Der US CLOUD Act: Warum ein US-Gesetz Ihre Daten in Deutschland erreichen kann

Was ist der US CLOUD Act?

CLOUD Act steht für Clarifying Lawful Overseas Use of Data Act, ein US-Bundesgesetz vom März 2018. Es verpflichtet Anbieter von Kommunikations- und Cloud-Diensten, die der US-Gerichtsbarkeit unterliegen, gespeicherte Daten an US-Ermittlungsbehörden herauszugeben - unabhängig davon, in welchem Land die Daten liegen. Maßgeblich ist allein, ob sich die Daten im Besitz, im Gewahrsam oder unter der Kontrolle des Anbieters befinden; im Gesetzestext heißt das „possession, custody, or control".

Der Name führt leicht in die Irre: Mit „Cloud" im Marketingsinn hat das Gesetz nur mittelbar zu tun. Es präzisiert ein Gesetz von 1986, den Stored Communications Act, der regelt, unter welchen Voraussetzungen US-Behörden von Anbietern gespeicherte Inhalte verlangen dürfen. Der CLOUD Act stellt klar, dass diese Pflicht an der Landesgrenze nicht endet.

Die Vorgeschichte: Microsoft gegen die USA

Auslöser war ein Rechtsstreit, der als „Microsoft Ireland" bekannt wurde. 2013 verlangte ein US-Gericht in einem Drogenverfahren die E-Mails eines Kontos, die Microsoft in seinem Rechenzentrum in Dublin gespeichert hatte. Microsoft gab die Daten nicht heraus und argumentierte, ein US-Durchsuchungsbeschluss gelte nicht für Server in Irland - für solche Fälle gebe es den Rechtshilfeweg zwischen den Staaten.

Der Streit ging durch die Instanzen: 2016 gab ein Berufungsgericht Microsoft recht, 2018 lag der Fall beim Supreme Court. Bevor der entscheiden konnte, verabschiedete der Kongress den CLOUD Act und beantwortete die Frage per Gesetz - der Speicherort ist unerheblich. Der Fall wurde daraufhin für erledigt erklärt. Seither ist die Rechtslage eindeutig, und genau deshalb lohnt es sich, sie zu kennen.

Entscheidend ist der Konzernsitz, nicht der Serverstandort

Der Punkt, der in Diskussionen am häufigsten untergeht: Der CLOUD Act knüpft an das Unternehmen an, nicht an den Server. Erfasst ist, wer der US-Gerichtsbarkeit unterliegt - also US-Unternehmen samt ihrer ausländischen Tochtergesellschaften, und im Grundsatz auch ausländische Firmen mit hinreichender Geschäftspräsenz in den USA.

Ein Rechenzentrum in Frankfurt, betrieben von der deutschen Tochter eines US-Konzerns, liegt damit in Reichweite: Die Daten befinden sich unter der Kontrolle des Konzerns, und genau darauf stellt das Gesetz ab. Die Einstellung „Region: EU" oder „Datenstandort Deutschland" ändert daran nichts - sie bestimmt, wo die Daten liegen, nicht, welchem Recht der Anbieter folgen muss.

Umgekehrt gilt: Ein Anbieter, dessen Konzernmutter in der EU sitzt und der keine US-Mutter hat, ist für eine CLOUD-Act-Anordnung schlicht kein Adressat. Wollen US-Behörden Daten von dort, müssen sie den zwischenstaatlichen Rechtshilfeweg gehen, an dem deutsche Behörden und Gerichte beteiligt sind.

Was der CLOUD Act erlaubt - und was nicht

Der CLOUD Act ist kein Überwachungsprogramm und kein Massenzugriff. Er ändert nichts daran, dass US-Behörden für jede Herausgabe ein förmliches Verfahren brauchen: Für Inhalte wie E-Mails oder Dateien ist ein richterlicher Beschluss nötig, der einen konkreten Tatverdacht („probable cause") voraussetzt und sich auf bestimmte Konten bezieht. Anlasslose oder flächendeckende Abfragen deckt das Gesetz nicht.

