DPIA zu Google Cloud Platform: Niederländisches Justizministerium identifiziert 11 Datenschutzrisiken — und warnt vor geopolitischen US-Risiken

Hintergrund: Wer hat diese DPIA erstellt — und warum?

Die DPIA wurde vom niederländischen Justizministerium in Auftrag gegeben, konkret durch SLM Rijk — die zentrale Beschaffungsstelle des niederländischen Staates für Google Cloud, Microsoft und AWS. Erstellt wurde sie von der niederländischen Datenschutzberatung Privacy Company (Sjoera Nas und Floor Terra). Die aktuelle Version 1.3 ist vom 11. Juni 2026 und öffentlich zugänglich.

Geprüft wurden vier GCP-Dienste im Zusammenspiel: Compute Engine (virtuelle Maschinen), Cloud SQL (MySQL-Datenbank), Cloud Storage und BigQuery — die typische Infrastruktur für Behördenanwendungen, aber auch für Unternehmensanwendungen jeder Größe. Als Testanwendung wurde NextCloud verwendet.

Die fünf Datenkategorien — und wo Google die Kontrolle verliert

Die DPIA unterscheidet fünf Kategorien personenbezogener Daten, die GCP verarbeitet. Diese Systematik ist auch für die datenschutzrechtliche Bewertung durch Unternehmen relevant:

1. Content Data — vom Kunden hochgeladene Inhalte (Dateien, Datenbanken, Audit-Logs in BigQuery)
2. Account Data — Daten des Admin-Accounts
3. Diagnostic Data — Metadaten der Nutzung: Telemetry Data (vom Gerät gesendete Diagnosedaten), Service Generated Server Logs, Sicherheitslogs
4. Support Data — bei Support-Anfragen anfallende Daten
5. Website Data — Daten aus dem Admin-Zugang zur Cloud Console und der öffentlichen Dokumentationswebsite

Die drei Konstellationen unzulässiger eigenständiger Verantwortlichkeit

Das gravierendste Ergebnis der DPIA ist nicht in der Risikotabelle, sondern im Text: Die Prüfung stellt fest, dass Google in drei Konstellationen als unzulässiger eigenständiger Datenverantwortlicher handelt — also Daten zu eigenen Zwecken verarbeitet, ohne dass der Kunde (hier: die niederländische Behörde) dies angewiesen hat oder kontrollieren kann:

• Verarbeitung der Google Account Data außerhalb des GCP-Kontexts — Account-Daten fließen in Googles allgemeines System, nicht nur in GCP
• Verarbeitung von Website Data der Admin Console — Daten aus der Nutzung von console.cloud.google.com
• Daten von öffentlich zugänglichen GCP-Seiten, die Admins zwingend besuchen müssen

In diesen drei Bereichen ist Google nicht Auftragsverarbeiter, sondern eigenständiger Verantwortlicher — was bedeutet, dass der Auftragsverarbeitungsvertrag (AVV) nicht greift und der Kunde keine Weisungsrechte hat. Das ist datenschutzrechtlich problematisch, weil der Verantwortliche (das Unternehmen oder die Behörde) gegenüber den Betroffenen für diese Verarbeitungen nicht informieren und sie auch nicht kontrollieren kann.

Die 11 Risiken — und was sie konkret bedeuten

Formal kommt die DPIA zu einem vergleichsweise günstigen Ergebnis: 11 niedrige Datenschutzrisiken. Kein hohes, kein mittleres Risiko. Das klingt beruhigend — ist es aber nur bedingt. Die einzelnen Risiken zeigen strukturelle Schwächen:

