Google Workspace und DSGVO: Compliance-Leitfaden 2026

In einem Satz. Der entscheidende Unterschied bei Google Workspace ist die Trennung zwischen Kerndiensten, für die Google als Auftragsverarbeiter handelt, und den zahlreichen Zusatzdiensten, für die Google in eigener Verantwortung verarbeitet — wer diese Trennung in der Verwaltungskonsole nicht nachvollzieht, hat einen unbewerteten Datenfluss im Haus.

Google Workspace ist in deutschen Unternehmen weit verbreitet und in Behörden und Schulen umstritten. Die Auseinandersetzung dreht sich selten um Gmail oder Docs, sondern fast immer um zwei Punkte: um die Frage, welche Daten Google zu eigenen Zwecken verarbeitet, und um die Transferfrage. Beide sind beantwortbar — aber nur, wenn Sie die Konfiguration Ihrer eigenen Instanz kennen und die Antwort datiert dokumentieren. Alle Anbieterangaben in diesem Beitrag haben den Stand Juli 2026 und sind vor Verwendung in Ihrer Dokumentation in Googles aktueller Vertrags- und Compliance-Dokumentation nachzuprüfen; Google überarbeitet diese Dokumente regelmäßig.

Wichtige Punkte

• Der AV-Vertrag ist der Datenverarbeitungszusatz zu den Workspace-Bedingungen; er wird über die Verwaltungskonsole beziehungsweise den Rahmenvertrag einbezogen.
• Kerndienste unterliegen der Auftragsverarbeitung. Zusatzdienste wie Suche, Karten oder Videoplattform tun das nicht — sie sind gesondert zu bewerten oder abzuschalten.
• Datenregionen für Europa sind in höheren Tarifen verfügbar und decken bestimmte Daten im Ruhezustand ab, nicht jede Verarbeitung.
• Für Übermittlungen sind Standardvertragsklauseln einbezogen; die DPF-Zertifizierung ist gesondert und mit Datum zu prüfen.
• Auswertungs- und Berichtsfunktionen über Beschäftigte berühren die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG.

1. Welche personenbezogenen Daten Google Workspace verarbeitet

Die Kerndienste verarbeiten: Kontodaten der Nutzer (Name, dienstliche Adresse, Organisationseinheit, Telefonnummer, Wiederherstellungsangaben), sämtliche Inhalte in Gmail, Drive, Docs, Kalender und Meet — also E-Mails mit Anhängen, Dokumente, Tabellen, Termine mit Teilnehmerlisten, Besprechungsaufzeichnungen —, Chatverläufe, Kontaktverzeichnisse, Anmelde- und Zugriffsprotokolle mit IP-Adresse und Gerätekennung, sowie Verwaltungsprotokolle über administrative Handlungen.

Betroffene sind Ihre Beschäftigten und jede externe Person, die mit ihnen kommuniziert: der Absender einer E-Mail, der Teilnehmer einer Videokonferenz, der Empfänger eines geteilten Dokuments. Besondere Kategorien nach Art. 9 DSGVO entstehen in Postfächern zwangsläufig — Krankmeldungen, Betriebsratskorrespondenz, Bewerbungsunterlagen — ohne dass ein Feld dafür vorgesehen wäre; das gehört in die Risikobewertung, auch wenn es keine Konfigurationsfrage ist.

Datenschutzrechtlich eigenständig zu betrachten sind die Zusatzdienste. Wenn Nutzer mit ihrem Arbeitskonto Suchdienste, Karten, die Videoplattform oder App-Marktplätze nutzen, verarbeitet Google die dabei anfallenden Daten nicht als Ihr Auftragsverarbeiter, sondern zu eigenen Zwecken auf Grundlage eigener Bedingungen. Sie können diese Nutzung weder anweisen noch im Rahmen des AV-Vertrags kontrollieren. Sie können sie aber zentral abschalten — und das ist die einzige Konfigurationsentscheidung dieses Beitrags, die man ohne Umschweife empfehlen kann, solange keine dokumentierte Bewertung vorliegt.

