Kommunen, NGOs und Stiftungen arbeiten mit externen Partner:innen und Ehrenamtlichen zusammen. Dafür brauchen sie zugängliche Arbeitsräume, klar geregelte Berechtigungen und einen dokumentierten Umgang mit personenbezogenen Daten. Dieser Leitfaden hilft euch, technische und organisatorische Anforderungen für diese Zusammenarbeit zu prüfen.
Ein Leitfaden der wechange Genossenschaft · Lesezeit: 8 Min. · Stand: Oktober 2026
Das Wichtigste in Kürze
Wenn Dateien, Kontakte und Absprachen auf mehrere Dienste verteilt sind, wird es schwieriger, Zugriffe und Zuständigkeiten nachzuvollziehen. Klärt deshalb zuerst, welche Daten ihr verarbeitet, wer verantwortlich ist und welche Personen Zugang benötigen. Anschließend könnt ihr eine passende Arbeitsumgebung auswählen.
Eine interne Arbeitsumgebung und ein gemeinsamer Raum mit Partnerorganisationen erfüllen unterschiedliche Aufgaben. Prüft für eure Zusammenarbeit:
Bewertet eure vorhandenen Dienste anhand dieser Fragen. Ob eine konkrete Nutzung datenschutzkonform ist, hängt vom Einsatz und von den vereinbarten technischen und organisatorischen Maßnahmen ab.
Für diese Zusammenarbeit reicht ein „sicheres Tool“ allein nicht aus. Eine echte Lösung muss vier Kriterien gleichzeitig erfüllen:
Technische Souveränität: Die Plattform muss DSGVO-konform sein. Das bedeutet: Klares Hosting in der EU (ohne US-Subunternehmer), ein gültiger AV-Vertrag, Verschlüsselung, klare Protokollierung und die Einhaltung der Grundsätze von „Privacy by Design“.
Niederschwelligkeit (Usability): Wenn die Plattform komplizierter ist als WhatsApp, wird sie nicht genutzt. Sie muss mobil funktionieren, ein einfaches Onboarding (z.B. per Einladungslink) ermöglichen und intuitiv bedienbar sein – auch für nicht-technikaffine Nutzergruppen.
Strukturierte Zusammenarbeit: Sie muss mehr können als nur Chat. Sie braucht Funktionen für Projektmanagement, Dateiablage, Kalender und die Möglichkeit, Wissen in Gruppen zu strukturieren.
Klare Governance: Die Plattform muss klare Rollen und Rechte bieten. Wer darf wen einladen? Wer sieht welche Inhalte? Die Organisation muss die Kontrolle behalten, ohne die Zusammenarbeit zu blockieren.
Das Kernproblem ist, dass interne IT-Lösungen für Mitarbeiter gebaut wurden, nicht für das Ökosystem einer Organisation. Externe Akteure haben fundamental andere Bedürfnisse:
Ehrenamtliche: Wollen schnell informiert werden, meist mobil. Sie haben keine „dienstliche E-Mail“ und werden keinen komplexen Registrierungsprozess akzeptieren.
Initiativen & Vereine: Arbeiten oft projektbezogen und temporär. Sie brauchen einen abgegrenzten Raum für ihre spezifische Aufgabe, aber keinen Vollzugriff auf die Organisations-IT.
Projektpartner:innen (z.B. aus anderen NGOs oder Stiftungen): Bringen ihre eigenen Tools mit. Die Plattform muss neutral und so einfach sein, dass sie als „Common Ground“ akzeptiert wird.
Bürger:innen (bei Beteiligungsverfahren): Die Hürde muss bei null liegen.
Eine Plattform für Externe muss also ein „sicherer dritter Raum“ sein – abgekoppelt von der internen Kern-IT, aber kontrolliert und sicher gehostet von der Organisation.
Welche Lösung passt, hängt davon ab, was die Beteiligten gemeinsam tun sollen. Den dritten Weg bieten wir mit UniteOS von wechange selbst an.
Klärt bei jedem Weg Verantwortlichkeiten, Berechtigungen, die Verarbeitung personenbezogener Daten und den Aufwand für die Beteiligten.
Eine Plattform ist nur so gut wie die Regeln, nach denen sie genutzt wird.
Governance vor Tooling: Klärt zuerst die Verantwortlichkeiten. Wer ist der „Eigentümer“ der Plattform (z.B. der Koordinator für Ehrenamt)? Wer darf neue Gruppen (Räume) anlegen? Wie lange werden Daten gespeichert?