• Risiko 1 — Kontrollverlust Telemetry Data: Diagnosedaten vom Gerät des Admins werden zu Google übertragen. Der Inhalt ist nur eingeschränkt dokumentiert und kontrollierbar. Empfehlung: pseudonyme Admin-Accounts verwenden.
• Risiko 2 — Betroffenenrechte: Admins können nicht ohne Weiteres Auskunft über alle sie betreffenden Daten verlangen. Nur über Support-Ticket teilweise möglich.
• Risiko 3 — Kontrollverlust Website Data: Cookies auf der Cloud Console enthielten bis Q3 2025 Werbe-Tracking. Google hat den Cookie-Text inzwischen angepasst, Profiling für Werbung ist vertraglich ausgeschlossen.
• Risiko 7 — Drittlandübermittlung Account/Diagnostic/Website Data: Für diese Datenkategorien gibt es keine wirksamen Schutzmaßnahmen. Unternehmen können weder Verschlüsselung noch Standortbeschränkung durchsetzen. Google hat hierzu — anders als bei den Content Data — keine Maßnahmen angekündigt.
• Risiko 9 — Feedback-Funktion: Wenn Admins über die Feedback-Funktion in der Cloud Console Rückmeldungen geben, können diese Content Data enthalten. Google wird keine zentrale Deaktivierungsoption anbieten.

Die geopolitische Warnung: US-Risiken für Datenverfügbarkeit

Ein Abschnitt der DPIA sticht heraus — und dürfte in der Breite wenig Beachtung gefunden haben. Die Prüfer warnen ausdrücklich vor dem Risiko, dass US-amerikanische Regierungsmaßnahmen Google dazu zwingen könnten, die Dienste einzustellen oder zu unterbrechen. Wörtlich:

Das ist eine klare Empfehlung: Wer kritische Prozesse auf GCP betreibt, braucht Backups außerhalb von GCP — für den Fall, dass US-amerikanische Politikmaßnahmen den Dienst unterbrechen. Angesichts der geopolitischen Entwicklungen seit 2025 ist diese Warnung nicht akademisch.

EU-US Data Privacy Framework: Stabil — aber wie lange?

Aktuell können sich Organisationen auf das EU-US Data Privacy Framework (DPF) stützen, weil Google als DPF-zertifiziertes Unternehmen gilt. Damit entfällt die Notwendigkeit, für Datentransfers in die USA zusätzliche Maßnahmen wie Standardvertragsklauseln (SCC) zu ergreifen.

Die DPIA mahnt jedoch zur Vorsicht: Für den Fall, dass das DPF annulliert wird (wie bereits einmal zuvor, bei Privacy Shield im Jahr 2020), müssten Organisationen:

• Ein Data Transfer Impact Assessment (DTIA) durchführen — auch für Weitertransfers aus den USA in Drittländer
• Verschlüsselung mit selbst kontrollierten Schlüsseln einsetzen (für Content Data möglich, für Account/Diagnostic/Website Data nicht)
• SCC können dann nicht mehr als Auffangregelung dienen

Was bedeutet das für deutsche Unternehmen?

Die DPIA wurde für niederländische Behörden erstellt — die Befunde sind aber für alle europäischen Organisationen relevant, die GCP einsetzen. Vier praktische Schlussfolgerungen:

• Auftragsverarbeitungsvertrag allein reicht nicht: Google agiert in mehreren Bereichen als eigenständiger Verantwortlicher — das muss in der Datenschutzerklärung und im Verarbeitungsverzeichnis korrekt abgebildet sein.
• Diagnostic Data systematisch adressieren: Telemetry Data und Server Logs enthalten personenbezogene Metadaten. Pseudonyme Admin-Accounts sind die pragmatischste Mitigationsmaßnahme.
• DPF-Risiko einpreisen: Wer nur auf das DPF setzt, sollte einen Plan B haben. Content Data kann mit eigenen Schlüsseln (Cloud EKM) verschlüsselt werden — das sollte Standard sein.
• Business-Continuity für GCP-abhängige Prozesse: Kritische Prozesse ohne Backup außerhalb von GCP sind ein Risiko, das der Vorstand kennen und verantworten muss.