Startseite›Ratgeber›Souveränität
Souveränität
Google Workspace kann im Rahmen der DSGVO (Datenschutz-Grundverordnung) genutzt werden. Wie bei Microsoft 365 wird die Konformität im Vertrag, in der tatsächlich abgedeckten Region und in der Fähigkeit geprüft, den betroffenen Personen zu antworten. Der Softwarehersteller ist eine amerikanische Gesellschaft. Dieser Satz eröffnet die Prüfung. Er schließt sie nicht ab.
Für die Inhalte, die Ihre Organisation in Gmail, Drive, Docs und Kalender ablegt, sind Sie in der Regel Verantwortlicher und Google Auftragsverarbeiter. Google beschreibt darüber hinaus Verarbeitungen, für die es selbst verantwortlich ist, im Zusammenhang mit dem Konto, der Sicherheit und dem Betrieb des Dienstes. Das Google Workspace Data Processing Amendment und die Anhänge zu Übermittlungen sind die Dokumente, die mit dem Verzeichnis zu archivieren sind.
Warum. Die Rolle legt fest, wer die betroffenen Personen informiert, wer ihnen antwortet und wer die Aufbewahrungsfristen wählt. Für die Inhalte sind das Sie; Google handelt auf Ihre Weisung, im Rahmen von Artikel 28 DSGVO.
So prüfen Sie. Prüfen Sie, ob das Amendment die aktivierten Dienste abdeckt, auch diejenigen, die nach der ursprünglichen Bestellung hinzugefügt wurden. Eine Kommunikationsagentur mit 30 Mitarbeitenden, die mit Gmail und Drive begonnen und dann Chat, Sites und Formulare geöffnet hat, hat oft nur die ersten beiden dokumentiert.
Im Verzeichnis. Eine Zeile pro Dienst, mit der Rolle von Google, dem Aktivierungsdatum und der archivierten Fassung des Amendments.
Häufiger Fehler. Den bei der Kontoeröffnung unterzeichneten Vertrag archivieren und ihn nie wieder lesen.
Je nach Edition kann ein Administrator wählen, abgedeckte Daten in den Vereinigten Staaten oder in Europa zu speichern und einen Teil der Verarbeitung auf diese Region zu beschränken. Google veröffentlicht die Liste: ruhende abgedeckte Inhalte für Gmail, Kalender, Drive, Chat, Docs, Sheets, Slides und weitere Kerndienste, abgedeckte Verarbeitung für einen Teil davon. Die Dokumentation stellt klar, dass die Regionsrichtlinie nicht für Daten gilt, die sie nicht aufführt, insbesondere bestimmte Protokolle oder zwischengespeicherte Inhalte.
Praktische Folgen.
Warum. „Region Europa“ beschreibt einen aufgeführten Geltungsbereich, nicht den gesamten Dienst. Was nicht aufgeführt ist, muss Ihr Verzeichnis abbilden.
So prüfen Sie. Bitten Sie Ihren Administrator um einen Screenshot der tatsächlichen Einstellung, nicht um den Verkaufsprospekt. Gleichen Sie ihn mit der Edition ab, die für jede Nutzergruppe abonniert ist. Ein mittelständischer Industriebetrieb mit zwei Standorten, von denen einer mit einer einfacheren Edition ausgestattet ist, kann eine Regionsregel haben, die nur für die Hälfte der Konten gilt.
Im Verzeichnis. Die Edition, die gewählte Region, die abgedeckten Organisationseinheiten, die ausgeschlossenen Kategorien (Protokolle, Cache), das Prüfdatum.
Häufiger Fehler. „In Europa gespeicherte Daten“ schreiben, ohne die von Google veröffentlichten Ausschlüsse zu erwähnen.
Access Management ermöglicht es, das Google-Personal einzuschränken, das auf bestimmte Supportdaten zugreift: zum Beispiel Personal mit Sitz in der EU oder solches, das über einen virtuellen Arbeitsplatz in der EU arbeitet. Diese Funktion ist an Editionen und an die Option Assured Controls gebunden. Sie ist nicht die Standardeinstellung aller Business-Angebote.
