> Google Cloud Storage DSGVO-konform nutzen: Bucket-Region oder EU-Multiregion wählen, US-Zugriffsrisiken bewerten, Transfermechanismus und öffentliche Dateien.
>
> Canonical: https://www.flowconsent.com/de/services/hosting/google-cloud-storage

Hosting

# Google Cloud Storage

Nicht eingestuft · [Offizielle Website](https://cloud.google.com/storage)

Google Cloud Storage ist der Object Storage Service der Google Cloud Platform, eingesetzt für Uploads, Medien, Backups und statische Assets. Es ist ein Backend Dienst: setzt selbst keine Client Cookies und lädt kein JavaScript. Datenschutztechnisch zentral sind Datenresidenz (pro Bucket konfigurierbar, EU Regionen verfügbar) und die CLOUD Act Exposition von Google LLC. Werden öffentliche Buckets direkt im Browser über storage.googleapis.com geladen, können in manchen Konfigurationen Google Cookies erscheinen.

[Google Cloud Storage bis zur Einwilligung blockieren](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=hosting) · [Meine Website scannen](https://www.flowconsent.com/de/scan)

Auf einen Blick

- Kategorie

  [Hosting](https://www.flowconsent.com/de/services/hosting)

- Einwilligung

  Nicht eingestuft

- Vorherige Einwilligung

  Nicht erforderlich

- Dokumentierte Cookies

  0

- Drittanbieter-Domains

  4

- Server

  Configurable per bucket. Operators can select region (single region in EU like europe-west1 Belgium, europe-west3 Frankfurt, europe-west9 Paris), dual region (eu) or multi region (eu spanning multiple EU regions). The operator's choice determines the GDPR transfer position.

Überblick

## Was macht Google Cloud Storage?

## **Was Google Cloud Storage ist**

Google Cloud Storage ist der gemanagte Object Storage Dienst der Google Cloud Platform. Er speichert Dateien beliebiger Art in Containern namens Buckets mit flachem Namensraum, unveraenderlichen Objektversionen und HTTP/HTTPS API. Eingesetzt wird er als Backend Tier für Uploads (User Generated Content, Profilbilder, Dokumentenanhaenge), Medien Hosting (Bilder, Video), Backups, Trainingsdatensaetze für ML und als statischer Asset Tier für CDNs. Betreiber wählen Bucket Standort (Single Region, Dual Region oder Multi Region) und Storage Klasse (Standard, Nearline, Coldline, Archive).

## **Welche Daten sind betroffen?**

Datenschutztechnisch zählen die Inhalte der Buckets mehr als der Dienst selbst. Buckets enthalten typischerweise personenbezogene Daten: hochgeladene Dateien, Profilbilder, Kontodokumente, Datenbank Backups, Trainingsdatensaetze. Cloud Storage protokolliert jeden API Zugriff (Lesen, Schreiben, Löschen) in Cloud Audit Logs mit Anrufer Identität (Service Account oder User Account) und IP. Besucher IPs werden protokolliert, wenn öffentliche Buckets direkt aus dem Browser aufgerufen werden.

## **DSGVO und ePrivacy Implikationen**

Als Backend Speicher fällt Google Cloud Storage unter die DSGVO Regeln für Auftragsverarbeiter. Google agiert als Auftragsverarbeiter unter dem Cloud DPA. Die Rechtsgrundlage für die zugrundeliegende Verarbeitung hängt vom Anwendungsfall ab. Art. 5 Abs. 3 ePrivacy gilt nicht für Backend Speicher, wohl aber wenn Assets direkt vom storage.googleapis.com Domain in den Browser geladen werden, dann können Google Cookies einer Einwilligung bedürfen. Üblicherweise mildert man dies durch Auslieferung über die eigene Domain (Signed URLs oder ein CDN, das den Bucket proxyt).

