Google Gemini & Datenschutz: Was Unternehmen wissen müssen

Das Wichtigste in Kuerze: Google Gemini ist Googles generative KI-Plattform, die sowohl als eigenstaendiger Chatbot als auch integriert in Google Workspace (Docs, Sheets, Gmail, Meet) und ueber die Gemini API verfuegbar ist. Fuer Unternehmen in der EU ergeben sich daraus erhebliche Datenschutz-Anforderungen: Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO muss abgeschlossen und geprueft werden, der Drittlandtransfer in die USA ist nach Art. 44-49 DSGVO zu bewerten, eine Datenschutz-Folgenabschaetzung (DSFA) ist bei systematischem Einsatz regelmaessig erforderlich, und die KI-Kompetenzpflicht nach Art. 4 VO (EU) 2024/1689 muss erfuellt werden. Dieser Leitfaden erklaert alle relevanten Anforderungen und gibt eine praxisnahe Compliance-Checkliste.

Google hat mit Gemini seine KI-Strategie grundlegend neu ausgerichtet. Wo frueher einzelne KI-Funktionen isoliert in verschiedenen Google-Produkten existierten, bietet Gemini nun eine einheitliche KI-Plattform, die tief in das Google-Oekosystem integriert ist. Fuer Unternehmen, die Google Workspace nutzen oder die Gemini API in eigene Anwendungen einbinden, ist das eine grosse Chance -- aber auch eine erhebliche Compliance-Herausforderung.

Denn anders als bei rein internen Tools verlaesst bei Gemini potenziell jeder Prompt das Unternehmen und wird auf Googles Infrastruktur verarbeitet. Die zentrale Frage lautet daher: Wie laesst sich Google Gemini datenschutzkonform einsetzen?

Inhaltsverzeichnis

1. Google Gemini im Ueberblick: Produkte und Varianten
2. Datenverarbeitung bei Google Gemini: Was passiert mit Ihren Daten?
3. Der Auftragsverarbeitungsvertrag (AVV) mit Google
4. Drittlandtransfer und Datenresidenz
5. DSGVO-Compliance-Checkliste fuer Google Gemini
6. Vergleich: Gemini vs. ChatGPT vs. Copilot im Datenschutz
7. Praktische Compliance-Checkliste
8. Haeufig gestellte Fragen (FAQ)
9. Fazit

1. Google Gemini im Ueberblick: Produkte und Varianten

Google vermarktet Gemini in mehreren Varianten, die sich in Funktionsumfang, Datenverarbeitung und Datenschutz-Relevanz erheblich unterscheiden. Unternehmen muessen genau wissen, welche Variante sie einsetzen -- denn die rechtlichen Konsequenzen sind jeweils andere.

Gemini (kostenlos / Google One AI Premium)

Die kostenlose Gemini-Version ist als Consumer-Produkt konzipiert. Nutzer interagieren ueber gemini.google.com oder die Gemini-App mit dem KI-Modell. Fuer Unternehmen ist diese Variante aus Datenschutzsicht hochproblematisch:

• Training mit Nutzerdaten: Google behaelt sich vor, Prompts und Antworten zur Verbesserung der Modelle zu verwenden. Eingaben koennen von menschlichen Reviewern eingesehen werden.
• Kein AVV: Es gibt keinen Auftragsverarbeitungsvertrag. Google agiert nicht als Auftragsverarbeiter, sondern als eigenstaendiger Verantwortlicher.
• Keine Unternehmensfunktionen: Kein Zugriffsmanagement, keine Audit-Logs, keine Datenresidenz-Optionen.

Klare Empfehlung: Die kostenlose Gemini-Version ist fuer den Einsatz mit Unternehmens- oder personenbezogenen Daten nicht geeignet.

Gemini fuer Google Workspace

Gemini fuer Google Workspace (ehemals Duet AI) integriert generative KI direkt in Google Docs, Sheets, Slides, Gmail, Meet und Chat. Diese Variante ist fuer Unternehmen die relevanteste, da sie in die bestehende Arbeitsumgebung eingebettet ist.