Warum. Ein Techniker, der Daten einsieht, um einen Vorfall zu beheben, verarbeitet diese Daten. Der Speicherort sagt nichts über den Ort dieses Zugriffs.
So prüfen Sie. Setzt Ihre Konformitätsdokumentation „Support ausschließlich aus der Union“ voraus, prüfen Sie, ob die Option gekauft und aktiv ist, und bewahren Sie den Nachweis auf.
Die clientseitige Verschlüsselung, sofern sie für Ihre Edition verfügbar ist, belässt Ihnen die Kontrolle über die Schlüssel für einen Teil der Inhalte. Sie ändert, was Google lesen kann. Sie ändert auch die Suche, den Missbrauchsschutz und bestimmte Funktionen der Zusammenarbeit. Sie wird getestet, bevor sie den Fachabteilungen angekündigt wird: Ein Pilotversuch mit einem Team, mit der Liste dessen, was nicht mehr funktioniert, ist besser als eine allgemeine Mitteilung.
Im Verzeichnis. Die aktiven Optionen, ihr Geltungsbereich und das, was für den Support zugänglich bleibt.
Häufiger Fehler. Annehmen, dass die Option in die Verlängerung aufgenommen wurde, weil sie im Vorverkauf zur Sprache kam.
Google ist eine amerikanische Gesellschaft. Sobald ein Zugriff oder eine Kopie die Union verlässt, braucht die Übermittlung eine Rechtsgrundlage. Mit Stand vom 5. Oktober 2026 bleibt der Angemessenheitsbeschluss (EU) 2023/1795 für zertifizierte amerikanische Organisationen in Kraft, ist aber umstritten. Nach einem Kommentar der Anwaltskanzlei WilmerHale hat das Gericht der Europäischen Union am 3. September 2025 eine Nichtigkeitsklage abgewiesen, und am 31. Oktober 2025 wurde ein Rechtsmittel beim Gerichtshof eingelegt. Die Kanzlei DAC Beachcroft spricht im Titel ihres Kommentars von vorerst Stabilität und danach Unsicherheit.
Die Standardvertragsklauseln bleiben das andere übliche Instrument. Der Präzedenzfall von 2020 zeigt, warum man sie kennen sollte: Am 16. Juli 2020 hat der Gerichtshof im Urteil C-311/18 (sogenanntes Schrems-II-Urteil) den Privacy Shield (Beschluss 2016/1250) für ungültig erklärt, insbesondere wegen des Umfangs der amerikanischen Überwachungsprogramme und des Fehlens eines wirksamen Rechtsbehelfs. Die Standardvertragsklauseln blieben gültig, mit einer Einzelfallprüfung.
Die Einzelheiten zum CLOUD Act finden Sie auf der Seite ein Unternehmen vor dem CLOUD Act schützen: Eine europäische Region nimmt Google nicht aus dem amerikanischen Recht heraus, wenn Google die Daten besitzt oder kontrolliert. Artikel 48 DSGVO sieht seinerseits vor, dass eine Entscheidung eines Gerichts oder einer Behörde eines Drittlands, mit der die Offenlegung personenbezogener Daten verlangt wird, nur dann anerkannt oder vollstreckbar ist, wenn sie auf eine internationale Übereinkunft gestützt ist, etwa ein Rechtshilfeabkommen, die zwischen diesem Land und der Union oder dem Mitgliedstaat in Kraft ist. Ein in Europa tätiger amerikanischer Dienstleister kann sich so zwischen zwei Regeln wiederfinden. Artikel 48 beschreibt diesen Konflikt; er löst ihn nicht.
Im Verzeichnis. Das Instrument, das Ihr Vertrag verwendet, und der Ausweichplan, falls der Angemessenheitsbeschluss wegfiele.
