Nextcloud für Anwaltskanzleien

Berufsgeheimnis und Cloud sind kein Widerspruch. Aber sie stellen Anforderungen.

Die häufigste Rückmeldung, wenn wir mit Kanzleien sprechen: «Cloud ist doch mit dem Berufsgeheimnis nicht vereinbar.» Das ist ein Missverständnis, und zwar ein teures. Die Schweizer Rechtsprechung, die Anwaltsverbände und die kantonalen Aufsichtsbehörden haben in den letzten Jahren mehrfach klargestellt: Cloud-Nutzung ist zulässig, sofern die technischen und organisatorischen Rahmenbedingungen stimmen.

Was nicht zulässig ist: Mandanten-Akten auf einem Server bearbeiten, der einer ausländischen Konzernstruktur untersteht, weil dann fremde Behörden auf die Daten zugreifen können, ohne dass Sie es erfahren. Was ebenfalls nicht zulässig ist: eine Cloud einsetzen, ohne mit dem Anbieter einen Auftragsverarbeitungsvertrag zu schliessen. Das ist keine Formsache, sondern die Bedingung, unter der der Berufsgeheimnisträger auch dann verantwortlich bleibt, wenn technisch ein Dritter die Speicherung übernimmt.

Wir haben unsere Nextcloud-Angebote so gebaut, dass diese Bedingungen ab dem ersten Login erfüllt sind. Sie müssen den Anbieter nicht auditieren, keine 40-seitige Sicherheits-Selbstauskunft ausfüllen und keine ISO-Zertifikate nachreichen. Sie müssen einen kurzen Vertrag unterzeichnen, das Konto einrichten und mit der Arbeit beginnen.

Was das Gesetz vom Anbieter verlangt

Der rechtliche Rahmen für die Cloud-Nutzung durch Anwaltskanzleien in der Schweiz besteht aus drei Ebenen. Erstens BGFA Art. 13, wo das Berufsgeheimnis für Anwältinnen und Anwälte gesetzlich verankert ist und wo sich auch die Grenze zur Verletzung findet. Zweitens StGB Art. 321, die Strafnorm, die eine vorsätzliche Verletzung mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe ahndet. Drittens das DSG, das die Datenschutzpflichten des Berufsgeheimnisträgers als Verantwortlichem und des Cloud-Anbieters als Auftragsverarbeiter regelt.

Aus dem Zusammenspiel dieser drei Ebenen ergeben sich konkrete Anforderungen an den Anbieter. Er muss den Zweck und den Umfang der Bearbeitung schriftlich fixieren, ein Bearbeitungsverzeichnis nach DSG Art. 12 führen, die Datenbearbeitung auf Schweizer Boden halten (oder auf einen Raum mit gleichwertigem Datenschutz, was in der Praxis kaum vertretbar ist), Sub-Auftragsverarbeiter transparent auflisten und Ihnen jederzeit die Kontrolle über Löschung und Export der Daten belassen. Er darf die Daten nicht für eigene Zwecke nutzen. Und er muss so aufgestellt sein, dass er einer Behörden-Anfrage, die vom Schweizer Recht nicht gedeckt ist, sauber widersprechen kann.

In der Praxis ist der letzte Punkt der entscheidende. US-basierte Anbieter, auch wenn sie Datenspeicherung in der Schweiz oder in der EU anbieten, unterliegen dem US Cloud Act. Dieser verpflichtet Anbieter mit US-Konzernbezug, auf Anordnung US-amerikanischer Behörden Daten herauszugeben, unabhängig davon, wo die Daten physisch liegen. Für eine Schweizer Kanzlei bedeutet das: Solange der Anbieter im US-Rechtsraum verhaftet ist, ist die Daten-Souveränität nur so gross wie das US-Interesse an der Vertraulichkeit dieser Daten. HostBott ist ein Schweizer Unternehmen, geführt aus Chur, gehostet in Untervaz. Es gibt keine US-Muttergesellschaft, keine US-Tochter, keinen US-Sub-Prozessor.

Konkrete Anforderungen an eine Cloud für die Kanzlei

Aus dem gesetzlichen Rahmen ergibt sich ein praktischer Anforderungskatalog, den jede Kanzleileitung an eine Cloud-Lösung stellen sollte. Wir listen ihn hier, weil er auch dann nützlich ist, wenn Sie sich am Ende gegen uns entscheiden.

