Was Google Workspace ist

Google Workspace bündelt E-Mail (Gmail), Kalender, Dateiablage (Drive), die Online-Programme Docs, Sheets und Slides, Chat und Videokonferenz (Meet) sowie Verwaltung und Aufbewahrung (Vault). Je nach Edition kommen der KI-Assistent Gemini und Werkzeuge zur Automatisierung hinzu. Alles läuft als Cloud-Dienst von Google und wird im Browser genutzt.

Abgerechnet wird je Benutzer und Monat. Die Business-Editionen reichen bis 300 Nutzer, die Enterprise-Editionen gibt es über den Vertrieb. Souveränitätsfunktionen wie die clientseitige Verschlüsselung und der Support nur durch EU-Personal setzen Enterprise Plus und kostenpflichtige Zusatzpakete voraus.

Wofür es eingesetzt wird

Unternehmen nutzen Google Workspace als vollständigen Büroarbeitsplatz im Browser, oft dort, wo gemeinsames Arbeiten an Dokumenten in Echtzeit im Vordergrund steht. Die Verwaltung erfolgt zentral in der Admin-Konsole.

Für Daten mit hohem Schutzbedarf bietet Google Data Regions, clientseitige Verschlüsselung mit Schlüsseln bei externen Diensten und die Zusatzpakete Assured Controls. Mit Workspace by STACKIT verwahrt ein Unternehmen der Schwarz Gruppe die Schlüssel in Deutschland. Die Anwendungen selbst betreibt weiter Google.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Public-Cloud-Dienst mit Data Regions; Client-side Encryption und Assured Controls sind in der Begründung als Optionen der Enterprise-Editionen berücksichtigt.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner für Kunden in Deutschland (EMEA ohne Frankreich, Italien, Polen) ist die Google Cloud EMEA Limited in Dublin, Irland. Konzernmutter ist die Alphabet Inc. (Delaware) mit Hauptsitz in Mountain View, Kalifornien; Google LLC ist eine wesentliche Tochtergesellschaft mit Sitz in Delaware. Beleg: Google Entity (Vertragspartner nach Region) · Form 10-K, Geschäftsjahr 2025 (Deckblatt) · Form 10-K 2025, Exhibit 21.01 (Tochtergesellscha…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	Der US CLOUD Act (18 U.S.C. § 2713) verpflichtet Anbieter zur Herausgabe von Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle, unabhängig davon, ob die Daten innerhalb oder außerhalb der USA liegen. Die Workspace-Nutzungsbedingungen erlauben die Offenlegung von Kundendaten auf Grund eines rechtlichen Verfahrens; die Pflicht zur Vorabinformation des Kunden entfällt, wenn sie das Verfahren verletzen oder Ermittlungen behindern würde. Beleg: 18 U.S. Code § 2713 (CLOUD Act) · Form 10-K, Geschäftsjahr 2025 (Deckblatt) · Google Workspace Terms of Service
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Dienst wird vom Anbieter betrieben, Selbstbetrieb entfällt. Mit Client-side Encryption (CSE) werden Inhalte im Browser verschlüsselt; die Schlüssel liegen bei einem externen Schlüsseldienst (u. a. Thales, Utimaco, Stormshield, FlowCrypt, Fortanix oder eigener Dienst), Google kann laut Doku nicht entschlüsseln. Beim Angebot Workspace by STACKIT liegen die CSE-Schlüssel nach Anbieterangabe im STACKIT-Rechenzentrum in Deutschland. Grenzen: CSE gibt es nur in Enterprise Plus, Frontline Plus und Education Standard/Plus, nicht in den Business-Editionen; es gilt nur für Drive (Docs, Sheets, Slides), Gmail, Kalender und Meet, mit Funktionseinschränkungen (u. a. Docs/Sheets/Slides nicht in den Mobil-Apps, keine Inhaltssuche in Vault). Alle übrigen Inhalte verarbeitet Google im Klartext. Beleg: Workspace Admin Help: About client-side encryption · Workspace Admin Help: Choose your key service fo… · Workspace Admin Help: Client-side encryption use… · Workspace by STACKIT · Docs: Workspace by STACKIT
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Google LLC gehört zur Alphabet Inc. (Delaware, Sitz Mountain View, USA), die ihre Struktur im Form 10-K für 2025 bei der SEC offenlegt; Tochtergesellschaften stehen in Exhibit 21.01. Ein Kontrollwechsel in den letzten 24 Monaten ist nicht bekannt. Der Sitz außerhalb der EU wird in 1.1 bewertet. Beleg: Form 10-K, Geschäftsjahr 2025 (Deckblatt) · Form 10-K 2025, Exhibit 21.01 (Tochtergesellscha…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Laut Service Specific Terms speichert Google erfasste Daten ruhend nur in der gewählten Data Region USA oder Europa; „Europa“ ist weder dort noch in der Hilfe als EU, EWR oder Schweiz definiert. Die Verarbeitung im Betrieb ist nur in Enterprise Plus und Frontline Plus einbezogen. Nicht erfasste Kundendaten, u. a. Protokolle und Cache-Inhalte sowie nicht gelistete Dienste, darf Google überall speichern; Backups werden nicht erwähnt. Beleg: Google Workspace Service Specific Terms · Workspace Admin Help: Choose a geographic locati… · Workspace Admin Help: Data covered by data regions
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb des Dienstes im eigenen RZ oder bei frei gewähltem Dienstleister. Google Workspace wird ausschließlich in Google-Rechenzentren betrieben. Bei Workspace by STACKIT hält STACKIT die CSE-Schlüssel und optional Sicherungskopien (Local Data Storage) in deutschen Rechenzentren; die Anwendungen selbst laufen weiter bei Google. Ein Workspace-Betrieb auf Google Distributed Cloud (air-gapped) oder bei T-Systems ist in den geprüften Quellen nicht beschrieben. Beleg: Google Workspace: Digital Sovereignty · Workspace by STACKIT · Docs: Workspace by STACKIT · Google advances sovereignty, choice, and securit… · Sovereign Cloud powered by Google Cloud
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nein	Laut Google-Cloud-Datenschutzhinweis (gültig ab 15.10.2026) erhebt Google Servicedaten zu Nutzung, Betriebszustand, Softwarefehlern, Absturzberichten, Authentifizierung und Leistung einschließlich Gerätekennungen und IP-Adressen. Die Datenkategorien sind beschrieben, eine Abschaltmöglichkeit für Kunden ist nicht dokumentiert; genannt wird nur das Widerspruchsrecht nach EU-Recht. Beleg: Google Cloud Privacy Notice
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	ja	Die Google Workspace Service Specific Terms (Ziff. 12.11, Stand 12.10.2026) schließen aus, dass Google Kundendaten ohne vorherige Erlaubnis oder Weisung des Kunden zum Training oder Fine-Tuning seiner generativen KI-Modelle für Workspace nutzt. Ein Widerspruch des Kunden ist dafür nicht nötig. Die Klausel nennt ausdrücklich generative KI-Modelle. Beleg: Google Workspace Service Specific Terms