Wichtige Merkmale:

• Kein Training mit Kundendaten: Google hat zugesichert, dass Workspace-Kundendaten nicht zum Training der Gemini-Foundation-Models verwendet werden.
• DPA verfuegbar: Das Google Workspace Data Processing Addendum gilt als AVV nach Art. 28 DSGVO.
• Datenresidenz: Google bietet Optionen zur Datenresidenz in der EU (ueber das Assured Controls Add-on).
• Admin-Kontrollen: IT-Administratoren koennen Gemini pro Nutzer, Gruppe oder Organisationseinheit aktivieren oder deaktivieren.

Gemini API / Vertex AI

Die Gemini API ueber Google Cloud (Vertex AI) richtet sich an Entwickler und Unternehmen, die Gemini-Modelle in eigene Anwendungen integrieren. Hier gelten die Google Cloud-Nutzungsbedingungen und das Cloud DPA.

• Volle Kontrolle: Unternehmen bestimmen, welche Daten an die API gesendet werden.
• Kein Training mit API-Daten: Google trainiert seine Modelle nicht mit Daten, die ueber die bezahlte API verarbeitet werden.
• Regionsauswahl: Bei Vertex AI kann die Verarbeitungsregion (z. B. europe-west3/Frankfurt) explizit gewaehlt werden.
• Eigenes DPA: Das Google Cloud Data Processing Addendum deckt die Verarbeitung ab.

Gemini Advanced (Google One AI Premium)

Gemini Advanced bietet Zugang zu leistungsfaehigeren Modellen (Gemini Ultra) und erweiterte Funktionen wie laengere Kontextfenster und Integration mit anderen Google-Diensten. Es ist ein Consumer-Abo-Produkt, jedoch:

• Workspace-Verknuepfung moeglich: Wenn Gemini Advanced ueber einen Google Workspace-Account genutzt wird, gelten die Workspace-Datenschutzbedingungen.
• Ohne Workspace: Bei Nutzung mit einem privaten Google-Konto gelten die Consumer-Bedingungen -- inklusive potenzieller Nutzung fuer Modelltraining.

2. Datenverarbeitung bei Google Gemini: Was passiert mit Ihren Daten?

Datenfluss bei Gemini fuer Workspace

Wenn ein Mitarbeiter Gemini in Google Docs nutzt, um beispielsweise einen Text zusammenzufassen, passiert Folgendes:

1. Prompt-Erstellung: Der Nutzer gibt eine Anweisung ein (z. B. „Fasse dieses Dokument zusammen").
2. Kontextanreicherung: Gemini greift auf den Dokumentinhalt zu, auf den der Nutzer Zugriff hat.
3. API-Aufruf: Der Prompt samt Kontext wird an Googles KI-Infrastruktur gesendet.
4. Modell-Inferenz: Das Gemini-Modell verarbeitet die Anfrage und generiert eine Antwort.
5. Rueckgabe: Die Antwort wird im Workspace-Interface angezeigt.

Entscheidend ist: Die Daten verlassen waehrend dieses Prozesses den Google-Workspace-Tenant und werden auf Googles KI-Infrastruktur verarbeitet. Google hat jedoch zugesichert, dass diese Daten:

• Nicht fuer Modelltraining verwendet werden.
• Nicht von menschlichen Reviewern eingesehen werden (bei Workspace-Kunden).
• Nach der Verarbeitung nicht laenger als noetig gespeichert werden.

Datenfluss bei der Gemini API

Bei der Gemini API ueber Vertex AI ist der Datenfluss aehnlich, jedoch mit mehr Kontrolle:

• Unternehmen bestimmen exakt, welche Daten gesendet werden.
• Die Verarbeitungsregion kann gewaehlt werden.
• Umfangreiche Logging- und Monitoring-Optionen stehen zur Verfuegung.
• Customer-Managed Encryption Keys (CMEK) koennen eingesetzt werden.

Was Google mit Ihren Daten nicht tut (bei Business-Produkten)

Google hat fuer seine Business-Produkte (Workspace, Cloud) folgende verbindliche Zusicherungen gemacht:

• Kein Training von Foundation Models mit Kundendaten.
• Keine Weitergabe an Dritte zu Werbezwecken.
• Keine Vermischung mit Daten anderer Kunden.
• Loeschung nach Vertragsende gemaess den DPA-Bestimmungen.

