Prüfstand · KI-Assistent Stand:

Google Gemini DSGVO-konform nutzen? Prüfstand mit Quellen (Stand Okt. 2026)

Zehn Kriterien, jede Aussage mit Quelle und wörtlichem Zitat. Geprüft am 28. Oktober 2026, nächste Prüfung spätestens am 26. Januar 2027.

von 10 Kriterien erfüllt
9 von 10 Kriterien erfüllt
mit Einschränkung
1 mit Einschränkung
nicht erfüllt oder nicht ausgewiesen
0 nicht erfüllt oder nicht ausgewiesen
Belege mit Zitat
28 Belege mit Zitat

Unser Kurzurteil

Kurzurteil für Google Gemini: Einsetzbar

Mit personenbezogenen Daten nur über ein Arbeitskonto in Google Workspace, nie mit einem privaten Google-Konto. Dort ist Gemini Teil des Workspace-Vertrags: Vertragspartner ist Google Cloud EMEA in Dublin, die AVV gilt für Prompts und Antworten, und Ihre Inhalte gehen nicht ins Training. Speicherung in Europa wählen Sie ab Business Standard selbst; die Verarbeitung bleibt nur in Enterprise Plus in Europa, und Gemini Notebook ist von der Datenregion ausgenommen.

Geeigneter Tarif
Geeignet
Geeignet Google Workspace Business Standard, Business Plus oder Enterprise mit Arbeitskonto (Datenregion Europa ab Business Standard, Verarbeitung in Europa nur Enterprise Plus)
Ungeeignet
Ungeeignet
Ungeeignet Gemini mit privatem Google-Konto: Chats können von Menschen geprüft und zur Verbesserung von Google-Diensten genutzt werden, solange „Keep Activity“ eingeschaltet ist; der Workspace-Vertrag gilt dort nicht.

In 30 Sekunden

  • Einsetzbar: Im geprüften Tarif datenschutzkonform einsetzbar, wenn Sie die Schritte unten umsetzen.
  • Nehmen Sie Google Workspace Business Standard, Business Plus oder Enterprise mit Arbeitskonto (Datenregion Europa ab Business Standard, Verarbeitung in Europa nur Enterprise Plus).
  • Alle vier Kernkriterien (Vertragspartner, AVV, Drittland, KI-Training) sind erfüllt.
  • Erster Schritt: Lassen Sie Gemini nur mit Arbeitskonten Ihrer Workspace-Domain nutzen und untersagen Sie private Google-Konten für dienstliche Inhalte schriftlich.
  • 9 erfüllt
  • 1 mit Einschränkung

Die zehn Kriterien mit Belegen

Aufklappen zeigt Quelle, wörtliches Zitat und Abrufdatum. Bewertet ist der geeignete Tarif.

  1. Erfüllt 01 Vertragspartner Kern · Erfüllt Unternehmen mit Rechnungsadresse in Europa schließen den Workspace-Vertrag mit der Google Cloud EMEA Limited in Dublin. Ausnahmen sind Frankreich, Italien und Polen mit eigenen Landesgesellschaften.

    Prüffrage: Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Maßstab: Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

    Andere Tarife: Mit einem privaten Google-Konto gilt der Workspace-Vertrag nicht; dort gelten Googles Verbraucherbedingungen.

  2. Erfüllt 02 Auftragsverarbeitung (AVV) Kern · Erfüllt Der Cloud Data Processing Addendum ist Teil des Workspace-Vertrags, Google handelt als Auftragsverarbeiter. Prompts und Antworten in Gemini gelten als Kundendaten und fallen damit unter diese AVV.

    Prüffrage: Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Maßstab: Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

    Andere Tarife: Gilt nur für Gemini mit einem Arbeitskonto in einer berechtigten Workspace-Edition.

    • AVV ist in den Vertrag einbezogen

      This Cloud Data Processing Addendum (including its appendices, the “Addendum”) is incorporated into the Agreement(s) (as defined below) between Google and Customer.

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

    • Google ist Auftragsverarbeiter

      Google is a processor and Customer is a controller or processor, as applicable, of Customer Personal Data.