• Rechtsraum: Der Anbieter muss vollständig dem Schweizer Recht unterstehen, ohne US- oder EU-Konzernbezug. Prüfen Sie das Impressum, das Handelsregister und die Eigentümerstruktur.
• Auftragsverarbeitungsvertrag: Ein an DSG Art. 9 und DSGVO Art. 28 orientierter Vertrag muss vor der ersten Datenübertragung unterzeichnet sein. Er muss Sub-Auftragsverarbeiter benennen und Ihre Weisungsrechte klar regeln.
• Zugriffsprotokoll: Wer hat wann welche Akte geöffnet, verändert oder freigegeben? Diese Frage muss die Cloud in einer für den Compliance-Beauftragten lesbaren Form beantworten können.
• Verschlüsselung: Transportverschlüsselung nach aktuellem Stand (TLS 1.3), verschlüsselte Off-site-Backups, optional Ende-zu-Ende-Verschlüsselung für hochsensible Ordner.
• Datenexport: Die Cloud muss Ihre Daten jederzeit in einem offenen Standardformat herausgeben. Nextcloud ist Open Source und speichert Files als Files, ohne proprietäres Wrapper-Format.
• Notfall-Zugang: Wenn eine Anwältin ausfällt, muss ein zweiter Administrator sofort übernehmen können. Wenn die Kanzlei aufgelöst wird, müssen die Daten vollständig extrahierbar sein, ohne den Anbieter um Erlaubnis zu bitten.
• Aufbewahrung und Löschung: Kantonale Anwaltsordnungen schreiben Aufbewahrungspflichten für Mandats-Akten vor (üblicherweise 10 Jahre nach Abschluss des Mandats). Die Cloud muss diese Fristen umsetzen können und danach kontrolliert löschen.
• Kanzleiübergreifende Freigabe: Wenn Sie mit externen Anwaltskollegen ein Mandat teilen, muss die Cloud eine Freigabe mit Passwortschutz, Ablaufdatum und Widerruf ermöglichen, ohne die Empfänger zu einem Konto zu zwingen.

Wie HostBott diese Anforderungen umsetzt

Wir sind ein Schweizer Unternehmen mit Sitz in Chur, gehostet in einem Rechenzentrum in Untervaz. Nextcloud läuft auf Servern, die wir selbst betreiben, nicht bei einem grossen internationalen Cloud-Anbieter. Für Kanzleien, die eine dedizierte Instanz brauchen, stellen wir NC Business bereit, das eine isolierte Umgebung nur für Ihre Organisation liefert. Für kleinere Kanzleien reicht NC Team mit einer geteilten Infrastruktur, die aber Ihre Daten logisch strikt getrennt hält.

Den Auftragsverarbeitungsvertrag stellen wir vor der ersten Bestellung zur Verfügung. Er ist an DSG Art. 9 und DSGVO Art. 28 orientiert und enthält eine explizite Auflistung unserer Sub-Auftragsverarbeiter (aktuell: unser Off-site-Backup-Partner in der Schweiz, sonst keine). Bei Änderungen dieser Liste informieren wir Sie schriftlich mit Widerspruchsrecht. Der Vertrag ist so formuliert, dass Sie ihn Ihrem Compliance-Beauftragten oder der kantonalen Anwaltskammer ohne Anpassung vorlegen können.

Zugriffe auf Akten werden im Nextcloud-Audit-Log erfasst. Sie können auf Wunsch pro Datei-Öffnung, pro Freigabe, pro Berechtigungsänderung ein Protokoll führen und dieses in Ihre eigenen Compliance-Systeme exportieren. Für Kanzleien mit strengeren Anforderungen aktivieren wir zusätzlich Session-Tracking mit IP-Adresse und Geräte-Fingerprint. Das Standard-Log deckt die üblichen Prüfungen bereits ab.

Backups laufen täglich, verschlüsselt (AES-256), an einen zweiten Speicherort in der Schweiz. Die Retention beträgt standardmässig 14 Tage täglich, ergänzbar auf 30 oder 90 Tage bei entsprechendem Compliance-Bedarf. Ein Restore einzelner Dateien oder ganzer Ordner ist ohne unsere Beteiligung durch den Administrator der Kanzlei durchführbar. Ein Full-Restore läuft nach schriftlichem Auftrag und ist üblicherweise innert weniger Stunden abgeschlossen.

