Ist Google Gemini DSGVO-konform? Was Unternehmen wissen müssen

Die ehrliche Antwort: Es kommt auf die Variante an. Die Verbraucher-Apps von Gemini und Gemini in Google Workspace oder Vertex AI sind rechtlich nicht dasselbe. Für Unternehmen zählen vor allem der passende Vertrag und eine saubere Rechtsgrundlage. Laut Google werden Daten von Cloud- und Workspace-Kunden nicht ohne Erlaubnis zum Training genutzt. „DSGVO-konform“ ist aber kein Schalter, den ein Tool umlegt — es hängt von Ihrer Konfiguration ab.

Verbraucher-App oder Unternehmens-Version?

Der erste Schritt ist, die richtige Version zu erkennen. Mit einem privaten Google-Konto nutzen Sie die Verbraucher-Apps. Für Unternehmen gelten Gemini in Google Workspace und Vertex AI in der Google Cloud. Nur die Unternehmens-Versionen bringen die vertraglichen Zusagen mit, die Sie für die DSGVO brauchen.

• Verbraucher-Apps: privates Google-Konto, für den persönlichen Gebrauch gedacht.
• Google Workspace: Gemini im Business-Abo mit Vertragsrahmen.
• Vertex AI: Gemini über die Google Cloud, mit Data Processing Addendum.
• Laut Google gelten für Cloud-Kunden andere Datenzusagen als für Verbraucher.
• Ein privates Konto im Job ist selten die richtige Wahl.

„Kein Training“ heißt nicht „keine Speicherung“

Viele verwechseln zwei Dinge. „Nicht zum Training genutzt“ bedeutet nicht „nicht gespeichert“. Laut Google werden Eingaben von Workspace- und Cloud-Kunden nicht ohne Erlaubnis zum Training der Modelle verwendet. Bei den Verbraucher-Apps können laut Google-Dokumentation Ausschnitte von Unterhaltungen von Menschen geprüft und eine Zeit lang aufbewahrt werden. Prüfen Sie deshalb Ihre Aktivitätseinstellungen.

• Training: Werden Ihre Eingaben zum Verbessern der Modelle genutzt?
• Speicherung: Werden Ihre Eingaben aufbewahrt, und wie lange?
• Menschliche Prüfung: Können Mitarbeiter Ausschnitte sehen?
• Laut Google gelten bei Verbraucher-Apps andere Regeln als bei Cloud.
• Diese Einstellungen ändern sich — prüfen Sie die aktuelle Doku.

Was die DSGVO von Unternehmen verlangt

Ein Tool allein macht Sie nicht DSGVO-konform. Sie brauchen die passenden Bausteine. Google ist ein US-Anbieter, deshalb spielt der Datentransfer eine Rolle. Die folgenden Punkte sind der Kern.

1. 1Auftragsverarbeitung: ein AVV nach Art. 28 DSGVO (bei Google das Data Processing Addendum).
2. 2Rechtsgrundlage: eine gültige Grundlage nach Art. 6, etwa berechtigtes Interesse oder Vertrag.
3. 3Drittlandtransfer: Standardvertragsklauseln und Schutzmaßnahmen nach Art. 44 ff.
4. 4Betroffenenrechte: Auskunft, Löschung und Widerspruch müssen möglich bleiben.
5. 5Dokumentation: Verzeichnis der Verarbeitungen und bei Bedarf eine Folgenabschätzung.

Checkliste vor dem Einsatz

Bevor ein Team Gemini nutzt, klären Sie ein paar Fragen. So vermeiden Sie böse Überraschungen. Die Liste ersetzt keine Prüfung, gibt aber eine gute Richtung.

• Welche Gemini-Version setzen wir ein — Verbraucher oder Unternehmen?
• Liegt ein unterzeichneter AVV mit Google vor?
• Ist die Rechtsgrundlage für jede Nutzung geklärt?
• Sind die Transfermechanismen für die USA dokumentiert?
• Welche Daten dürfen Mitarbeiter überhaupt eingeben?

Datensparsamkeit ist die erste Verteidigung

Der Grundsatz der Datenminimierung nach Art. 5 DSGVO hilft hier direkt. Je weniger personenbezogene Daten Sie eingeben, desto kleiner das Risiko. Sie müssen selten echte Namen oder Kundennummern an ein KI-Modell schicken. Oft reicht der Kontext ohne die identifizierenden Details.

• Fragen Sie sich: Braucht das Modell diesen Namen wirklich?
• Ersetzen Sie echte Kundendaten durch Platzhalter.
• Vermeiden Sie besondere Kategorien nach Art. 9 (z. B. Gesundheitsdaten).
• Weniger Eingabe heißt weniger Speicherung und weniger Risiko.
• Datensparsamkeit senkt die Belastung, ersetzt aber keinen Vertrag.

An genau dieser Stelle setzt ONYRI Sanitize an. Das Tool erkennt sensible Daten in Ihrem Text und ersetzt sie durch umkehrbare Platzhalter (Tokens), bevor der Text an die KI geht. Die Zuordnungstabelle Token zu Wert bleibt in Ihrem Browser und wird nie an einen Server gesendet. Nach der Antwort der KI werden die echten Werte wieder eingesetzt. Ehrlich bleibt dabei: Das ist Pseudonymisierung, keine Anonymisierung. Pseudonymisierte Daten gelten laut Erwägungsgrund 26 der DSGVO weiterhin als personenbezogen. ONYRI senkt Ihre Exposition, ersetzt aber weder einen AVV noch eine Rechtsgrundlage.

Zum Mitnehmen: „Ist Gemini DSGVO-konform?“ ist die falsche Frage. Richtig ist: Nutzen Sie die passende Version, mit dem passenden Vertrag und so wenig personenbezogenen Daten wie möglich. Dann wird die KI zum kalkulierbaren Werkzeug statt zum Risiko.