Die DSGVO verlangt von Dir als Verantwortlichem einen Umgang mit personenbezogenen Daten, den Du belegen kannst. Google Workspace enthält solche Daten fast immer: Postfächer, Dateien, Termine, Kontakte. Ein Backup ist eine weitere Verarbeitung. Dafür brauchst Du einen Auftragsverarbeiter mit Vertrag nach Art. 28.
Die Rollen bei Backuphaus
Du bist Verantwortlicher. Deschalet ist Auftragsverarbeiter. IONOS ist Unterauftragsverarbeiter für den Objektspeicher in Berlin. Der Vertrag liegt unter AVV, die technischen Maßnahmen unter Sicherheit und DSGVO.
Drittland, ohne Dramatik
Der EuGH hat in Schrems II (C-311/18) den Privacy Shield für ungültig erklärt. Standardvertragsklauseln bleiben ein Werkzeug, brauchen aber eine Prüfung der Lage im Empfängerland. Die Empfehlungen 01/2020 des Europäischen Datenschutzausschusses beschreiben ergänzende Maßnahmen.
Das EU-US Data Privacy Framework ist der aktuelle Angemessenheitsrahmen für zertifizierte US-Unternehmen. Es ist kein Argument, auf eine eigene Kopie zu verzichten, und es macht einen US-Anbieter nicht zu einem deutschen Speicher. Der CLOUD Act bleibt eine eigene Frage. Backuphaus behauptet keine Immunität.
Zum Produkt: Google Workspace Backup. Zum Ort der Buckets: Hosting in Deutschland. Zur Preislogik: Preise.