21. Oktober 2026 , aktualisiert 4. November 2026

US Cloud Act und Google Workspace: Was das für Deine Backups bedeutet

Viele Gespräche über Google Workspace in Deutschland enden beim selben Satz: Die Daten liegen doch in Europa. Der Satz ist oft wahr und trotzdem unvollständig. Für ein Backup zählt nicht nur das Rechenzentrum der Arbeitsdaten. Es zählt, welches Unternehmen die Kopie besitzt, welchem Recht dieses Unternehmen unterliegt, und ob die Kopie überhaupt außerhalb von Google existiert.

Dieser Text hält sich an die veröffentlichten Rechtstexte. Er behauptet keine Immunität, keine Geheimzahl und keinen Ausgang eines künftigen Verfahrens. Die Produktseite dazu ist DSGVO-Backup für Google Workspace. Der Ort der Buckets steht unter Hosting in Deutschland.

Was der CLOUD Act sagt

Der Clarifying Lawful Overseas Use of Data Act ist US-Bundesrecht aus dem Jahr 2018, Teil von Public Law 115-435. Der Text liegt bei congress.gov als PDF. Das Justizministerium sammelt Materialien unter CLOUD Act resources.

Der Kern, verkürzt und ohne den Anspruch, ein Gutachten zu ersetzen: Ein Anbieter, der US-Recht unterliegt, kann verpflichtet werden, Inhalte herauszugeben, die er besitzt, verwahrt oder kontrolliert. Der Ort der Speicherung hebt diese Pflicht nicht für sich auf. „Die Platte steht in Frankfurt“ ist deshalb keine Antwort auf die Frage, ob ein US-Unternehmen die Daten kontrolliert.

Google ist ein US-Unternehmen. Workspace kann regional betrieben werden. Die Kontrolle über das Produkt bleibt bei Google. Eine Sicherung, die nur ein zweites Laufwerk im selben Mandanten ist, bleibt in dieser Kontrolle. Eine Aufbewahrungsregel, ein Admin oder eine Herausgabepflicht gegenüber Google trifft dann auch die angebliche Kopie.

Schrems II und das, was danach kam

Im Juli 2020 hat der Gerichtshof der Europäischen Union im Verfahren C-311/18, bekannt als Schrems II, den Angemessenheitsbeschluss zum Privacy Shield für ungültig erklärt. Das Urteil steht bei EUR-Lex. Standardvertragsklauseln sind nicht pauschal tot. Sie verlangen eine Prüfung, ob das Recht im Empfängerland den Schutz aushöhlt, und gegebenenfalls zusätzliche Maßnahmen.

Der Europäische Datenschutzausschuss hat dazu die Empfehlungen 01/2020 veröffentlicht. Sie sind eine Anleitung für Verantwortliche, kein Freibrief und kein Verbot jeder US-Software. Wer Workspace nutzt, hat diese Prüfung ohnehin, weil die Arbeitsdaten bei Google liegen. Ein Backup ändert die Prüfung nicht, indem es so tut, als gäbe es Google nicht. Es ändert die Lage der Kopie.

Seitdem gibt es das EU-US Data Privacy Framework. Zertifizierte US-Unternehmen können sich darauf stützen. Das Framework ist der aktuelle Angemessenheitsrahmen. Es ist auch umstritten und kann, wie der Privacy Shield, vor Gericht landen. Ein Blogtext sollte es weder für ewige Sicherheit halten noch für schon aufgehoben erklären. Beides wäre eine Erfindung.

Was ein deutscher Speicher verändert, und was nicht

Backuphaus legt die Sicherungsinhalte in einen Bucket je Kunde bei IONOS Object Storage in Berlin, Region eu-central-3. IONOS dokumentiert diesen Standort in den Endpunkten. IONOS ist ein deutscher Anbieter. Die Kopie liegt damit nicht im Workspace-Mandanten und nicht in einem Bucket, den Backuphaus bei einem US-Hyperscaler betreibt.

Das verändert drei Dinge.

