Google Drive und Datenschutz: So nutzen Unternehmen die Cloud sicher

Google Drive und Datenschutz: So nutzen Unternehmen die Cloud sicher

Google Drive gehört zu den bekanntesten Cloud-Speicherdiensten und wird in vielen Unternehmen täglich genutzt. Dokumente lassen sich zentral speichern, Dateien mit Kollegen teilen und Projekte gemeinsam bearbeiten. Besonders in Verbindung mit Google Workspace bietet Drive zahlreiche Funktionen, die die digitale Zusammenarbeit erleichtern.

Doch sobald Unternehmen personenbezogene Daten in der Cloud speichern, entstehen wichtige Datenschutzfragen. Kundendaten, Bewerbungsunterlagen, interne Berichte oder Personaldokumente dürfen nicht ohne Weiteres in beliebigen Cloud-Diensten abgelegt werden. Entscheidend ist, unter welchen Bedingungen die Verarbeitung stattfindet und welche Schutzmaßnahmen bestehen.

Google Drive Datenschutz bedeutet deshalb mehr als die sichere Speicherung von Dateien. Unternehmen müssen prüfen, welche Daten hochgeladen werden, welche Vereinbarungen mit Google gelten, wo Daten verarbeitet werden und wer auf Dokumente zugreifen kann.

Besonders relevant ist außerdem die Unterscheidung zwischen einem privaten Google-Konto und Google Workspace für Unternehmen. Beide ermöglichen die Nutzung von Google Drive, unterscheiden sich aber hinsichtlich der vertraglichen Rahmenbedingungen und verfügbaren Verwaltungsfunktionen.

Dieser Beitrag erklärt, welche DSGVO-Anforderungen für Google Drive relevant sind, welche Risiken Unternehmen kennen sollten und wie sich die Cloud-Nutzung nachvollziehbar organisieren lässt.

Warum ist Google Drive datenschutzrechtlich relevant?

Google Drive ist nicht nur ein Speicherort für Dokumente. Durch das Hochladen, Bearbeiten, Synchronisieren und Teilen von Dateien werden Informationen verarbeitet, die häufig personenbezogene Daten enthalten.

Schon eine einfache Excel-Tabelle mit Kundenkontakten, ein Angebot mit Ansprechpartnern oder eine Bewerbungsunterlage kann personenbezogene Informationen enthalten. Werden solche Dateien in Google Drive gespeichert, ist die Verarbeitung datenschutzrechtlich relevant.

Typische Datenarten sind:

• Namen und Kontaktdaten von Kunden
• Bewerbungsunterlagen und Beschäftigtendaten
• Verträge und Rechnungsinformationen
• Projektunterlagen mit Personenbezug
• Gesprächsnotizen und interne Dokumentationen
• personenbezogene Informationen aus CRM-Systemen
• Gesundheitsdaten oder andere besonders sensible Informationen

Unternehmen sollten deshalb nicht nur die technischen Sicherheitsfunktionen von Google Drive betrachten. Ebenso wichtig sind die rechtlichen Grundlagen, Zugriffsberechtigungen, interne Richtlinien und die Dokumentation der Cloud-Nutzung.

Eine strukturierte Datenschutzberatung hilft dabei, diese Fragen zu prüfen und passende Maßnahmen für den jeweiligen Unternehmenseinsatz abzuleiten.

Google Drive privat oder mit Google Workspace nutzen?

Für Unternehmen macht es einen wesentlichen Unterschied, ob Mitarbeitende Google Drive über private Google-Konten oder über eine verwaltete Google-Workspace-Umgebung verwenden.

Google Drive mit privatem Google-Konto

Ein privates Google-Konto ermöglicht das Speichern, Bearbeiten und Teilen von Dateien. Für geschäftliche Anwendungen kann diese Nutzung jedoch problematisch sein, weil Unternehmen häufig keine ausreichende zentrale Kontrolle über Konten, Freigaben und gespeicherte Informationen besitzen.

Besonders kritisch ist es, wenn Beschäftigte eigenständig Unternehmensdokumente in privaten Accounts ablegen. Dann können Fragen zur Datenhoheit, Zugriffskontrolle und Löschung entstehen.

Google Drive über Google Workspace

Google Workspace richtet sich unter anderem an Unternehmen und bietet zusätzliche Verwaltungs- und Sicherheitsfunktionen.

Abhängig von der gewählten Edition können Administratoren beispielsweise externe Freigaben einschränken, Zugriffsregeln festlegen, Aktivitäten überprüfen und weitere Schutzfunktionen einsetzen.