## **Datenresidenz und CLOUD Act Exposition**

EU Regional Buckets (europe-west1 Belgien, europe-west3 Frankfurt, europe-west9 Paris, europe-southwest1 Madrid, europe-north1 Finnland, europe-central2 Warschau usw.) halten Objektdaten in der Region inklusive Replikation. Das eu Multi Region repliziert über mehrere EU Regionen. Google LLC bleibt jedoch US Unternehmen mit CLOUD Act Pflichten, was Google zur Datenherausgabe an US Behörden zwingen kann, unabhängig vom Speicherort. CNIL, BfDI und DSK haben Bedenken zur Nutzung von US Hyperscalern für sensible Workloads aeussert. Für sehr sensible Fälle bietet Google Sovereign Controls und Partnerschaften (T Systems Deutschland, S3NS Frankreich), die Admin Zugriff und KMS auf EU Personal und EU kontrollierte Schlüssel beschränken.

## **Konfigurationsentscheidungen mit Compliance Auswirkung**

EU only Bucket Standorte für personenbezogene Daten wählen. Customer Managed Encryption Keys (CMEK) über Cloud KMS aktivieren, um Schlüssel unter Betreiberkontrolle zu halten. Cloud Audit Logs (Data Access) für Nachvollziehbarkeit aktivieren, Aufbewahrung am Verarbeitungsverzeichnis ausrichten. Object Versioning und Bucket Lock für Retention Compliance verwenden. Signed URLs nutzen, um Assets über die eigene Domain auszuliefern statt direkt über storage.googleapis.com, was Google Domain Cookies vermeidet. Für streng regulierte Workloads Sovereign Controls (Assured Workloads), T Systems (Deutschland) oder S3NS (Frankreich) prüfen.

## **Praktische Umsetzung**

Google Cloud DPA und SCC unterzeichnen. Bucket Standorte im Verarbeitungsverzeichnis dokumentieren. Transfer Impact Assessment mit Fokus CLOUD Act Exposition führen, mit Mitigationen (CMEK, Audit Logs, EU Only Standorte, ggf. Sovereign Controls). Google als Unterauftragsverarbeiter in der Datenschutzerklärung mit Datenkategorien, EU Standort und Transfermechanismus aufführen. Werden öffentliche Buckets direkt im Browser geladen, Google Cookies in der Cookie Richtlinie listen oder auf Signed URLs über die eigene Domain umstellen.

Datenschutz

## Google Cloud Storage und die DSGVO

- Rechtsgrundlage

  Depends on use case. Backend storage of personal data (uploads, account data) rests on the lawful basis of the underlying processing (contract, legitimate interest, consent). Public asset hosting falls under operational legitimate interest for delivering the site. If a visitor's browser loads an asset from a Google domain, the Google domain may set its own cookies and that processing requires the analysis for Google cookies (consent under ePrivacy Art. 5(3)).

- Risikostufe

  medium

- Anwendbare Vorschriften

  GDPR, ePrivacy Directive (only when assets served from Google domains set cookies), US CLOUD Act, French CNIL guidance on hyperscalers, German BfDI and DSK positions on US cloud providers, Schrems II case law

### Datenschutz-Folgenabschätzung (DSFA)

Die Verarbeitung in Google Cloud Storage hängt vom Inhalt ab. DSFA Kernpunkte: (1) die Residenz ist pro Bucket konfigurierbar; EU Single Region (europe-west1, europe-west3, europe-west9 usw.) oder Multi Region (eu) hält Daten in der EU, US oder Asien Regionen entsprechen einem internationalen Transfer; (2) Google LLC ist US Unternehmen mit CLOUD Act Exposition, von EU Aufsichten als Restrisiko markiert, auch bei EU Buckets; (3) Google ist nach EU US Data Privacy Framework selbstzertifiziert und bietet SCC für Transfers außerhalb des DPF; (4) für streng regulierte Workloads bietet Google Sovereign Controls (Assured Workloads) und Partnerschaften (T Systems Deutschland, S3NS Frankreich), die Admin Zugriff und KMS auf EU Personal und Schlüssel beschränken; (5) wenn öffentliche Buckets Assets direkt über storage.googleapis.com an den Browser ausliefern, können Google Cookies dort gesetzt werden, die nach Art. 5 Abs. 3 ePrivacy einer Einwilligung bedürfen. Eine DSFA ist empfehlenswert für besondere Datenkategorien oder großflächige Verarbeitung.