Häufiger Fehler. Glauben, die Datenregion (Punkt 2) beantworte die Frage der Übermittlung. Sie sagt, wo bestimmte Daten gespeichert werden, nicht, wer darauf zugreifen kann und nach welchem Recht.
Export über das Datenexport-Werkzeug (Takeout) und die Verwaltungswerkzeuge, Suche in Vault, sofern vorhanden, Antwortfrist von einem Monat, für die der Verantwortliche zuständig ist.
So prüfen Sie. Benennen Sie die interne Person, die ein Gmail-Postfach, ein Drive und einen Kalender extrahieren kann, und lassen Sie sie einen Test mit einem Testkonto durchführen. Prüfen Sie die Gruppenpostfächer und die Dateien, deren Eigentümer das Unternehmen verlassen hat: Das sind die Anfragen, die sich verzögern.
Im Verzeichnis. Das Verfahren, die zuständige Person, ihre Vertretung und das je nach Edition verwendete Werkzeug.
Häufiger Fehler. Das Konto eines ausgeschiedenen Mitarbeiters löschen, ohne über seine freigegebenen Dateien entschieden zu haben, und dann eine Anfrage erhalten, die sie betrifft.
Nachrichten und Dateien lassen sich relativ gut mitnehmen (IMAP, Drive-Export). Google-Chat-Verläufe, Sites, Apps Script, mit Automatisierungen verknüpfte Formulare und die Verwaltungsregeln lassen sich nicht unverändert in eine andere Suite übertragen. Die Seite von Google Workspace migrieren listet diese Abweichungen auf.
Warum. Der Ausstieg gehört zur Konformität: Von ihm hängen die Datenübertragbarkeit, das Ende der Aufbewahrungsfristen und die Rückgewinnung Ihrer Daten ab, wenn der Vertrag endet.
Im Verzeichnis. Die Bestandsaufnahme der Inhalte, die sich nicht unverändert exportieren lassen, und was Sie damit tun würden.
Häufiger Fehler. Kritische Automatisierungen erst im Monat der Kündigung entdecken.
Nein. Sie regelt die Rollen, die Übermittlungen und die Rechte der betroffenen Personen. Sie verbietet keinen Softwarehersteller wegen seiner Nationalität; sie verlangt, dass Sie beschreiben, was Sie tun und auf welcher Grundlage.
Nein. Die Region deckt die Daten ab, die Google je nach Ihrer Edition aufführt. Bestimmte Protokolle und zwischengespeicherte Inhalte fallen nicht darunter, und die Region ändert nicht die Nationalität des Softwareherstellers.
Sie ändert, was Google im verschlüsselten Bereich lesen kann. Sie deckt nicht alles ab und verändert die Suche sowie bestimmte Funktionen der Zusammenarbeit. Testen Sie sie, bevor Sie sie allgemein einführen.
Das Verzeichnis muss den Ausweichplan bereits vorsehen, in der Regel die Standardvertragsklauseln mit einer Einzelfallprüfung. Wer diese Prüfung im Voraus vorbereitet, muss sie nicht unter Zeitdruck verfassen.
Wenn die Teams mit Docs und Drive arbeiten, die Datenregion Ihrer Edition die für Sie wichtigen Inhalte abdeckt und das Verzeichnis die Protokolle und die verbleibenden Zugriffe abbildet. Die DSGVO verpflichtet nicht dazu, Google zu verlassen. Sie verpflichtet dazu, zu beschreiben, was Sie tun.
Die Gründe für das Bleiben sind in diesem Fall stichhaltig. Die gleichzeitige Bearbeitung in Docs und Sheets, die Suche im gesamten Drive und die Gewohnheiten der Teams haben einen Wert, den man vor dem Wechsel messen sollte. Eine schlecht vorbereitete Migration schafft eigene Risiken für die Daten. Die Edition zu abonnieren, die die Regionen und die Supportkontrollen umfasst, kann verhältnismäßiger sein als ein Wechsel der Suite. Die Abwägungen werden unter Google Workspace behalten oder verlassen erläutert.
