Google Meet und DSGVO: Was Sie vor der Nutzung prüfen müssen

Google Meet kann Ihre Aufnahmen und Transkriptionen in Europa speichern, sofern Ihre Google Workspace-Edition die Einstellung „Datenregion“ bietet und Ihr Administrator diese gewählt hat. Ohne diese Einstellung gibt Google keine Standortvorgabe. Google verpflichtet sich vertraglich, Ihre Daten ohne Ihre Erlaubnis nicht zum Training seiner Modelle zu verwenden. Google ist ein US-amerikanischer Anbieter, und eine europäische Speicherregion ändert daran nichts. Diese Seite wird von Leexi herausgegeben, dessen KI-Notiztool auf Google Meet genutzt wird, und gibt nur wieder, was die offiziellen Google-Seiten dokumentieren.

Wo Google Meet Ihre Daten hostet und verarbeitet

Standardmäßig nirgends speziell. Mit richtiger Einstellung in Europa.

Google Workspace bietet eine Einstellung namens „Datenregionen“. Ein Administrator wählt, wo die abgedeckten Daten gespeichert werden.

Google Workspace, „Data covered by data regions“, aktualisiert am 26. August 2026 „Sie können wählen, Ihre abgedeckten Daten an einem bestimmten geografischen Standort (USA oder Europa) zu speichern“

Es gibt zwei Regionen, USA oder Europa, plus die Option „keine Präferenz“, die keinen Standort vorschreibt. Für Google Meet sind die abgedeckten Daten Aufnahmen (inkl. Chats in Google Drive), Anwesenheitsberichte, Umfrageergebnisse, Transkriptionen und Fragen.

Die Einstellung ist nicht in allen Editionen verfügbar. Die Seite „Choose a geographic location for your data“ listet die zugänglichen Editionen: Business Standard und Plus, Enterprise Standard und Plus, Frontline Starter, Standard und Plus, Education Standard und Plus, Enterprise Essentials Plus. Business Starter ist nicht dabei.

Speicherung und Verarbeitung sind unterschiedliche Einstellungen

Das wird auf den Markseiten oft ausgelassen. Die Regionen-Einstellung betrifft ruhende Daten in allen gelisteten Editionen. Die Verarbeitung wird nur in drei davon abgedeckt.

Laut derselben Seite ist die Datenverarbeitung „verfügbar für Frontline Plus, Enterprise Plus und Enterprise Essentials Plus“. Eine Organisation mit Business Standard und „Europa“ erhält europäische Speicherung der Meet-Aufnahmen, Verarbeitung kann aber anderswo erfolgen.

Zwei Ausnahmen sind klar benannt.

Google Workspace, „Data covered by data regions“ „Datenregionen gelten nicht für kundengelieferte Daten oder nicht ausdrücklich genannte Datentypen wie Logs oder zwischengespeicherte Inhalte.“

Und für Gemini-Funktionen: „Die Datei- und Datenregionseinstellungen Ihrer Organisation gelten nicht für Daten in Gemini Notebook“ (Privacy Hub, 14. August 2026).

Was das für Sie bedeutet: Fragen Sie Ihren Workspace-Administrator nach zwei Dingen, der abonnierten Edition und dem Wert der Regionen-Einstellung. Ohne diese Antworten kann niemand sagen, wo Ihre Meetings sind.

Was Google mit Ihren Gesprächen macht

Google verpflichtet sich vertraglich, seine Modelle ohne Ihre Erlaubnis nicht mit Ihren Daten zu trainieren.

Dieses Versprechen steht im Datenschutzzentrum für generative KI von Google Workspace.

Google Workspace, „Generative AI in Google Workspace privacy hub“, aktualisiert am 14. August 2026 „Workspace verwendet Kundendaten nicht zum Training von Modellen ohne vorherige Erlaubnis oder Anweisung des Kunden.“

Dasselbe Dokument erklärt, dass Prompts Kundendaten im Sinne des Cloud Data Processing Addendum sind, dass „Ihre Interaktionen mit Gemini innerhalb Ihrer Organisation bleiben“ und Inhalte „nicht von menschlichen Prüfern außerhalb Ihrer Domain eingesehen oder zum Training generativer KI-Modelle ohne Erlaubnis verwendet werden“.

Die rechtliche Bindung dieses Versprechens beruht auf dem Vertrag. Das Cloud Data Processing Addendum definiert Googles Rolle.

Google, Cloud Data Processing Addendum, Artikel 4.1 „Google ist ein Auftragsverarbeiter und der Kunde ist, je nach Fall, Verantwortlicher oder Auftragsverarbeiter der Kundendaten.“

Ein Auftragsverarbeiter handelt nur auf Weisung. Das schreibt Artikel 28 der DSGVO vor.

DSGVO, Artikel 28, Absatz 3, Buchstabe a) „verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen“

Was das für Sie bedeutet: Googles Nicht-Trainings-Verpflichtung ist vertraglich, nicht nur eine Zusage. Prüfen Sie, dass keine aktivierte Funktion in Ihrer Domain als Erlaubnis gilt.

Die Zertifizierungen von Google Workspace

Google verpflichtet sich, eine ISO 27001-Zertifizierung sowie jährliche SOC 2- und SOC 3-Berichte zu pflegen.

Google, Cloud Data Processing Addendum, Artikel 7.4 „Google wird für die geprüften Dienste mindestens folgende Nachweise führen: a. Zertifikate für ISO 27001 und weitere in Anhang 4 (Spezifische Produkte) beschriebene Zertifizierungen […] ; b. SOC 2- und SOC 3-Berichte, erstellt von Googles Drittprüfer und jährlich aktualisiert basierend auf mindestens jährlichen Audits“

Der Vertrag regelt auch die Datenlöschung nach Vertragsende: Löschung auf Kundenanweisung nach maximal 30 Tagen Wiederherstellungszeitraum, spätestens 180 Tage nach Vertragsende (Artikel 6.2).