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

    • Gemini-Daten sind Kundendaten unter der AVV

      Data stored by the customer through use of Google Workspace services is considered customer data as defined by the Cloud Data Processing Addendum (CDPA) and, as such, is governed by the data processing terms set out in the CDPA.

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

  3. Erfüllt 03 Unterauftragsverarbeiter · Erfüllt Google veröffentlicht die Unterauftragsverarbeiter für Workspace mit Tätigkeit und Land; Supportdienstleister sitzen unter anderem in Indien, auf den Philippinen und in den USA. Neue Dienstleister kündigt Google mindestens 30 Tage vorher an, Sie können binnen 90 Tagen durch Kündigung widersprechen.

    Prüffrage: Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Maßstab: Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

    • Öffentliche Liste mit Tätigkeit und Land

      Google and its affiliates engage the third-party entities in the table below to perform limited activities in connection with the Google Workspace Core Services and Cloud Identity Services.

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

    • Ankündigung mindestens 30 Tage vorher

      When Google engages any New Subprocessor during the Term, Google will, at least 30 days before the New Subprocessor starts processing any Customer Data, notify Customer of the engagement (including the name, location and activities of the New Subprocessor).

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

    • Widerspruch durch Kündigung binnen 90 Tagen

      Customer may, within 90 days after being notified of the engagement of a New Subprocessor, object by immediately terminating the applicable Agreement for convenience

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

  4. Mit Einschränkung 04 Datenstandort · Mit Einschränkung Ab Business Standard legen Sie per Datenregion fest, dass Gemini-Prompts und -Antworten in Europa gespeichert werden. Dass auch die Verarbeitung in Europa bleibt, gibt es nur in Enterprise Plus und Frontline Plus; Gemini Notebook fällt gar nicht unter die Datenregion.

    Prüffrage: Wo liegen die Inhalte, und lässt sich Europa wählen?

    Maßstab: Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

    Andere Tarife: Business Starter bietet keine Datenregion. Speicherung und Verarbeitung in Europa gibt es nur mit Enterprise Plus oder Frontline Plus.

    • Datenregion Europa wählbar

      As an administrator, you can use data regions to store your covered Google Workspace data in a specific geographic location. Your location options are the United States, European Union (labeled Europe in the Google Admin console), or No preference.

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

    • Datenregionen ab Business Standard, nicht in Business Starter

      Supported editions for this feature: Frontline Starter, Frontline Standard, and Frontline Plus; Business Standard and Business Plus; Enterprise Standard and Enterprise Plus;

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

    • Verarbeitung in der Region nur Enterprise Plus und Frontline Plus

      (Enterprise Plus and Frontline Plus only) If an administrator decides to include processing in their data regions policy, some advanced features might become unavailable.

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

    • Gemini-App: Prompts und Antworten von der Datenregion erfasst

      Gemini app Prompts and responses

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

    • Gemini Notebook ausgenommen

      For example, Data Regions is not supported for Google Workspace for Education Fundamentals, Gemini Notebook (formerly NotebookLM), or logs or cached content.

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

  5. Erfüllt 05 Drittlandübermittlung Kern · Erfüllt Google LLC ist im EU-US Data Privacy Framework aktiv zertifiziert (geprüft am 28.10.2026), und Google stützt Übermittlungen in die USA seit 01.09.2023 darauf. Standardvertragsklauseln stehen als Rückfallebene in der AVV.

    Prüffrage: Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Maßstab: Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

    • DPF aktiv seit 22.09.2016, fällig 13.09.2027

      EU-U.S. Data Privacy Framework : Active Original Certification Date 09/22/2016 Next Certification Due Date 09/13/2027

      Quelle: dataprivacyframework.gov (öffnet neues Fenster) abgerufen am

    • Google nutzt das DPF für Übermittlungen in die USA

      As of September 1, 2023, Google has adopted an Alternative Transfer Solution for transfers of EU/EEA personal data to, and onwards from, the U.S.

