Google Gemini Datenschutz 2026: Ist Gemini DSGVO-konform im Unternehmen?

Google Gemini Datenschutz 2026 ist für Unternehmen ein wichtiges Thema, weil Gemini inzwischen direkt in Gmail, Google Drive, Docs, Meet und weitere Google-Workspace-Dienste integriert werden kann. Dadurch verarbeitet die KI möglicherweise E-Mails, Dokumente, Besprechungen, Kundendaten und andere geschäftliche Informationen.

Google Gemini kann im Unternehmen grundsätzlich DSGVO-konform eingesetzt werden. Automatisch datenschutzkonform ist die Nutzung jedoch nicht. Entscheidend sind das verwendete Google-Konto, die Gemini-Version, die Workspace-Lizenz, die Administratoreinstellungen, die verarbeiteten Daten und der konkrete Einsatzzweck.

Stand dieses Ratgebers: 25. August 2026. Der AI Omnibus gilt seit dem 27. Juli 2026. Die Transparenzanforderungen aus Artikel 50 des EU AI Act gelten grundsätzlich seit dem 2. August 2026.

Ist Google Gemini DSGVO-konform?

Google Gemini ist nicht pauschal DSGVO-konform oder DSGVO-widrig. Die richtige Antwort hängt davon ab, welche Gemini-Variante ein Unternehmen einsetzt und unter welchen vertraglichen und technischen Bedingungen die Daten verarbeitet werden.

Bei einer geeigneten Google-Workspace-Version stellt Google einen Unternehmensdatenschutz bereit. Nach den offiziellen Google-Angaben gelten dabei unter anderem folgende Schutzversprechen:

• Prompts gelten als Kundendaten im Rahmen des Cloud Data Processing Addendum.
• Workspace-Kundendaten werden ohne vorherige Erlaubnis oder Anweisung des Kunden nicht zum Training generativer KI-Modelle verwendet.
• Eingaben und hochgeladene Dateien werden bei entsprechend geschützter Nutzung nicht von Menschen geprüft.
• Gemini soll vorhandene Google-Workspace-Berechtigungen respektieren.
• Administratoren können Zugänge, Funktionen und teilweise die Aufbewahrung von Unterhaltungen steuern.

Diese Schutzmechanismen sind eine wichtige Grundlage. Sie ersetzen jedoch nicht die Datenschutzprüfung des Unternehmens. Google kann nicht entscheiden, ob dein konkreter Einsatz von Kunden-, Mitarbeiter-, Bewerber- oder Gesundheitsdaten zulässig ist.

Google Gemini Datenschutz: Gemini ist nicht gleich Gemini

Unter der Bezeichnung Gemini bietet Google unterschiedliche Dienste an. Für den Google Gemini Datenschutz ist diese Unterscheidung entscheidend.

Unternehmen sollten deshalb nicht einfach dokumentieren: „Wir nutzen Gemini.“ Sie sollten genau festhalten, welches Produkt, welche Lizenz, welcher Zugang und welche Funktionen verwendet werden.

Gemini in Google Workspace: Was passiert mit Unternehmensdaten?

Gemini kann in Google Workspace unter anderem Inhalte in Gmail zusammenfassen, Texte in Docs erstellen, Informationen in Drive finden, Tabellen analysieren und Besprechungen in Meet unterstützen.

Nach dem offiziellen Privacy Hub für generative KI in Google Workspace verwendet Google Workspace Kundendaten nicht ohne vorherige Erlaubnis oder Anweisung zum Training generativer KI-Modelle.

Google erklärt außerdem, dass Prompts als Kundendaten unter dem Cloud Data Processing Addendum behandelt werden. Bei einer entsprechend geschützten Workspace-Nutzung sollen Eingaben und hochgeladene Dateien nicht von menschlichen Prüfern gelesen werden.