Für den Ernstfall bieten wir zwei Vorkehrungen. Erstens: Sie legen mindestens zwei Administrator-Konten an, sodass beim Ausfall einer Person die zweite ohne Verzögerung Zugriff hat. Zweitens: Auf Wunsch hinterlegen wir einen versiegelten Notfall-Zugang bei einem von Ihnen bestimmten Schweizer Notariat, der ausschliesslich auf Anordnung Ihres Vertretungsberechtigten geöffnet werden darf. Diese Vorkehrung ist kein Marketing-Merkmal, sondern ein konkreter Auftrag aus Kanzlei-Nachfolgeregelungen, an denen wir schon mitgearbeitet haben.

Welche Kanzlei-Prozesse Nextcloud abdeckt

Um konkret zu machen, was die Software leistet, hier vier Anwendungsfälle aus dem Alltag einer mittelgrossen Kanzlei. Sie sind aus Gesprächen mit tatsächlichen Nutzern zusammengetragen, keine hypothetischen Szenarien.

Wie ein Umstieg in der Praxis abläuft

Kanzleien sind keine Startups. Ein Cloud-Wechsel während laufender Mandate darf nichts unterbrechen, nichts verlieren, nichts verzögern. Das ist umsetzbar, aber es braucht einen Ablauf, der nicht auf einen Nachmittag ausgelegt ist. In der Praxis planen wir mit Kanzleien einen Übergang von vier bis sechs Wochen ein, wobei die aktive Umstellung an einem einzelnen Wochenende geschieht.

In den ersten zwei Wochen läuft die Nextcloud parallel zum bestehenden System. Ein Administrator der Kanzlei richtet die Nutzer ein, importiert die Ordnerstruktur der aktuellen Ablage und legt die Berechtigungsschemata fest. Wir stehen für Rückfragen zur Verfügung, greifen aber nicht in Ihre Daten ein. In dieser Phase testet die Kanzlei den echten Betrieb an einer nicht-kritischen Akte: Wie funktioniert die Sync-Verzögerung auf Ihren Geräten? Wie fügt sich das Kalender-Sync in Outlook oder Apple Calendar ein? Reichen die Berechtigungsebenen für Ihre organisatorische Struktur?

In den nachfolgenden zwei bis drei Wochen ergänzen Sie das Setup um Dokumentvorlagen (Briefköpfe, Vertragsraster, Vollmachten), Freigabemechanismen für Mandanten und, falls gewünscht, das Talk-Modul für interne Besprechungen. Am Umstellungswochenende erfolgt der eigentliche Datenumzug: Die letzten Änderungen aus dem alten System werden synchronisiert, die Nutzer wechseln am Montagmorgen auf die Nextcloud. Das alte System bleibt für weitere zwei Wochen im Read-only-Modus verfügbar, damit alte Vorgänge auffindbar sind, bevor das Alt-Abo gekündigt wird. Ein solcher Ablauf minimiert das Risiko eines Datenlecks in der heiklen Umstellungsphase.

Zusammenspiel mit Ihrer Kanzleisoftware

Die meisten Schweizer Kanzleien setzen eine dedizierte Kanzleisoftware ein: WinJur, WebLaw, AnwaltSuite, Lexspace, LawScout oder eine Eigenentwicklung. Diese Programme verwalten Mandanten, Fristen, Rechnungen und teilweise die Aktenführung selbst. Wir konkurrieren damit nicht. Nextcloud übernimmt den Datei-Ordner, der bisher in der US-Cloud lag, nicht die Falldatenbank.

Die praktische Trennlinie: Ihre Kanzleisoftware führt das Rubrum, die Fristen und die Rechnungen. Nextcloud hält die eigentlichen Dokumente, die Anhänge und den Schriftverkehr. Wenn Ihre Kanzleisoftware eine Ablagestruktur pro Mandat erwartet, spiegeln wir diese Struktur in Nextcloud, sodass Ihre Sekretariatsprozesse gleich bleiben. Für Softwares mit WebDAV-Anbindung (die meisten unterstützen das) lässt sich der Nextcloud-Speicher als externes Laufwerk direkt einbinden, sodass Ihre Kanzleisoftware transparent auf die Dokumente zugreift. Für Softwares ohne WebDAV-Unterstützung nutzen die Nutzer den Nextcloud-Desktop-Client, der wie ein lokales Laufwerk funktioniert und automatisch synchronisiert.