Google Workspace ist deshalb für eine organisierte geschäftliche Nutzung in vielen Fällen besser geeignet als private Einzelkonten. Eine DSGVO-konforme Nutzung ergibt sich daraus jedoch nicht automatisch.

Ist Google Drive DSGVO-konform?

Ob Google Drive DSGVO-konform eingesetzt werden kann, hängt von der konkreten Verarbeitung und den organisatorischen Rahmenbedingungen ab.

Google bietet für Workspace-Kunden Datenschutzvereinbarungen sowie technische Sicherheits- und Verwaltungsfunktionen an. Unternehmen müssen dennoch selbst prüfen, ob diese Maßnahmen für ihre jeweiligen Datenverarbeitungen ausreichen.

Entscheidend sind insbesondere folgende Fragen:

• Welche personenbezogenen Daten werden gespeichert?
• Welchem Zweck dient die Verarbeitung?
• Welche Rechtsgrundlage besteht?
• Welche Google-Dienste und Workspace-Lizenzen werden genutzt?
• Welche Datenschutzvereinbarungen gelten?
• Wo werden Daten gespeichert und verarbeitet?
• Wer besitzt Zugriff auf Dokumente?
• Welche Lösch- und Aufbewahrungsregeln bestehen?
• Sind zusätzliche Schutzmaßnahmen notwendig?

Die DSGVO verlangt eine rechtmäßige Verarbeitung personenbezogener Daten sowie angemessene technische und organisatorische Maßnahmen.

Unternehmen sollten Google Drive daher nicht allein aufgrund seiner Bekanntheit oder seiner Sicherheitsfunktionen freigeben. Entscheidend ist eine dokumentierte Bewertung des tatsächlichen Einsatzes.

Google Drive und der Auftragsverarbeitungsvertrag

Ein wesentlicher Bestandteil der Datenschutzprüfung ist die vertragliche Beziehung zu Google.

Wenn ein Unternehmen Google Workspace nutzt und Google personenbezogene Kundendaten im Auftrag verarbeitet, sind die Anforderungen aus Artikel 28 DSGVO zu berücksichtigen.

Google stellt hierfür das sogenannte Cloud Data Processing Addendum bereit, eine Vereinbarung über die Datenverarbeitung. Diese kann bereits Bestandteil des jeweiligen Workspace-Vertrags sein oder muss gegebenenfalls gesondert akzeptiert werden.

Unternehmen sollten insbesondere prüfen:

• ob eine passende Vereinbarung über die Auftragsverarbeitung besteht
• welche Datenverarbeitungen von der Vereinbarung erfasst werden
• welche Unterauftragnehmer beteiligt sind
• welche Sicherheitsmaßnahmen vereinbart wurden
• welche Regelungen zu internationalen Datenübermittlungen gelten
• welche Unterstützung bei Datenschutzanfragen oder Vorfällen vorgesehen ist

Dabei darf nicht übersehen werden, dass Google je nach Dienst und Datenkategorie unterschiedliche datenschutzrechtliche Rollen übernehmen kann.

Ein allgemeiner Verweis auf Google als Auftragsverarbeiter reicht deshalb nicht aus, um alle Verarbeitungsvorgänge abschließend zu bewerten.

Wo speichert Google Drive die Daten?

Eine häufige Frage lautet, ob Google Drive personenbezogene Daten ausschließlich innerhalb der Europäischen Union speichert.

Google Workspace bietet für bestimmte Editionen und Datenkategorien sogenannte Data Regions an. Damit lassen sich für unterstützte Dienste Vorgaben zur geografischen Speicherung festlegen.

Allerdings muss zwischen der Speicherung von Daten und ihrer Verarbeitung unterschieden werden. Nicht jede Workspace-Edition bietet dieselben regionalen Steuerungsmöglichkeiten. Auch sind nicht automatisch sämtliche Datenkategorien oder Verarbeitungsvorgänge von einer regionalen Festlegung erfasst.

Für Unternehmen sind deshalb drei Aspekte wichtig:

• Welche Daten werden von der gewählten Datenregion erfasst?
• Umfasst die Einstellung nur gespeicherte Daten oder auch bestimmte Verarbeitungsvorgänge?
• Welche weiteren internationalen Datenübermittlungen sind möglich?

Gerade bei Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums sollten die einschlägigen Anforderungen geprüft werden. Je nach Konstellation können beispielsweise Angemessenheitsbeschlüsse oder Standardvertragsklauseln und ergänzende Maßnahmen relevant sein.

Ein europäischer Speicherort allein garantiert keine vollständige DSGVO-Konformität.

Wie sicher ist Google Drive?