Onboarding als Service: Plant das Onboarding der Externen aktiv. Erstellt kurze Anleitungen (PDFs, Videos) und benennt klare Ansprechpersonen für Rückfragen.
Klarer Fokus: Verhindert, dass die Plattform zur „zweiten E-Mail“ wird. Definiert klare Anwendungsfälle (z.B. „Koordination des Sommerfestes“, „AG Digitalisierung“, „Förderprojekt X“).
Ein oft übersehenes Risiko in der Zusammenarbeit mit externen Partnern: die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Sobald zwei Organisationen gemeinsam entscheiden, welche Daten erhoben und wie sie verarbeitet werden, haften sie gesamtschuldnerisch – egal, bei wem der Datenschutzverstoß passiert.
Typische Szenarien in der Netzwerkarbeit:
Projektverbünde: Ein Förderprojekt mit drei Partnern führt eine gemeinsame Teilnehmer-Datenbank. Alle drei entscheiden, welche Daten erhoben werden → gemeinsame Verantwortlichkeit.
Runde Tische: Kommune, Wohlfahrtsverband und freier Träger betreiben gemeinsam eine Beratungsstelle. Klientendaten werden geteilt → gemeinsame Verantwortlichkeit.
Ehrenamts-Netzwerke: Ein Dachverband und seine Ortsgruppen koordinieren Freiwillige über eine gemeinsame Plattform. Kontaktdaten werden zentral gepflegt → möglicherweise gemeinsame Verantwortlichkeit.
Besonders komplex wird es, wenn Partner unterschiedlichen Datenschutzgesetzen unterliegen:
| Partner | Rechtsregime | Besonderheit |
|---|---|---|
| Weltlicher Verein | DSGVO | Art. 6 Abs. 1 lit. f (berechtigtes Interesse) |
| Caritas-Einrichtung | KDG | § 6 Abs. 1 lit. g (kirchliches Interesse) |
| Diakonie-Träger | DSG-EKD | Längere Auskunftsfristen (bis 3 Monate) |
| Kommune | DSGVO + Landesdatenschutzgesetz | Besondere Transparenzpflichten |
Das Resultat: Was für Partner A rechtmäßig ist, kann für Partner B problematisch sein. Bei einem Verstoß haften trotzdem beide.
Art. 26 DSGVO verlangt eine Vereinbarung, die festlegt:
Wer ist wofür zuständig? Wer beantwortet Auskunftsersuchen? Wer löscht Daten?
Welcher Standard gilt? Bei gemischten Rechtsregimen (DSGVO + KDG + DSG-EKD) muss der strengste Standard als gemeinsamer Nenner dienen.
Wer ist Anlaufstelle für Betroffene? Betroffene können sich an jeden Partner wenden – intern muss klar sein, wer dann handelt.
Wie wird dokumentiert? Gemeinsames Verarbeitungsverzeichnis, abgestimmte Datenschutzerklärungen.
Vor Projektstart klären:
Sind wir gemeinsam verantwortlich oder nur Auftragsverarbeiter?
Welche Rechtsregime gelten für alle Beteiligten?
Gibt es einen Lead-Partner für Datenschutzfragen?
Vertraglich absichern:
Musterverträge der Datenschutzbehörden nutzen und anpassen
Klauseln zur Konfliktlösung zwischen Rechtsregimen ergänzen
Haftungsverteilung explizit regeln
Technisch lösen:
Eine gemeinsame Plattform statt verteilter Insellösungen
Klare Berechtigungskonzepte: Wer sieht welche Daten?
Protokollierung: Wer hat wann was geändert?
→ Föderale Strukturen auf einer Plattform für Verbandsarbeit abbilden
Eines der Angebote, UniteOS von wechange, ist unser eigenes. Die Angebote haben unterschiedliche Schwerpunkte. Prüft Datenschutz, Zugänge und Betrieb an eurem konkreten Vorhaben.
| Angebot | Schwerpunkt | Frage für eure Auswahl |
|---|---|---|
| Element auf Basis von Matrix | Kommunikation über einen dezentralen Standard | Braucht ihr vor allem gemeinsame Nachrichtenräume? |
| Nextcloud | Dateien, Office, Kommunikation und Kalender | Steht die gemeinsame Arbeit an Dokumenten im Mittelpunkt? |
| OpenProject | Projektplanung und Aufgaben | Braucht ihr Zeitpläne, Arbeitspakete und Projektsteuerung? |
| UniteOS von wechange | Community und Zusammenarbeit in Gruppen | Wollt ihr Partner:innen und Ehrenamtliche mit Austausch, Dateien, Aufgaben und Terminen zusammenführen? |
Anbieterquellen, abgerufen am 05.10.2026: Element, Nextcloud, OpenProject.