Gemini respektiert vorhandene Berechtigungen

Gemini soll einem Nutzer nur Inhalte bereitstellen, auf die dieser bereits zugreifen darf. Dadurch entsteht jedoch ein ähnliches Problem wie bei Microsoft Copilot: Zu weit vergebene Berechtigungen werden durch KI leichter nutzbar.

Wenn ein Mitarbeiter beispielsweise versehentlich Zugriff auf einen alten Drive-Ordner mit Verträgen, Personalunterlagen oder Geschäftszahlen besitzt, kann Gemini diese Informationen möglicherweise schneller finden, zusammenfassen oder mit anderen Inhalten verbinden.

Die KI erzeugt dabei nicht unbedingt eine neue Berechtigung. Sie macht bestehende Berechtigungsfehler nur deutlich mächtiger.

Workspace Intelligence und intelligente Funktionen

Google bietet zusätzliche intelligente Funktionen an, die Informationen aus verschiedenen Workspace-Diensten miteinander verbinden können. Administratoren sollten deshalb kontrollieren, welche Dienste Informationen für Workspace Intelligence bereitstellen dürfen.

Nach den Google-Angaben werden Workspace-Daten dabei nicht für Werbung oder zum Training generativer KI-Modelle verwendet. Dennoch bleibt das Unternehmen dafür verantwortlich, welche Dienste miteinander verbunden werden und ob die Verarbeitung zum festgelegten Zweck passt.

Gemini mit privatem Google-Konto: Warum Unternehmen vorsichtig sein sollten

Die Gemini-App mit einem privaten Google-Konto unterliegt anderen Bedingungen als eine geschützte Google-Workspace-Nutzung. Das ist besonders relevant, wenn Mitarbeitende ihre privaten Konten für berufliche Aufgaben verwenden.

Bei aktivierter Gemini-Apps-Aktivität kann Google Unterhaltungen, hochgeladene Inhalte, Feedback und weitere Nutzungsinformationen im persönlichen Google-Konto speichern. Bestimmte Unterhaltungen können zur Qualitäts- und Sicherheitsprüfung von menschlichen Prüfern angesehen werden.

Google weist darauf hin, dass bereits von menschlichen Prüfern bearbeitete Unterhaltungen getrennt gespeichert und bis zu drei Jahre aufbewahrt werden können. Sie werden nicht automatisch gelöscht, wenn der Nutzer anschließend seine Gemini-Aktivität entfernt.

Die Einstellung „Gemini-Apps-Aktivitäten deaktivieren“ ist daher kein rückwirkender Radiergummi für bereits geprüfte Inhalte.

Die aktuellen Angaben zur privaten Nutzung findest du im offiziellen Privacy Hub für Gemini-Apps.

Welche Daten kann Google Gemini verarbeiten?

Abhängig von Produkt, Einstellungen und verbundenen Diensten kann Gemini unter anderem folgende Informationen verarbeiten:

• Prompts und Anweisungen,
• von Gemini erzeugte Antworten,
• hochgeladene Dokumente, Bilder, Audio- und Videodateien,
• Inhalte aus Gmail, Drive, Docs, Sheets, Slides und Meet,
• Kalenderinformationen und Kontakte,
• Feedback zu Gemini-Antworten,
• Geräte-, Browser- und Nutzungsinformationen,
• Standortinformationen bei bestimmten Gemini-Apps,
• Daten aus verbundenen Google-Diensten, Erweiterungen oder APIs.

Besonders aufmerksam sollten Unternehmen werden, wenn Gemini personenbezogene Daten mit zusätzlichen Informationen kombiniert. Aus einer einzelnen E-Mail kann zusammen mit Kalenderdaten, Dokumenten und Gesprächsnotizen schnell ein umfangreiches Personen- oder Kundenbild entstehen.

Welche Daten sollten nicht ohne Prüfung eingegeben werden?