Google Drive verfügt über verschiedene technische Sicherheitsmaßnahmen. Dazu zählt die Verschlüsselung von Dateien bei der Übertragung und Speicherung. Google Workspace bietet außerdem weitere Funktionen zur Verwaltung von Konten, Zugriffen und Daten.

Für bestimmte Workspace-Konfigurationen steht zusätzlich eine clientseitige Verschlüsselung zur Verfügung. Sie unterscheidet sich von der standardmäßigen Verschlüsselung und kann für besonders vertrauliche Dokumente zusätzliche Schutzmöglichkeiten bieten.

Technische Sicherheit ist jedoch nur ein Teil des Datenschutzes.

Ein Dokument kann verschlüsselt gespeichert sein und trotzdem versehentlich mit den falschen Personen geteilt werden. Ebenso können ehemalige Mitarbeitende weiterhin Zugriffsrechte besitzen oder vertrauliche Dateien auf privaten Geräten synchronisiert sein.

Deshalb sollten Unternehmen technische Schutzmaßnahmen immer mit klaren organisatorischen Regeln verbinden.

Freigaben und Zugriffsrechte richtig verwalten

Eine der größten praktischen Herausforderungen bei Google Drive ist die Freigabe von Dateien und Ordnern.

Mitarbeitende können Dokumente für bestimmte Personen freigeben oder je nach Einstellung einen Link erstellen, über den weitere Personen Zugriff erhalten. Dabei unterscheiden sich Berechtigungen zum Ansehen, Kommentieren und Bearbeiten.

Problematisch wird es, wenn vertrauliche Dokumente versehentlich mit einem großen Personenkreis geteilt werden.

Unternehmen sollten deshalb klare Regeln für Datei- und Ordnerfreigaben einführen.

Wichtige Maßnahmen für sichere Freigaben

• Dateien möglichst nur für konkret berechtigte Personen freigeben
• öffentliche oder allgemein zugängliche Links vermeiden, wenn sie nicht erforderlich sind
• Bearbeitungsrechte auf notwendige Personen beschränken
• externe Zugriffe regelmäßig kontrollieren
• Freigaben beim Ausscheiden von Mitarbeitenden überprüfen
• vertrauliche Informationen in entsprechend geschützten Ablagen speichern
• zusätzliche Einschränkungen für Downloads und Weitergabe prüfen

Besonders wichtig ist die Vererbung von Berechtigungen innerhalb gemeinsam genutzter Ordner. Wer Zugriff auf einen übergeordneten Ordner hat, kann unter Umständen auch auf darin enthaltene Dateien zugreifen.

Eine klare Ordnerstruktur und regelmäßige Berechtigungsprüfung reduzieren solche Risiken erheblich.

Welche Daten sollten Unternehmen nicht ungeprüft speichern?

Nicht jede personenbezogene Information ist gleich sensibel. Unternehmen sollten deshalb überlegen, welche Dokumente in Google Drive gespeichert werden dürfen und wann zusätzliche Schutzmaßnahmen erforderlich sind.

Besondere Vorsicht gilt beispielsweise bei:

• Gesundheitsdaten und medizinischen Unterlagen
• Personaldokumenten und Krankmeldungen
• Bewerbungsunterlagen mit sensiblen Informationen
• vertraulichen Kundenunterlagen
• internen Untersuchungen oder Beschwerden
• Dokumenten mit besonderen Geheimhaltungspflichten
• Zugangsdaten und sicherheitskritischen Informationen

Das bedeutet nicht, dass solche Daten grundsätzlich niemals in einer Cloud gespeichert werden dürfen.

Entscheidend ist, ob der konkrete Einsatz rechtlich zulässig ist und ein angemessenes Schutzniveau erreicht wird. Bei besonders risikoreichen Verarbeitungen kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.

Für sensible Daten sollten Unternehmen deshalb gegebenenfalls zusätzliche Verschlüsselung, strengere Zugriffsrechte oder alternative Speicherlösungen prüfen.

Google Drive im Datenschutzmanagement dokumentieren

Wer Google Drive dauerhaft geschäftlich nutzt, sollte die Anwendung in seine Datenschutzorganisation integrieren.

Dazu gehört nicht nur die einmalige Prüfung des Dienstes. Unternehmen müssen nachvollziehen können, welche Daten gespeichert werden, welche Teams Zugriff erhalten und welche Schutzmaßnahmen umgesetzt wurden.

Diese Informationen gehören in ein funktionierendes Datenschutzmanagement, damit Verantwortlichkeiten und Entscheidungen dauerhaft nachvollziehbar bleiben.