      Quelle: cloud.google.com (öffnet neues Fenster) abgerufen am

    • Standardvertragsklauseln für Übermittlungen an Unterauftragsverarbeiter

      the SCCs (Processor-to-Processor, Google Exporter) will apply with respect to such Restricted Transfers from Google to Subprocessors

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

  6. Erfüllt 06 KI-Training mit Ihren Daten Kern · Erfüllt Google nutzt Workspace-Daten nicht zum Training seiner KI-Modelle, solange Sie es nicht erlauben. Das steht als Trainingsverbot in den Workspace-Bedingungen, und Ihre Inhalte werden auch nicht von Menschen geprüft.

    Prüffrage: Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Maßstab: Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

    Andere Tarife: Mit einem privaten Google-Konto prüfen Menschen einen Teil der Chats und Google nutzt sie zur Verbesserung, solange „Keep Activity“ eingeschaltet ist.

    • Trainingsverbot im Vertrag

      Google will not use Customer Data to train or fine-tune any of its generative artificial intelligence models supporting the Google Workspace Generative AI Services without Customer's prior permission or instruction.

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

    • Keine menschliche Prüfung, kein Training außerhalb Ihrer Domain

      Your content is not human reviewed or otherwise used for Generative AI model training outside your domain without permission.

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

    • Private Konten: Prüfung durch Menschen, bis „Keep Activity“ aus ist

      To stop your future chats from being reviewed to improve Google services, turn off your Keep Activity setting.

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

  7. Erfüllt 07 Zertifikate · Erfüllt Google weist für Gemini SOC 1, 2 und 3 sowie ISO/IEC 27001, 27017, 27018, 27701 und 42001 nach. Ein BSI-C5-Testat nennt Google für Gemini nicht.

    Prüffrage: ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Maßstab: Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

  8. Erfüllt 08 Verwaltung & Kontrolle · Erfüllt Admins schalten die Gemini-App und die Gemini-Funktionen je Dienst ein oder aus und sehen die Nutzung im Audit-Log. Die Anmeldung läuft auf Wunsch über Ihren eigenen Identitätsanbieter per SAML oder OIDC.

    Prüffrage: SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Maßstab: Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

    • Audit-Log für Gemini

      Google Workspace provides admins with a robust set of audit logs to track user activity and interactions with Gemini in the Gemini app and Workspace apps (Chat, Classroom, Docs, Drive, Gmail, Keep, Meet, Sheets, Slides, and Vids).

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

    • Gemini-App zentral abschaltbar

      Access to the Gemini app as a core service is turned on by default. Admins manage access to the Gemini app and can choose to disable the service.

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

    • SSO über eigenen Identitätsanbieter

      Workspace (and Google Cloud Platform) support SSO from third-party identity providers (IdPs).

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

  9. Erfüllt 09 Löschung · Erfüllt Nach Vertragsende löscht Google alle Kundendaten nach einer Wiederherstellungsfrist von bis zu 30 Tagen binnen höchstens 180 Tagen; dieselbe Höchstfrist gilt für Daten, die Sie während der Laufzeit löschen. Wie lange Gemini-Chats aufbewahrt werden, legen Ihre Admins fest.

    Prüffrage: Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Maßstab: Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

    • Löschung nach Vertragsende binnen 30 + 180 Tagen

      Customer instructs Google to delete all remaining Customer Data (including existing copies) from Google’s systems at the end of the Term. After a recovery period of up to 30 days from that date, Google will comply with this Instruction as soon as reasonably practicable and within a maximum period of 180 days

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

    • Löschen während der Laufzeit gilt als Weisung

      If Customer uses the Services to delete any Customer Data during the Term and that Customer Data cannot be recovered by Customer, this use will constitute an Instruction to Google to delete the relevant Customer Data from Google’s systems.

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

    • Aufbewahrungsdauer der Chats durch Admins wählbar

      Set automated retention periods based on inactive conversations (such as 3 months, 18 months, or 3 years), or retain conversations indefinitely for the organization

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

  10. Erfüllt 10 Betroffenenrechte · Erfüllt Google unterstützt Sie laut AVV bei Anfragen Betroffener und verweist Anfragen, die direkt bei Google eingehen, an Sie. Hochgeladene Dateien und Notizbücher lassen sich löschen oder über Google Takeout exportieren.