Die Kopie ist nicht dasselbe Konto. Ein gelöschter Nutzer, eine Vault-Löschregel oder ein kompromittiertes Admin-Konto in Google löscht nicht automatisch den Bucket in Berlin. Dafür ist die Kopie da. Der Zusammenhang steht im Text Warum Google selbst kein Backup ist.

Der Speicheranbieter ist ein anderes Unternehmen als Google. Eine Pflicht, die sich an Google richtet, ist nicht automatisch eine Pflicht, die sich an IONOS oder an Deschalet richtet. Ob und wie Behörden in Deutschland oder in der EU auf einen deutschen Anbieter zugreifen, ist eine andere Rechtsfrage, mit eigenen Schwellen. Das ist kein Nullrisiko.

Der Ort ist benannt. „EU“ ohne Region ist eine Werbezeile. Berlin, eu-central-3, ist eine Zeile aus der Dokumentation des Speicheranbieters. Dieselbe Dokumentation listet auch andere Regionen, darunter einen Standort in den USA. Backuphaus nutzt für die Inhalte den Standort Berlin. Der Dienst ist gemeinsam mit dem IONOS-Team entstanden. Eine Zertifizierung oder ein ISV-Status wird damit nicht behauptet.

Was sich nicht verändert: Workspace selbst bleibt bei Google. Wer die Arbeitsdaten nutzt, nutzt einen US-Anbieter. Das Backup ist die zusätzliche Kopie, nicht die Umsiedlung des Postfachs. Wer absolute Unerreichbarkeit für jede Behörde verspricht, verspricht etwas, das dieses Setup nicht hergibt. Europäische Herausgaberegeln, Rechtshilfe und die Pflichten eines Auftragsverarbeiters bleiben.

Was Du im Vertrag sehen solltest

Die DSGVO unterscheidet Verantwortliche und Auftragsverarbeiter. Bei Backuphaus bist Du Verantwortlicher, Deschalet ist Auftragsverarbeiter, IONOS ist Unterauftragsverarbeiter für den Speicher. Der Vertrag liegt im AVV. Die technischen Stichpunkte, Verschlüsselung und Trennung der Buckets, stehen unter Sicherheit und DSGVO. Das ersetzt kein Gutachten zu Deiner Übermittlung an Google.

Sinnvolle Fragen an jeden Backup-Anbieter, uns eingeschlossen:

Liegt die Kopie im selben Mandanten oder daneben? Bei uns daneben, im Bucket des Kunden.

In welcher Region, mit welchem Anbieternamen? Berlin, IONOS Object Storage, eu-central-3. Der Kontext dazu: Google Workspace Backup Deutschland.

Wird eine Immunität behauptet? Hier nicht.

Ist die Zusammenarbeit mit IONOS benannt? Ja. Backuphaus wurde gemeinsam mit dem IONOS-Team entwickelt. Das Logo und der Satz stehen auf der Seite Hosting in Deutschland.

Der praktische Schluss

Der CLOUD Act ist ein Grund, die Sicherungskopie nicht ausschließlich einem US-Unternehmen zu überlassen. Er ist kein Grund, Google Workspace zu verteufeln, und kein Grund, einem deutschen Bucket magische Eigenschaften zu geben. Du brauchst die Kopie, weil Vault, Papierkorb und gelöschte Nutzer keine Rückholung über Jahre sind. Du brauchst den Ort, weil die Kontrolle über die Kopie eine andere Frage ist als die Verfügbarkeit des Postfachs.

Der Dienst, der diese Kopie erzeugt, ist auf der Seite Google Workspace Backup beschrieben. Die Tarife stehen bei den Preisen.

Wenn Du die Quellen selbst liest, fang beim Gesetzestext an, nicht bei einer Zusammenfassung. Das PDF auf congress.gov ist der Act. Die Seite des Justizministeriums erklärt, wie die US-Behörden das Instrument einordnen. Das Urteil und die Empfehlungen des Datenschutzausschusses erklären die europäische Seite. Erst danach lohnt der Blick auf den Bucket. Sonst wird aus einem Speicherort ein Argument, das die Texte nicht hergeben.

Quellen

Nächster Schritt

Die Tarife stehen auf der Seite Preise. Einrichten kannst Du das Backup über die Anmeldung.