Worum geht's?
Der Einsatz von Google Gemini kann viele Arbeitsaufgaben im Geschäftsalltag erleichtern – ist aus Sicht der DSGVO aber nicht ganz unbedenklich. Fehlende Transparenz bei der Datenverarbeitung und mangelhafte Kontrollmöglichkeiten in Bezug auf die Verwendung der Daten für Trainingszwecke sind nur einige Punkte, die Ihnen als Unternehmen bewusst sein sollten. Wir klären, ob und wenn ja, wie eine datenschutzkonforme Verwendung des KI-Tools möglich ist.
1. Was ist Google Gemini?
Google Gemini ist eine künstliche Intelligenz (KI), die mit dem KI-Chatbot ChatGPT vergleichbar ist und auch als direkter Konkurrent dazu von Google entwickelt wurde. Ursprünglich eingeführt unter dem Namen “Bard” läuft die KI heute unter der Bezeichnung Gemini.
Ob Dichten, Coden oder Komponieren: Wie auch bei ChatGPT sind den Leistungen von Gemini im Rahmen seiner Möglichkeiten fast keine Grenzen gesetzt. Das KI-Tool kann nicht nur Text, sondern auch Bilder, Audio, Code und Videos verarbeiten. Damit ist es zumindest aktuell vielseitiger als klassische Sprachmodelle wie ChatGPT-4 und 4o. Gesteuert wird das Tool über die Eingaben der Nutzer, die sogenannten Prompts.
SCHON GEWUSST?
Im Gegensatz zu ChatGPT, dessen Antworten auf dem Training mit einer immensen, frei zugänglichen Datenmenge beruhen, funktioniert Gemini auf Basis eines eigenen Sprachmodells. Dieses wurde unter dem Namen LaMDA entwickelt, heißt heute aber ebenfalls Gemini.
Neben Gemini als KI-basierter Chatbot ist er seit Kurzem auch als eine Art “KI-Assistent” direkt in verschiedene Google-Dienste integriert – z. B. als Teil der Google Cloud-Plattform, in der Google Suche, Gmail, Docs und Android.
2. Welche Daten sammelt Google Gemini?
Nutzen Sie Google Gemini, erhebt das KI-Tool insbesondere folgende Daten:
- Informationen aus Unterhaltungen
- Geteilte Inhalte (z. B. Dateien, Bilder)
- Standort
- IP-Adresse
- Gerätetyp
- Sprache
- Privat- oder Arbeitsadresse (falls diese in Ihrem Google-Konto hinterlegt ist)
- Feedback
- Nutzungsdaten
Ist Gemini Ihr persönlicher KI-Assistent, werden zusätzliche Daten von Ihren Geräten, Diensten, Berechtigungen, installierten Apps und vom Displaykontext verarbeitet, damit die künstliche Intelligenz Ihre Prompts verstehen kann. Verbinden Sie andere Google-Apps mit Gemini, werden Daten zwischen den verschiedenen Diensten ausgetauscht.
Was macht Google mit den erhobenen Daten?
Google nutzt die Daten, um sein KI-Modell weiter zu trainieren und zu verbessern. Zudem werden zum Beispiel Standortdaten wie die ungefähre Position Ihres Geräts und die IP-Adresse erfasst, um kontextbezogene Antworten liefern zu können – etwa bei Wetteranfragen.
Dabei bleibt es aber nicht: Die Informationen werden auch für die Weiterentwicklung anderer Google-Dienste und -Produkte genutzt. Die Datenverwendung zu Trainingszwecken der KI ist standardmäßig aktiviert, kann aber ausgeschaltet werden. Allerdings ist das aktuell ohne Weiteres nur für private Konten möglich.
GUT ZU WISSEN
Die Informationen, die Sie bei Gemini eingeben, können grundsätzlich auch von Dritten eingesehen werden: Deaktivieren Sie das Datentraining nicht, können Ihre Unterhaltungen mit Gemini laut den Google-Datenschutzhinweisen von KI-Prüfern mitgelesen und mit Anmerkungen versehen werden.
Egal ob Sie Gemini zu privaten Zwecken oder geschäftlich nutzen: Teilen Sie keine vertraulichen Informationen oder personenbezogene Daten mit der KI. Das betrifft z. B. Anschriften, Kontaktdaten, Bankverbindungen, Namen, E-Mail-Adressen und Telefonnummern, die Ihnen, Ihren Kunden oder Geschäftspartnern gehören. Laden Sie auch keine Dokumente hoch, die derartige Daten enthalten, ohne diese vorher zu entfernen bzw. zu anonymisieren.