2. Der AV-Vertrag nach Art. 28 DSGVO

Google stellt für Workspace einen Datenverarbeitungszusatz bereit, der über die Vertragsdokumentation abrufbar und in der Regel Bestandteil des Vertrags ist; in bestimmten Konstellationen wird er in der Verwaltungskonsole ausdrücklich akzeptiert. Prüfen Sie, welcher Fall bei Ihnen vorliegt, laden Sie die geltende Fassung herunter und archivieren Sie sie mit Version und Abrufdatum. Beim Bezug über einen Reseller klären Sie zusätzlich, wer Ihr Vertragspartner ist und ob die Auftragsverarbeitungskette lückenlos abgebildet ist. Die inhaltlichen Anforderungen erklärt unser Beitrag zur Auftragsverarbeitung nach DSGVO, eine Vergleichsvorlage bietet das AVV-Muster.

Gehen Sie den Zusatz gegen die Pflichtangaben des Art. 28 Abs. 3 durch: Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen mit Verweis auf ein technisches Anhangsdokument, Unterstützung bei Betroffenenrechten und Folgenabschätzungen, Löschung oder Rückgabe nach Vertragsende, Prüfrechte in Form von Berichten Dritter und Fragebögen. Der praktisch wichtigste Abschnitt ist der Geltungsbereich: Er benennt, welche Dienste erfasst sind. Alles, was dort nicht steht — Zusatzdienste, Vorschau- und Beta-Funktionen, Marktplatz-Anwendungen —, unterliegt anderen Bedingungen. Genau an dieser Grenze entstehen die Bewertungslücken.

3. Hosting und Drittlandtransfer (Stand: Juli 2026)

Google bietet in höheren Workspace-Tarifen eine Datenregionen-Funktion an, mit der bestimmte Daten der Kerndienste im Ruhezustand in Europa gespeichert werden. Verstehen Sie die Reichweite genau: Solche Funktionen decken typischerweise die primären Daten im Ruhezustand ab, nicht notwendigerweise Sicherungskopien, Indizes, Metadaten oder jede Verarbeitung während des Betriebs. Lassen Sie sich für Ihren Tarif schriftlich geben, welche Datenarten erfasst sind, notieren Sie das Datum und schreiben Sie in Ihre Dokumentation die tatsächliche Abdeckung.

Für die verbleibenden Übermittlungen sind vertraglich die Standardvertragsklauseln einbezogen. Ob die vertragschließende Google-Gesellschaft zusätzlich unter dem EU-US Data Privacy Framework zertifiziert ist, prüfen Sie auf der offiziellen DPF-Liste und halten das Prüfdatum fest — auch hier gilt: prüfen, nicht unterstellen. In die Akte gehören: Tarif, aktivierte Datenregion, Abdeckungsumfang, Transfergrundlage, Prüfdatum und eine Transfer-Folgenabschätzung, die den behördlichen Zugriff und die ergänzenden Maßnahmen bewertet — Verschlüsselung, gegebenenfalls eigene Schlüsselverwaltung, Datenregion. Die Methodik erklärt unser Beitrag zur internationalen Datenübermittlung, die spezifische Konstellation US-amerikanischer Anbieter der Beitrag DSGVO und US-Unternehmen.

4. Subprozessoren und Sicherheitsnachweise

Google veröffentlicht eine Liste der Unterauftragsverarbeiter für Workspace mit Zweck und Standort und bietet ein Abonnement für Änderungsbenachrichtigungen. Legen Sie fest, wer diese Meldungen erhält und bewertet; die Widerspruchsmöglichkeit läuft praktisch auf ein Kündigungsrecht hinaus, was die Bewertung vor der Beschaffung wichtiger macht als danach.

Bei den Nachweisen ist Google breit aufgestellt: veröffentlicht werden nach Anbieterangaben ISO-Zertifizierungen (unter anderem 27001, 27017, 27018, 27701) sowie SOC-Berichte; für den deutschen Markt ist zusätzlich relevant, ob und für welche Dienste ein Testat nach dem BSI-Kriterienkatalog C5 vorliegt, das im öffentlichen Sektor häufig Vergabevoraussetzung ist. Prüfen Sie im Compliance-Portal den Geltungsbereich für die von Ihnen genutzten Dienste — ein Testat, das Ihre Konstellation nicht abdeckt, trägt Ihre Dokumentation nicht — und legen Sie die Dokumente mit Prüfdatum zur Dienstleisterprüfung. Was Sie selbst verantworten, bemisst sich unverändert an Art. 32 DSGVO.