Anordnungen ergehen in konkreten Strafverfahren, etwa wegen Betrugs, Drogendelikten oder Cyberkriminalität. Die großen Anbieter veröffentlichen Transparenzberichte über solche Ersuchen; sie betreffen jeweils einzelne, benannte Konten.

Anbieter können sich nur in engen Grenzen wehren. Das Gesetz erlaubt es, eine Anordnung anzufechten, wenn die betroffene Person keine US-Person ist und die Herausgabe gegen das Recht eines Staates verstieße, mit dem die USA ein CLOUD-Act-Abkommen geschlossen haben. Solche Abkommen bestehen bislang etwa mit Großbritannien und Australien - mit der EU oder Deutschland gibt es keines; verhandelt wird darüber seit 2019. Für Daten in Deutschland läuft diese Schutzklausel damit weitgehend leer.

US CLOUD Act und DSGVO: der ungelöste Konflikt

Aus europäischer Sicht steht der CLOUD Act quer zur DSGVO. Nach Art. 48 DSGVO dürfen Entscheidungen von Behörden oder Gerichten eines Drittlands, die eine Herausgabe personenbezogener Daten verlangen, nur anerkannt werden, wenn sie auf einer internationalen Übereinkunft beruhen - etwa einem Rechtshilfeabkommen. Eine CLOUD-Act-Anordnung ist genau das nicht: Sie geht direkt vom US-Gericht an den Anbieter, am Rechtshilfeweg vorbei.

Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte kamen 2019 in einer gemeinsamen Stellungnahme zu dem Ergebnis, dass eine Herausgabe allein auf Grundlage des CLOUD Act in aller Regel keine Rechtsgrundlage in der DSGVO findet. Ein betroffener Anbieter steht damit zwischen zwei Rechtsordnungen: Befolgt er die US-Anordnung, verstößt er womöglich gegen die DSGVO - verweigert er sie, drohen ihm in den USA Sanktionen.

In dieselbe Kerbe schlägt das Schrems-II-Urteil des Europäischen Gerichtshofs von 2020. Es kippte den damaligen Datenschutzrahmen zwischen EU und USA, weil US-Überwachungsrecht Zugriffe erlaubt, gegen die sich Europäer nicht wirksam wehren können - das betraf vor allem Geheimdienstbefugnisse, nicht den CLOUD Act selbst. Der 2023 nachgefolgte EU-US-Datenschutzrahmen adressiert diese Geheimdienstzugriffe; die Herausgabepflichten des CLOUD Act gegenüber Strafverfolgungsbehörden bestehen davon unberührt fort.

Was das für Sie in Deutschland bedeutet

Zunächst die nüchterne Einordnung: Die Wahrscheinlichkeit, dass US-Ermittler sich für die Nebenkostenabrechnung einer Privatperson in Deutschland interessieren, ist praktisch null. CLOUD-Act-Anordnungen setzen ein konkretes US-Strafverfahren voraus. Wen das nicht betrifft, dessen Daten werden durch dieses Gesetz aller Voraussicht nach nie herausgegeben.

Das eigentliche Problem liegt eine Ebene tiefer. Liegen Ihre Dokumente bei einem US-kontrollierten Anbieter, entscheidet im Ernstfall US-Recht nach US-Maßstäben über die Herausgabe - ohne dass ein deutsches Gericht beteiligt wäre und ohne dass Sie davon erfahren müssten, denn US-Anordnungen können mit einem Schweigegebot für den Anbieter verbunden sein. Und wer beruflich mit fremden Daten umgeht - eine Praxis, eine Kanzlei, ein Betrieb mit Kundendaten -, für den ist schon die ungeklärte Rechtslage selbst ein Risiko, unabhängig davon, ob je eine Anordnung ergeht.

Kurz: Für die meisten Privatpersonen ist der CLOUD Act kein akutes Zugriffsproblem, sondern ein grundsätzliches Kontrollproblem - die Frage, welcher Rechtsordnung die eigenen Unterlagen im Zweifel unterstehen. Wer das ernst nimmt, löst es am saubersten bei der Wahl des Anbieters.

