Cloud-Beschaffung für Gemeinden: 12 prüfbare Kriterien

Cloud-Angebote lassen sich nur vergleichen, wenn aus allgemeinen Wünschen prüfbare Kriterien werden. „Sicher“, „souverän“ oder „DSGVO-konform³“ sind ohne Kontext keine belastbaren Beschaffungsmerkmale. Für eine Marktsondierung, ein Pilotprojekt oder eine Ausschreibung sollten Gemeinden mindestens die folgenden Punkte dokumentieren.

1. Vertragspartner und Rechtsraum: Welche juristische Einheit erbringt welche Leistung?
2. Datenverarbeitung: Wo liegen Primärdaten, Sicherungen, Protokolle und Office-Verarbeitungsdaten? Wie das im Pilot geprüft wird, zeigt „Gemeindecloud in der Praxis“.
3. Unterauftragsverarbeiter: Wer ist beteiligt, wofür und mit welchem Änderungsverfahren?
4. Auftrags­verarbeitung: Liegt ein vollständiger Vertrag nach Art. 28 DSGVO vor (bei CloudFiles: Auftrags­verarbeitungs­vertrag)?¹
5. Sicherheitsmaßnahmen: Welche technischen und organisa­torischen Maßnahmen gelten für den konkreten Schutzbedarf?²
6. Berechtigungen: Sind Rollen, Gruppen, Freigaben und Austritte nach­vollziehbar steuerbar?
7. Ver­schlüsselung: Welche Daten sind bei Transport, Speicherung und — sofern gebucht — Ende-zu-Ende geschützt? Bei CloudFiles ist E2EE erst ab Business verfügbar (Paketübersicht, Sicherheitsseite).
8. Office-Praxis: Bestehen repräsentative DOCX-, XLSX-, PPTX- und PDF-Dateien einen dokumentierten Test?
9. Export und Exit: Können Dateien, Versionen, Metadaten und Berechtigungen in nutzbarer Form übernommen werden?
10. Betrieb: Welche Verfüg­barkeit, Sicherung, Wieder­herstellung, Reaktionszeiten und Eskalationswege sind vereinbart?
11. Barriere­freiheit: Sind Weboberfläche, Bestell­prozess, Dokumentation und Supportwege tastatur- und screenreadertauglich (Barrierefreiheitserklärung von CloudFiles)?
12. Gesamtkosten: Welche Kosten entstehen für Betrieb, Migration, Schulung, Support, Zusatzspeicher und Exit über die geplante Laufzeit?

Aus Kriterien werden Tests

Jedes Kriterium braucht einen Nachweis: Vertragsanlage, Architekturdokument, Exportdatei, Accessibility-Test oder praktische Testaufgabe. Aussagen des Anbieters sollten als solche markiert werden; unabhängige Zertifikate oder Prüfberichte ersetzen nicht die Bewertung des konkreten Einsatzes.

CloudFiles kann anhand derselben Liste bewertet werden; den Rahmen dafür beschreibt „Digitale Souverä­nität: Warum Behörden ihre IT-Abhängigkeiten neu bewerten“. Daten­standort, Tarifgrenzen, Wieder­herstellung und Office-Kompatibilität sind für CloudFiles auf der Sicherheitsseite und in der Paketübersicht dokumentiert.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechts-, Datenschutz- oder Vergabeberatung.