Möchten Sie Gemini als Arbeitnehmer für unternehmensbezogene Aufgaben einsetzen, sollten Sie dies zudem vorab mit Ihrem Vorgesetzten besprechen.
Wie lange speichert Google die erhobenen Daten?
Untersagen Sie die Weiterverwendung Ihrer Daten zu Trainingszwecken nicht, kann Google diese für eine Dauer von bis zu drei Jahren speichern. Laut Aussage von Google werden die Daten separat gespeichert, ohne dass weiterhin eine Verknüpfung mit Ihrem Google-Konto besteht. Überprüfen lässt sich das kaum.
3. Kann ich verhindern, dass Gemini meine Daten zum Training verwendet?
Das hängt davon ab, was für ein Google-Konto Sie haben. Als Privatnutzer mit einem privaten Konto können Sie die Einstellungen für Gemini anpassen – das heißt, auch unterbinden, dass die eingegebenen Daten für Trainingszwecke verwendet werden. Bei Business-Konten (Google Workspace) kommt es darauf an, welchen Tarif Sie haben und welche Richtlinien das Unternehmens bzw. der Administrator festgelegt hat.
Private Google-Nutzer
Mit einem privaten Google-Konto können Sie verhindern, dass Unterhaltungen mit Gemini von KI-Prüfern eingesehen oder zur Verbesserung des KI-Modells verwendet werden. Auch haben Sie Einfluss auf die Löschung der Daten und Chats.
Gehen Sie dafür auf der Gemini-Seite unten links über Einstellungen auf den Reiter “Aktivitäten”. Klicken Sie auf die Schaltfläche “Aktivitäten in Gemini-Apps”, sodass diese deaktiviert wird:
WICHTIG
Auch wenn Sie die Weiterverwendung der Gemini-Apps-Aktivitäten (also Ihrer Daten) untersagen, heißt das nicht, dass die Prompts gar nicht gespeichert werden. Google bewahrt die Chats zwischen Ihnen und Gemini bis zu 72 Stunden lang auf, und zwar unabhängig davon, ob Sie der Datennutzung widersprochen haben oder nicht.
Die Deaktivierung hat zudem keinen Einfluss auf andere Einstellungen Ihres Google-Kontos. Nutzen Sie Dienste wie die Google Suche oder Google Maps, können diese auch weiterhin z. B. Ihre Standortdaten abrufen und verarbeiten. Zukünftige Chats mit Gemini können bei Deaktivierung aber nicht mehr von den KI-Prüfern eingesehen werden. Um Ihre Daten zu schützen, sollten Sie auch bei Deaktivierung keine vertraulichen Informationen mit Gemini teilen.
Einzelne Nutzer eines Google-Arbeitskontos
Haben Sie ein Arbeitskonto bei Google wie z. B. Google Workspace Business Starter ist es unter Umständen – zumindest aktuell – nicht möglich, die Aktivitäten für Gemini zu deaktivieren. Chats mit Gemini lassen sich hier weder löschen noch können Sie die Verwendung Ihrer Daten zu Trainingszwecken unterbinden. Hier kommt es aber auch auf Ihr Tarif-Modell an.
Administratoren eines Google Workspace-Kontos
Administratoren können bei Google Workspace zusätzliche Datenschutzfunktionen zur Verfügung stehen, mit denen sich festlegen lässt, ob und wie die bei Gemini eingegebenen Daten durch Google verarbeitet werden.
Je nach Workspace-Lizenz kann ein Administrator
- bestimmte Dienste ein- und ausschalten (z. B. Google Chat, Google Meet)
- Datenschutzrichtlinien erzwingen
- bestimmte Datenverarbeitungen zumindest teilweise unterbinden (z. B. Analyse- und Protokollierungsfunktionen)
GUT ZU WISSEN
Da Google einige Daten allerdings für grundlegende Dienste oder Sicherheitszwecke speichert, ist eine komplette Deaktivierung sämtlicher Datenverarbeitungen oft nicht möglich. Inwieweit sich das KI-Training einschränken lässt, ist zudem abhängig von der gewählten Google Workspace-Version und den dort verfügbaren Datenschutzeinstellungen.
Administratoren eines Workspace-Kontos können durch entsprechende Einstellungen also immerhin teilweise verhindern, dass die Aktivitäten bei Gemini durch Google zu Trainingszwecken weiterverwendet werden. Welche Datenschutzfunktionen Ihnen konkret zur Verfügung stehen, können Sie über die Admin-Konsole überprüfen.