### Beispieltext für Ihr Banner

> Wir setzen Google Cloud Storage von Google LLC als Backend Speicher für Uploads und statische Assets ein. Buckets sind in der Europäischen Union konfiguriert (Region: \[europe-west1 Belgien / europe-west3 Frankfurt / europe-west9 Paris]), damit Ihre Daten in der EU bleiben. Google LLC ist ein US Unternehmen, das dem CLOUD Act unterliegt; wir haben Standardvertragsklauseln unterzeichnet und stützen uns ergänzend auf das EU US Data Privacy Framework. Öffentliche Assets von storage.googleapis.com können in Ihrem Browser geladen werden, sofern Sie die erforderliche Cookie Einwilligung erteilt haben.

Cookies und Tracker

## Was Google Cloud Storage setzt und kontaktiert

- Tracking-Methode

  Object storage service from Google Cloud Platform. Used as a backend storage tier (uploads, media, backups, static assets). Buckets can be configured as private or public, and public buckets can serve static assets directly to end users via the storage.googleapis.com domain or a custom domain. The service itself does not set client side cookies; if assets served from storage.googleapis.com are loaded in the visitor's browser, Google may set its NID cookie in some configurations.

- Serverstandort

  Configurable per bucket. Operators can select region (single region in EU like europe-west1 Belgium, europe-west3 Frankfurt, europe-west9 Paris), dual region (eu) or multi region (eu spanning multiple EU regions). The operator's choice determines the GDPR transfer position.

- Cookieloser Modus verfügbar

  Ja

- Datenübermittlung außerhalb der EU

  Google Cloud Storage data location depends on the bucket configuration. EU regional or multi region (eu) buckets keep data in the EU, including replication. However, Google LLC is a US company subject to the US CLOUD Act, which European supervisors flag as a residual concern regardless of bucket location. Google self certifies under the EU US Data Privacy Framework and provides Standard Contractual Clauses, plus the Workspace Sovereign Controls option for tighter control on Enterprise contracts.

### Kontaktierte Drittanbieter-Domains (4)

- `storage.googleapis.com`
- `storage.cloud.google.com`
- `googleapis.com`
- `gstatic.com`

Fragen

## Häufige Fragen zu Google Cloud Storage

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.

[Schreiben Sie uns](https://www.flowconsent.com/de/demo)

### Setzt Google Cloud Storage Cookies?

Nicht von sich aus im Backend Einsatz. Wenn der Betreiber öffentliche Bucket Inhalte direkt im Browser über storage.googleapis.com ausliefert, kann Google auf dieser Domain Cookies setzen (z.B. NID). Vermeidet man durch Signed URLs oder ein CDN, das den Bucket über die eigene Domain proxyt.

### Ist eine Einwilligung für Google Cloud Storage erforderlich?

Nicht für den Backend Speicher der vom Betreiber verarbeiteten Daten. Werden öffentliche Bucket Assets direkt aus storage.googleapis.com in den Browser geladen und dabei Google Cookies gesetzt, ist für diese Cookies eine Einwilligung nach Art. 5 Abs. 3 ePrivacy erforderlich.

### Welche Rechtsgrundlage gilt für Google Cloud Storage?

Hängt vom Inhalt ab. Die Rechtsgrundlage folgt dem zugrundeliegenden Verarbeitungszweck: Vertragsnotwendigkeit für Uploads im Rahmen des Dienstes, berechtigtes Interesse für Backups und Betriebsdaten, Einwilligung für Daten, die der Nutzer nicht teilen muesste. Google agiert als Auftragsverarbeiter unter dem Cloud DPA.