• Gesundheitsdaten und andere besondere Datenkategorien,
• Bewerber- und Beschäftigtendaten,
• Kunden- und Vertragsdaten,
• Bank-, Zahlungs- und Kreditinformationen,
• Passwörter, API-Schlüssel und Zugangsdaten,
• interne Strategien und Geschäftsgeheimnisse,
• nicht veröffentlichte Geschäftszahlen,
• vertrauliche Rechts- oder Steuerunterlagen,
• urheberrechtlich geschützte Inhalte ohne ausreichende Nutzungsrechte.

Welche DSGVO-Pflichten haben Unternehmen bei Google Gemini?

Ein geschützter Workspace-Zugang ist nur die technische und vertragliche Grundlage. Für einen sauberen Google Gemini Datenschutz müssen Unternehmen ihre eigene Verarbeitung organisieren.

1. Einsatzzwecke festlegen

Dokumentiere, wofür Gemini verwendet werden darf. Ein allgemeiner Textentwurf ist anders zu bewerten als die Analyse von Bewerbungen, Krankheitsdaten, Kundenbeschwerden oder Mitarbeiterleistungen.

2. Rechtsgrundlage bestimmen

Sobald personenbezogene Daten verarbeitet werden, braucht das Unternehmen eine tragfähige Rechtsgrundlage. Welche Grundlage passt, hängt vom konkreten Zweck, den betroffenen Personen und der Art der Informationen ab.

Bei Gesundheitsdaten, biometrischen Daten oder anderen besonderen Kategorien gelten zusätzlich die strengeren Anforderungen aus Artikel 9 DSGVO.

3. Auftragsverarbeitung prüfen

Google stellt für Workspace- und Cloud-Dienste einen Zusatz zur Verarbeitung von Cloud-Daten bereit. Unternehmen sollten prüfen, ob der eingesetzte Gemini-Dienst von den vereinbarten Bedingungen erfasst ist und welche weiteren Unterauftragnehmer oder Dienste beteiligt sind.

4. Datenminimierung umsetzen

Gemini sollte nur die Informationen erhalten, die für die jeweilige Aufgabe tatsächlich notwendig sind. Namen, Kontaktdaten und andere Identifikationsmerkmale können in vielen Fällen vor der Verarbeitung entfernt oder ersetzt werden.

5. Berechtigungen kontrollieren

Drive-Ordner, geteilte Dokumente, Gruppen, öffentliche Links und alte Nutzerkonten sollten vor einer breiten Gemini-Freigabe überprüft werden.

6. Datenschutz-Folgenabschätzung prüfen

Eine Datenschutz-Folgenabschätzung kann erforderlich werden, wenn die Verarbeitung voraussichtlich ein hohes Risiko für betroffene Menschen erzeugt. Das kann insbesondere bei sensiblen Daten, Profilbildung, umfangreicher Überwachung oder KI-gestützten Entscheidungen relevant sein.

7. Datenschutzhinweise aktualisieren

Wenn Gemini im Rahmen einer personenbezogenen Verarbeitung eingesetzt wird, sollten betroffene Personen verständlich über die tatsächliche Datenverarbeitung informiert werden. Eine pauschale Aussage wie „Wir nutzen möglicherweise KI“ reicht nicht für jeden Anwendungsfall.

8. Löschung und Aufbewahrung regeln

Unternehmen sollten wissen, wie lange Gemini-Unterhaltungen, Protokolle, Ausgaben und angebundene Workspace-Inhalte gespeichert werden. Administratoren können für bestimmte Workspace-Gemini-Funktionen Einstellungen zur Unterhaltungshistorie verwalten.

9. Betroffenenrechte vorbereiten

Auskunfts-, Berichtigungs-, Widerspruchs- und Löschanfragen müssen auch dann bearbeitet werden können, wenn Gemini an der Verarbeitung beteiligt war.

10. Beschäftigtendatenschutz beachten

Wenn Gemini Kommunikation, Besprechungen, Leistung oder Verhalten von Mitarbeitenden auswerten könnte, sollten Datenschutzverantwortliche und ein vorhandener Betriebsrat frühzeitig eingebunden werden.

