Worum geht's?

Nutzen Sie Microsoft 365, Google Workspace, AWS oder andere US-nahe Cloud-Dienste? Dann betrifft Sie möglicherweise der CLOUD Act, der seit 2018 auch hierzulande zahlreiche Unternehmen, Behörden und Datenschützer beschäftigt.

Denn unter bestimmten Voraussetzungen können US-Behörden auf Daten zugreifen, selbst wenn diese außerhalb der Vereinigten Staaten gespeichert werden. Ein Serverstandort in Europa allein reicht daher nicht aus, um solche Zugriffe auszuschließen. Maßgeblich sind vielmehr die Konzernstruktur des Anbieters, die verarbeiteten Daten sowie technische und vertragliche Schutzmaßnahmen.

1. Der US-CLOUD Act einfach erklärt

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) wurde 2018 in den USA verabschiedet und baut auf bestehenden Vorschriften wie dem Stored Communications Act (SCA) als Teil des Electronic Communications Privacy Act (ECPA) auf.

Er verpflichtet amerikanische Kommunikationsanbieter dazu, auf Anordnung Daten an US-Behörden, insbesondere Strafverfolgungsbehörden, herauszugeben, und schafft damit den Rahmen für grenzüberschreitende Datenzugriffe. In der Regel handelt es sich dabei um elektronische Informationen, die Ihr Anbieter speichert, verarbeitet oder auf die er zugreifen kann.

EU-US DATA PRIVACY FRAMEWORK

Das EU-US Data Privacy Framework schafft durch den Angemessenheitsbeschluss der EU-Kommission und die Zertifizierung von US-Unternehmen neue Rahmenbedingungen für die Übertragung personenbezogener Daten in die USA. Für zertifizierte US-Unternehmen gilt dann aus Sicht der EU ein angemessenes Datenschutzniveau. Datenübermittlungen auf Grundlage von Artikel 45 DSGVO werden dadurch deutlich einfacher.

INTERESSANT

Das Framework reagiert außerdem auf zentrale Kritik aus dem Schrems-II-Urteil. Es enthält neue Vorgaben für Zugriffe durch US-Nachrichtendienste und schafft mit dem Data Protection Review Court einen zusätzlichen Rechtsbehelf für Betroffene.

Der Konflikt zwischen US-Zugriffsbefugnissen und den Vorgaben der DSGVO wird dadurch jedoch nicht vollständig aufgelöst.

2. Warum auch deutsche Unternehmen betroffen sind

Die meisten Cloud- und Softwarelösungen, die europäische Unternehmen einsetzen, stammen von Anbietern mit Sitz in den USA oder gehören zu US-Konzernen. Sobald die Dienstleister in die Datenverarbeitung eingebunden sind und Sie das Cloud Computing nutzen, kann das US-Recht der dortigen Regierung greifen.

Warum der Serverstandort nicht schützt

Sobald ein US-Dienstleister in die Datenverarbeitung eingebunden ist, kann US-Recht greifen. Bezeichnet wird das als exterritorialer Zugriff. US-Behörden können sich an das Mutterunternehmen wenden und so mittelbar auch Daten zur Herausgabe verlangen, die innerhalb der EU verarbeitet werden.

Aus US-Sicht kommt es darauf an, ob ein Unternehmen der amerikanischen Jurisdiktion unterliegt und ob es die verlangten Daten kontrolliert oder beschaffen kann. Der physische Speicherort ist irrelevant. Damit ist ein Zugriff auf Grundlage des US-CLOUD-Acts auch dann möglich, wenn Daten ausschließlich in der EU verarbeitet werden.

CLOUD Act trifft auf DSGVO

Zeitgleich entsteht für europäische Unternehmen ein Rechtskonflikt. Die DSGVO erlaubt die Datenübermittlung in Drittstaaten nur unter engen Voraussetzungen. Artikel 48 DSGVO macht deutlich, dass Anordnungen aus Drittstaaten grundsätzlich auf einer internationalen Übereinkunft beruhen müssen, etwa auf einem Rechtshilfeabkommen.

AUFGEPASST!

Der CLOUD Act ebnet aber den direkten Weg über Anordnungen an US-Anbieter. Aus europäischer Sicht kann das zu einer unzulässigen Offenlegung personenbezogener Daten führen. Der Europäische Datenschutzausschuss (EDSA) stellt klar, dass eine Herausgabe personenbezogener Daten allein auf Grundlage einer US-Behördenanordnung nach dem CLOUD Act in der Regel unzulässig ist. Gerade bei EU-Töchtern von US-Konzernen gelten deshalb hohe Anforderungen an die Prüfung des Auftragsverarbeiters nach Art. 28 DSGVO.

Bei US-Cloud-Anbietern und ihren europäischen Tochtergesellschaften greift der CLOUD Act unmittelbar. Bei allen anderen Anbietern außerhalb von EU und EWR – etwa aus China oder Indien – müssen Sie zusätzlich die Regelungen zum Drittlandtransfer nach Art. 44 ff. DSGVO beachten. Das gilt ebenso für Unter-Auftragsverarbeiter, die Ihr Hauptdienstleister einsetzt.

