Wie sicher sind deine Daten bei Google Gemini? So schützt du deine sensiblen Daten richtig

Wie sicher sind deine Daten bei Google Gemini?

Das hängt davon ab, wie du Gemini nutzt. Mit einem privaten Google-Konto sind deine Daten nicht sicher genug für Firmeninformationen: Google speichert deine Chats standardmäßig 18 Monate, nutzt sie zur Verbesserung seiner KI-Modelle und lässt einen Teil davon von Menschen prüfen. Mit einer Google-Workspace-Lizenz sieht es anders aus: Dann werden deine Eingaben weder zum Training genutzt noch von Menschen gelesen.

Für Betriebsgeheimnisse, Kundendaten oder andere personenbezogene Daten heißt das: Sie gehören nicht in private Gemini-Konten. Hier erfährst du, was Google speichert, wer mitliest und wie du Gemini im Unternehmen sicher einsetzt.

Was ist Google Gemini?

Gemini ist Googles KI-Assistent und der Nachfolger von Google Bard. Er erstellt und überarbeitet Texte, fasst Dokumente zusammen, analysiert Bilder und unterstützt beim Programmieren. Gemini gibt es in zwei Varianten, die sich beim Datenschutz deutlich unterscheiden:

• Gemini mit privatem Google-Konto (kostenlos oder als Abo): Hier gelten die allgemeinen Google-Nutzungsbedingungen und der Gemini-Datenschutzhinweis.
• Gemini in Google Workspace (mit Unternehmenslizenz): Hier gelten die Workspace-Bedingungen mit zusätzlichen Schutzmaßnahmen für Unternehmen.

Die folgenden Abschnitte zur Speicherung und zu menschlichen Prüfer:innen betreffen die private Variante. Was sich mit Workspace ändert, liest du weiter unten.

Welche Daten speichert Google und wie lange?

Google speichert deine Chats, hochgeladene Dateien, Standortdaten und Feedback in deinem Google-Konto. Ob und wie lange, steuerst du über die Einstellung „Aktivitäten speichern“ (früher „Gemini-Apps-Aktivität“):

• Standard: Für Erwachsene ist die Einstellung automatisch eingeschaltet. Deine Aktivitäten werden nach 18 Monaten gelöscht.
• Anpassen: Du kannst die automatische Löschung auf 3 oder 36 Monate ändern oder die Speicherung ganz ausschalten.
• Ausgeschaltet ist nicht gleich gelöscht: Auch bei ausgeschalteter Speicherung bewahrt Google deine Chats bis zu 72 Stunden auf, um dir zu antworten und Feedback zu verarbeiten. Diese Chats erscheinen nicht in deinem Aktivitätsverlauf.

Die Einstellung findest du in der Gemini-App über dein Profilbild unter „Gemini-Apps-Aktivität“.

Wer liest mit? Menschliche Prüfer:innen bei Gemini

Um die Qualität seiner KI zu verbessern, lässt Google einen Teil der Chats von Menschen lesen und bewerten. Vorher trennt Google die Chats von deinem Konto und entfernt automatisch Angaben wie E-Mail-Adressen oder Telefonnummern.

Das Problem: Geprüfte Chats werden nicht gelöscht, wenn du deinen Verlauf löschst. Google bewahrt sie samt zugehöriger Daten wie Sprache, Gerätetyp und Standort bis zu drei Jahre getrennt auf. Google rät deshalb selbst davon ab, vertrauliche Informationen in Gemini einzugeben.

Wenn du „Aktivitäten speichern“ ausschaltest, werden künftige Chats nicht mehr für die menschliche Prüfung ausgewählt. Bereits geprüfte Chats bleiben davon unberührt.

Gemini und Daten Dritter

Gemini lässt sich mit anderen Google-Diensten wie Gmail, Google Drive oder Maps verknüpfen. Dann greift Gemini auf Inhalte aus diesen Diensten zu, und die Dienste verarbeiten deine Daten nach ihren eigenen Regeln und der Google-Datenschutzerklärung. Nutzt du über Gemini Dienste von Drittanbietern, gelten deren Datenschutzrichtlinien.

