Werkzeuge Anmelden 14 Tage testen
DSGVO

Dropbox im Unternehmen und die DSGVO

· 2 Min. Lesezeit

Mit Vertrag und Regelung einzusetzen. Bei Dropbox entscheidet selten die Frage, ob es zulässig ist. Es entscheidet, welcher Ordner freigegeben wurde und an wen.

  • Anbieter: Dropbox International Unlimited Company, Dublin, für Nutzer im EWR; Muttergesellschaft Dropbox, Inc., USA
  • Zweck: Dateiablage und Zusammenarbeit
  • Verarbeitung in: Für geschäftliche Tarife ist eine Speicherung in der EU wählbar; die Verwaltung des Kontos läuft über die Konzernstruktur in den USA
  • Eingaben fürs Training: Dropbox bietet KI-Funktionen an, die Inhalte an einen Drittanbieter weitergeben können. Ob sie aktiv sind, steht in den Einstellungen der Organisation. Die Voreinstellung gehört nachgesehen, nicht angenommen.

Welche Daten dort landen#

  • alle abgelegten Dateien mitsamt Inhalt
  • Dateinamen und die vollständige Ordnerstruktur
  • wer wann welche Datei geöffnet, geändert oder freigegeben hat

Auftragsverarbeitung — vorausgesetzt, der Vertrag besteht und das Konto ist ein geschäftliches. Ein privates Konto im Arbeitsablauf hat keine Grundlage, egal wie sorgfältig es benutzt wird.

Der Vertrag mit dem Anbieter#

Für die geschäftlichen Tarife stellt Dropbox einen Auftragsverarbeitungsvertrag bereit. Für private Konten gibt es keinen — und genau die sind es, die im Alltag mitbenutzt werden, weil jemand sie schon hatte.

Was der Betriebsrat damit zu tun hat#

Ja. Dropbox protokolliert, wer wann welche Datei geöffnet hat. Das ist eine technische Einrichtung, die zur Überwachung von Leistung und Verhalten geeignet ist — damit ist der Betriebsrat zu beteiligen, unabhängig davon, ob das jemand vorhat.

Was zu tun ist#

  • Geschäftliches Konto mit Auftragsverarbeitungsvertrag; private Konten aus dem Arbeitsablauf nehmen statt sie zu dulden.
  • Freigabelinks nur mit Ablaufdatum und Passwort. Ein Link ohne beides ist öffentlich, sobald ihn jemand weiterleitet.
  • Die KI-Funktionen auf Organisationsebene bewusst stellen.
  • Regelmäßig durchsehen, welche Ordner mit Externen geteilt sind — Freigaben überleben Projekte und Beschäftigungsverhältnisse.

Wenn es auch anders gehen soll#

  • Nextcloud
  • OneDrive, wenn Microsoft 365 ohnehin im Haus ist
  • luckycloud
  • Tresorit

Der Punkt, der bei Dropbox übersehen wird#

Der Freigabelink ist die eigentliche Gefahrenstelle, nicht der Speicherort. Er verfällt nicht von selbst, er lässt sich nach dem Weiterleiten nicht zurückholen, und wer ihn hat, braucht kein Konto und keine Einladung.

Dieselbe Frage bei ähnlichen Werkzeugen#

Das ist keine Rechtsberatung, sondern eine Einordnung: Wir geben den Stand wieder, soweit er uns bekannt ist. Ob dein Einsatz zulässig ist, hängt vom Einzelfall ab — und bei Beschäftigtendaten zusätzlich von dem, was in deinem Haus vereinbart ist. Wie die Regeln zusammenhängen, steht auf der Übersicht zur Serie.