Google Gemini Datenschutz und der EU AI Act

Die DSGVO und der EU AI Act betrachten unterschiedliche, aber miteinander verbundene Bereiche. Die DSGVO regelt personenbezogene Daten. Der AI Act regelt unter anderem Rollen, Risiken, Transparenz und den verantwortungsvollen Einsatz von KI-Systemen.

Gemini ist nicht automatisch Hochrisiko-KI

Google Gemini wird nicht allein aufgrund seiner technischen Fähigkeiten zur Hochrisiko-KI. Entscheidend ist, wofür das Unternehmen Gemini einsetzt.

Eine KI-gestützte Formulierungshilfe ist normalerweise anders einzuordnen als ein System, das Bewerber bewertet, Personalentscheidungen vorbereitet, Kreditwürdigkeit einschätzt oder medizinische Entscheidungen beeinflusst.

Für bestimmte Hochrisiko-Bereiche wie Beschäftigung, Bildung, kritische Infrastruktur und einige weitere Einsatzgebiete gelten nach dem aktuellen AI-Omnibus-Zeitplan weitere Anforderungen ab dem 2. Dezember 2027. Für bestimmte Hochrisiko-KI in regulierten Produkten gilt grundsätzlich der 2. August 2028.

Mehr dazu findest du unter AI Act Risikoklassen und Hochrisiko-KI.

KI-Kompetenz gilt bereits

Artikel 4 des AI Act gilt bereits seit dem 2. Februar 2025. Unternehmen müssen Maßnahmen treffen, welche die Entwicklung der KI-Kompetenz von Mitarbeitenden und anderen Personen unterstützen, die in ihrem Auftrag KI-Systeme verwenden.

Nach der seit dem 27. Juli 2026 geltenden Änderung muss kein bestimmtes Kompetenzniveau jeder einzelnen Person garantiert werden. Die Maßnahmen sollten aber zum vorhandenen Wissen, zur Aufgabe, zum KI-System und zu den möglichen Risiken passen.

Gemini-Nutzer sollten mindestens wissen:

• welcher Gemini-Zugang für die Arbeit freigegeben ist,
• welche Daten nicht eingegeben werden dürfen,
• wie Halluzinationen und falsche Quellen erkannt werden,
• wer Ergebnisse prüft und freigibt,
• wann eine Kennzeichnung erforderlich sein kann,
• wie Datenschutz- und Sicherheitsvorfälle gemeldet werden.

Weitere Informationen findest du im Ratgeber KI-Kompetenz nach Artikel 4.

Müssen Gemini-Inhalte gekennzeichnet werden?

Nicht jeder mit Gemini erstellte oder überarbeitete Text muss automatisch einen sichtbaren KI-Hinweis erhalten. Die Transparenzpflichten aus Artikel 50 betreffen bestimmte KI-Systeme und Inhalte.

Besonders relevant sind unter anderem:

• öffentliche KI-Chatbots, bei denen Menschen erkennen müssen, dass sie mit KI kommunizieren,
• Deepfakes und realistisch manipulierte Medien,
• bestimmte KI-generierte oder manipulierte Texte über Angelegenheiten von öffentlichem Interesse,
• technische, maschinenlesbare Markierungen durch Anbieter generativer KI-Systeme.

Ein menschlich geprüfter interner Entwurf oder eine redaktionell verantwortete Produktbeschreibung benötigt nicht allein wegen der Gemini-Nutzung automatisch eine sichtbare KI-Kennzeichnung.

Nutze bei Unsicherheit den kostenlosen KI Kennzeichnung Check oder lies den ausführlichen Ratgeber zur KI-Kennzeichnungspflicht nach Artikel 50.