Rechtsgrundlage: Gemaess Art. 28 Abs. 3 lit. a DSGVO darf der Auftragsverarbeiter personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten. Google ist im Rahmen des DPA an diese Weisungsbindung gebunden.

3. Der Auftragsverarbeitungsvertrag (AVV) mit Google

Google Workspace DPA

Das Google Workspace Data Processing Addendum ist der zentrale AVV fuer Unternehmen, die Gemini ueber Workspace nutzen. Es wird ueber die Google Workspace Admin-Konsole akzeptiert und umfasst:

Google Cloud DPA (fuer Gemini API)

Fuer die Nutzung der Gemini API ueber Vertex AI gilt das Google Cloud Data Processing Addendum. Es ist inhaltlich aehnlich aufgebaut, enthaelt jedoch zusaetzliche Regelungen fuer Cloud-Dienste:

• Datenstandort: Vertragliche Zusicherung der gewaehlten Verarbeitungsregion.
• Verschluesselung: Standardmaessig Verschluesselung in Transit und at Rest; optional CMEK.
• Access Transparency: Protokollierung aller administrativen Zugriffe durch Google-Mitarbeiter.

Pruefpflichten fuer Unternehmen

Ein haeufiger Fehler: Unternehmen akzeptieren das Google DPA, ohne es inhaltlich zu pruefen. Art. 28 DSGVO verlangt jedoch vom Verantwortlichen, dass er sich von den hinreichenden Garantien des Auftragsverarbeiters ueberzeugt. Konkret sollten Sie:

1. DPA-Version pruefen: Stellen Sie sicher, dass die aktuelle Version des DPA aktiviert ist. Google aktualisiert das DPA regelmaessig.
2. Sub-Processor-Liste pruefen: Googles Liste der Unterauftragsverarbeiter regelmaessig auf Aenderungen ueberpruefen.
3. TOM bewerten: Die im Sicherheitsanhang beschriebenen technischen und organisatorischen Massnahmen auf Angemessenheit pruefen.
4. Audit-Berichte anfordern: Die SOC-2-Berichte und ISO-Zertifizierungen von Google einsehen und dokumentieren.
5. Datenfluss dokumentieren: Im Verzeichnis der Verarbeitungstaetigkeiten festhalten, welche Daten an Gemini uebermittelt werden.

Art. 28 Abs. 1 DSGVO: „Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafuer bieten, dass geeignete technische und organisatorische Massnahmen so durchgefuehrt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewaehrleistet."

4. Drittlandtransfer und Datenresidenz

Das Problem: Google ist ein US-Unternehmen

Google LLC hat seinen Hauptsitz in den USA. Auch wenn Google europaeische Rechenzentren betreibt, erfolgt die Verarbeitung von Gemini-Anfragen nicht zwangslaeuig ausschliesslich in der EU. Das loest die Anforderungen der Art. 44-49 DSGVO fuer Drittlandtransfers aus.

EU-US Data Privacy Framework (DPF)

Seit dem Angemessenheitsbeschluss der EU-Kommission vom Juli 2023 koennen Datenuebermittlungen an US-Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind, ohne zusaetzliche Schutzmassnahmen erfolgen. Google LLC ist unter dem DPF zertifiziert.

Aber Vorsicht: Die langfristige Stabilitaet des DPF ist umstritten. Die Organisation NOYB hat angekuendigt, den Angemessenheitsbeschluss gerichtlich anzufechten. Unternehmen sollten daher:

• Das DPF als primaeren Transfermechanismus nutzen.
• Ergaenzend die Standardvertragsklauseln (SCCs) im Google DPA als Rueckfallposition beibehalten.
• Die Rechtsentwicklung aktiv verfolgen (insbesondere eine moegliche Ueberpruefung durch den EuGH).
• Ein Transfer Impact Assessment (TIA) dokumentieren, das die Risiken des Datentransfers bewertet.

