AGB-Check 2026: Drive, OneDrive, Dropbox und iCloud im Privacy-Vergleich

Die kurze Antwort: Alle vier Anbieter lassen sich in ihren Verträgen Rechte an Ihren Dateien einräumen, aber unterschiedlich weit. Google bindet die Lizenz eng an die Erbringung der Dienste, Microsoft nennt zusätzlich die Verbesserung eigener Produkte, Dropbox lässt sich das Scannen ausdrücklich erlauben, Apple behält sich Prüfung und Herausfiltern von Inhalten vor.

Warum die AGB die ehrlichste Produktbeschreibung sind

Marketingseiten von Cloud-Diensten sprechen über Speicherplatz, Synchronisierung und Sicherheit. Was mit einer konkreten Datei passieren darf, steht dort nie. Diese Auskunft findet sich ausschließlich in zwei Dokumenten: den Nutzungsbedingungen, die den Vertrag regeln, und der Datenschutzerklärung, die die Verarbeitung beschreibt.

Beide Texte haben einen Vorteil gegenüber jeder Werbeaussage: Sie sind rechtlich bindend und werden von Juristen geschrieben, die keine Lust auf Ärger haben. Was ein Anbieter tun möchte, muss dort abgedeckt sein. Deshalb ist der Blick ins Kleingedruckte kein Misstrauensbeweis, sondern die einzige belastbare Recherchequelle. Alle folgenden Zitate stammen aus den offiziellen Fassungen, abgerufen am 4. August 2026.

Ein Hinweis zur Einordnung vorweg: Eine weit gefasste Klausel bedeutet nicht, dass ein Anbieter sie ausreizt. Sie beschreibt nur, was er sich vertraglich offenhält. Genau diese Differenz zwischen dürfen und tun ist der Kern des Themas.

Google Drive: enge Zweckbindung, aber offen benannte Analyse

Google formuliert die Eigentumsfrage unmissverständlich. In den Nutzungsbedingungen heißt es: „Ihre Inhalte gehören weiterhin Ihnen. Das bedeutet, dass Sie alle geistigen Eigentumsrechte behalten, die Sie an Ihren Inhalten haben.“ Anschließend folgt die Lizenz, die Google braucht, um Dateien überhaupt speichern und anzeigen zu können.

Bemerkenswert ist die Begrenzung: Die Lizenz ist laut Vertragstext „beschränkt auf den ausschließlichen Zweck der Erbringung der Dienste“. Das ist eine vergleichsweise enge Formulierung, und Google verdient dafür eine faire Erwähnung. Wer Dateien nicht selbst für andere freigibt, dem sichert Google außerdem zu, Inhalte nur dann öffentlich zugänglich zu machen, wenn und soweit der Nutzer sie selbst sichtbar gemacht hat.

Deutlich weiter reicht die Beschreibung der maschinellen Verarbeitung. Google benennt den Einsatz „automatisierter Systeme und Algorithmen zur Analyse Ihrer Inhalte“ und stellt klar, dass diese Analyse „beim Senden, Empfangen und Speichern der Inhalte“ stattfindet. Als Zwecke nennt Google unter anderem das Erkennen von Spam, Schadsoftware und illegalen Inhalten. Nachlesen können Sie das in den Google-Nutzungsbedingungen (abgerufen am 4. August 2026).

Für die Praxis heißt das: Ihre Dateien werden in Google-Systemen maschinell gelesen, das ist vertraglich abgedeckt und technisch möglich, weil Google die Schlüssel hält. Wie sich das speziell bei KI-Funktionen darstellt, haben wir im Faktencheck zu Gemini und Google Drive auseinandergenommen.

Microsoft OneDrive: der Nebensatz, der den Unterschied macht

Der Microsoft-Servicevertrag enthält in Abschnitt 2.b eine Klausel, die auf den ersten Blick genauso harmlos wirkt wie die von Google. Im Wortlaut räumen Sie Microsoft eine Lizenz ein, „soweit dies notwendig ist, um Ihnen und anderen die Dienste bereitzustellen (z. B. durch das Ändern von Größe, Form oder Format Ihrer Inhalte zur besseren Speicherung oder Anzeige), um Sie und die Dienste zu schützen und um die Produkte und Dienste von Microsoft zu verbessern“.

