CLOUD Act: Was er für deutsche Unternehmen bedeutet

Der CLOUD Act ist ein US-Bundesgesetz aus dem Jahr 2018, das US-Behörden erlaubt, von Anbietern unter US-Jurisdiktion die Herausgabe gespeicherter Daten zu verlangen — unabhängig davon, wo auf der Welt diese Daten liegen. Für deutsche Unternehmen bedeutet das: Ein europäisches Rechenzentrum allein schützt nicht vor diesem Zugriffsweg, solange der Betreiber ein US-Unternehmen ist. Dieser Beitrag erklärt, was der CLOUD Act regelt, wo er mit der DSGVO kollidiert und was daraus praktisch für die Tool-Auswahl folgt.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Was regelt der CLOUD Act?

CLOUD steht für „Clarifying Lawful Overseas Use of Data". Das Gesetz stellt klar, dass US-Herausgabeanordnungen sich auf alle Daten erstrecken, die sich im Besitz, im Gewahrsam oder unter der Kontrolle („possession, custody, or control") eines verpflichteten Anbieters befinden — ausdrücklich auch dann, wenn die Daten außerhalb der USA gespeichert sind. Anlass war ein jahrelanger Rechtsstreit zwischen US-Behörden und Microsoft um E-Mail-Daten auf Servern in Irland; der CLOUD Act beendete die offene Frage per Gesetz.

Verpflichtet sind Anbieter, die der US-Jurisdiktion unterliegen. Das betrifft US-Unternehmen samt ihrer Tochtergesellschaften — und damit auch die europäischen Ablegergesellschaften der großen Cloud-Anbieter. Die Verpflichtung hängt an der Kontrolle über die Daten, nicht am Standort der Festplatte.

Zwei Einordnungen gehören zur ehrlichen Darstellung dazu: Der CLOUD Act schafft keinen anlasslosen Massenzugriff, sondern regelt Herausgabeanordnungen in Ermittlungsverfahren, die rechtsstaatlichen Anforderungen des US-Rechts unterliegen. Und er ist nicht der einzige relevante US-Rechtsakt — für die datenschutzrechtliche Bewertung von US-Diensten spielen auch Überwachungsbefugnisse wie FISA Section 702 eine Rolle, die im Zentrum des Schrems-II-Urteils standen.

Gilt der CLOUD Act auch für Daten in europäischen Rechenzentren?

Ja — das ist gerade sein Kern. Die Werbeaussage „Ihre Daten liegen in Frankfurt" beantwortet nur die Frage nach dem Speicherort, nicht die nach dem anwendbaren Recht. Betreibt ein US-Anbieter das Rechenzentrum in Frankfurt, unterliegt er weiterhin US-Herausgabeanordnungen, soweit er die Kontrolle über die Daten hat.

Deshalb ist die Unterscheidung zwischen Speicherort und Rechtskontrolle so wichtig. Sie hat einen eigenen Namen verdient und einen eigenen Beitrag bekommen: Datenresidenz vs. Datensouveränität. Kurz gefasst: Datenresidenz beschreibt, wo Daten liegen. Datensouveränität beschreibt, wessen Recht über sie bestimmt. Der CLOUD Act ist das prominenteste Beispiel dafür, dass beides auseinanderfallen kann.

Auch die inzwischen verbreiteten „souveränen Cloud"-Angebote von US-Anbietern ändern an der Grundfrage wenig, solange die Kontrolle über Daten oder Schlüssel letztlich bei einem US-Unternehmen liegt. Solche Konstruktionen können das Risiko technisch und organisatorisch verringern; die Jurisdiktionsfrage lösen sie nur, wenn tatsächlich ein unabhängiger europäischer Betreiber die Kontrolle hält.

Steht der CLOUD Act im Widerspruch zur DSGVO?

Es gibt ein echtes Spannungsfeld. Art. 48 DSGVO bestimmt, dass Entscheidungen von Behörden eines Drittlands, die eine Datenübermittlung verlangen, nur auf Grundlage internationaler Übereinkünfte wie Rechtshilfeabkommen anerkannt werden. Eine US-Herausgabeanordnung direkt an den Anbieter ist genau der Weg, den Art. 48 DSGVO nicht vorsieht. Ein Anbieter, der beiden Rechtsordnungen unterliegt, kann daher in eine Lage geraten, in der er nicht beide gleichzeitig einhalten kann.

Wie dieses Spannungsfeld im Einzelfall aufzulösen ist, beschäftigt Aufsichtsbehörden und Gerichte seit Jahren, und die Diskussion ist nicht abgeschlossen. Für Ihre Praxis ist die genaue dogmatische Antwort aber weniger wichtig als die Konsequenz: Die Unsicherheit liegt beim Kunden des US-Anbieters. Sie müssen die Konstruktion bewerten, dokumentieren und gegenüber Betroffenen und Aufsichtsbehörden vertreten.

Was bedeutet das praktisch für deutsche Unternehmen?

Risikobewertung statt Alarmismus

Der CLOUD Act macht die Nutzung von US-Diensten nicht pauschal rechtswidrig, und für viele Datenarten ist das praktische Zugriffsrisiko gering. Aber er verschiebt Aufwand und Restrisiko zu Ihnen: Bei jedem US-Dienst in Ihrer Verarbeitungskette brauchen Sie eine Übermittlungsgarantie nach Art. 44 ff. DSGVO, eine Bewertung der Zugriffsrisiken und eine Dokumentation, die einer Prüfung standhält.

Welche Daten sind betroffen?