Datenresidenz-Optionen bei Google

Google bietet verschiedene Moeglichkeiten, die Datenverarbeitung regional zu beschraenken:

Empfehlung: Unternehmen mit hohen Datenschutzanforderungen sollten entweder Workspace mit Assured Controls oder Vertex AI mit europaeischer Region nutzen, um die Datenverarbeitung in der EU sicherzustellen.

Vergleich der Datenresidenz: Google vs. Microsoft vs. OpenAI

• Google Workspace (Assured Controls): EU-Datenresidenz fuer Daten at Rest und in Processing verfuegbar. Zusatzkosten.
• Microsoft 365 (EU Data Boundary): EU-Datenresidenz standardmaessig fuer EU-Kunden, sukzessive umgesetzt seit 2024.
• OpenAI (ChatGPT Enterprise): Keine EU-Datenresidenz-Option; Verarbeitung primaer in den USA. Transfer ueber DPF/SCCs.

5. DSGVO-Compliance-Checkliste fuer Google Gemini

5.1 Rechtsgrundlage bestimmen

Bevor Sie Gemini einsetzen, muessen Sie die Rechtsgrundlage fuer die Datenverarbeitung festlegen. Je nach Einsatzzweck kommen in Betracht:

• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Fuer allgemeine Produktivitaetssteigerung durch KI-Assistenz. Erfordert eine dokumentierte Interessenabwaegung.
• Art. 6 Abs. 1 lit. b DSGVO (Vertragerfuellung): Wenn Gemini zur Erbringung vertraglicher Leistungen eingesetzt wird.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Bei der Verarbeitung besonderer Kategorien personenbezogener Daten.

5.2 Datenschutz-Folgenabschaetzung (Art. 35 DSGVO)

Eine DSFA ist fuer den Einsatz von Google Gemini in Unternehmen regelmaessig erforderlich, da:

• Generative KI als neue Technologie im Sinne von Art. 35 Abs. 1 DSGVO gilt.
• Die systematische und umfangreiche Verarbeitung von Unternehmensdaten erfolgt.
• Potenziell besondere Datenkategorien (z. B. Gesundheitsdaten in E-Mails) verarbeitet werden.
• Ein Drittlandtransfer in die USA stattfinden kann.

Die DSFA sollte mindestens adressieren: Zweck der Verarbeitung, Art der verarbeiteten Daten, Risiken fuer betroffene Personen, Schutzmassnahmen (TOM, DPA, Datenresidenz) und die Bewertung der Verhaeltnismaessigkeit.

5.3 Informationspflichten (Art. 13/14 DSGVO)

Betroffene Personen muessen ueber die Datenverarbeitung durch Gemini informiert werden:

• Beschaeftigte: Aktualisieren Sie die interne Datenschutzinformation. Mitarbeitende muessen wissen, dass Gemini aktiv ist und wie ihre Daten verarbeitet werden.
• Kunden und Geschaeftspartner: Wenn Gemini E-Mails oder Dokumente verarbeitet, die Daten externer Personen enthalten, muss die Datenschutzerklaerung dies abdecken.
• Transparenz nach AI Act: Art. 50 VO (EU) 2024/1689 verlangt zusaetzlich, dass KI-generierte Inhalte als solche gekennzeichnet werden.

5.4 Technische und organisatorische Massnahmen

5.5 KI-Kompetenz nach Art. 4 VO (EU) 2024/1689

Seit dem 2. Februar 2025 muessen Unternehmen sicherstellen, dass Mitarbeitende, die KI-Systeme nutzen, ueber ausreichende KI-Kompetenz verfuegen. Fuer Gemini-Nutzer bedeutet das:

• Schulung zur Funktionsweise von Gemini (Was kann das Tool? Was sind die Grenzen?).
• Sensibilisierung fuer Halluzinationen und fehlerhafte Ausgaben.
• Klare Anweisungen, welche Daten eingegeben werden duerfen und welche nicht.
• Dokumentation der durchgefuehrten Schulungen als Nachweis.