wechange schafft digitale Räume für Gruppen und Organisationen, in denen Menschen gemeinsam handlungsfähig werden. Als Genossenschaft entwickeln wir dafür Community- und Kollaborationsplattformen und betreiben sie langfristig und gemeinwohlorientiert. Wir betreiben wechange.de seit 2016 und Plattformen für Verbände, Kommunen und Stiftungen. Unsere Erfahrungen damit fließen in diesen Leitfaden ein.
Auf einer Plattform mit UniteOS von wechange führen Kommunen, Stiftungen und Verbände externe Partner:innen in gemeinsamen Gruppen zusammen. Jede Gruppe hat ihren Arbeitsbereich für Dateien, Aufgaben, Termine und Austausch. Berechtigungen regeln, wer Zugang bekommt.
So arbeitet die KielRegion mit ihrer Plattform MokWi: Verwaltung, Klimaschutzmanager:innen, Vereine und Ehrenamtliche aus Kiel und den Kreisen Plön und Rendsburg-Eckernförde planen dort Projekte und teilen Dokumente. Kim Strupp von der KielRegion beschreibt die Ausgangslage so: Die IT einer Kommune sei „meist ein Hochsicherheitstrakt, hermetisch abgeriegelt“, für die Arbeit mit Initiativen bleibe dann der umständliche E-Mail-Verteiler. MokWi ist für sie der sichere Raum außerhalb der Kern-IT, in dem Mitarbeitende mit Externen Dokumente teilen und Termine machen. Wie die Plattform entstanden ist, erzählt Kim Strupp in unserem Interview.
Wir richten die Plattform unter eurer Domain und in eurem Design ein und übernehmen Betrieb, Updates und Support. Das Hosting liegt in der EU, die Software UniteOS ist Open Source unter AGPL. Als Verantwortliche im Sinn der DSGVO legt eure Organisation fest, welche Daten in den Gruppen verarbeitet werden, wer zuständig ist und wann Zugänge und Inhalte entfernt werden.
Die Zusammenarbeit mit externen Akteuren ist kein IT-Problem, es ist eine Kernaufgabe moderner Verwaltungen, Stiftungen und Verbände. Diese Zusammenarbeit aus der Kern-IT auszusperren ist richtig; sie aber in die unkontrollierte Schatten-IT von WhatsApp und Google abzudrängen, ist fahrlässig.
Erfolgreiche Organisationen bauen eine Brücke: einen souveränen, datenschutzkonformen Raum außerhalb der Firewall, der sicher genug für die Organisation und einfach genug für die Externen ist. Eine Plattform, die Vertrauen schafft, statt Haftungsrisiken zu produzieren.
Artikel 28 DSGVO nennt unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, betroffene Personen sowie Rechte und Pflichten des Verantwortlichen. Prüft außerdem die Sicherheitsmaßnahmen, weitere Auftragsverarbeiter und die Regelung am Vertragsende. Quelle: amtlicher DSGVO-Text, geprüft am 05.10.2026.
Schatten-IT kann entstehen, wenn Beteiligte Werkzeuge nutzen, deren Einsatz in eurer Organisation nicht geregelt ist. Klärt, welche Werkzeuge die Beteiligten tatsächlich brauchen, und schafft dafür verständliche Zugänge und Zuständigkeiten.
Gebt externen Beteiligten Zugriff auf das, was sie für ihre Aufgabe brauchen. Ein Projektpartner benötigt vielleicht gemeinsame Materialien, aber keinen Zugang zu internen Personalunterlagen. Geht an einem konkreten Projekt durch, wer eingeladen wird, worauf die Beteiligten zugreifen dürfen und wann der Zugang endet.
In einer Demo zeigen wir euch, wie externe Partner:innen und Ehrenamtliche auf einer solchen Plattform zusammenarbeiten, und besprechen mit euch Gruppen, Zugänge und den technischen Betrieb.
UniteOS von wechange ist unsere Software für Community- und Kollaborationsplattformen. Mit ihr betreiben wir die offene Plattform wechange.de und Plattformen, die Verbände, Kommunen, Stiftungen und andere Organisationen unter ihrem Namen führen.