Achte außerdem auf andere Kontoeinstellungen: Auch wenn „Aktivitäten speichern“ ausgeschaltet ist, können Einstellungen wie „Web- & App-Aktivitäten“ oder der Standortverlauf weiterhin Daten speichern.

Gemini im Unternehmen: privates Konto vs. Google Workspace

Für Unternehmen ist die wichtigste Frage nicht, ob sie Gemini nutzen, sondern mit welchem Konto. Mit einer passenden Google-Workspace-Lizenz gelten deutlich strengere Regeln:

Die Konsequenz: Sobald Mitarbeitende Gemini mit privaten Konten für die Arbeit nutzen, landen Firmendaten unter Verbraucherbedingungen bei Google. Dafür gibt es keinen Auftragsverarbeitungsvertrag, und dein Unternehmen hat keine Kontrolle über die Daten. Das ist aus DSGVO-Sicht nicht zulässig, wenn personenbezogene Daten im Spiel sind.

So setzt du Gemini DSGVO-konform ein

Mit diesen Schritten nutzt dein Team Gemini, ohne Firmen- und Kundendaten zu gefährden:

1. Workspace statt privater Konten: Stelle Gemini über eine Google-Workspace-Lizenz bereit und untersage die Nutzung privater Konten für Firmendaten.
2. Verträge prüfen: Akzeptiere im Admin-Bereich die Datenverarbeitungsbedingungen von Google Workspace als Auftragsverarbeitungsvertrag und prüfe die Regeln für Datenübermittlungen in die USA.
3. Admin-Einstellungen festlegen: Lege die Datenregion auf die EU fest, aktiviere Datenschutzregeln wie DLP und entscheide, welche Erweiterungen (z. B. Gmail, Drive) Gemini nutzen darf.
4. KI-Richtlinie aufstellen: Regle schriftlich, welche Daten in Gemini eingegeben werden dürfen und welche tabu sind, etwa Gesundheitsdaten, Geschäftsgeheimnisse oder vertrauliche Kundendaten. Wie das bei KI-Agenten aussieht, zeigt unser Leitfaden KI-Agenten DSGVO-konform einsetzen.
5. Mitarbeitende schulen: Seit Februar 2025 verlangt der EU AI Act, dass Mitarbeitende, die KI nutzen, über ausreichende KI-Kompetenz verfügen (Art. 4). Compliance-Schulungen zu Datenschutz und KI schaffen die Grundlage dafür.
6. Risiken bewerten: Verarbeitest du mit Gemini sensible oder viele personenbezogene Daten, prüfe, ob eine Datenschutz-Folgenabschätzung nötig ist, und nimm Gemini in dein Verarbeitungsverzeichnis auf.

Wie sich Gemini im Vergleich zu anderen KI-Assistenten schlägt, liest du in unserem Artikel zu ChatGPT und Datenschutz.

Fazit

Gemini ist ein starkes Werkzeug für den Arbeitsalltag, aber nicht jede Variante eignet sich für Firmendaten. Mit privaten Konten speichert Google Chats bis zu 18 Monate, nutzt sie für das KI-Training und lässt einen Teil von Menschen prüfen. Mit einer Google-Workspace-Lizenz, den passenden Admin-Einstellungen und einer klaren KI-Richtlinie kann dein Unternehmen Gemini dagegen datenschutzkonform einsetzen.

Entscheidend ist, dass du weißt, welche KI-Tools in deinem Unternehmen genutzt werden und unter welchen Bedingungen. Mit dem Vendor Risk Management von heyData behältst du alle Dienstleister und KI-Anbieter im Blick, prüfst ihre Verträge und Datenschutzstandards strukturiert und dokumentierst deine Bewertung DSGVO-konform.

Mach den ersten Schritt und sichere die KI-Nutzung in deinem Unternehmen ab. Buche jetzt eine Demo!