Wenn Sie wollen, dass eine europäische oder Schweizer Gesellschaft die Dateien und E-Mails besitzt, oder wenn die abonnierte Edition die Regions- und Supportkontrollen nicht umfasst, die Ihre Analyse verlangt. Wiegt der Abstand zwischen der aktuellen Edition und derjenigen, die den Bedarf abdecken würde, so schwer wie ein Wechsel, verdient die Frage, gestellt zu werden.
Ein Wechsel des Betreibers stellt den Besitzer der Daten unter das Recht seines eigenen Landes, sofern seine Unterauftragnehmer nicht wieder einen amerikanischen Dienstleister einführen. Er entbindet weder vom Auftragsverarbeitungsvertrag noch vom Verzeichnis noch vom Verfahren für die Betroffenenrechte. Infomaniak, ein von einem europäischen Hosting-Anbieter betriebenes Nextcloud, OVHcloud oder Klytic erfüllen unterschiedliche Anforderungen. Der Leitfaden europäische Alternativen zu Microsoft 365 und die Seite Alternativen zu Google Workspace grenzen sie voneinander ab. Die entsprechenden Prüfungen auf Microsoft-Seite finden Sie unter DSGVO und Microsoft 365.
Klytic wird von Dedicace Software betrieben, einer französischen Gesellschaft. Es umfasst den E-Mail-Dienst, die Dokumente in einer dedizierten Nextcloud-Instanz pro Kunde (Freigabe, Online-Bearbeitung allein oder gemeinsam, Versionsverlauf), Videokonferenz, ein CRM und Telefonie, einzeln erwerbbar. Nextcloud wird von der Nextcloud GmbH (Deutschland) herausgegeben; der E-Mail-Dienst beruht auf Zimbra, herausgegeben von Synacor (Vereinigte Staaten) und betrieben von Klytic. Das Hosting erfolgt in jeder geografischen Zone, die der anwendbaren Rechtsordnung entspricht, vorbehaltlich der Verfügbarkeit der benötigten Dienste, zum Beispiel in Europa oder auf Mauritius, oder auf den Servern des Kunden. Die Daten liegen beim Kunden oder bei Klytic in seinem Auftrag und sind nativ oder nach Wahl des Kunden verschlüsselt; der Schlüssel liegt beim Kunden oder wird in seinem Konto verwahrt, und Klytic hat keinen Zugriff darauf. Die Schritte, bei denen die Verschlüsselung von Klytic verwaltet wird, sind auf der Seite ein Unternehmen vor dem CLOUD Act schützen beschrieben. Der Vertrag muss diese Verwahrung und diese Verschlüsselung beschreiben. Die Online-Bearbeitung, allein oder gemeinsam, erfolgt in der Instanz; es handelt sich nicht um den Google-Editor, und Klytic bildet dessen Suche über den gesamten Datenbestand nicht identisch nach. Es ist nicht nach SecNumCloud qualifiziert.
Diese Seite beschreibt einen allgemeinen Rahmen. Sie stellt keine Rechtsberatung dar.
Rechtsstand: 5. Oktober 2026. Dieser Text ersetzt keine Vertragsprüfung. Der Angemessenheitsbeschluss EU–USA (EU) 2023/1795 ist in Kraft. Er wird angefochten. Für SecNumCloud ist der Katalog der ANSSI maßgeblich.
Abgerufen im Oktober 2026.
E-Mail, Dokumente, Videokonferenz, CRM und Telefonie, gehostet in der Zone, die Ihrer Rechtsordnung entspricht, zum Beispiel in Europa oder auf Mauritius, oder bei Ihnen vor Ort.
Willkommensangebot
Testangebot ohne Verpflichtung. Ein Berater ruft Sie zurück, um Ihre Bedürfnisse zu verstehen und Ihren Klytic-Bereich vorzubereiten.
