Der CLOUD Act erklärt: Was „Daten in Europa“ bedeutet und was nicht

Was der CLOUD Act ist

Im März 2018 verabschiedete der US-Kongress den Clarifying Lawful Overseas Use of Data Act, angehängt an ein Haushaltsgesetz. Der Auslöser war ein Gerichtsverfahren. US-Strafverfolgungsbehörden forderten von Microsoft E-Mails an, die auf einem Server in Dublin gespeichert waren. Microsoft weigerte sich: Diese Daten liegen in Irland, wenden Sie sich an ein irisches Gericht. Der Fall lag beim Supreme Court, als das neue Gesetz die Frage vom Tisch nahm.

Der Kern ist ein einziger Satz, der dem Stored Communications Act hinzugefügt wurde. Ein Anbieter muss Daten sichern und herausgeben, die sich in seinem possession, custody, or control befinden, unabhängig davon, ob diese Daten innerhalb oder außerhalb der Vereinigten Staaten liegen.

Beachten Sie, was dort nicht steht. Über den Standort des Servers sagt der Satz nichts. Der Anknüpfungspunkt ist der Anbieter: Unterliegt er der US-Gerichtsbarkeit, kann ihn eine US-Anordnung erreichen, und dann erfasst die Anordnung alle Daten, die er kontrolliert, überall auf der Welt.

Warum „Rechenzentrum in Amsterdam“ die Frage nicht beantwortet

Ein Rechenzentrum in Amsterdam sagt etwas über Latenz, über Energie und über die DSGVO-Frage, ob Daten den EWR verlassen. Über den CLOUD Act sagt es sehr wenig. Die Frage, auf die es dort ankommt, lautet: Welche juristische Person betreibt diese Maschine, und welchem Recht unterliegt sie?

Ein niederländischer Anbieter, der auf amerikanischer Cloud-Infrastruktur läuft, selbst wenn diese in der EU steht, hat diese Frage also nicht beseitigt. Er hat sie auf seinen Subunternehmer verschoben. Das ist kein Grund zur Panik. Es ist ein Grund, genau aufzuschreiben, wer in der Kette ist.

Die Zwickmühle: Artikel 48 DSGVO

Für einen Anbieter, dem eine solche Anordnung zugestellt wird, entsteht ein Problem, das er allein nicht lösen kann. Artikel 48 DSGVO bestimmt, dass ein Urteil eines Gerichts oder eine Entscheidung einer Behörde eines Drittlands nur anerkannt oder vollstreckt werden darf, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen.

Die europäischen Aufsichtsbehörden, der EDSA und der EDSB, haben in ihrer gemeinsamen Einschätzung vom 10. Juli 2019 ausbuchstabiert, was das bedeutet. Ohne ein solches Abkommen, oder eine andere Grundlage nach der DSGVO, kann ein dem EU-Recht unterliegender Anbieter eine Übermittlung nicht auf eine CLOUD-Act-Anfrage stützen. Es braucht zwei Dinge statt einem: eine Rechtsgrundlage für die Verarbeitung (Artikel 6) und eine gültige Grundlage für die Übermittlung (Kapitel V).

Das Ergebnis ist eine echte Zwickmühle. Die eine Rechtsordnung verlangt die Herausgabe, die andere verbietet sie. Wer Ihnen erzählt, das sei geklärt, irrt.

Was der CLOUD Act nicht ist

Drei Missverständnisse sind hartnäckig genug, um sie einzeln zu benennen.

Er ist kein offener Zugriff. Für Kommunikationsinhalte braucht es einen richterlichen Beschluss eines US-Gerichts, auf Grundlage eines hinreichenden Tatverdachts. Das ist Strafprozessrecht, kein offener Abgriff.

Er ist nicht dasselbe wie Nachrichtendienstrecht. FISA Section 702 und Executive Order 12333 betreffen die nachrichtendienstliche Erhebung, haben andere Schwellen und waren der Grund, aus dem der Gerichtshof im Schrems-II-Urteil den Privacy Shield für ungültig erklärte. Diese Debatte läuft neben dem CLOUD Act, nicht durch ihn hindurch.