Google Gemini Datenschutz: typische Einsätze richtig einordnen

Google-Gemini-Datenschutz-Checkliste für Unternehmen

1. Gemini-Dienste erfassen: App, Workspace-Integration, API, AI Studio, Code Assist und weitere Gemini-Funktionen dokumentieren.
2. Konten unterscheiden: Private Google-Konten und freigegebene Workspace-Konten klar voneinander trennen.
3. Unternehmensdatenschutz prüfen: Kontrollieren, für welche Nutzer, Lizenzen und Gemini-Dienste die Workspace-Schutzmechanismen gelten.
4. Einsatzzwecke festlegen: Erlaubte, eingeschränkte und verbotene Nutzungen definieren.
5. Datenarten erfassen: Prüfen, ob Kunden-, Mitarbeiter-, Bewerber-, Gesundheits- oder andere sensible Daten betroffen sind.
6. Verträge kontrollieren: Cloud Data Processing Addendum, Dienstbedingungen und Unterauftragnehmer prüfen.
7. Workspace-Berechtigungen bereinigen: Drive, Docs, Gruppen, Freigabelinks und alte Konten kontrollieren.
8. Aktivitäts- und Verlaufseinstellungen prüfen: Aufbewahrung und Unterhaltungshistorie passend konfigurieren.
9. Rechtsgrundlagen dokumentieren: Personenbezogene Gemini-Einsätze nachvollziehbar einordnen.
10. DSFA prüfen: Bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführen.
11. Interne KI-Richtlinie einführen: Tools, Datenverbote, Kontrolle, Freigaben und Vorfälle regeln.
12. Mitarbeitende schulen: Datenschutz, Halluzinationen, Quellenprüfung und AI-Act-Pflichten erklären.
13. Menschliche Kontrolle festlegen: Verantwortliche Personen und Freigabegrenzen benennen.
14. Regelmäßig neu prüfen: Gemini-Funktionen, Bedingungen und Administratoreinstellungen verändern sich laufend.

Eine praktische Grundlage für interne Regeln findest du in der kostenlosen KI-Richtlinie für Unternehmen. Für die vollständige Struktur eignet sich zusätzlich die AI Act Checkliste 2026.

Wenn dein Unternehmen zusätzlich Microsoft-Dienste nutzt, findest du hier den passenden Ratgeber zum Microsoft Copilot Datenschutz 2026.

Die häufigsten Fehler beim Google Gemini Datenschutz

• Private Konten werden geschäftlich genutzt: Mitarbeitende übertragen Unternehmensdaten in ihre persönliche Gemini-App.
• Firmen-E-Mail wird mit Unternehmensschutz verwechselt: Lizenz und Dienststatus wurden nie geprüft.
• Alle Gemini-Produkte werden gleichbehandelt: Workspace, Gemini-App, API und AI Studio haben unterschiedliche Bedingungen.
• Berechtigungen bleiben ungeprüft: Gemini findet vertrauliche Drive-Inhalte über alte oder zu weit vergebene Freigaben.
• Aktivitätseinstellungen werden überschätzt: Das nachträgliche Deaktivieren der Aktivität löscht nicht automatisch alle bereits geprüften Inhalte.
• Sensible Daten werden vollständig eingegeben: Eine Anonymisierung oder Datenminimierung findet nicht statt.
• Keine menschliche Prüfung: Gemini-Antworten werden ungeprüft an Kunden oder Geschäftspartner weitergegeben.
• Keine KI-Richtlinie: Jeder Mitarbeiter entscheidet selbst, welches Konto und welche Daten er verwendet.
• Keine Schulung: Halluzinationen, falsche Quellen und Datenschutzrisiken werden unterschätzt.
• Keine Aktualisierung: Neue Gemini-Funktionen werden automatisch genutzt, obwohl die ursprüngliche Prüfung sie nicht erfasst hat.

FAQ zum Google Gemini Datenschutz 2026

Ist Google Gemini DSGVO-konform?

Google Gemini kann DSGVO-konform eingesetzt werden. Entscheidend sind die Gemini-Version, das Konto, die Workspace-Lizenz, die Verträge, die Administratoreinstellungen und der konkrete Einsatzzweck.