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Google Workspace ist ein proprietärer Cloud-Dienst; der Quellcode der Kernfunktionen ist nicht unter einer OSI-Lizenz verfügbar. Für CSE stellt Google eine API bereit, mit der Kunden einen eigenen Schlüsseldienst bauen können. Beleg: Google Workspace Terms of Service · Workspace Admin Help: Choose your key service fo…
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Produktivbetrieb setzt den Google-Dienst und ein aktives Abonnement voraus; ohne Google gibt es keinen Betrieb. Beleg: Google Workspace Terms of Service · Workspace Admin Help: Export all your organizati…
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Mit Kündigung oder Nichtverlängerung enden alle Rechte und Zugriffe auf die Dienste einschließlich der Kundendaten (Ziffer 8.7 der Nutzungsbedingungen). Nach einer Wiederherstellungsfrist von bis zu 30 Tagen löscht Google die Daten innerhalb von höchstens 180 Tagen. Ein Weiterbetrieb ist nicht vorgesehen. Beleg: Google Workspace Terms of Service · Cloud Data Processing Addendum (gilt auch für Go…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Google Workspace (u. a. Admin Console, Gmail, Kalender, Chat, Drive, Docs, Meet, Vault, Gemini in Workspace) ist im Umfang des BSI-C5:2020-Testats von Google Cloud und der ISO/IEC-27001-Zertifizierung. Berichte und Zertifikate gibt es nur über den Compliance Reports Manager; Prüfzeitraum, Datum und Zertifizierungsstelle sind auf den öffentlichen Seiten nicht angegeben. Beleg: Compliance: BSI C5 · Compliance: ISO/IEC 27001
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	Google veröffentlicht eine security.txt mit Meldeweg (g.co/vulnz, security@google.com) und betreibt ein Vulnerability Reward Program. Google Cloud veröffentlicht Security Bulletins mit CVE-Kennungen, auch ohne Handlungsbedarf beim Kunden; Einträge zu Google Workspace waren im geprüften Teil nicht enthalten. Ein eigenes Advisory-Verzeichnis oder eine Patchpolitik für Workspace wurde nicht gefunden. Beleg: security.txt · Security bulletins
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist die Google Cloud EMEA Limited (Irland, EU). Die öffentlichen Workspace-Nutzungsbedingungen (Stand Oktober 2026) sehen für Kunden außerhalb der US-Behörden kalifornisches Recht und Gerichtsstand Santa Clara County vor; die regionalen Abweichungen ändern das für Deutschland nicht. Ob individuell verhandelte Verträge EU-Recht vorsehen, ist nicht belegt. Support durch EU-Personal gibt es nur mit Assured Controls Plus. Beleg: Google Entity (Vertragspartner nach Region) · Google Workspace Terms of Service · Regional Modifications · Workspace Admin Help: Access Management, limit t…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	ja	Google veröffentlicht die Unterauftragsverarbeiter für Workspace mit dem Land der Verarbeitung (Stand 19.10.2026). Laut Cloud Data Processing Addendum (Ziff. 11.4) informiert Google mindestens 30 Tage vor dem Einsatz neuer Unterauftragsverarbeiter mit Name, Standort und Tätigkeit; der Kunde kann binnen 90 Tagen kündigen. Beleg: Google Workspace Subprocessors · Cloud Data Processing Addendum (gilt auch für Go…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Google-Konzerngesellschaften leisten Wartung, Fehlerbehebung und technischen Support u. a. aus den USA, Indien und Mexiko; Rechenzentrumsbetrieb erfolgt auch außerhalb Europas. Externe Support-Dienstleister erhalten laut Liste nur Zugriff, wenn der Kunde ihn im Supportfall freigibt. Access Approvals und die Beschränkung auf EU-Personal (Access Management) gibt es nur als Zusatz Assured Controls bzw. Assured Controls Plus zu Enterprise Plus oder Frontline Plus und nur für bestimmte ruhende Primärdaten. Beleg: Google Workspace Subprocessors · Workspace Admin Help: About Assured Controls and… · Google Workspace Service Specific Terms

