Source: https://www.datenschutz-notizen.de/google-apps-fuer-die-unternehmensdatenverarbeitung-im-ernst-0412068/
Timestamp: 2019-03-23 18:50:11+00:00

Document:
Um es mit Thomas Magnum zu sagen: „Ich weiß, was Sie jetzt denken, und Sie haben recht“ – Nun, vielleicht auch nicht. Auch uns fiel es zunächst schwer, sich in der Beratungspraxis diesem Thema ohne Vorurteile zu nähern. Wer, diese Frage sei aus Datenschutz-Sicht erlaubt, denkt bei den Begriffen Google und Datenschutz nicht an Feuer und Wasser? Aber ist das immer noch zutreffend? Über den privaten Gebrauch der Suchmaschine, von Android und vielen Google Apps für die private Nutzung, über geräteübergreifendes (Universal-)Tracking, Profilbildung und andere daten­schutz­rechtlich frag­würdige Techniken wollen wir an dieser Stelle ausnahmsweise mal nicht berichten, sondern über die Frage, ob die Nutzung von Google Diensten für Unternehmenszwecke (Google Apps for Work, Google Drive for Work, Google Apps Unlimited etc.) tatsächlich datenschutzkonform betrieben werden kann.
der Auftragsdatenverarbeiter (außerhalb der EU) muss SafeHarbor-zertifiziert sein oder die EU-Standard-Vertragsklauseln mit der verantwortlichen Stelle schließen (wenngleich SafeHarbor inhaltlich bekanntermaßen von den Aufsichtsbehörden – zu Recht (!) – als nicht ausreichendes Instrument gesehen wird, um ein angemessenes Datenschutzniveau im Drittland sicherzustellen)
Damit komme ich zum Kern der Frage: Erfüllt Google all das? Um es vorweg zu nehmen: Es sieht tatsächlich so aus!
Beginnen wir mit dem Dokument, welches fraglos Geschäftsführer und IT-Verantwortliche in den Unterneh­men von Google als „Grundlage“ bekommen zu allen Fragen bezüglich Datenschutz, IT-Sicherheit und Compliance: „Google for Work: Whitepaper zum Thema Sicherheit und Compliance“(englische Version). In diesem Dokument fasst Google sämtliche Informationen zu den o.g. Themen zusammen, nämlich
Wenn man nun die jeweiligen Inhalte gegen die o.g. Anforderungen der Aufsichtsbehörden prüft, entsteht auf den ersten Blick tatsächlich ein positiver Eindruck (zugegeben, Skepsis bleibt, dazu gleich mehr). Dass Google Safe-Harbor-zertifiziert ist (übrigens auch nach dem Abkommen zwischen der Schweiz und den USA), ist genauso bekannt wie – aus Behördensicht, vgl. oben – nichtssagend. Auch wenn dem Unternehmen damit immer noch formell auf bilateraler Ebene ein der EU vergleichbares Datenschutzniveau unterstellt werden darf.
Was die eingesetzten Subunternehmen betrifft, so gibt Google hier bereitwillig Auskunft. Und überraschender Weise handelt es sich, z.B. im Gegensatz zu Microsoft, um eine recht kurze Liste – so kurz, dass man die beteiligten Unternehmen hier nennen kann, ohne Sie als Leser zu sehr zu strapazieren: Es sind die
11.2. Processing Restrictions:
Worauf ergänzend und erschöpfend noch zum Schluss hingewiesen werden sollte, ist die Tatsache, dass Google seinen Kunden auch die Möglichkeit bietet, geschützte Gesundheitsdaten – Protected Health Information (PHI)– gesondert zu verarbeiten, erforderlich hierfür ist der zusätzliche Abschluss des sog. Business Associate Agreement (BAA, https://support.google.com/a/answer/3407054?hl=en). Dieses sieht vor, dass PHI-Daten (deren Schutzbedarf hier der Einfachheit halber mit Daten, die der ärztlichen Schweigepflicht unterliegen, gleichgesetzt wird) nur in bestimmten „Core Services“ gespeichert werden dürfen, auf die (Google-) Administratoren keinen Zugriff haben. Zu diesen „Core Services“ zählen GMail, Google Drive (inkl. Docs, Sheets etc.), Calendar, Google Apps Vault – keine „Core Services“ sind Hangouts, Contacts und Groups. Wie diese Services im Detail für geschützte Gesundheitsdaten zu nutzen sind, wird in einem weiteren ausführlichen Dokument erläutert, sollte aber Gegenstand einer separaten datenschutzrechtlichen Betrachtung sein.
Vielleicht bin ich ja nicht der Einzige, der von der Bereitschaft Googles überrascht ist, den Forderungen deutscher bzw. europäischer Datenschützer in dem aufgezeigten weiten Umfang nachzukommen. In der Beratungspraxis dürfte es daher zukünftig schwer fallen, Unternehmen noch von der Nutzung von Google for Work abzuraten, wenn sämtliche o.g. Dokumente bilateral mit Google abgeschlossen werden. Zwar dürfte Microsoft gegenüber Google im Hinblick auf das (nicht mit Regelungen greifbare) Vertrauen noch immer einen Vorsprung bei Unternehmen haben, die partout „in die Cloud“ wollen – dieser Vorsprung dürfte nun aber zunehmend kleiner werden.