4. Wie steht es allgemein um den Datenschutz bei Gemini?
Wie bei allen KI-Anwendungen gibt es auch bei Gemini gewisse Risiken in Sachen Datensicherheit und Datenschutz. Das liegt zum einen am Blackbox-Effekt generativer künstlicher Intelligenz: Diese trifft Entscheidungen, ohne dass nachvollziehbar ist, wie sie zu ihrem Ergebnis kommt. Das zieht auch rechtliche Unsicherheiten in Bezug auf den Schutz der Daten nach sich.
Wer Gemini geschäftlich nutzen will, muss die Einhaltung der Datenschutzgrundverordnung (DSGVO) sicherstellen. Diese regelt den Umgang mit personenbezogenen Daten – also Angaben, die Rückschlüsse auf eine konkrete Person zulassen. Das kann eine Telefonnummer oder eine Anschrift sein, aber auch eine IP-Adresse. Für den Schutz dieser Daten sind Sie als Unternehmen verantwortlich – auch dann, wenn Sie externe Tools und Dienste wie Gemini oder ChatGPT nutzen.
SCHON GEWUSST?
Verarbeiten Sie in Ihrem Unternehmen personenbezogene Daten – etwa von Kunden, Mitarbeitern oder Geschäftspartnern – dürfen Sie das nicht einfach so. Die DSGVO schreibt dafür eine Rechtsgrundlage vor, z. B. eine Einwilligung der betroffenen Personen.
Können Sie eine Einwilligung gemäß DSGVO unkompliziert einholen – etwa beim Einsatz von KI im Kundenservice –, sollte sie als Rechtsgrundlage das Mittel der ersten Wahl sein. Gerade, wenn Sie Gemini rein intern im Unternehmen nutzen, wird das aber in vielen Fällen nicht möglich sein – außerdem lässt sich eine Einwilligung ohnehin jederzeit widerrufen.
Alternativ können Sie die Datenverarbeitung durch Gemini auf Art. 6 Abs. 1 lit. f DSGVO stützen (berechtigtes Interesse). Wichtig ist, dass hierfür eine Interessenabwägung zwischen den Interessen des Unternehmens und den Interessen der betroffenen Personen vorgenommen wird. Haben Sie einen Datenschutzbeauftragten oder einen versierten Anwalt, sollten Sie ihn einbeziehen.
Unabhängig von der Rechtsgrundlage ist es dringend ratsam, den Einsatz von KI in Ihrem Unternehmen auch faktisch abzusichern – etwa durch möglichst datenschutzrechtliche Voreinstellungen und klare Regeln, die Sie in einer KI-Richtlinie für Mitarbeiter festhalten.
GUT ZU WISSEN
Auf der sichereren Seite sind Sie, wenn Sie personenbezogene Daten von Kunden oder Mitarbeitern gar nicht erst bei Gemini eingeben. Falls doch, anonymisieren Sie diese unbedingt. Das gilt auch, wenn Sie Dokumente wie z. B. eine Rechnung hochladen, auf der sich Klarnamen, Bankverbindungen und andere sensible Informationen befinden. Entfernen Sie diese, sodass keine Rückschlüsse auf eine konkrete Person gezogen werden können.
In Bezug auf den Datenschutz bei Google Gemini sollten Sie auch mit Geschäftsgeheimnissen, internen Unterlagen und Finanzdokumenten vorsichtig sein. Werden Geheimhaltungspflichten verletzt, kann das nicht nur arbeitsrechtliche Folgen haben, sondern auch gegen das Geschäftsgeheimnisgesetz verstoßen.
5. Kann ich Gemini datenschutzkonform in meinem Unternehmen nutzen?
Das hängt von verschiedenen Faktoren ab. Ein sauberer DSGVO-konformer Einsatz des KI-Tools ist allein aufgrund des Blackbox-Effekts nicht möglich. Sie können allerdings gewisse Maßnahmen ergreifen, indem Sie Gemini so gut es geht datenschutzfreundlich einstellen und wenn möglich alle Funktionen abschalten, die Sie nicht benötigen (ohne, dass es Ihre täglichen Betriebsabläufe stört).
Datenschutzerklärung, AV-Vertrag & TOMs
Nutzen Sie Google Gemini zur Verarbeitung personenbezogener Daten, müssen Sie darüber in Ihrer Datenschutzerklärung aufklären. Außerdem brauchen Sie einen AV-Vertrag mit Google, wenn Sie Gemini in Google Workspace oder über die Google Cloud verwenden. Sie finden eine Standard-AV-Vereinbarung in der Google-Admin-Konsole.
Schulungen zur KI-Kompetenz
Schulen Sie Ihre Mitarbeitenden im Umgang mit KI-Technologien wie ChatGPT und Google Gemini – es bringt schließlich nichts, wenn Sie wissen, worauf aus datenschutzrechtlicher Sicht zu achten ist, Ihre Angestellten aber unbedarft personenbezogene Daten oder Betriebsgeheimnisse mit der KI teilen.