6. Vergleich: Gemini vs. ChatGPT vs. Copilot im Datenschutz

Unternehmen stehen haeufig vor der Frage, welcher KI-Assistent datenschutzrechtlich am besten abschneidet. Die folgende Tabelle vergleicht die drei grossen Plattformen:

Wichtigste Unterschiede:

• Datenresidenz: Microsoft bietet die staerkste Standard-EU-Datenresidenz. Google erfordert ein kostenpflichtiges Add-on (Assured Controls). OpenAI bietet derzeit keine EU-Datenresidenz.
• Integration: Die Wahl haengt stark vom bestehenden Oekosystem ab. Google Workspace-Kunden profitieren am meisten von Gemini, Microsoft-365-Kunden von Copilot.
• API-Flexibilitaet: Google Vertex AI und die Gemini API bieten die groesste Flexibilitaet fuer Entwickler, einschliesslich regionaler Verarbeitungsoptionen.

7. Praktische Compliance-Checkliste

Die folgende Checkliste fasst alle notwendigen Schritte fuer den datenschutzkonformen Einsatz von Google Gemini zusammen:

Vor der Einfuehrung

• Variante festlegen: Gemini fuer Workspace, Vertex AI oder beides? Consumer-Versionen ausschliessen.
• DPA aktivieren: Google Workspace DPA oder Cloud DPA in der Admin-Konsole akzeptieren und pruefen.
• Sub-Processor-Liste pruefen: Aktuelle Liste der Unterauftragsverarbeiter einsehen und dokumentieren.
• Datenresidenz konfigurieren: Bei hohen Anforderungen Assured Controls oder Vertex AI mit EU-Region einrichten.
• DSFA durchfuehren: Datenschutz-Folgenabschaetzung erstellen und dokumentieren.
• Verarbeitungsverzeichnis aktualisieren: Gemini als neue Verarbeitungstaetigkeit aufnehmen.
• Rechtsgrundlage dokumentieren: Interessenabwaegung oder andere Rechtsgrundlage schriftlich festhalten.
• Betriebsrat einbinden: Bei mitbestimmungspflichtigen Unternehmen den Betriebsrat fruehzeitig beteiligen.

Bei der Einfuehrung

• Admin-Kontrollen setzen: Gemini gezielt fuer definierte Nutzergruppen aktivieren.
• DLP-Richtlinien konfigurieren: Sensible Datenkategorien vom Gemini-Zugriff ausschliessen.
• Nutzungsrichtlinie kommunizieren: Interne KI-Policy mit klaren Dos und Don'ts veroeffentlichen.
• KI-Kompetenzschulungen durchfuehren: Alle Gemini-Nutzer vor dem Rollout schulen.
• Informationspflichten erfuellen: Datenschutzerklaerungen fuer Beschaeftigte und Externe aktualisieren.

Nach der Einfuehrung

• Audit-Logs ueberwachen: Regelmaessig die Gemini-Nutzung pruefen.
• DSFA aktualisieren: Mindestens jaehrlich oder bei wesentlichen Aenderungen.
• DPA-Updates verfolgen: Bei Aenderungen am Google DPA erneut pruefen.
• Schulungen auffrischen: Regelmaessige Auffrischungsschulungen durchfuehren.
• Feedback einholen: Nutzer-Feedback zu Datenschutzbedenken sammeln und adressieren.

8. Haeufig gestellte Fragen (FAQ)

Nutzt Google meine Unternehmensdaten zum Training von Gemini?

Bei Business-Produkten nein. Google hat fuer Workspace und Cloud (Vertex AI) vertraglich zugesichert, dass Kundendaten nicht zum Training der Foundation Models verwendet werden. Bei der kostenlosen Gemini-Version und Gemini Advanced mit privatem Google-Konto behaelt sich Google dieses Recht jedoch vor. Unternehmen muessen daher sicherstellen, dass ausschliesslich die Business-Varianten zum Einsatz kommen.

Brauche ich fuer Google Gemini einen eigenen AVV?