Bewerten Sie nach Datenart. Durch eine Automatisierungsplattform fließen oft genau die Daten, die Sie am wenigsten einem vermeidbaren Zugriffsrisiko aussetzen wollen: Kundendaten, Bewerbungen, Vertrags- und Rechnungsdaten, interne Kommunikation. Je sensibler die Daten und je zentraler das Werkzeug, desto stärker wiegt die Jurisdiktionsfrage bei der Auswahl.

Hinzu kommt ein struktureller Punkt: Ein Automatisierungswerkzeug bündelt Datenflüsse, die vorher über viele Systeme verteilt waren. Was einzeln unkritisch wäre, ergibt gebündelt ein aussagekräftiges Bild Ihres Unternehmens — Kunden, Umsätze, Personal, Kommunikation an einem Punkt. Dieser Bündelungseffekt spricht dafür, gerade bei diesem Werkzeug höhere Maßstäbe anzulegen als bei einem Randdienst.

Was leistet Verschlüsselung?

Verschlüsselung ist die wirksamste ergänzende Maßnahme — aber nur, wenn der Anbieter den Schlüssel nicht hat. Daten, die clientseitig verschlüsselt werden, bevor sie einen Dienst erreichen, kann der Dienst auch unter einer Herausgabeanordnung nur als Chiffrat herausgeben. Bei einem SaaS-Werkzeug, das Daten aktiv verarbeiten soll, ist genau das aber meist nicht möglich: Die Plattform braucht die Daten im Klartext, um damit zu arbeiten. Verschlüsselung löst das Problem daher bei Backups und Archiven, nicht beim laufenden Betrieb.

Wie reduzieren Sie die Abhängigkeit von US-Anbietern?

Der belastbarste Weg ist, für die zentrale Datenverarbeitung Anbieter zu wählen, die der US-Jurisdiktion von vornherein nicht unterliegen: EU-Unternehmen auf EU-Infrastruktur. Dann stellt sich die CLOUD-Act-Frage für den Kernbetrieb nicht, und die Dokumentation vereinfacht sich erheblich.

Praktisch beginnt das mit einer Bestandsaufnahme in drei Schritten. Erstens: Listen Sie die Werkzeuge auf, durch die personenbezogene Daten laufen, und markieren Sie, welche davon US-Anbietern gehören — einschließlich der Fälle, in denen ein europäischer Dienst auf US-Infrastruktur läuft. Zweitens: Gewichten Sie nach Datenart und Zentralität; das Werkzeug, das alle Systeme verbindet, wiegt schwerer als ein Randdienst. Drittens: Ersetzen Sie dort zuerst, wo ein EU-Anbieter die Anforderung gleichwertig erfüllt — und dokumentieren Sie bei allem, was bleibt, Garantie und Begründung. So wird aus einer diffusen Sorge eine abgearbeitete Liste.

Ehrlicherweise gilt aber auch: Ganz ohne US-Dienste kommt kaum ein SaaS-Produkt aus, und pauschale Versprechen wie „100 % US-frei" sollten Sie misstrauisch machen. Auch Zauberflow — betrieben von der SweetWater Holding UG aus Hamburg, gehostet bei netcup in Nürnberg, nicht auf einer US-Cloud — setzt an klar umgrenzten Stellen US-Dienste ein: Die Zahlungsabwicklung läuft über Lemon Squeezy, und wer sich per Google- oder Microsoft-Konto anmeldet oder ausdrücklich ein US-KI-Modell wählt, nutzt den jeweiligen Anbieter mit. Der Unterschied liegt darin, dass der Kernbetrieb — Ihre Abläufe und deren Daten — in Deutschland stattfindet und jede Ausnahme in der Liste der Unterauftragsverarbeiter mit Zweck, Region und Garantie benannt ist; die Einzelheiten regelt die Datenschutzerklärung. Wie Sie eine solche Liste bei jedem Anbieter prüfen, zeigt die Checkliste für Unterauftragsverarbeiter.

Häufige Fragen

Verbietet die DSGVO die Nutzung von US-Cloud-Diensten?

Nein. Sie verlangt für Übermittlungen in Drittländer geeignete Garantien nach Art. 44 ff. DSGVO — etwa Standardvertragsklauseln oder einen Angemessenheitsbeschluss — und eine Bewertung der Rechtslage im Empfängerland. Zulässig ist die Nutzung also unter Bedingungen; der Aufwand, diese Bedingungen zu erfüllen und aktuell zu halten, liegt bei Ihnen.

Hilft ein EU-Rechenzentrum eines US-Anbieters gegen den CLOUD Act?

Gegen den rechtlichen Zugriffsweg nicht, denn der CLOUD Act knüpft an die Kontrolle des Anbieters an, nicht an den Speicherort. Ein EU-Rechenzentrum kann andere Vorteile haben — etwa Latenz oder die Erfüllung vertraglicher Speicherort-Zusagen —, die Jurisdiktionsfrage beantwortet es nicht.

Betrifft der CLOUD Act auch europäische Tochterfirmen von US-Konzernen?

Ja, davon ist auszugehen: Die Reichweite des Gesetzes bemisst sich nach Besitz, Gewahrsam oder Kontrolle über die Daten im Konzernverbund, nicht nach dem Briefkopf der Vertragsgesellschaft. Eine EU-GmbH als Vertragspartner ändert deshalb wenig, wenn die Muttergesellschaft in den USA sitzt.

Ist ein deutscher Anbieter automatisch DSGVO-konform?

Nein — der Standort erspart die Drittlandsprüfung für den Kernbetrieb, ersetzt aber weder den AV-Vertrag noch saubere Prozesse für Betroffenenrechte und Sicherheit. Worauf es insgesamt ankommt, zeigt der Beitrag zur DSGVO-konformen Automatisierung.