« „Butt dial“ – oder haftet man für sein telefonierendes Hinterteil?	Auskunftsersuchen – ernstgemeinter Datenschutz oder Projektakquise »
15. Februar 2018 @ 14:48
Zur Frage: Macht es Sinn einen Unternehmensaccount nur aufgrund der Datensicherheit anzumelden und dafür zu bezahlen? Google AGBs sind beim kostenlosen Konto wohl nicht fürs Unternehmen geeignet, da kein Vertrag abgeschlossen wird § 11 Abs. Auch drücken die sich vor Schadenersatz, die DSGVO sieht es wohl anders 😉
Verwendung unserer Dienste in Unternehmen (kostenlos, Google Drive)
16. Februar 2018 @ 16:12
Ohne jetzt sämtliche AGB von Google durchgeflöht zu haben, würde ich in jedem Fall die „Unternehmensvariante“ zu wählen. Soweit ich weiß, besteht ein weiterer Unterschied, neben AGB und Datensicherheit auch darin, dass in der Unternehmensvariante die Emails (soweit man diese Funktionalität nutzt) nicht automatisch nach Stichwörtern gescannt werden. Im Hinblick auf den „alten“ § 11 BDSG lässt die DSGVO jetzt ja auch den elektronisch geschlossen AD-Vertrag zu.. so dass das Vertragsargument ggfls. zukünftig nicht mehr ins Gewicht fällt.
10. Februar 2017 @ 12:10
Nach einer kurzen Recherche konnte ich leider keine befriedigende Antwort zu folgender Frage finden:
Gibt es einen einen tatsächlichen Unterschied was die Datensicherheit in der Google-Drive angeht, zwischen der bezahlten und der kostenlosen Version?
Ich arbeite in einer kleinen Firma und uns reichen die Funktionen der kostenlosen Version völlig aus. Macht es Sinn einen Unternehmensaccount nur aufgrund der Datensicherheit anzumelden und dafür zu bezahlen?
Technikinteressierter
8. Dezember 2017 @ 10:17
Das würde mich auch interessieren. Entsprechen die kostenlosen Google-Dienste den EU-Standards für Datenschutz?
11. Dezember 2017 @ 10:13
auch ich musste kurz recherchieren. Google verschlüsselt auf Google Drive – Stand 2017, lt. https://trusted.de/google-drive-test – die Dateien mit einem 128Bit Blockchiffre. Im entsprechenden Beitrag wird hierzu erwähnt, dass Microsoft und andere „die 256Bit-Variante“ nutzen würden. Dies suggeriert auf den ersten Blick eine „höhere“ Sicherheit. Wenn wir uns allerdings an den Kritieren des BSI zum „Stand der Technik“ orientieren, dann findet sich in der aktuellen BSI-TR 02102-1 (https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102.pdf;jsessionid=E3F986A3B7CE9ED6159832EC49B54E9A.2_cid341?__blob=publicationFile&v=4) unter Ziff. 2.1 (S. 23) noch immer die Empfehlung, dass auch AES 128 eine noch sichere Verschlüsselungsmethode ist. Das BSI veröffentlicht in der Regel jährlich neue Empfehlungen, daher kann es sein, dass dies im nächsten Jahr anders aussieht. Zurzeit spricht aber vor diesem Hintergrund nichts gegen die derzeitige Verschlüsselungstechnik.
19. Oktober 2016 @ 13:38
Soweit ich es finden konnte, ermöglicht Google für Google Apps for Business/Education den Abschluss der Standardvertragsklauseln und der ADV-Vereinbarung nur über das setzten eines Häkchens im Admin-Bereich des GAfB/E Accounts. Ist das überhaupt eine rechtlich ausreichende Form für ADV oder Standardvertragsklauseln?
Das ist weder unveränderlich noch unterschrieben oder digital signiert wie bei Microsoft. Google könnte den Vertragstext einseitig ändern, ohne dass ich die Möglichkeit hätte Kenntnis zu nehmen und ich habe auch keine belastbare oder unterschriebene Vertragsausfertigung von Google. Auch der Stand der technischen und organisatorischen Maßnahmen (TOMs) ist nicht belastbar festgelegt. Ich kann mir den Text aus dem Admin-Bereich zwar ausdrucken, aber das ist wohl auch kaum eine genügende Vertragsform.
Kann ich also überhaupt wirksam Standardvertragsklauseln und ADV mit Google für Google Appls vereinbaren? Auch für das Privacy Shield benötige ich ja eine belastbare Garantie der TOMs.