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Docs, Sheets und Slides lassen sich als ODF (.odt, .ods, .odp) und OOXML exportieren; Gmail unterstützt IMAP (nur mit OAuth), Google Kalender bietet eine CalDAV-Schnittstelle mit Einschränkungen (u. a. keine Aufgaben, keine Frei/Gebucht-Abfrage). Das Data-Export-Werkzeug liefert ZIP-Archive je Nutzer und Dienst; die Formate der Inhalte sind dort nicht dokumentiert. CardDAV für Kontakte ist nicht belegt. Beleg: Google Drive API: Export MIME types for Google W… · Workspace Admin Help: Turn POP & IMAP on or off… · CalDAV API Developer's Guide · Workspace Admin Help: Export all your organizati…
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Workspace unterstützt Single Sign-on mit externen Identitätsanbietern per SAML und OIDC (bis zu 1.000 SAML-Profile, vorkonfiguriertes Entra-ID-OIDC-Profil). Zugriff auf Daten über dokumentierte APIs, z. B. Drive API. Beleg: Workspace Admin Help: Setting up SSO · Google Drive API: Export MIME types for Google W…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Super-Administratoren können mit dem Data-Export-Werkzeug alle Organisationsdaten ohne Mitwirkung von Google exportieren; Kosten nennt die Hilfeseite nicht. Grenzen: Organisationen mit mehr als 1.000 Nutzern sollen vorher den Support kontaktieren, Kerndienste setzen ein aktives Abonnement voraus, der Export dauert in der Regel 72 Stunden (bis 14 Tage) und wird im Standard-Bucket nach 60 Tagen gelöscht. CSE-Inhalte müssen nach dem Export mit den eigenen Schlüsseln entschlüsselt werden. Nach Vertragsende bleibt eine Wiederherstellungsfrist von bis zu 30 Tagen. Beleg: Workspace Admin Help: Export all your organizati… · Cloud Data Processing Addendum (gilt auch für Go… · Workspace Admin Help: About client-side encryption

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welches Recht und welcher Gerichtsstand in verhandelten Unternehmensverträgen gelten. Die öffentlichen Standardbedingungen nennen kalifornisches Recht.
Wie Workspace by STACKIT vertraglich aufgebaut ist und welche Dienste die Verschlüsselung dort abdeckt.
Ob es ein Angebot von T-Systems für Google Workspace gibt. Belegt ist nur eines für Google Cloud.
Welche Servicedaten Google erhebt und ob sich das steuern lässt.
Prüfzeitraum des C5-Testats und Gültigkeit des ISO-27001-Zertifikats. Beides ist nur über das Kundenportal einsehbar.
In welchen Formaten das Data-Export-Werkzeug Mails, Kontakte und Chats liefert.
Ob der Trainingsausschluss in Ziff. 12.11 auch nicht-generative Modelle (z. B. Spam- und Sicherheitsfilter) erfasst, weil die Klausel nur generative KI-Modelle nennt.
Ob Access Approvals jede einzelne Anfrage erfasst und welche Daten ausgenommen sind, weil die verlinkte Hilfeseite zum Umfang nicht abgerufen wurde.

Fragen vor einer Entscheidung

Welche Daten dürfen bei einem Anbieter liegen, der nach US-Recht zur Herausgabe verpflichtet werden kann, und welche müssen clientseitig verschlüsselt werden?
Reicht die gewählte Edition für Data Regions mit Verarbeitung in der EU und für Client-side Encryption, oder sind Enterprise Plus und Zusatzpakete nötig?
Welche Funktionen entfallen für verschlüsselte Inhalte, etwa in den Mobil-Apps oder bei der Suche, und ist das für die Nutzer tragbar?
Welches Recht und welcher Gerichtsstand stehen im eigenen Vertrag?
Ist ein vollständiger Export mit dem Data-Export-Werkzeug einmal geprobt, und wer entschlüsselt danach die verschlüsselten Inhalte?

Google Workspace