Die letzten neun Wörter sind der eigentliche Unterschied zu Google. „Die Produkte und Dienste von Microsoft zu verbessern“ ist ein deutlich weiterer Zweck als die reine Erbringung eines Dienstes. Verbesserung kann Statistik bedeuten, Fehlersuche, das Testen neuer Funktionen. Der Vertrag legt sich hier bewusst nicht fest. Prüfen können Sie den Wortlaut im Microsoft-Servicevertrag (abgerufen am 4. August 2026).

Hinzu kommt die Prüfklausel in Abschnitt 4. Dort behält sich Microsoft vor, „Inhalte einer Prüfung durch automatisierte Systeme und Personen“ zu unterziehen, um Verdachtsfälle von Spam, Betrug, Phishing, Malware oder anderen unrechtmäßigen Inhalten zu erkennen. Das Wort „Personen“ steht dort ausdrücklich neben den Maschinen.

Fairerweise gehört die Gegenseite dazu: Für die KI-Funktionen im Privatkundenbereich erklärt Microsoft auf seiner Supportseite zu Copilot in Microsoft 365 Apps (abgerufen am 4. August 2026) ausdrücklich: „Prompts, responses, and your file contents when using Copilot in Microsoft 365 apps aren't used to train foundation models.“ Übersetzt: Eingaben, Antworten und Dateiinhalte werden nicht für das Training der Basismodelle genutzt. Das ist eine klare Zusage, die man ernst nehmen darf. Sie ändert aber nichts am technischen Grundzustand, dass Microsoft die Schlüssel zu Ihren OneDrive-Dateien besitzt.

Genau an dieser Stelle wird die Vertragslektüre praktisch: Alles, was Sie vor dem Upload selbst verschlüsseln, ist von keiner dieser Klauseln mehr betroffen. 200 GB Speicher mit eigener Schlüsselhoheit einrichten und Ihre sensiblen Ordner aus dem Geltungsbereich fremder AGB nehmen.

Dropbox: das offenste Bekenntnis zum Scannen

Dropbox formuliert am direktesten von allen vier Anbietern, und das ist ausdrücklich als Kompliment gemeint. Der Vertrag beginnt beruhigend: „Your Stuff is yours. These Terms don't give us any rights to Your Stuff except for the limited rights that enable us to offer the Services.“ Ihre Sachen gehören Ihnen, der Vertrag gibt Dropbox nur die begrenzten Rechte, die für den Dienst nötig sind.

Zwei Absätze später wird konkret, was „begrenzt“ in der Praxis umfasst: „To provide these and other features, Dropbox accesses, stores, and scans Your Stuff. You give us permission to do those things, and this permission extends to our affiliates and trusted third parties we work with.“ Auf Deutsch: Dropbox greift auf Ihre Inhalte zu, speichert und scannt sie, und diese Erlaubnis erstreckt sich auf verbundene Unternehmen und vertrauenswürdige Dritte.

Als Funktionen, die diesen Zugriff nötig machen, nennt Dropbox unter anderem Vorschaubilder, Dokumentvorschauen, Textsuche und Texterkennung (OCR) sowie Personalisierung. Das ist plausibel, denn eine Volltextsuche über Ihre PDF-Dateien kann nur funktionieren, wenn jemand den Text lesen kann. Genau das ist der Preis: Der Komfort dieser Funktionen und die Unlesbarkeit Ihrer Dateien schließen sich technisch gegenseitig aus. Den Wortlaut finden Sie in den Dropbox-Nutzungsbedingungen (abgerufen am 4. August 2026).

Besonders beachtenswert ist die Erweiterung auf Dritte. Wer wissen will, wer außer dem Anbieter selbst technisch an die Daten kommt, sollte immer die Liste der eingesetzten Dienstleister suchen. Sie ist bei den meisten Anbietern verlinkt und wird deutlich seltener gelesen als die AGB selbst.

Apple iCloud: Screening-Vorbehalt und ein echter Ausweg

Apple wird in der iCloud-Vereinbarung in Abschnitt V.E überraschend deutlich. Dort heißt es, Apple behalte sich das Recht vor, „jederzeit zu prüfen, ob Inhalte legal und angemessen sind sowie mit dieser Vereinbarung übereinstimmen“, und Apple sei berechtigt, „Inhalte jederzeit ohne vorherige Ankündigung nach eigenem Ermessen herauszufiltern, zu verschieben, abzulehnen“. Im selben Abschnitt steht, dass Apple auf Accountinformationen und Inhalte zugreifen, sie nutzen, aufbewahren und gegenüber Strafverfolgungsbehörden offenlegen darf. Der Wortlaut steht in den iCloud-Nutzungsbedingungen von Apple (abgerufen am 4. August 2026).