21. Oktober 2016 @ 10:13
Ja, das ist richtig – diese Form würde zum einen den Strengbeweisregelungen der ZPO nicht genügen, zum anderen sieht tatsächlich auch § 11 Abs. 2 BDSG für die Wirksamkeit der Auftragsdatenverarbeitung die Schriftlichkeit vor. Dies gilt auch für die technisch-organisatorischen Sicherheitsmaßnahmen. Microsoft ist in diesem Bereich in der Tat deutlich besser aufgestellt.
10. Januar 2018 @ 8:17
Ihre Antwort auf diese Frage führt Ihre Kernaussage und Ihr Fazit scheinbar wieder in eine völlig andere Richtung? Theoretisch mögen die Google Dienste ds-konform sein, aber wenn ich aufgrund der fehlenden Schriftlichkeit keine wirksame ADV habe dann doch nicht nutzbar? Oder habe ich hier etwas falsch verstanden?
10. Januar 2018 @ 9:19
Guten Tag, mittlerweile sieht Art. 28 Abs. 9 DSGVO für Verträge zur Auftragsverarbeitung ja auch vor, dass diese in einem elektronischen Format vorliegen können – insoweit eine Änderung gegenüber der bisherigen engen Regelung des BDSG. D.h. spätestens ab Mai 2018 ist mit dem Inkrafttreten der DSGVO auch diese „Hürde“ beseitigt.
13. Juni 2016 @ 13:35
Wie sieht es denn da mit Google Analytics aus? Das darf ich ja auch nicht mehr verwenden. Eine von Google gebotene Möglichkeit auf EU Standardvertragsklauseln umzusteigen habe ich bisher nirgends entdeckt. Wie also schließe ich einen derartigen Vertrag mit Google um Universal Analytics weiterhin nutzen zu können?
13. Juni 2016 @ 13:55
Vielen Dank für die zurzeit in der Tat sehr aktuelle Frage. Tatsächlich schweben die Nutzer v. Google Analytics seit dem Wegfall von Safe Harbor in der Luft. Der Hamburgische Datenschutzbeauftragte hat dazu gerade kurz ein Zwischenstatement veröffentlicht:
Leider können wir dazu auch noch nichts Genaueres bzw. Belastbares sagen als das, was in dem o.g. Statement zum Ausdruck gebracht wird. Unbefriedigend… klar.
kollaborateure.com |
30. Oktober 2015 @ 22:51
[…] Googles Cloudlösungen gibt. Auch schon vor der neuerlichen Zertifizierung hatten Experten wie Oliver Stutz im Blog von datenschutz-notizen.de aus deutscher datenschutzrechtlicher Sicht geschildert, warum sie das Produkt in Deutschland für […]
17. Oktober 2015 @ 20:28
Ändert sich an der Betrachtung etwas durch das EuGH Urteil?
19. Oktober 2015 @ 11:40
Naja, das hängt davon ab, wie lange die EU-Standard-Vertragsklauseln noch von den Aufsichtsbehörden als wirksames Instrument angesehen werden: Google bietet diese ja im Rahmen der vertraglichen Unterlagen mit an, d.h. formal wirskam kann man die Dienstleistungen von Google noch immer – trotz des Todes von Safe Harbor – in Anspruch nehmen, wenn man diese mit abschließt. Gerade am 16.10. hat die Art. 29-Gruppe der EU-Datenschützer noch bestätigt, dass die Klauseln wirksam sind. Es bleibt jetzt allerdings genau zu beobachten, wie sich das entwickelt und wie sich (irgendwann mal) die deutschen Aufsichtsbehörden positionieren.
German lawyer Oliver Stutz proves Google Apps for Work to be completely legal in Germany
2. Oktober 2015 @ 0:22
[…] article originally appeared on the German blog datenschutz notizen (original in German). The author, Oliver Stutz, is an in-house lawyer at datenschutz nord, a German data protection and […]
Google Apps für die Unternehmensdatenverarbeitung – im Ernst?? Gastbeitrag von Oliver Stutz
20. August 2015 @ 12:52
[…] Beitrag ist ursprünglich im Blog datenschutz notizen erschienen (Link zum Original). Herzlichen Dank an Oliver Stutz, dass wir ihn auch hier in unserem Blog veröffentlichen […]
4. August 2015 @ 17:58
Einen nicht ganz uneigennützigen Dank an den Autor. Als Google Partner frage ich mich schon länger, wann es in Deutschland soweit sein wird, dass in diesem Thema mehr Fakten (und Zertifikate) zählen und weniger das eigene Bauchgefühl.
Noch eine Anmerkung an den Autor: Im Link zur Googles Seite, in dem die eingesetzten Subunternehmen aufgelistet werden, hat sich ein Leerzeichen eingeschlichen, so dass man eine Fehlermeldung erhält. Korrekt muss der Link wie folgt aussehen: https://www.google.com/intx/en/work/apps/terms/subprocessors.html

References: § 11
 § 11
 § 11
 Art. 28
 EuGH 
 Art. 29