5. Konfigurations-Checkliste

1. Zusatzdienste abschalten. Solange keine dokumentierte Bewertung für die Nutzung von Suchdiensten, Karten oder Videoplattform mit dem Arbeitskonto vorliegt, deaktivieren Sie diese Dienste organisationsweit. Dies ist der wichtigste Punkt der Liste.
2. Datenregion aktivieren, wo der Tarif es hergibt, und die tatsächliche Abdeckung dokumentieren.
3. Externe Freigaben in Drive einschränken. Standardmäßig weitreichende Freigabelinks — „jeder mit dem Link" — sind eine der häufigsten Ursachen für Datenabflüsse. Beschränken Sie auf benannte Empfänger und setzen Sie Ablaufdaten.
4. Marktplatz-Anwendungen genehmigungspflichtig machen und Zugriffsberechtigungen (OAuth) auf eine Freigabeliste beschränken. Jede App mit Postfach- oder Drive-Zugriff ist ein eigener Empfänger.
5. Aufbewahrungsrichtlinien setzen. Postfächer, Drive-Inhalte und Chats wachsen sonst unbegrenzt; definieren Sie Fristen je Datenart und legen Sie fest, wann eine Aufbewahrung zu Rechtszwecken eingreift — Systematik im Löschkonzept, Fristenlogik in der Aufbewahrungsfristen-Tabelle.
6. Protokollaufbewahrung konfigurieren. Ohne ausreichend lange Aufbewahrung der Admin- und Zugriffsprotokolle ist eine Datenpanne nicht aufklärbar; die Meldefrist läuft trotzdem, wie unser Beitrag zur Datenpannenmeldung zeigt.
7. Zwei-Faktor-Anmeldung erzwingen, für administrative Konten mit Sicherheitsschlüsseln.
8. Aufzeichnung und Transkription von Meet-Besprechungen per Richtlinie steuern, Teilnehmer informieren und bei Beschäftigten mit dem Betriebsrat abstimmen.
9. KI- und Assistenzfunktionen bewusst freischalten. Sie greifen auf den für den Nutzer sichtbaren Datenbestand zu und brauchen eine eigene Bewertung — Systematik im Beitrag Datenschutz bei KI-Tools.
10. Berichte über Nutzung und Aktivität prüfen und ihren Einsatz beschränken; personenbezogene Auswertungen sind zur Leistungskontrolle geeignet.
11. Nutzungsregeln schriftlich fassen — private Nutzung, Umgang mit externen Freigaben, was nicht per Mail versendet wird. Eine IT-Nutzungsrichtlinie ist hier die tragende Maßnahme.

6. Was ins Verarbeitungsverzeichnis gehört

Google Workspace ist Infrastruktur und taucht in vielen Einträgen als Empfänger auf; sinnvoll ist zusätzlich ein eigener Eintrag „Bürokommunikation und Zusammenarbeit". Darin: Zweck, Rechtsgrundlage (§ 26 BDSG für Beschäftigte, Art. 6 Abs. 1 lit. f für die Kommunikation mit Externen), Datenkategorien, Betroffenenkategorien einschließlich Externer, Empfänger mit Google als Auftragsverarbeiter und den relevanten Unterauftragnehmern, Drittlandtransfer mit Grundlage, Abdeckungsumfang der Datenregion und Prüfdatum, Aufbewahrungsfristen und technische Maßnahmen. Halten Sie ausdrücklich fest, welche Zusatzdienste aktiviert sind und auf welcher Grundlage — das ist bei Google der Punkt, an dem sich saubere von oberflächlicher Dokumentation unterscheidet. Struktur und Vorlage im Beitrag Verzeichnis von Verarbeitungstätigkeiten. Wenn Sie die Entscheidung zwischen zwei Suiten noch treffen, lohnt der Abgleich mit unserer Bewertung von Microsoft 365; die Struktur der Fragen ist identisch, die Antworten unterscheiden sich vor allem bei Datenregion und Rollenverteilung. Wer AV-Verträge, Subprozessorlisten und Verzeichniseinträge über viele Werkzeuge hinweg verknüpft halten will, nutzt dafür sinnvollerweise eine Datenschutzplattform wie Legiscope; der Marktüberblick steht im DSGVO-Software-Vergleich.