Das klingt zunächst schärfer als bei den anderen drei. Apple ist aber zugleich der einzige der vier Anbieter, der Privatkunden einen Schalter anbietet, mit dem sich ein großer Teil dieser Möglichkeiten technisch selbst entzieht. Mit dem erweiterten Datenschutz (Advanced Data Protection) steigt laut Apples eigener Sicherheitsdokumentation die Zahl der Ende-zu-Ende-verschlüsselten Datenkategorien von 14 auf 23, einschließlich iCloud Backup und Fotos. Apple benennt dort auch die Konsequenz ehrlich: Scheitern die Wiederherstellungswege, kann Apple bei der Rettung dieser Daten nicht helfen. Nachzulesen im Apple Platform Security Guide (abgerufen am 4. August 2026).

Der Haken bleibt: Diese Einstellung ist nicht voreingestellt. Wer sie nie aktiviert, bleibt im Standardmodus, in dem Apple für viele Kategorien weiterhin Schlüssel verwaltet. Ein Datenschutzniveau, das erst durch eine bewusste Aktivierung entsteht, erreicht in der Fläche nur eine Minderheit der Nutzer.

Die vier Verträge im direkten Vergleich

Die folgende Übersicht fasst zusammen, was sich der jeweilige Anbieter laut eigenem Vertragstext offenhält. Alle Angaben stützen sich auf die oben verlinkten Originalquellen, Stand 4. August 2026.

Der 10-Minuten-AGB-Selbstcheck für jeden Cloud-Dienst

Sie müssen kein Vertragswerk von vorne bis hinten lesen. Fünf gezielte Suchen im Browser genügen, um jeden Anbieter einzuordnen. Öffnen Sie die Nutzungsbedingungen und drücken Sie Strg und F (auf dem Mac Befehlstaste und F). Diese Reihenfolge hat sich bewährt, weil sie mit der aussagekräftigsten Klausel beginnt.

Schritt 1: Suchen Sie nach „Lizenz“ und lesen Sie den Zweck-Nebensatz

Jeder Anbieter braucht eine Lizenz an Ihren Inhalten, sonst dürfte er keine Vorschaubilder erzeugen. Interessant ist nur, was nach dem „um zu“ steht. Endet der Satz bei der Bereitstellung des Dienstes, ist die Klausel eng. Taucht dort zusätzlich „verbessern“, „weiterentwickeln“ oder „neue Funktionen entwickeln“ auf, deckt derselbe Satz erheblich mehr ab.

Schritt 2: Suchen Sie nach „automatisiert“, „scan“ und „analysieren“

Diese drei Wörter führen zuverlässig zu der Passage, in der beschrieben wird, ob und wie Ihre Dateien maschinell gelesen werden. Achten Sie darauf, ob dort auch das Wort „Personen“, „Mitarbeiter“ oder „review“ steht. Das unterscheidet reine Maschinenprüfung von einer möglichen Sichtung durch Menschen.

Schritt 3: Suchen Sie nach „Dritte“ und finden Sie die Dienstleisterliste

Nahezu jeder Cloud-Dienst gibt Daten an Unterauftragnehmer weiter, etwa für Infrastruktur, Support oder Analysefunktionen. Diese Liste ist meist als eigene Unterseite verlinkt und selten prominent platziert. Sie beantwortet die Frage, wie viele Unternehmen technisch an Ihren Dateien vorbeikommen können. Eine kurze, klar benannte Liste ist ein gutes Zeichen, eine fehlende Liste ein schlechtes.

Schritt 4: Suchen Sie nach „Strafverfolgung“ oder „law enforcement“

Hier steht, unter welchen Umständen Inhalte an Behörden herausgegeben werden können. Wichtig ist die Unterscheidung: Ein Anbieter, der Klartext besitzt, kann Klartext herausgeben. Ein Anbieter, der nur Chiffretext besitzt, kann auf dieselbe Anordnung hin nur Chiffretext liefern. Diese Klausel ist deshalb nur so aussagekräftig wie der technische Zustand dahinter.