Die Zertifizierung ist vertraglich geregelt und wird jährlich von Dritten geprüft. Die öffentliche Google-Seite nennt nicht den genauen Geltungsbereich pro Produkt, der in Anhang 4 des Vertrags steht und angefragt werden kann.

Die rechtliche Zuordnung des Anbieters

Google ist ein US-amerikanischer Anbieter. Eine europäische Speicherregion ändert daran nichts.

Das US-Gesetz Cloud Act von 2018 verpflichtet US-Anbieter zur Herausgabe von Daten, egal wo sie gespeichert sind.

18 U.S. Code § 2713, hinzugefügt durch Pub. L. 115-141 vom 23. März 2018 „Ein Anbieter elektronischer Kommunikationsdienste oder Remote-Computing-Dienste hat die Verpflichtungen dieses Kapitels zur Sicherung, Sicherungskopie oder Offenlegung von Inhalten elektronischer Kommunikation und zugehörigen Aufzeichnungen oder Informationen über Kunden oder Abonnenten zu erfüllen, unabhängig davon, ob sich diese innerhalb oder außerhalb der USA befinden.“

Was das für Sie bedeutet: Die Einstellung „Europa“ beantwortet die Frage „Wo sind meine Daten?“. Sie beantwortet nicht „Welches Recht hat Zugriff?“. Diese Fragen sind getrennt zu betrachten und ein DSB stellt sie separat. Dieser Punkt wird hier einmal genannt und nicht wiederholt.

Was das für ein europäisches Team ändert

Was Leexi hinzufügt, wenn es einem Meet-Meeting beitritt, ist ein zweiter Geltungsbereich, getrennt von Google: Audio wird auf Leexi-Infrastruktur (AWS Region Paris, Sprachmodell über Azure Frankreich im geschlossenen System, kein Training mit Ihren Meetings) transkribiert und zusammengefasst, mit öffentlichem DPA und zehn benannten Auftragsverarbeitern. Die Integrationsseite Google Meet beschreibt die Verbindung von Leexi mit Meet. Das Compliance-Dossier und das Glossar liefern Definitionen und Dokumente.

Häufige Fragen

Kann ich meinem DSB garantieren, dass Meet-Aufnahmen in Europa bleiben?

Ja, für Speicherung, wenn Ihre Edition die Regionen-Einstellung bietet (Business Standard und Plus, Enterprise Standard und Plus, Frontline, Education Standard und Plus, Enterprise Essentials Plus) und der Administrator „Europa“ gewählt hat. Verarbeitung ist nur in Frontline Plus, Enterprise Plus und Enterprise Essentials Plus abgedeckt. Logs und Cache-Inhalte sind nicht abgedeckt.

Nutzt Google meine Meet-Meetings zum Training von Gemini?

Nein, ohne Ihre vorherige Erlaubnis oder Anweisung, laut generativem KI-Datenschutzzentrum von Workspace (14. August 2026). Interaktionen bleiben in Ihrer Organisation und werden nicht von Menschen außerhalb Ihrer Domain geprüft oder ohne Erlaubnis zum Training verwendet. Prüfen Sie, dass keine aktivierte Funktion als Erlaubnis gilt.

Werden Teilnehmer benachrichtigt, wenn ein Meet-Meeting aufgezeichnet wird?

Ja. Die Google Meet-Hilfeseite sagt, Teilnehmer erhalten eine Benachrichtigung zu Beginn und Ende der Aufnahme. Diese ersetzt nicht die Informationspflicht des DSGVO-Veranstalters über Zweck und Aufbewahrungsdauer.

Wohin geht die Aufnahme und wer hat Zugriff?

In den Google Drive des Organisators, in einen Ordner „Meet“ mit Unterordnern pro Meeting. Zugriff folgt den Freigaberegeln Ihrer Organisation. Nur bestimmte Editionen erlauben Aufnahmen: Business Standard und Plus, Enterprise, Essentials, Education Plus, Workspace Individual.

Was passiert mit meinen Daten nach Vertragsende bei Google Workspace?

Das Cloud Data Processing Addendum (Artikel 6.2) sieht Löschung aller verbleibenden Kundendaten auf Kundenanweisung nach Vertragsende vor, nach höchstens 30 Tagen Wiederherstellungszeitraum, spätestens 180 Tage danach, außer gesetzliche Aufbewahrungspflichten bestehen.

Reicht Google Meet für strikte Souveränitätsanforderungen?

Nein. Google ist ein US-Anbieter, unterliegt 18 U.S. Code § 2713 unabhängig vom Speicherort. Die Einstellung „Europa“ lokalisiert Daten, ändert aber nicht das Recht, das Zugriff hat. Für diese Anforderung zählt die rechtliche Zuordnung des Anbieters, nicht die Rechenzentrumsregion.

Quellen

Daten geprüft am 2. September 2026 auf offiziellen Google-Seiten.

• Google Workspace, „Data covered by data regions“, aktualisiert am 26. August 2026
• Google Workspace, „Choose a geographic location for your data“, aktualisiert am 26. August 2026
• Google, Cloud Data Processing Addendum, Artikel 4.1, 6.2, 7.4, 10 und 11
• Google Workspace, „Generative AI in Google Workspace privacy hub“, aktualisiert am 14. August 2026
• Google Meet-Hilfe, „Record a video meeting“
• DSGVO, Artikel 5 und 28, veröffentlicht von CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Diese Seite beschreibt den anwendbaren Rahmen. Sie stellt keine Rechtsberatung dar.