw. Rechenzentrum und gegebenenfalls mit Anbietern für Backup, E-Mail-Versand oder KI einen AV-Vertrag abschließen, siehe [[Auftragsverarbeitung]].
* '''Informationspflicht''': Unter ''Verwaltungseinstellungen › Design'' die Adressen von '''Impressum''' und '''Datenschutzerklärung''' eintragen; sie erscheinen auf der Anmeldeseite und bei öffentlichen Links – auch für Externe.
* '''Betroffenenrechte''': Auskunft und Export unterstützt die App ''User migration''; die App ''Drop Account'' lässt Benutzer ihr Konto selbst löschen (mit allen Dateien – für Firmenkonten meist nicht gewünscht).
* '''Verbindungen nach außen''': Nextcloud kontaktiert u. a. App Store, Update-Server und standardmäßig einen STUN-Server der Nextcloud GmbH für Talk. In abgeschotteten Umgebungen <code>has_internet_connection</code> bzw. <code>appstoreenabled</code> anpassen und den STUN-Server durch einen eigenen ersetzen.

== Betriebsrat ==
* Aktivitätsstrom, Prüfprotokoll (admin_audit), Talk-Aufzeichnungen und Lesebestätigungen sind technisch geeignet, Verhalten und Leistung zu überwachen. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat dann ein Mitbestimmungsrecht.
* In einer '''Betriebsvereinbarung''' regeln: Zweck, Zugriff auf Protokolle nur anlassbezogen, Aufbewahrungsfristen, Aufzeichnung von Besprechungen, Einsatz von KI-Funktionen.

== Nextcloud Assistant und KI ==
Der '''Nextcloud Assistant''' bündelt KI-Funktionen: Texte zusammenfassen, umformulieren und übersetzen, Fragen zu eigenen Dateien beantworten (Context Chat), Sprache in Text umwandeln, Bilder erzeugen, Besprechungen zusammenfassen und als Agent Aufgaben in Nextcloud ausführen. Alle KI-Funktionen sind '''optional''' und werden über eigene Apps nachgerüstet.

'''Bewertung nach Datenschutz''' – Nextcloud kennzeichnet jede KI-Integration mit einer Ampel (grün bis rot) nach Offenheit von Software, Modell und Trainingsdaten sowie danach, ob Daten im Haus bleiben:
{| class="wikitable"
! Variante !! Beispiele !! Daten bleiben im Haus?
|-
| '''Lokale Apps (ExApps)''' || Local large language model 2 (Llama 3.1), Local Machine Translation 2, Whisper Speech-To-Text 2, Recognize || ja; GPU empfohlen, Docker Socket Proxy bzw. AppAPI nötig
|-
| '''Eigener Modellserver''' || App ''OpenAI and LocalAI integration'' mit Ollama oder LocalAI im eigenen Netz || ja
|-
| '''Europäische Anbieter''' || z. B. IONOS AI Model Hub, Plusserver, Mistral AI über dieselbe App || nein – AV-Vertrag, Standort prüfen
|-
| '''Internationale Anbieter''' || OpenAI, DeepL u. a. || nein – AV-Vertrag, Drittlandübermittlung prüfen
|}
'''Empfehlungen:'''
* Für Unternehmen mit sensiblen Daten '''lokale Modelle''' oder einen eigenen Modellserver nutzen; externe Anbieter nur nach Freigabe durch den Datenschutz und für klar umrissene Aufgaben.
* KI-Funktionen zunächst für eine Pilotgruppe freigeben; Benutzer zur Prüfung von KI-Ergebnissen schulen (KI-Kompetenz nach Art. 4 der EU-KI-Verordnung).
* '''Kennzeichnung''': Laut Nextcloud weisen KI-erzeugte Inhalte in der Oberfläche und in Dateien einen Hinweis „mit KI erzeugt“ auf; im Namen des Benutzers versandte Mails oder Termine werden entsprechend markiert.
* '''Protokollierung''': Alle KI-Anfragen werden in der Datenbank festgehalten, Änderungen an der KI-Konfiguration im Prüfprotokoll – diese Daten in die Löschfristen einbeziehen.
* Grundlagen: [[Large Language Model]], [[Künstliche Intelligenz]].

== Hinweise ==
* '''Keine Rechtsberatung:''' Fristen und Rechtsgrundlagen mit Datenschutzbeauftragten abstimmen.
* '''Hosting-Standort''': Bei gemieteten Servern auf Rechenzentren in der EU und einen Anbieter mit Sitz in der EU achten, um Zugriffe nach ausländischem Recht zu vermeiden.
* Bei Datenschutzkonzept, KI-Einführung und Betrieb souveräner Cloud-Lösungen unterstützt Sie das [https://www.max-it.de/it-services/it-consulting/ IT-Consulting von m.a.x. it].

== Siehe auch ==
* [[Nextcloud]] – Überblick und alle Artikel der Reihe
* [[DSGVO]]
* [[Paperless-ngx: KI-Funktionen mit Ollama oder OpenAI]]
* [[Vaultwarden: Datenschutz und Betrieb im Unternehmen]]

== Links und Quellen ==
* [https://docs.nextcloud.com/server/stable/admin_manual/gdpr/index.html Nextcloud Administrationshandbuch: GDPR compliance]
* [https://www.max-it.de/it-services/it-consulting/ IT-Consulting von m.a.x. it]

{{Uebermax}}
[[Kategorie:Server-Software]]