Darf ich Google Gemini im Unternehmen nutzen?

Ja, wenn das Unternehmen den Dienst geprüft, freigegeben und klare Nutzungsregeln festgelegt hat. Geschäftliche Daten sollten nur über einen dafür vorgesehenen und geschützten Zugang verarbeitet werden.

Verwendet Google Workspace meine Gemini-Prompts zum Training?

Google erklärt, dass Workspace-Kundendaten und Prompts ohne vorherige Erlaubnis oder Anweisung des Kunden nicht zum Training generativer KI-Modelle verwendet werden.

Werden Gemini-Chats von Menschen gelesen?

Bei einer entsprechend geschützten Google-Workspace-Nutzung sollen Eingaben und hochgeladene Dateien nicht von Menschen geprüft werden. Bei privaten Gemini-Apps können bestimmte Unterhaltungen dagegen von menschlichen Prüfern bearbeitet werden.

Kann ich Kundendaten in Gemini eingeben?

Nicht pauschal. Es müssen unter anderem Rechtsgrundlage, Auftragsverarbeitung, Datenminimierung, Vertraulichkeit, Berechtigungen und der konkrete Gemini-Dienst geprüft werden.

Kann Gemini auf alle Dateien in Google Drive zugreifen?

Gemini soll nur Inhalte verwenden, auf die der jeweilige Nutzer bereits zugreifen darf. Zu weit vergebene oder veraltete Berechtigungen können dennoch dazu führen, dass vertrauliche Informationen leichter gefunden werden.

Braucht man für Gemini eine Datenschutz-Folgenabschätzung?

Nicht automatisch. Eine DSFA kann aber notwendig werden, wenn die Verarbeitung voraussichtlich ein hohes Risiko erzeugt, etwa bei sensiblen Daten, Profilbildung, Überwachung oder Entscheidungen über Menschen.

Ist Google Gemini Hochrisiko-KI?

Nicht pauschal. Entscheidend ist der Einsatz. Allgemeine Textentwürfe sind anders zu bewerten als Bewerberauswahl, Personalbewertung, Kreditentscheidungen oder medizinische Anwendungen.

Müssen Gemini-Texte gekennzeichnet werden?

Nicht jeder Gemini-Text benötigt automatisch einen sichtbaren KI-Hinweis. Besondere Pflichten können bei öffentlichen KI-Chatbots, Deepfakes und bestimmten Inhalten über Angelegenheiten von öffentlichem Interesse entstehen.

Reicht ein Google-Workspace-Vertrag für die DSGVO aus?

Nein. Der Vertrag ist ein wichtiger Baustein. Das Unternehmen muss zusätzlich Einsatzzweck, Rechtsgrundlage, Datenarten, Berechtigungen, interne Regeln, Schulung und menschliche Kontrolle organisieren.

Fazit: Google Gemini sicher im Unternehmen einsetzen

Google Gemini Datenschutz 2026 bedeutet nicht, dass Unternehmen auf Gemini verzichten müssen. Entscheidend ist eine klare Trennung zwischen privater Nutzung und geschützter Workspace-Nutzung.

Unternehmen sollten genau wissen, welche Gemini-Dienste aktiv sind, welche Konten verwendet werden, auf welche Workspace-Daten die KI zugreifen kann und welche Informationen Mitarbeitende eingeben dürfen.

Mit einer geeigneten Workspace-Konfiguration, bereinigten Berechtigungen, klaren internen Regeln, Datenminimierung, Mitarbeiterschulung und menschlicher Kontrolle lässt sich Gemini sinnvoll einsetzen, ohne Unternehmensdaten unnötig zu gefährden.

Hinweis: Dieser Beitrag bietet allgemeine Informationen und praktische Orientierung. Er ersetzt keine Rechtsberatung, Datenschutzberatung oder verbindliche Prüfung des konkreten Einzelfalls.