Das Google DPA deckt Gemini ab, sofern es korrekt aktiviert ist. Fuer Workspace-Kunden wird das DPA ueber die Admin-Konsole akzeptiert; fuer Cloud-Kunden gilt das Cloud DPA automatisch. Ein separater AVV speziell fuer Gemini ist nicht erforderlich -- aber Sie muessen pruefen, ob die bestehenden DPA-Regelungen Gemini explizit einschliessen und ob die aktuellste Version aktiviert ist.

Kann ich Google Gemini DSGVO-konform in der EU nutzen?

Ja, unter bestimmten Voraussetzungen. Die wichtigsten: Nutzung einer Business-Variante (Workspace oder Cloud), Aktivierung des DPA, Pruefung des Drittlandtransfers (DPF-Zertifizierung + SCCs als Backup), Durchfuehrung einer DSFA und Implementierung angemessener TOM. Bei besonders sensiblen Daten empfiehlt sich die Nutzung von Assured Controls oder Vertex AI mit EU-Datenresidenz.

Was ist der Unterschied zwischen Gemini fuer Workspace und der Gemini API?

Gemini fuer Workspace ist ein fertiges Produkt, das KI-Funktionen in Google Docs, Sheets, Gmail und andere Workspace-Anwendungen integriert. Die Gemini API (ueber Vertex AI) ist eine Entwicklerplattform, mit der Unternehmen eigene KI-Anwendungen bauen koennen. Aus Datenschutzsicht bietet die API mehr Kontrolle (Regionsauswahl, CMEK, granulares Logging), erfordert aber auch mehr technisches Know-how. Fuer beide gelten jeweils eigene DPAs.

Wie schneidet Google Gemini im Vergleich zu Microsoft Copilot beim Datenschutz ab?

Microsoft Copilot hat beim Thema EU-Datenresidenz derzeit einen Vorteil, da die EU Data Boundary standardmaessig fuer EU-Kunden gilt. Google erfordert fuer vergleichbare Garantien das kostenpflichtige Assured Controls Add-on. Bei den uebrigen Datenschutzaspekten -- AVV, kein Modelltraining, Admin-Kontrollen, Audit-Logging -- sind beide Plattformen vergleichbar. Die Wahl haengt letztlich vom bestehenden Oekosystem ab: Wer Google Workspace nutzt, faehrt mit Gemini besser; wer Microsoft 365 nutzt, mit Copilot.

9. Fazit

Google Gemini bietet Unternehmen leistungsfaehige KI-Funktionen, die sich nahtlos in das Google-Oekosystem integrieren. Aus Datenschutzsicht ist der Einsatz der Business-Varianten (Workspace und Cloud/Vertex AI) grundsaetzlich moeglich -- vorausgesetzt, die DSGVO-Anforderungen werden systematisch umgesetzt.

Die zentralen Stellschrauben sind:

1. Nur Business-Varianten einsetzen -- niemals die kostenlose Consumer-Version fuer Unternehmensdaten.
2. DPA aktivieren und pruefen -- nicht nur akzeptieren, sondern inhaltlich bewerten.
3. Drittlandtransfer absichern -- DPF als primaeren Mechanismus nutzen, SCCs als Backup beibehalten, TIA dokumentieren.
4. Datenresidenz konfigurieren -- bei hohen Anforderungen Assured Controls oder Vertex AI mit EU-Region.
5. DSFA durchfuehren -- die Risiken der KI-Verarbeitung systematisch bewerten.
6. Mitarbeitende schulen -- KI-Kompetenz nach Art. 4 VO (EU) 2024/1689 sicherstellen.

Der Schluessel liegt wie bei allen KI-Tools in der bewussten und strukturierten Einfuehrung. Unternehmen, die Gemini als strategisches Projekt behandeln und Datenschutz von Anfang an mitdenken, koennen die Produktivitaetsvorteile nutzen, ohne Compliance-Risiken einzugehen.

---

Sie moechten Google Gemini datenschutzkonform in Ihrem Unternehmen einfuehren? KI Comply bietet praxisnahe Schulungen und Beratung fuer den DSGVO-konformen KI-Einsatz -- von der DSFA bis zur Mitarbeiterschulung nach Art. 4 VO (EU) 2024/1689. Jetzt informieren