Wichtige Bestandteile können sein:

• Dokumentation relevanter Verarbeitungstätigkeiten
• Prüfung der vertraglichen Grundlagen
• Zugriffs- und Berechtigungskonzepte
• interne Cloud-Richtlinien
• Vorgaben für Aufbewahrung und Löschung
• Prüfung von Dienstleistern und Datenübermittlungen
• regelmäßige technische und organisatorische Kontrollen

Auch der Umgang mit ausscheidenden Mitarbeitenden sollte geregelt sein. Unternehmensdateien dürfen nicht unkontrolliert in persönlichen Konten verbleiben oder durch Kontolöschungen unbeabsichtigt verloren gehen.

Google Drive und KI-Funktionen beachten

Google Drive ist zunehmend mit weiteren Google-Workspace-Funktionen verbunden. Dazu gehören je nach Produkt und Lizenz auch KI-gestützte Funktionen, beispielsweise zur Zusammenfassung oder Analyse von Dokumenteninhalten.

Google beschreibt für Workspace-Daten eigene Datenschutzverpflichtungen zur Nutzung für generative KI. Trotzdem sollten Unternehmen prüfen, welche Funktionen tatsächlich aktiviert sind und welche Inhalte verarbeitet werden können.

Besonders bei neuen Integrationen, KI-Funktionen oder automatisierten Datenflüssen ist Privacy Engineering sinnvoll. Dadurch lassen sich Datenschutzanforderungen bereits bei der technischen Einführung berücksichtigen.

Eine Freigabe für die normale Dokumentenspeicherung sollte daher nicht automatisch als Freigabe sämtlicher zusätzlicher KI- oder Integrationsfunktionen verstanden werden.

Google Drive datenschutzkonform einsetzen: Praktische Checkliste

Unternehmen können die Cloud-Nutzung mit einer strukturierten Prüfung deutlich sicherer gestalten.

1. Geschäftliche Konten verwenden - Für Unternehmensdaten sollte eine zentral verwaltete Umgebung genutzt werden. Private Google-Konten sollten nicht ohne entsprechende Freigabe für geschäftliche Dokumente eingesetzt werden.
2. Verträge und Datenschutzbedingungen prüfen - Die für Google Workspace geltenden Vereinbarungen sollten geprüft und dokumentiert werden. Dazu zählen insbesondere Regelungen zur Auftragsverarbeitung.
3. Datenarten und Zwecke festlegen - Es sollte klar sein, welche Informationen gespeichert werden dürfen und welche zusätzlichen Schutzmaßnahmen für sensible Daten erforderlich sind.
4. Freigaben und Zugriffe einschränken - Mitarbeitende sollten nur auf Dokumente zugreifen können, die sie tatsächlich benötigen. Externe Freigaben müssen kontrollierbar bleiben.
5. Sicherheitseinstellungen kontrollieren - Mehr-Faktor-Authentifizierung, Geräteverwaltung, Verschlüsselung und verfügbare Workspace-Schutzfunktionen sollten passend zur Risikolage eingesetzt werden.
6. Lösch- und Aufbewahrungsregeln definieren - Unternehmen benötigen nachvollziehbare Vorgaben, wann Dokumente gelöscht werden und welche gesetzlichen Aufbewahrungspflichten bestehen.

7. Mitarbeitende sensibilisieren

Teams sollten verstehen, welche Dateien sie speichern oder teilen dürfen, wie sichere Freigaben funktionieren und an wen sie sich bei Unsicherheiten wenden können.

Diese Maßnahmen bilden eine sinnvolle Grundlage für eine kontrollierte Cloud-Nutzung. Welche zusätzlichen Schritte erforderlich sind, hängt von den konkreten Daten und Unternehmensprozessen ab.

Typische Datenschutzfehler bei Google Drive

Viele Risiken entstehen nicht durch die Cloud-Technologie selbst, sondern durch eine unzureichend geregelte Nutzung.

Häufige Fehler sind:

• Unternehmensdaten werden in privaten Google-Konten gespeichert
• vertrauliche Dateien sind über allgemeine Links zugänglich
• ehemalige Mitarbeitende behalten Berechtigungen
• sensible Dokumente werden ohne ausreichende Prüfung hochgeladen
• Datenregionen und internationale Übermittlungen bleiben ungeprüft
• Auftragsverarbeitung und Datenschutzdokumentation fehlen
• Löschfristen und Verantwortlichkeiten sind nicht geregelt
• neue Integrationen werden ohne Datenschutzprüfung aktiviert

Gerade bei wachsender Nutzung können solche Probleme lange unbemerkt bleiben. Regelmäßige Kontrollen und verständliche Vorgaben helfen, Datenschutzrisiken frühzeitig zu erkennen.