7. Wann eine DSFA nötig ist

Der Einsatz als Büro- und Kommunikationsumgebung löst für sich genommen keine Pflicht nach Art. 35 DSGVO aus. Die Schwelle wird erreicht, wenn Nutzungs- und Aktivitätsberichte personenbezogen ausgewertet werden, wenn Besprechungen systematisch aufgezeichnet und transkribiert werden, wenn Assistenzfunktionen breit auf Bestandsdaten zugreifen, oder wenn Sie in einem Bereich arbeiten, in dem Postfächer regelmäßig besondere Kategorien enthalten — Gesundheitswesen, Rechtsberatung, Sozialwesen. Führen Sie dann eine Datenschutz-Folgenabschätzung und gleichen Sie mit der Muss-Liste Ihrer Aufsichtsbehörde ab. Öffentliche Stellen und Bildungseinrichtungen sollten zusätzlich prüfen, ob ihre zuständige Landesbehörde eigene Vorgaben zum Cloud-Einsatz veröffentlicht hat; in mehreren Ländern gibt es dazu ausdrückliche Positionen, die über die allgemeine Bewertung hinausgehen.

FAQ

Ist Google Workspace DSGVO-konform?

Diese Aussage ist über kein Produkt möglich. Google liefert Vertragsgrundlage, Datenregionen, Zertifizierungen und Verwaltungsfunktionen. Rechtmäßig wird Ihre Verarbeitung durch die Konfiguration — insbesondere durch die bewusste Entscheidung über Zusatzdienste und externe Freigaben —, durch die dokumentierte Rechtsgrundlage und durch eine geführte Transferbewertung.

Was ist der Unterschied zwischen Kerndiensten und Zusatzdiensten?

Für Kerndienste wie Gmail, Drive, Kalender und Meet handelt Google als Ihr Auftragsverarbeiter nach dem Datenverarbeitungszusatz. Zusatzdienste — Suche, Karten, Videoplattform, Marktplatz — laufen unter eigenen Bedingungen; Google verarbeitet die dabei anfallenden Daten zu eigenen Zwecken. Schalten Sie diese Dienste ab oder bewerten Sie sie ausdrücklich gesondert.

Reicht die europäische Datenregion, um Transfers zu vermeiden?

Nein. Die Funktion verlagert bestimmte Daten im Ruhezustand nach Europa und ist eine wirksame ergänzende Maßnahme. Konzernbezug, Fernzugriff zur Fehlerbehebung und die Zuständigkeit US-amerikanischer Behörden bleiben und sind zu dokumentieren.

Muss der Betriebsrat beteiligt werden?

Ja, sobald Funktionen aktiviert sind, die zur Verhaltens- oder Leistungskontrolle objektiv geeignet sind: Nutzungsberichte, Anwesenheits- und Statusanzeigen, Besprechungsaufzeichnung, Protokollauswertung. Eine Rahmenbetriebsvereinbarung, die Auswertungen abschließend aufzählt, ist der übliche Weg.

Fazit

Google Workspace ist technisch ausgereift und vertraglich gut dokumentiert; das Risiko liegt fast vollständig in der Verwaltungskonsole. Der wichtigste Handgriff ist die bewusste Entscheidung über die Zusatzdienste, weil dort Datenverarbeitungen laufen, die Ihr AV-Vertrag nicht erfasst. Danach: Datenregion aktivieren und ihre Abdeckung dokumentieren, externe Freigaben und Marktplatz-Apps eindämmen, Aufbewahrung und Protokollierung konfigurieren und den Betriebsrat einbinden, bevor Auswertungsfunktionen freigeschaltet werden. Datieren Sie jede Anbieterangabe — was heute im Compliance-Portal steht, gilt nicht dauerhaft.