Schritt 5: Machen Sie den Realitätstest auf der Passwort-Seite

Zum Schluss verlassen Sie die AGB und öffnen die Hilfeseite zum vergessenen Passwort. Kann der Anbieter Ihren Zugang zurücksetzen und Sie sehen danach alle Dateien wie zuvor, besitzt er einen Schlüssel zu Ihren Inhalten. Dieser eine Test schlägt jede Vertragsformulierung, weil er den technischen Zustand offenlegt statt einer Absichtserklärung. Warum das so ist, erklären wir ausführlich in unserem Beitrag zur Zero-Knowledge-Verschlüsselung im Cloud-Speicher.

Klausel-Dekoder: Was typische Formulierungen praktisch bedeuten

Vertragssprache ist präzise, aber nicht anschaulich. Diese Übersetzungshilfe entstand beim Durcharbeiten der vier Vertragswerke und lässt sich auf nahezu jeden anderen Anbieter anwenden.

Wenn Sie diesen Dekoder nicht bei jedem Anbieterwechsel neu anwenden möchten, gibt es die Abkürzung: Zero-Knowledge-Speicher auf deutschen Servern buchen und die Frage nach der Zweckbindung damit ein für alle Mal beantworten.

Wie der Datenputzer Tresor die Vertragsfrage überflüssig macht

Der entscheidende Punkt dieses Vergleichs ist nicht, welcher der vier Anbieter am besten formuliert. Es ist die Einsicht, dass jede dieser Klauseln nur deshalb nötig ist, weil der Anbieter die Dateien im Klartext vor sich hat. Ein Vertrag regelt dann, was er damit tun darf.

Der Datenputzer Tresor setzt eine Ebene tiefer an. Ihr Master-Schlüssel entsteht beim ersten Einrichten in Ihrem Browser, aus 32 zufälligen Bytes. Aus Ihrem Passwort wird lokal ein Schlüssel abgeleitet, der diesen Master-Schlüssel in einer verschlüsselten Hülle versiegelt. Dateien werden in Blöcken mit AES-GCM (256 Bit) verschlüsselt, bevor ein einziges Byte den Rechner verlässt. Gespeichert wird auf deutschen Servern, es gilt europäisches Datenschutzrecht. Auf dem Server liegen Chiffretext und technische Hüllen, keine lesbaren Inhalte und keine Klartext-Dateinamen.

Die Kehrseite benennen wir offen, weil sie zum Prinzip gehört: Der Zugang hängt an Ihrem Passwort und einer 12-Wörter-Wiederherstellungsphrase. Verlieren Sie beides, sind die Daten weg, auch für uns. Ebenso offen: Betriebsdaten wie Speicherbelegung und Zeitstempel bleiben sichtbar, sonst ließe sich kein Tarif abrechnen. Das steht so in unserer öffentlichen technischen Dokumentation, und Sie können den Verschlüsselungsvorgang mit den Entwicklertools Ihres Browsers selbst mitverfolgen.

Das ist der eigentliche Unterschied zu jedem AGB-Versprechen: Sie müssen uns nicht glauben, dass wir nicht lesen. Wir können es nicht.

Häufige Fragen

Gehören meine Dateien nach dem Upload noch mir?

Ja. Alle vier Anbieter stellen klar, dass die Urheber- und Eigentumsrechte bei Ihnen bleiben. Sie räumen sich aber eine Nutzungslizenz ein, um Dateien speichern, umwandeln, anzeigen und maschinell verarbeiten zu dürfen. Entscheidend ist deshalb nicht die Eigentumsfrage, sondern der Zweck hinter dieser Lizenz.

Welche Klausel im Cloud-Vertrag ist die wichtigste?

Die Zweckbestimmung der Lizenz. Google begrenzt sie auf den ausschließlichen Zweck der Erbringung der Dienste. Der Microsoft-Servicevertrag nennt in Abschnitt 2.b zusätzlich das Ziel, die Produkte und Dienste von Microsoft zu verbessern. Je weiter der Zweck gefasst ist, desto mehr Verarbeitungen deckt derselbe Satz ab.

Dürfen Cloud-Anbieter meine Dateien scannen?

Nach ihren eigenen Bedingungen ja. Google beschreibt automatisierte Systeme zur Analyse von Inhalten, Microsoft behält sich eine Prüfung durch Systeme und Personen vor, Dropbox nennt das Scannen ausdrücklich. Nur clientseitige Verschlüsselung entzieht dem Anbieter diese Möglichkeit technisch.