Online Whiteboard Data Protection Checklist: How to Assess and Compare Providers

Wo liegen die Daten? Wer kann darauf zugreifen? Welche externen Dienste sind eingebunden? Und lassen sich Boards, Konten und Backups vollständig löschen? Mit klaren Prüfkriterien vergleichst Du Anbieter auf einer gemeinsamen Grundlage und erkennst, welche Aussagen durch Verträge und technische Nachweise belegt sind.

Checkliste Online-Whiteboard Datenschutz: Das Wichtigste in Kürze

• Eine Datenschutz-Checkliste für Online-Whiteboards sollte Hosting, Auftragsverarbeitungsvertrag, Unterauftragsverarbeiter, Verschlüsselung, Zugriffsrechte, Protokolle, Export und Löschung abdecken.
• Ein Serverstandort in Deutschland oder der EU reicht für eine sichere Bewertung nicht aus. Auch Anbieterstruktur, Muttergesellschaft, Supportzugriffe, Backups und eingebundene Dienste beeinflussen den Datenfluss.
• Aussagen wie „DSGVO-konform“ sollten durch aktuelle Verträge, technische Unterlagen, Zertifikate und eine vollständige Liste der Unterauftragsverarbeiter belegt sein.
• Single Sign-on, Zwei-Faktor-Authentifizierung, abgestufte Rechte, Passwortschutz und zeitlich begrenzte Einladungslinks helfen dabei, Zugänge zu Boards gezielt zu steuern.
• Collaboard bietet Hosting in Deutschland, der Schweiz und den Niederlanden sowie den Betrieb in der eigenen Cloud, On-Premises oder als Air-Gap-System. Verwaltungsfunktionen wie Aktivitäten-Logbuch, Versionierung und steuerbare Zugriffsrechte unterstützen Teams mit hohem Schutzbedarf.

Welche Daten verarbeitet ein Online-Whiteboard?

Bei einem Online-Whiteboard entstehen Daten schon vor dem ersten Eintrag auf dem Board. Je nach Anbieter umfasst ein Konto Name, E-Mail-Adresse, Passwort, Profilbild und die Zugehörigkeit zu einer Organisation. Bei der Anmeldung erfasst das System oft technische Angaben, etwa IP-Adresse, Zugriffszeitpunkt, Browser, Gerät und fehlgeschlagene Anmeldeversuche.

Auch Gäste hinterlassen Daten. Das System kann einen Einladungslink mit einer E-Mail-Adresse, einem Namen, einem Zugriffszeitpunkt oder einer vergebenen Berechtigung verknüpfen. Daher sollte die Datenschutzprüfung registrierte Personen und Gäste einschließen.

Auf dem Board selbst können viele weitere Inhalte liegen. Dazu zählen:

• Namen und Kontaktdaten
• Kommentare, Abstimmungen und Aufgaben
• Fotos, Videos, Audiodateien und Dokumente
• Projektpläne, Prozessdarstellungen und Besprechungsnotizen
• Forschungsdaten, Fallakten oder interne Auswertungen

Gerade Behörden, Hochschulen, Banken, Forschungseinrichtungen sowie Bereiche aus Luftfahrt und Verteidigung sollten vor dem Start festlegen, welche Datenklassen auf einem Board erlaubt sind. Sensible Inhalte gehören nur auf Plattformen, deren Hosting, Zugriffssteuerung und Schutz zum geplanten Einsatz passen.

Zur Prüfung gehören auch eingebundene Dienste. Analysewerkzeuge, externe Schriftarten, Videos, Cloud-Speicher oder Integrationen können Daten an weitere Stellen senden. Prüfe deshalb, welche Dienste aktiv sind, wohin Daten fließen und welche Funktionen sich abschalten lassen. 

Collaboard bietet dafür Hosting in Deutschland, der Schweiz oder den Niederlanden sowie Varianten für die eigene Cloud und On-Premises, also den Betrieb im eigenen Rechenzentrum. Zugriffsrechte, Passwortschutz und nur notwendiges Tracking helfen Dir, den Datenfluss enger zu steuern.

Welche Punkte gehören in eine Checkliste zum Datenschutz bei Online-Whiteboards?

Eine gute Checkliste verbindet klare Prüffragen mit passenden Nachweisen. So sehen IT, Datenschutz und Einkauf schnell, welche Punkte das Team bereits geklärt hat und wo Angaben fehlen.

Markiere jeden Punkt mit „erfüllt“, „teilweise erfüllt“, „offen“ oder „nicht erfüllt“. Ergänze außerdem, wer den Nachweis geprüft hat und an welchem Datum. So bleibt die Bewertung auch bei späteren Vertragsänderungen nachvollziehbar.