So prüfen Sie, ob ein Dienst dem CLOUD Act unterliegt

Ob ein Dienst dem CLOUD Act unterliegt, steht selten auf der Preisseite. Die Aussage „Ihre Daten liegen in Deutschland" beantwortet die falsche Frage. Suchen Sie stattdessen nach der Konzernmutter: Im Impressum, in der Datenschutzerklärung oder im Wikipedia-Eintrag des Unternehmens findet sich fast immer, wem der Anbieter letztlich gehört und wo dieses Unternehmen seinen Sitz hat.

Bei den großen Namen ist die Antwort einfach: Microsoft, Google, Amazon mit AWS, Apple und Dropbox sind US-Unternehmen und unterliegen der US-Gerichtsbarkeit - mitsamt ihren europäischen Tochtergesellschaften und Rechenzentren. Das ist keine Wertung, sondern eine Rechtsfolge ihres Sitzes; dieselben Anbieter wehren sich teils seit Jahren juristisch gegen zu weitgehende Zugriffe, wie der Microsoft-Fall zeigt.

Fragen, die Sie sich - oder dem Anbieter - stellen sollten:

• Wem gehört der Anbieter letztlich, und wo sitzt diese Konzernmutter?
• Ist der „europäische" Dienst nur die EU-Tochter eines US-Konzerns?
• Sagt der Anbieter ausdrücklich, ob er dem CLOUD Act unterliegt - oder wirbt er nur mit dem Serverstandort?
• Wer sind die Unterauftragnehmer, etwa für Speicher oder KI-Verarbeitung, und wo sitzen die?

Was ein EU-Rechenzentrum bringt - und was nicht

Ein Rechenzentrum in der EU ist deshalb nicht wertlos. Es hält die Daten physisch in Europa, unterstellt die Verarbeitung der europäischen Datenschutzaufsicht, verkürzt Wege und erfüllt viele Compliance-Anforderungen. Nur eines leistet der Standort nicht: Er ändert nicht die Rechtsordnung, der der Betreiber unterliegt. „Datenstandort Deutschland" bei einem US-kontrollierten Anbieter heißt: deutsche Hardware, US-Jurisdiktion.

Auch als „souveräne Cloud" vermarktete Angebote verdienen einen zweiten Blick. Bleibt ein US-Konzern der Betreiber oder Vertragspartner, ändert sich an der rechtlichen Erreichbarkeit nichts. Anders können Konstruktionen liegen, bei denen ein eigenständiges europäisches Unternehmen den Dienst betreibt und nur die Technik lizenziert - dort kommt es auf die Details an.

Der belastbare Unterschied liegt beim Anbieter selbst: Ein Unternehmen mit Sitz in der EU und ohne US-Mutter ist für eine CLOUD-Act-Anordnung kein Adressat. Wollen US-Behörden Daten von dort, führt der Weg über ein Rechtshilfeersuchen an deutsche Stellen - mit deutscher gerichtlicher Kontrolle. Welche Wege es für private Unterlagen insgesamt gibt, vergleicht unser Ratgeber zur Dokumentenverwaltung.

Wie PaperHero damit umgeht

PaperHero hat diese Frage bei der Auswahl aller Dienstleister zum Kriterium gemacht: Ihre Dokumente werden ausschließlich von Unternehmen gespeichert und verarbeitet, die ihren Sitz in Deutschland oder Frankreich haben und zu keinem US-Konzern gehören. Eine Herausgabeanordnung nach dem CLOUD Act hat damit keinen Adressaten, der Ihre Dokumente hält.

Das gilt in jeder Hosting-Stufe: EU Hosting, German Hosting und PaperHero Hosting unterscheiden sich darin, wo die KI-Verarbeitung läuft, nicht in dieser Grundregel. Für die Bezahlung nutzt PaperHero Stripe und Apple - beide wickeln Zahlungen ab und sehen keine Dokumenteninhalte.

Häufige Fragen