Der chinesische KI-Assistent Kimi fasst Gmail-Verläufe zusammen, durchsucht Google Drive und plant Termine im Google Kalender. Nutzer erteilen den Zugriff über Googles Freigabeverfahren OAuth. In der Datenschutzerklärung der internationalen Kimi-Version fehlen ein Abschnitt zur DSGVO und ein Vertreter in der EU.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Am Donnerstagmittag kündigte Moonshot AI auf X an, dass Kimi ab sofort mit Gmail, Google Drive und Google Kalender arbeitet.[1] Freischalten lassen sich die drei Erweiterungen auf der Plugin-Seite von kimi.ai. Ob Kimi dabei nur lesen oder auch Mails senden und Dateien löschen darf, hat Moonshot bislang nicht mitgeteilt.
Das Wichtigste in Kürze
- Kimi verbindet sich per OAuth mit Gmail, Google Drive und Google Kalender.
- Google untersagt Drittanbieter-Apps, mit Daten aus Workspace-Konten KI-Modelle für alle Nutzer zu trainieren.
- Kimis Datenschutzerklärung erlaubt Training mit Nutzerinhalten und nennt weder Serverstandort noch Vertreter in der EU.
- Administratoren von Google Workspace können Kimi den Zugriff auf Firmenkonten sperren.
Was darf Kimi mit Mails und Dateien tun?
Für Apps, die Mails lesen, gelten bei Google die strengsten Regeln. Solche Zugriffsrechte gelten bei Google als besonders sensibel, der Konzern nennt sie „eingeschränkte Bereiche“. Anbieter müssen dafür die Sicherheitsprüfung CASA bestehen und sich je nach Nutzerzahl regelmäßig von einem Prüfer bewerten lassen, den Google benennt.[2] Daten aus Workspace-Konten dürfen sie weder für Werbung nutzen noch an Datenhändler verkaufen. Erlaubt ist nur, ein Modell für den einzelnen Nutzer anzupassen, KI-Modelle für alle Nutzer dürfen sie damit nicht trainieren.
Moonshot selbst behält sich mehr vor. Laut der Datenschutzerklärung der internationalen Kimi-Version vom 13. August 2026 verarbeitet das Unternehmen Eingaben, Dateien und erzeugte Inhalte auch, um die eigenen KI-Modelle zu trainieren.[3] Google verlangt von jeder App mit Workspace-Zugriff eine öffentliche Erklärung, dass sie Googles Regeln zur begrenzten Datennutzung einhält. In Kimis Datenschutzerklärung steht eine solche Erklärung nicht, Gmail und Google Drive kommen darin nicht vor.
Warum ist der Weg der Daten bei Kimi heikel?
Verantwortlich ist laut der Erklärung die Novascent Private Limited. Daten können auf Servern außerhalb des Wohnsitzlandes liegen und an verbundene Unternehmen gehen, einen Serverstandort nennt der Text nicht. Für Nutzer in einzelnen US-Bundesstaaten gibt es einen eigenen Zusatz, ein Abschnitt zur DSGVO fehlt.[3] Anbieter außerhalb der EU, die sich an Nutzer in der EU wenden, müssen nach Art. 27 DSGVO einen Vertreter in der Union benennen und ihn nach Art. 13 in der Datenschutzerklärung angeben.[4] Die Kimi-Seite selbst erscheint auf Deutsch, das Anmeldefeld schlägt die Vorwahl +49 vor.
Wie Moonshot mit den Anfragen seiner Nutzer umgeht, beschäftigt Sicherheitsforscher und Behörden seit September. Laut einem Bericht von Anthropic schickte Moonshot binnen zehn Tagen fast 300.000 Kimi-Anfragen über Scheinkonten an Claude und gab die Antworten als eigene aus. Chinas Internetaufsicht CAC prüft deshalb, ob Nutzeranfragen bei Anthropic landeten. Moonshot hat sich dazu nicht öffentlich geäußert.
Ein Postfach enthält Verträge, Preise und Personaldaten. Das gibt man keinem Assistenten, dessen Anbieter nicht einmal einen Ansprechpartner in der EU nennt.
Markus Seyfferth, Chefredakteur Dr. Web
Wie schützen Unternehmen ihre Google-Konten?
Im Juni 2025 meldete die Berliner Datenschutzbeauftragte Meike Kamp die App von DeepSeek bei Apple und Google als rechtswidrigen Inhalt nach dem Digital Services Act. DeepSeek habe nicht nachgewiesen, dass die Daten deutscher Nutzer in China so geschützt sind wie in der EU.[5] Ein vergleichbares Verfahren gegen Kimi ist bislang nicht bekannt.
Firmen mit Google Workspace müssen darauf nicht warten. In der Admin-Konsole legen Administratoren unter API-Steuerung fest, welche Apps von Drittanbietern per OAuth auf Unternehmensdaten zugreifen dürfen.[6] Prüfen Sie dort, ob Beschäftigte Kimi schon mit ihrem Firmenkonto verbunden haben, und sperren Sie nicht freigegebene Apps. Private Gmail-Konten erfasst diese Einstellung nicht.
Quellen
6 Quellen anzeigenQuellen ausblenden
- Kimi.ai auf XKimi now works with Gmail, Google Drive, and Google Calendar (englisch)
- Google for DevelopersGoogle Workspace API User Data and Developer Policy (englisch, Stand 3. September 2026)
- KimiPrivacy Policy (englisch, Stand 13. August 2026)
- Europäische UnionVerordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 13 und Art. 27
- heise onlineBerlin data protection authority wants DeepSeek to be blocked in app stores (englisch)
- Google Workspace-HilfeFestlegen, welche Apps auf Google Workspace-Daten zugreifen können
Mehr Newshunger?
- DeepSeek und Moonshot: Chinas Internetaufsicht prüft, ob Nutzerdaten bei Anthropic landeten
- Kimi K3.1 Pro: Moonshot entschuldigt sich und gibt Abonnenten ein Viertel ihres Monatskontingents zu
- Kimi K3.1 Pro: Moonshot hält das offene Modell bei Cyberangriffen bewusst unter Spitzenniveau
- The Information: DeepSeek und Moonshot lernten für ihre neuen Modelle von GPT-6 Astra
- Kimi-Jailbreak: Moonshots KI lieferte Sicherheitsforschern Anleitungen für Biowaffen
- Gemini Notebook wird zur verbundenen App: Notebooks entstehen direkt im Chat