Prüfen Sie deshalb in beiden Fällen, ob der Anbieter ausreichende technische und organisatorische Garantien bietet und ob ein Zugriff durch US-Behörden ausgeschlossen oder zumindest vertraglich abgesichert ist.

3. Welche Befugnisse haben US-Behörden wirklich?

Die folgende Tabelle zeigt Ihnen die wichtigsten Punkte im Überblick:

Regelung	Bedeutung für Unternehmen/ IT-Dienstleister
Anfechtung von Anordnungen	Anbieter können gerichtliche Prüfungen beantragen, etwa bei Konflikten mit ausländischem Datenschutzrecht.
Internationale Abkommen möglich	Staaten können Vereinbarungen mit den USA schließen, um den Datenaustausch rechtlich zu regeln.
Vertraulichkeitsanordnungen	Anbieter können verpflichtet werden, betroffene Kunden über Datenzugriffe nicht zu informieren.

4. CLOUD Act vs. DSGVO: Wie Unternehmen zwischen zwei Rechtsordnungen stehen

Die DSGVO will personenbezogene Daten schützen und Datenzugriffe streng begrenzen. Kapitel 5 regelt die internationalen Datenübertragungen sehr detailliert: Es verlangt entweder einen Angemessenheitsbeschluss der EU-Kommission oder zusätzliche Garantien wie Standardvertragsklauseln und ein Transfer Impact Assessment (TIA).

Der CLOUD Act verfolgt das Gegenteil. Er soll US-Behörden den Zugriff auf Daten für Ermittlungszwecke erleichtern und den direkten Zugriff bei US-Anbietern sichern. Daraus ergeben sich zwei Konflikte, die im Alltag besonders schwer wiegen:

Zweckbindung vs. Ermittlungsinteressen: Die DSGVO erlaubt Datenverarbeitung nur für klar definierte Zwecke. Anfragen über den CLOUD Act dienen anderen Zielen, etwa Strafverfolgung oder nationaler Sicherheit.

Transparenzpflichten vs. Geheimhaltung: Sie müssen Betroffene über Datenzugriffe informieren. Gleichzeitig können US-Behörden Ihren Anbieter zur Verschwiegenheit verpflichten.

Für Sie bleibt die Verantwortung für den Datenschutz gleich, der Zugriff erfolgt aber durch einen externen Anbieter nach US-Recht und das auf einer Rechtsgrundlage, die Sie nicht beeinflussen können.

5. Welche Folgen drohen Unternehmen im Hinblick auf Cloud-Dienste und Co.?

Datenschutz, Vertraulichkeit und Steuerungsfähigkeit sind nur einige der Risiken, die mit dem US-CLOUD-Act verbunden sind.

Fehlende Kontrolle über Datenzugriffe
Eingeschränkte Transparenz durch Geheimhaltungsanordnungen
Risiken für Geschäftsgeheimnisse und sensible Daten
Reputations- und Vertrauensverlust
Strategische Abhängigkeit von US-Anbietern

DSGVO-Bußgelder drohen aus europäischer Sicht, wenn es durch den Umgang mit dem CLOUD Act zu einem Verstoß gegen die DSGVO kommt. Grundlage ist dafür die Tatsache, dass personenbezogene Daten durch die US-Anordnung an US-Behörden übermittelt werden, was eine unzulässige Drittlandübermittlung und Weitergabe darstellen kann. Unwissenheit schützt Sie vor einem Datenschutzvorfall oder einer Datenschutz-Abmahnung nicht.

WICHTIG

Stattdessen müssen Sie die Vorgaben aus Art. 44 ff. DSGVO und Art. 48 DSGVO beachten. Verstoßen Sie gegen diese, können Sie Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes treffen. Hinzu kommt, dass der CLOUD Act zwar Möglichkeiten vorsieht, gegen Anordnungen gerichtlich vorzugehen. Die Hürden sind jedoch hoch und greifen nur unter engen Voraussetzungen.

6. 3 Strategien rund um Cloud-Angebote, Sicherheit und Verträge

Wenn Sie Cloud-Dienste nutzen, die von US-Unternehmen betrieben werden, sollten Sie die Auswahl und den Einsatz idealerweise aktiv steuern.

EU-Anbieter und Architektur wählen

Setzen Sie bei sensiblen Daten und Anwendungen gezielt auf Anbieter, die vollständig unter europäischer Kontrolle stehen. Prüfen Sie dabei nicht nur den Serverstandort, sondern auch die Eigentümerstruktur. Eine EU-Tochter mit US-Mutter bleibt vom CLOUD Act betroffen.

Verschlüsselung mit eigener Schlüsselhoheit einsetzen

Schützen Sie Ihre Daten so, dass selbst der Anbieter keinen Zugriff auf Klartextinformationen erhält. Nutzen Sie durchgängige Verschlüsselung für Speicherung und Übertragung.

PRAXIS-TIPP

Wichtig ist die Kontrolle und Souveränität über die Schlüssel. Verwalten Sie diese intern oder über vertrauenswürdige europäische Lösungen.