Achte auf Warnzeichen wie unklare Speicherorte, veraltete Listen, fehlende Löschfristen oder pauschale Aussagen ohne Dokumente. Ein Anbieter sollte erklären können, welche Daten er verarbeitet, wo sie liegen und wer darauf zugreifen darf.

Welche Fragen solltest Du Dir bei einem Online-Whiteboard-Anbieter stellen?

Prüfe vor Vertragsabschluss, welche schriftlichen Angaben und Nachweise vorliegen. Mündliche Zusagen lassen sich später nur schwer nachvollziehen. Teile Deine Prüfung in Verträge, Datenwege, Schutz und Verwaltungsfunktionen auf.

Diese Fragen solltest Du Dir stellen::

• Welche Unterlagen liegen vor? Prüfe, ob Du den Auftragsverarbeitungsvertrag, kurz AVV, die Datenschutzerklärung, die technischen und organisatorischen Maßnahmen, das Löschkonzept sowie eine aktuelle Liste aller Unterauftragsverarbeiter einsehen kannst. Achte auch auf Zertifikate, Prüfberichte und Angaben zum Umgang mit Sicherheitsvorfällen.
• Wo liegen und fließen unsere Daten? Ermittle die Standorte der Hauptsysteme, Backups und Ausweichsysteme. Prüfe auch mögliche Supportzugriffe, extern geladene Inhalte und Dienste, die beim Öffnen oder Bearbeiten eines Boards Daten erhalten.
• Welche Rechtsordnung gilt? Prüfe den Sitz des Anbieters, des Rechenzentrums und einer möglichen Muttergesellschaft. Ein Serverstandort in der EU beantwortet diese Frage noch nicht.
• Wie schützt der Anbieter die Daten? Achte auf Angaben zur Verschlüsselung bei Übertragung und Speicherung, zur Trennung der Kundenbereiche, zur Wiederherstellung von Backups und zur Reaktion auf erkannte Angriffe.
• Welche Funktionen können wir selbst steuern? Prüfe, wie Rollen, Gastzugänge, Passwörter, Einladungsfristen, Single Sign-on, Zwei-Faktor-Authentifizierung und Datenexport funktionieren. Kontrolliere auch, welche Funktionen Administratoren für einzelne Gruppen freigeben oder abschalten können.

Teste die Verwaltungsfunktionen nach Möglichkeit mit einem Probezugang. Rechte und Freigaben sollten für Administratoren sowie Teilnehmende klar erkennbar sein.

Warnzeichen: Vorsicht ist angebracht, wenn der Anbieter nur mit Aussagen wie „sicher“ oder „DSGVO-konform“ wirbt, aber keine Verträge, Listen oder technischen Nachweise vorlegt. Auch unklare Antworten zu Backups, Supportzugriffen und Löschfristen sprechen für weiteren Klärungsbedarf.

Wie vergleichst Du den Datenschutz bei Miro und anderen Online-Whiteboards?

Nutze für alle Anbieter dieselben Prüffelder. So vergleichst Du Miro, Collaboard und weitere Online-Whiteboards bezüglich der DSGVO nach festen Kriterien statt nach Bekanntheit oder Werbeaussagen.

Eine Bewertungsmatrix kann diese Angaben enthalten:

Halte Deine Auswahl schriftlich fest. Dokumentiere Freigaben, offene Punkte, Ausschlussgründe und erlaubte Datenarten. Prüfe die Bewertung erneut, sobald der Anbieter neue Dienste einbindet, den Hosting-Standort wechselt oder seine Vertragsunterlagen ändert.

Fazit: Mit der Datenschutz-Checkliste zum passenden Online-Whiteboard

Eine verlässliche Auswahl stützt sich auf Verträge, Hosting, technische Schutzmaßnahmen, Zugriffsrechte und klare Regeln für die Nutzung. Prüfe dabei nicht nur Aussagen des Anbieters, sondern auch schriftliche Nachweise und die tatsächlich gebuchten Funktionen.

Collaboard bietet Hosting in Deutschland, der Schweiz oder den Niederlanden sowie den Betrieb in Deiner eigenen Cloud, On-Premises oder als Air-Gap-System ohne Verbindung zum öffentlichen Internet. Single Sign-on, die Anmeldung mit einem zweiten Sicherheitsmerkmal, abgestufte Zugriffsrechte, ein Aktivitäten-Logbuch, Versionierung und steuerbare Einladungslinks geben Dir Kontrolle über Nutzer und Board-Inhalte.