    Prüffrage: Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Maßstab: Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

    • Unterstützung bei Betroffenenanfragen laut AVV

      Google will (taking into account the nature of the processing of Customer Personal Data) assist Customer in fulfilling its (or, where Customer is a processor, the third-party controller’s) obligations under Applicable Privacy Law to respond to requests for exercising the data subject’s rights

      Quelle: workspace.google.com (öffnet neues Fenster) abgerufen am

    • Löschen und Export über Google Takeout

      Users can manually delete uploaded files and Notebooks or export them using Google Takeout

      Quelle: support.google.com (öffnet neues Fenster) abgerufen am

So setzen Sie Google Gemini sauber ein

Die Schritte in dieser Reihenfolge abarbeiten. Was erledigt ist, können Sie abhaken; das bleibt nur in Ihrem Browser.

Aus dem Subprozessor-Monitor

Unterauftragsverarbeiter von Google Gemini

Google veröffentlicht seine Liste nicht so, dass unser Monitor sie täglich automatisch lesen kann (Anmeldung, Bot-Sperre oder nur im Vertragsanhang). Wir prüfen sie deshalb bei jeder Nachprüfung von Hand.

Erfüllt

Stand 28. Oktober 2026: Google veröffentlicht die Unterauftragsverarbeiter für Workspace mit Tätigkeit und Land; Supportdienstleister sitzen unter anderem in Indien, auf den Philippinen und in den USA. Neue Dienstleister kündigt Google mindestens 30 Tage vorher an, Sie können binnen 90 Tagen durch Kündigung widersprechen.

17 Anbieter im Monitor ansehen

Änderungshistorie

Nächste Prüfung spätestens am 26. Januar 2027.

  1. Erstprüfung.

Weiterlesen

Hugo DSB

Jedes Tool im Verzeichnis, jeder AVV an seinem Platz

Mit Hugo DSB dokumentieren Sie Google Gemini und alle anderen Dienstleister im Verzeichnis der Verarbeitungstätigkeiten, mit externem Datenschutzbeauftragten an Ihrer Seite.

Hugo DSB ansehen

Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Angaben von Google, Stand 28. Oktober 2026. Keine Rechtsberatung. Herstellerangaben können sich ändern; maßgeblich sind die verlinkten Originaldokumente. Wie wir prüfen: Methode.

Häufige Fragen: Google Gemini und die DSGVO

Mit einem Arbeitskonto in Google Workspace ist ein DSGVO-konformer Einsatz nach unserer Einschätzung möglich: Gemini fällt unter die AVV mit Google Cloud EMEA in Dublin, Ihre Inhalte gehen nicht ins Training, und Google ist unter dem Data Privacy Framework zertifiziert. Mit einem privaten Google-Konto gilt das nicht.

Mit einem Arbeitskonto gilt der Workspace-Vertrag samt AVV, und Google nutzt Ihre Inhalte nicht zum Training. Mit einem privaten Google-Konto prüfen Menschen einen Teil der Chats und Google verwendet sie zur Verbesserung seiner Dienste, solange „Keep Activity“ eingeschaltet ist. Für Firmendaten kommt nur das Arbeitskonto infrage.

Ab Business Standard können Admins die Datenregion Europa wählen; dann werden Prompts und Antworten der Gemini-App in Europa gespeichert. Dass auch die Verarbeitung in Europa bleibt, gibt es nur in Enterprise Plus und Frontline Plus. Gemini Notebook ist von der Datenregion ausgenommen.

Nicht in Google Workspace. Die Workspace-Bedingungen verbieten Google, Kundendaten ohne Ihre Erlaubnis zum Training seiner KI-Modelle zu nutzen, und Ihre Inhalte werden nicht von Menschen geprüft. Anders ist es mit privaten Google-Konten.

Nein. Gemini ist mit einem Arbeitskonto Teil von Google Workspace, und der Cloud Data Processing Addendum gilt für Prompts und Antworten genauso wie für Gmail oder Drive. Prüfen Sie nur, dass er in der Admin-Konsole akzeptiert ist.

Ja. Die Gemini-App ist in Workspace standardmäßig eingeschaltet, Admins können sie aber abschalten und die Gemini-Funktionen in Gmail, Docs oder Meet einzeln steuern. Was Nutzer mit Gemini tun, sehen Admins im Audit-Log.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen