Warum Google Mail für den Datenschutz und die Einhaltung der GDPR problematisch ist

Mehr als 1,8 Milliarden Menschen weltweit nutzen Google Mail - darunter auch viele in Europa. Der Dienst ist kostenlos, zuverlässig und lässt sich nahtlos mit anderen Google-Tools integrieren. Dennoch gibt es ein grundlegendes Problem: Google Mail ist nur schwer mit dem EU-Datenschutzrecht zu vereinbaren.

Hier geht es nicht um kleine Einstellungen oder Konfigurationsdetails. Es geht um grundlegende Fragen: Wo werden Ihre E-Mails gespeichert? Wer kann auf sie zugreifen? Was passiert mit ihrem Inhalt? Und was bedeutet das rechtlich, wenn Sie Google Mail für geschäftliche Zwecke nutzen?

Für viele Nutzer sind die Antworten unangenehm.

Das Kernproblem: Datenverarbeitung außerhalb der EU

Google speichert E-Mails in Datenzentren auf der ganzen Welt - ein erheblicher Teil davon in den Vereinigten Staaten. Dies stellt ein rechtliches Problem dar, da die Datenschutz-Grundverordnung die Verarbeitung personenbezogener Daten außerhalb der EU nur unter strengen Auflagen erlaubt.

Da die Schrems II Urteil im Jahr 2020 ist das sogenannte Privacy Shield - das Datenübermittlungen in die USA legitimieren sollte - ungültig geworden. Google verlässt sich nun auf Standardvertragsklauseln (SCCs), um internationale Datenübertragungen zu sichern. Diese Klauseln sind ein anerkanntes Rechtsinstrument, können aber nicht verhindern, dass US-Behörden nach amerikanischem Recht auf Daten zugreifen.

Dies ist der Kern des Problems. Die Datenschutz-Grundverordnung verlangt ein Schutzniveau, das den EU-Standards entspricht. US-Überwachungsgesetze wie FISA 702 und Executive Order 12333 stehen im Widerspruch zu dieser Anforderung. Google kann technische Sicherheitsvorkehrungen treffen, aber die Rechtslücke bleibt bestehen.

Ab 2026 existiert der EU-US-Datenschutzrahmen als Nachfolger des Privacy Shields. Ob es einer gerichtlichen Überprüfung standhalten wird, ist jedoch ungewiss. Die Rechtslage kann sich kurzfristig ändern.

Werbebewertung und automatisierte Analyse

In der Vergangenheit war die Situation klar: Google analysierte E-Mail-Inhalte, um personalisierte Werbung anzuzeigen. Laut Google wurde diese Praxis 2017 beendet - zumindest für kostenlose Gmail-Konten.

Bedeutet das, dass Google Mail den Inhalt von E-Mails überhaupt nicht mehr analysiert? Nein. Google verwendet weiterhin automatisierte Systeme, um:

• Spam und Phishing-Versuche filtern
• E-Mails kategorisieren (Werbeaktionen, soziale Netzwerke, Updates)
• Smart Reply und Smart Compose bereitstellen
• sicherheitsrelevante Ereignisse wie verdächtige Anmeldungen erkennen

Diese Funktionen erfordern Algorithmen zum Scannen von E-Mail-Inhalten. Dies ist technisch notwendig - aber aus Sicht des Datenschutzes dennoch relevant. Auch wenn Google die Werbung nicht mehr direkt aus E-Mail-Inhalten ableitet, werden die Daten dennoch verarbeitet. Und sie werden von einem US-Unternehmen verarbeitet, für das andere rechtliche Rahmenbedingungen gelten als für europäische Anbieter.

Sie haben nur einen sehr begrenzten Einblick in die Analysen, die im Hintergrund stattfinden. In den Datenschutzbestimmungen von Google werden die allgemeinen Prozesse beschrieben, nicht aber die spezifische Funktionsweise der Algorithmen oder die aus den Daten gezogenen Schlussfolgerungen.

Mangelnder Datenschutz als Standard

Die Datenschutz-Grundverordnung verlangt “Datenschutz durch Voreinstellung” - Dienste sollten von Anfang an so konfiguriert werden, dass sie nur die Daten verarbeiten, die unbedingt erforderlich sind.

Dies ist bei Google Mail nicht der Fall. Wenn Sie ein Konto erstellen, sind die folgenden Funktionen standardmäßig aktiviert:

• Anzeigenpersonalisierung (außerhalb von Google Mail, aber basierend auf Ihrem Google-Konto)
• Web- und App-Aktivitätsverfolgung
• Standortverlauf (je nach Gerät)
• YouTube-Geschichte

Sie können diese Einstellungen ändern - aber nur, wenn Sie dies aktiv tun. Und selbst wenn Sie alles deaktivieren, bleibt das Kernproblem bestehen: Google verarbeitet Ihre E-Mails auf Servern außerhalb der EU, die dem US-Recht unterliegen.

“Privacy by default” bedeutet auch, dass sensible Daten automatisch geschützt werden sollten. Bei Google Mail liegt diese Verantwortung bei den Nutzern. Dies widerspricht der grundlegenden Absicht der Datenschutz-Grundverordnung.

Datenverarbeitungsvereinbarungen und das DPA-Problem

Wenn Sie Google Mail für geschäftliche Zwecke nutzen, ergibt sich ein weiteres Problem. Rechtlich gesehen sind Sie nach der DSGVO der “für die Datenverarbeitung Verantwortliche”, während Google als Ihr “Datenverarbeiter” fungiert. Dies erfordert eine Datenverarbeitungsvereinbarung (DPA).

Eine DPA legt fest, wie ein Dienstanbieter mit Ihren Daten umgehen darf. Google bietet eine solche Vereinbarung für Google Workspace (die kostenpflichtige Unternehmensversion) an. Kostenlose Gmail-Konten enthalten keine DPA - was allein schon die geschäftliche Nutzung rechtlich problematisch macht.

Aber auch mit einer DPA bleibt das eigentliche Problem bestehen: Google verarbeitet Daten in den Vereinigten Staaten. Eine DPA kann Google zu bestimmten Schutzmaßnahmen verpflichten, aber sie kann nicht verhindern, dass US-Behörden unter bestimmten Umständen Zugriff verlangen.

Es stellt sich auch die Frage der Kontrolle. Eine DSGVO setzt voraus, dass Sie die Kontrolle über die Daten behalten. Bei Google Mail ist dies fraglich. Sie können E-Mails löschen - aber haben Sie Transparenz darüber, wo Kopien gespeichert werden, welche Backups existieren oder wie lange Metadaten aufbewahrt werden?

Für Unternehmen, die sensible Kundendaten oder persönliche Informationen per E-Mail austauschen, ist dies von entscheidender Bedeutung. Nehmen wir ein Steuerberatungsunternehmen, das Gmail für die Kommunikation mit seinen Kunden nutzt. Einkommensnachweise, Steuererklärungen und persönliche Daten werden per E-Mail übermittelt. Rechtlich gesehen stellt dies ein Risiko dar - selbst wenn eine DPA vorhanden ist.

Was dies in der Praxis bedeutet

Wie problematisch Google Mail ist, hängt davon ab, wie Sie es nutzen. Eine realistische Einschätzung sieht so aus:

Die Unterscheidung ist wichtig. Nicht jeder Google Mail-Nutzungsfall ist sofort rechtswidrig. Aber je sensibler die Daten und je professioneller der Kontext, desto größer ist das Risiko.

In den letzten Jahren haben die Datenschutzbehörden die in den USA ansässigen Dienste zunehmend unter die Lupe genommen. Es wurden Geldstrafen gegen Unternehmen verhängt, die personenbezogene Daten ohne angemessene rechtliche Garantien in die USA übermittelt haben. Gmail selbst war bisher nur selten das direkte Ziel von Durchsetzungsmaßnahmen - aber das zugrunde liegende rechtliche Problem bleibt bestehen.

Häufige Missverständnisse über Google Mail und GDPR

“Google Workspace ist GDPR-konform, also ist alles in Ordnung.”
Google Workspace bietet eine DPA und zusätzliche Verwaltungskontrollen, was die Situation verbessert. Das Problem der Datenverarbeitung in den USA wird dadurch jedoch nicht beseitigt. Selbst wenn die Daten in europäischen Rechenzentren gespeichert werden, behält sich Google das Recht vor, von den USA aus auf sie zuzugreifen. Ein DPA mildert bestimmte Risiken - aber nicht alle.

“Wenn ich die Verschlüsselung benutze, ist Gmail aus Sicht des Datenschutzes unproblematisch”.”
Verschlüsselung hilft, aber nur bis zu einem gewissen Grad. Google Mail verwendet Transportverschlüsselung (TLS), d. h. E-Mails werden während der Übertragung verschlüsselt. Auf den Servern von Google werden E-Mails jedoch unverschlüsselt gespeichert, damit Funktionen wie Suche und Smart Reply funktionieren. Google Mail bietet standardmäßig keine End-to-End-Verschlüsselung (E2EE). Externe Tools wie PGP sind theoretisch möglich, werden aber selten verwendet - und sie lösen das Problem der Metadaten (Absender, Empfänger, Zeitstempel) nicht.

“Ich kann Gmail ohne Bedenken privat nutzen.”
Das stimmt nur teilweise. Für die rein private Nutzung gilt die Datenschutz-Grundverordnung nicht in vollem Umfang. Sobald Sie jedoch geschäftsbezogene E-Mails versenden oder personenbezogene Daten anderer verarbeiten, wird sie relevant. Wenn Sie beispielsweise ein Vereinstreffen organisieren und Namen und Adressen per E-Mail über Google Mail versenden, handeln Sie als für die Datenverarbeitung Verantwortlicher - und die DSGVO findet Anwendung.

Entscheidungshilfe: Wann ist ein Wechsel sinnvoll?

Ob Sie Google Mail weiterhin nutzen sollten, hängt von mehreren Faktoren ab:

• Wie sensibel sind Ihre Daten? Newsletter und Bestätigungen sind weniger kritisch als Gehaltsabrechnungsdaten oder Krankenakten.
• Nutzen Sie Google Mail für Ihr Unternehmen? Dann brauchen Sie mindestens Google Workspace mit einer DPA - oder vorzugsweise eine EU-basierte Alternative.
• Wie wichtig ist die Kontrolle über Ihre Daten? Bei Google Mail hat Google technischen Zugriff - immer.
• Sind Sie bereit, Komfort gegen Datenschutz einzutauschen? Google Mail ist praktisch. Alternativen erfordern oft eine Anpassung.

Wenn Sie sich gegen Google Mail entscheiden, gibt es europäische Anbieter, die sich auf die Einhaltung der Datenschutzgrundverordnung konzentrieren, Server in der EU betreiben und keine werbebezogenen Analysen durchführen.

Eine Übersicht finden Sie hier: Alternative zu Google Gmail

Google Mail ist nicht per se illegal - aber es ist schwierig, es mit der Datenschutz-Grundverordnung in Einklang zu bringen. Diejenigen, die das Risiko verstehen und bewusst in Kauf nehmen, können es weiter nutzen. Diejenigen, die sensible Daten schützen müssen, sollten einen Wechsel in Betracht ziehen.

Vergleichstabelle: Gmail vs. EU-Alternativen