Wie CAS Datenschutz bei Google Drive unterstützt

CAS Datenschutz unterstützt Unternehmen dabei, Google Drive und Google Workspace datenschutzrechtlich zu bewerten und sichere Prozesse für die tägliche Nutzung aufzubauen.

Dazu gehören die Prüfung von Datenverarbeitungen, Vertragsgrundlagen, internationalen Datenübermittlungen, Zugriffskonzepten sowie internen Richtlinien und Dokumentationspflichten.

Ziel ist eine Cloud-Nutzung, die Zusammenarbeit ermöglicht, ohne Datenschutzanforderungen aus dem Blick zu verlieren.

Sie möchten Google Drive in Ihrem Unternehmen datenschutzrechtlich prüfen lassen? Vereinbaren Sie einen kostenlosen Ersttermin mit CAS Datenschutz und klären Sie, welche Maßnahmen für Ihre Cloud-Umgebung sinnvoll sind.

Fazit: Google Drive braucht klare Datenschutzregeln

Google Drive kann Unternehmen die Zusammenarbeit deutlich erleichtern. Dateien lassen sich zentral verwalten, gemeinsam bearbeiten und ortsunabhängig bereitstellen.

Für eine DSGVO-konforme Nutzung reichen diese Vorteile jedoch nicht aus. Unternehmen müssen die konkrete Produktumgebung, vertragliche Grundlagen, Datenstandorte, Freigaben und Sicherheitsmaßnahmen prüfen.

Google Drive und Datenschutz lassen sich sinnvoll verbinden, wenn Unternehmen klare Regeln schaffen, sensible Daten angemessen schützen und ihre Cloud-Nutzung regelmäßig überprüfen.

So wird aus einer praktischen Dateiablage ein kontrollierter Bestandteil sicherer Unternehmensprozesse.

FAQ

Häufig gestellte Fragen zu Google Drive und Datenschutz

Ist Google Drive DSGVO-konform?

Google Drive kann unter geeigneten Voraussetzungen DSGVO-konform eingesetzt werden. Entscheidend sind die konkrete Produktumgebung, die Rechtsgrundlage, geltende Datenschutzvereinbarungen, mögliche internationale Datenübermittlungen und angemessene technische sowie organisatorische Schutzmaßnahmen.

Darf man personenbezogene Daten in Google Drive speichern?

Ja, grundsätzlich können personenbezogene Daten in Google Drive gespeichert werden, wenn die Verarbeitung rechtmäßig ist und ausreichende Schutzmaßnahmen bestehen. Besonders sensible Daten sollten vor der Speicherung gesondert bewertet werden.

Braucht man für Google Drive einen Auftragsverarbeitungsvertrag?

Bei der geschäftlichen Nutzung von Google Workspace, soweit Google personenbezogene Daten im Auftrag verarbeitet, sind die Anforderungen des Artikels 28 DSGVO zu beachten. Google stellt dafür das Cloud Data Processing Addendum bereit. Unternehmen sollten prüfen, ob es Bestandteil ihres Vertrags ist.

Werden Google-Drive-Daten in Deutschland gespeichert?

Eine Speicherung ausschließlich in Deutschland ist nicht automatisch gewährleistet. Für bestimmte Google-Workspace-Editionen lassen sich europäische Datenregionen konfigurieren. Welche Daten und Verarbeitungsvorgänge davon erfasst werden, hängt von der jeweiligen Produktversion und Einstellung ab.

Ist Google Drive für vertrauliche Unternehmensdaten sicher?

Google Drive bietet Verschlüsselung und verschiedene Sicherheitsfunktionen. Ob das Schutzniveau für vertrauliche Unternehmensdaten ausreicht, hängt jedoch von Datenart, Zugriffsrechten, Konfiguration und zusätzlichen organisatorischen Maßnahmen ab.

Was müssen Unternehmen bei Google-Drive-Freigaben beachten?

Unternehmen sollten Zugriffe auf berechtigte Personen beschränken, externe Freigaben kontrollieren und öffentliche Links möglichst vermeiden. Außerdem sollten Berechtigungen regelmäßig überprüft und beim Ausscheiden von Mitarbeitenden angepasst werden.

Wie unterstützt CAS Datenschutz bei Google Drive?

CAS Datenschutz unterstützt Unternehmen bei der Prüfung von Google Drive und Google Workspace, der Bewertung von Verträgen, Datenflüssen und Zugriffsrechten sowie beim Aufbau interner Richtlinien und einer nachvollziehbaren Datenschutzdokumentation.