Verträge gezielt absichern und prüfen

Gestalten Sie Auftragsverarbeitungsverträge aktiv. Ergänzen Sie klare Regelungen zu Behördenanfragen und Informationspflichten. Anbieter sollten verpflichtet werden, solche Anfragen zu prüfen und Sie frühzeitig einzubinden.

Achten Sie außerdem auf transparente Angaben zu Datenstandorten, Subdienstleistern und Sicherheitsmaßnahmen. Dokumentieren Sie die Prüfungen nebst Inhalt sorgfältig.

Schulen Sie außerdem Ihre Mitarbeitenden bezüglich Ihrer Standards sowie den Umgang mit Software und der aktuellen Rechtslage regelmäßig. Regeln und ein gemeinsames Verständnis helfen, Fehler zu vermeiden und die Sicherheit dauerhaft zu gewährleisten. Das erspart Ihnen unter Umständen teure Datenschutzpannen.

7. Fazit: CLOUD Act bewusst einordnen und Cloud-Risiken steuern

Keine Frage, Cloud-Dienste bringen für Unternehmen viele Vorteile mit sich. Sie erleichtern die Zusammenarbeit, machen Systeme flexibel skalierbar und eröffnen den Zugriff auf Daten und Anwendungen von verschiedenen Standorten aus.

Der CLOUD Act zeigt jedoch ebenso, dass die Cloud-Nutzung auch rechtlich bewertet werden muss. Relevant ist nicht allein, ob Daten in Europa gespeichert werden. Wichtig ist darüber hinaus, für welchen Anbieter sie sich entscheiden, welche Konzernstruktur dahinter steht und ob ein Zugriff durch US-Behörden rechtlich oder technisch möglich sein kann.

Prüfen Sie deshalb sorgfältig, welche Daten Sie in US-Cloud-Diensten oder bei EU-Töchtern von US-Konzernen verarbeiten. Je sensibler die Daten, desto wichtiger werden Verschlüsselung, eigene Schlüsselhoheit, belastbare Verträge und eine nachvollziehbare Dokumentation. Der CLOUD Act macht Cloud-Dienste nicht unsicher – er verlangt aber mehr Aufmerksamkeit bei Auswahl, Vertragsgestaltung und technischer Absicherung.

CHECKLISTE

Mit den folgenden Fragen prüfen Sie strukturiert, wie stark Ihr Unternehmen vom CLOUD Act betroffen ist und wo konkreter Handlungsbedarf besteht. Beantworten Sie jede Frage ehrlich mit „Ja“ oder „Nein“:

Kennen Sie die vollständige Eigentümerstruktur Ihrer Cloud-Anbieter, inklusive möglicher US-Muttergesellschaften?
Speichern Sie personenbezogene Daten in diesen Cloud-Diensten?
Verarbeiten Sie besonders sensible Daten wie Gesundheits- oder Finanzdaten?
Wissen Sie genau, in welchen Ländern Ihre Daten gespeichert werden? Auch im Einsatz mit KI?
Nutzen Sie für sensible Daten ausschließlich EU-basierte Systeme?
Haben Sie einen Auftragsverarbeitungsvertrag mit allen Cloud-Anbietern abgeschlossen?
Setzen Sie Verschlüsselung für gespeicherte und übertragene Daten ein?
Verschlüsseln Sie gespeicherte und übertragene Daten – und verwalten Sie die Schlüssel selbst?
Führen Sie Datenschutz-Folgenabschätzungen bei risikoreichen Verarbeitungen durch?
Schulen Sie Ihre Mitarbeitenden regelmäßig zu Cloud- und Datenschutzthemen?

Premium Mitglied werden

eRecht24 Premium für Websitebetreiber, Agenturen & Online-Shops

Generatoren, AGB, Muster & Verträge
Cookie Consent Tool, Premium Scanner & Projekt Planer
Live-Webinaren und Know-How für rechtssicheres Business

Premium Mitglied werden

8. FAQ: CLOUD Act

Was besagt der CLOUD Act?

Der CLOUD Act verpflichtet US-Unternehmen dazu, Daten mit hoher Priorität an US-Behörden herauszugeben, wenn ein entsprechender Beschluss vorliegt. Das gilt auch dann, wenn die Daten außerhalb der USA gespeichert sind, etwa in europäischen Rechenzentren.

Wie heißt der Data Act auf Deutsch?

Der Data Act wird auf Deutsch meist als EU-Datengesetz bezeichnet. Dabei handelt es sich um eine Verordnung der Europäischen Union, die den Zugang zu und die Nutzung von Daten innerhalb der EU neu regelt. Ziel ist es, die Datenverfügbarkeit zu verbessern und faire Bedingungen für Unternehmen und Nutzer zu schaffen.

Welche Cloud ist DSGVO-konform?

Eine pauschale Antwort gibt es bei diesem Thema kaum. Eine Cloud gilt dann als DSGVO-konform, wenn sie die Anforderungen der Datenschutz-Grundverordnung erfüllt. Das hängt weniger vom Anbieter selbst ab als von der konkreten Nutzung, den Verträgen und den technischen Einstellungen.