Was Nextcloud nicht ersetzt

Ehrlichkeit gehört zum Angebot. Nextcloud ist keine dedizierte Kanzleisoftware. Es hat kein integriertes Fristenbuch, keine automatische Rechnungsstellung an Mandanten, keine Anbindung an das eGovernment-Portal. Für diese Spezialaufgaben brauchen Sie weiterhin Ihre Kanzleisoftware. Was Nextcloud übernimmt, sind die Bereiche, die heute typischerweise in Microsoft 365 oder Google Workspace laufen: Files, Office-Bearbeitung, Kalender, E-Mail-Anhangs-Ersatz, Video-Besprechungen. Diese Bereiche werden aus den US-Ökosystemen herausgeholt und in Ihre Schweizer Nextcloud verlagert. Ihre Fristen- und Buchhaltungssoftware bleibt, wo sie ist.

In vielen Fällen hilft eine kurze Analyse, bevor Sie umstellen. Welche Prozesse laufen heute in der US-Cloud? Welche davon sind berufsgeheimnisrelevant? Welche muss Nextcloud übernehmen, welche kann bleiben, wo sie ist? Wir bieten diese Analyse für Kanzleien im Rahmen eines einstündigen Erstgesprächs kostenfrei an. Das ist keine Verkaufspräsentation, sondern eine strukturierte Bestandsaufnahme, deren Ergebnis auch dann Bestand hat, wenn Sie sich für einen anderen Anbieter entscheiden.

Was das kostet

Der überwiegende Teil der Kanzleien, mit denen wir arbeiten, kommt mit NC Team aus. Das sind CHF 99 pro Jahr für die ganze Kanzlei bis zu 30 Nutzer, mit 1 TB Speicher, eigener Kanzlei-Domain für den Login (kanzlei.beispiel.ch) und Collabora Office für die Bearbeitung von Word-, Excel- und PowerPoint-Dokumenten direkt im Browser. Keine Setup-Gebühr, kein Pro-User-Aufpreis, keine versteckten Zusatzkosten.

Kanzleien mit Compliance-Anforderungen an eine dedizierte Instanz, mehr als 30 Nutzern oder Speicherbedarf jenseits von 1 TB nutzen NC Business. Das sind CHF 299 pro Jahr für 4 TB, unbegrenzte Nutzer, Priority-Support und dedizierte Infrastruktur. Auch hier ohne Setup-Gebühr. Wenn Sie eine noch grössere Anforderung haben (Enterprise mit dedizierten Redundanzstufen, individuelle SLAs), sprechen wir individuell ab.

Zum Vergleich: Vergleichbare Managed-Nextcloud-Angebote in der Schweiz mit ähnlicher Ausstattung starten je nach Anbieter bei rund CHF 300 bis 700 pro Jahr, teilweise mit einer einmaligen Setup-Gebühr von CHF 50 und eingeschränkten Speicher- oder Nutzerlimits. Wir sind mit dieser Preisgestaltung nicht das teuerste Angebot, sondern das transparenteste: Sie sehen den Preis öffentlich, bestellen selbst, sind in 60 Minuten produktiv. Ein Consultation-Termin ist nicht Voraussetzung.

Wie Sie heute starten

Wenn Sie die technische Seite bereits geklärt haben und ein Angebot suchen, das sofort startklar ist, ist NC Team der übliche Einstiegspunkt. Sie bestellen direkt, richten am selben Tag die ersten Nutzer ein und beginnen mit dem Import einer nicht-kritischen Akte. Die 30-tägige Geld-zurück-Garantie deckt Ihr Risiko: Wenn die Software nicht passt, bekommen Sie den gesamten Jahresbetrag zurück, ohne Begründung.

Wenn Sie vor der Bestellung noch offene Fragen haben, sei es zum Auftragsverarbeitungsvertrag, zum Zusammenspiel mit Ihrer bestehenden Infrastruktur oder zur Migration eines konkreten Datenbestandes, schreiben Sie uns kurz. Ein Erstgespräch findet in der Regel innert weniger Tage statt und dauert selten länger als 45 Minuten. Wir bereiten den vorgeschlagenen Setup-Ablauf als schriftliches Dokument vor, das Sie unabhängig von einer Bestellung behalten und einer Bewertung durch Ihre Aufsichtsstelle vorlegen können.