### Überträgt Google Cloud Storage Daten in die USA?

Die Objektdaten Lokation richtet sich nach der Bucket Region. EU Regionen oder eu Multi Region halten Daten in der EU. Google LLC ist US Unternehmen mit CLOUD Act Exposition, das EU Aufsichten als Restrisiko markieren, unabhängig vom Speicherort. SCC und EU US Data Privacy Framework greifen.

### Brauche ich eine DSFA für Google Cloud Storage?

Empfohlen bei besonderen Datenkategorien, großflächiger Verarbeitung personenbezogener Daten oder Fällen mit Kindern oder Vulnerablen. Für alltaegliche Backend Speicherung von Geschäftsdaten ist die DSFA evtl. nicht zwingend, die Dokumentation von Bucket Standort, Verschlüsselung und Transfermechanismus im Verarbeitungsverzeichnis bleibt aber Pflicht.

### Wie setze ich Google Cloud Storage rechtskonform um?

EU only Bucket Standorte für personenbezogene Daten wählen. Customer Managed Encryption Keys (CMEK) über Cloud KMS aktivieren. Cloud Audit Logs (Data Access) aktivieren. Signed URLs nutzen, um Assets über die eigene Domain auszuliefern, nicht direkt über storage.googleapis.com. Google Cloud DPA und SCC unterzeichnen. Bei streng regulierten Workloads Sovereign Controls oder Partnerangebote (T Systems, S3NS) prüfen.

### Welche Alternativen gibt es zu Google Cloud Storage?

EU souveräne Alternativen: OVH Object Storage (FR), Scaleway Object Storage (FR), Hetzner Object Storage (DE), IONOS S3 (DE), Wasabi (EU Regionen), Backblaze B2 (EU Regionen) und Gaia X konforme Anbieter. US Alternativen: Amazon S3, Azure Blob Storage und Cloudflare R2, jeweils mit eigenen Residenz und CLOUD Act Erwaegungen.

### Wie aktualisiere ich Cookie oder Datenschutzhinweise?

Google Cloud Storage ist Unterauftragsverarbeiter und gehört in die Sub Processor Sektion der Datenschutzerklärung, nicht in den Cookie Banner. Bucket Regionen, Speicherzweck, Rechtsgrundlage, Transfermechanismus (EU US Data Privacy Framework / SCC) und etwaige Verschluesselungswahl aufführen. Werden öffentliche Buckets direkt im Browser geladen, die daraus folgenden Google Domain Cookies in der Cookie Richtlinie listen.

Gleiche Kategorie

## Weitere Dienste: Hosting

[Ganze Kategorie ansehen](https://www.flowconsent.com/de/services/hosting)

### [SiteGround](https://www.flowconsent.com/de/services/hosting/siteground)

[Hosting](https://www.flowconsent.com/de/services/hosting/siteground)

·

### [DomainFactory](https://www.flowconsent.com/de/services/hosting/domainfactory)

[Hosting](https://www.flowconsent.com/de/services/hosting/domainfactory)

·

### [Firebase](https://www.flowconsent.com/de/services/hosting/firebase)

[Hosting](https://www.flowconsent.com/de/services/hosting/firebase)

·

### [Dropbox](https://www.flowconsent.com/de/services/hosting/dropbox)

[Präferenzen](https://www.flowconsent.com/de/services/hosting/dropbox)

·

### [nghttpx](https://www.flowconsent.com/de/services/hosting/nghttpx-http-2-proxy)

[Hosting](https://www.flowconsent.com/de/services/hosting/nghttpx-http-2-proxy)

·

### [Angie](https://www.flowconsent.com/de/services/hosting/angie)

[Hosting](https://www.flowconsent.com/de/services/hosting/angie)

## Machen Sie Ihre Website noch heute konform.

Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.

[Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)