Bei den Schulungen zur KI-Kompetenz sollte nicht nur der Datenschutz im Fokus stehen, sondern auch andere Themen wie KI und Urheberrecht und die KI-Kennzeichnungspflicht für Unternehmen. Die Regelungen zum Umgang mit KI halten Sie am besten in einer internen KI-Richtlinie fest.
Seit Februar 2025 sind laut KI-Verordnung KI-Schulungen für alle Unternehmen, die mit KI-Systemen arbeiten, Pflicht.
Datenschutz-Folgenabschätzung
Weiterhin kann eine Datenschutz-Folgenabschätzung angebracht sein. Diese ist laut DSGVO immer dann erforderlich, wenn die Verarbeitung personenbezogener Daten ein potenziell hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Das könnte bei Gemini beispielsweise der Fall sein, wenn Sie das Tool in einem Umfeld einsetzen, in dem sensible personenbezogene Daten verarbeitet werden (z. B. im Gesundheits- oder Personalwesen) oder wenn Sie Gemini in großem Umfang nutzen.
Tipp: Unser Partner Legaltrust unterstützt Sie bei der Durchführung einer Datenschutz-Folgenabschätzung für sensible KI-Tools wie Gemini oder ChatGPT.
6. Checkliste: So nutzen Sie Google Gemini (möglichst) datenschutzkonform
Um datenschutzrechtliche Risiken bei der Nutzung von Gemini so gering wie möglich zu halten, ist es wichtig, vertrauliche Daten zu schützen und weder personenbezogene Daten noch Geschäftsinterna mit der KI zu teilen. Mit der folgenden Checkliste können Sie zwar nicht alle datenschutzrechtlichen Bedenken aus dem Weg räumen, aber zumindest für einen datenschutzfreundlichen Einsatz sorgen.
- Keine sensiblen Daten teilen: Gehen Sie bewusst mit Ihren Daten um und teilen Sie keine vertraulichen Informationen mit Gemini – insbesondere wenn unklar ist, wie diese Daten verarbeitet werden.
- Rechtsgrundlage klären: Möchten Sie personenbezogene Daten erheben (z. B. von Kunden), benötigen Sie eine Rechtsgrundlage.
- Daten anonymisieren: Personenbezogene Daten sollten bei Gemini nicht ohne eine vorherige Anonymisierung verarbeitet werden. Auf Nummer sicher gehen Sie nur, wenn Sie personenbezogene Daten gar nicht erst in das KI-Tool einspeisen. Dann müssen Sie datenschutzrechtlich nichts weiter beachten.
- Keine Unternehmensinterna veröffentlichen: Geben Sie keine sensiblen geschäftlichen Informationen bei Gemini ein – auch keine Finanzdaten.
- Nutzung von Drittanbieter-Plugins einschränken: Verzichten Sie auf den Einsatz von Gemini-Erweiterungen, da diese (zumindest aktuell) noch weniger Benefits und mehr Datenschutzrisiken mit sich bringen. Falls es nicht ohne geht, prüfen Sie die Add-ons auf ihre Sicherheit, nutzen Sie nur welche, die schon mehrere Monate auf dem Markt sind und lesen Sie sich Testberichte durch.
- Mitarbeiter schulen: Schulen Sie Ihre Beschäftigten im Umgang mit KI-Tools wie Gemini und klären Sie sie über rechtliche Risiken in Bezug auf Datenschutz, Urheberrecht etc. auf.
- KI-Policy erstellen: Halten Sie die Regeln zum Umgang und zur Nutzung der verwendeten Tools schriftlich fest und lassen Sie die KI-Richtlinie von allen Mitarbeitern unterschreiben.
- Transparenzpflicht: Legen Sie gegenüber Kunden und Geschäftspartnern offen, dass Sie KI-Tools nutzen und machen Sie KI-generierte Inhalte (z. B. auf Ihrer Website) kenntlich.
- Urheberrechte beachten: Prüfen Sie, dass die mit Gemini generierten Inhalte keine fremden Urheberrechte verletzen. Bedenken Sie auch, dass Sie selbst keine Urheberrechte an KI-Inhalten haben.
- Datenschutzeinstellungen regelmäßig überprüfen: Da sich Datenschutzrichtlinien ändern können, sollten Sie die offiziellen Informationen von Google regelmäßig prüfen und die Einstellungen bei Bedarf anpassen.
7. Häufige Fragen zum Thema Gemini und Datenschutz