Und er ist nichts, was das Data Privacy Framework abdeckt. Dieses Rahmenwerk, dessen Angemessenheitsbeschluss vom 10. Juli 2023 das Gericht der EU im Latombe-Verfahren am 3. September 2025 bestätigt hat und das seither in der Rechtsmittelinstanz beim Gerichtshof liegt, regelt die Bedingungen, unter denen Sie Daten in die Vereinigten Staaten übermitteln dürfen. Über die Befugnisse der US-Strafverfolgung gegenüber einem amerikanischen Anbieter sagt es nichts. (Stand bei Veröffentlichung, 2. August 2026.)

Im Gesetz selbst gibt es einen Fluchtweg. Ein Anbieter kann beantragen, eine Anordnung aufzuheben, wenn der Kunde keine US-Person ist und nicht in den USA wohnt und die Herausgabe ein erhebliches Risiko schaffen würde, gegen das Recht einer qualifying foreign government zu verstoßen. Dieser letzte Teil meint ein Land, das ein Executive Agreement mit den Vereinigten Staaten geschlossen hat. Solche bestehen mit dem Vereinigten Königreich (unterzeichnet 2019, in Kraft seit 2022) und Australien (unterzeichnet 2021, in Kraft seit 2024). Die Verhandlungen mit der EU laufen seit Jahren. Für einen niederländischen Kunden ist diese Tür in der Praxis noch geschlossen.

Vier Fragen an Ihren Anbieter

Genug Theorie. Was können Sie damit anfangen, als Friseur, Physiotherapeut oder Berater mit ein paar hundert Kundendaten in einem Planungstool?

1. Welche juristische Person steht hinter dem Dienst, und wo ist sie ansässig? Nicht die Marke und nicht das Rechenzentrum: die Person, mit der Sie einen Vertrag haben.
2. Wer sind die Unterauftragsverarbeiter, und aus welchem Land kommen sie? Das ist die Frage, die am meisten bringt und am seltensten gestellt wird. Ein Anbieter, der das in Ordnung hat, hat die Liste parat.
3. Wer besitzt die Schlüssel? „Verschlüsselt gespeichert“ bei einer Partei, die den Schlüssel selbst besitzt, ist kein Schutz vor einer Anordnung, die genau dieser Partei zugestellt wird.
4. Was geschieht, wenn eine Anfrage eingeht? Wehrt sich der Anbieter? Werden Sie benachrichtigt, soweit das erlaubt ist? Gibt es einen Transparenzbericht?

Bekommen Sie auf die zweite Frage keine Antwort, wissen Sie genug.

Wo Calio steht

Dann die Frage, die Sie einem Artikel auf der eigenen Website eines Anbieters zu Recht stellen: Wie läuft das hier?

Calio ist ein niederländischer Dienst ohne Niederlassung in den Vereinigten Staaten. Eine US-Anordnung kann uns nicht direkt zugestellt werden. Die Anwendung und die Datenbank laufen in einem Rechenzentrum in Amsterdam.

Das ist nicht das Ende der Geschichte, und wir wollen es nicht schönreden. Unser Hosting-Anbieter und die Partei, bei der unsere Backups gespeichert werden, sind amerikanische Unternehmen mit europäischen Gesellschaften und Rechenzentren. Für den Versand von Bestätigungs- und Erinnerungs-E-Mails nutzen wir einen amerikanischen Dienst, der aus Irland versendet. Das Sprachmodell hinter der KI-Suchhilfe läuft bei Mistral AI in Frankreich und erhält immer nur den Satz, den ein Gast eintippt.

Was das bedeutet: „EU-Rechenzentrum“ macht die CLOUD-Act-Frage hier kleiner, nicht null. Das gilt für fast jede europäische SaaS, und ein Anbieter, der etwas anderes behauptet, hat entweder das Gesetz nicht gelesen oder hofft, dass Sie es nicht tun. Welche Parteien das genau sind und was sie tun, steht in unserem Auftragsverarbeitungsvertrag, bewusst langweilig und vollständig.

Was wir versprechen können, ist das Einzige, was ein Anbieter ehrlich versprechen kann: dass wir aufschreiben, wer in der Kette ist, dass wir Änderungen daran dreißig Tage im Voraus ankündigen und dass wir nicht so tun, als würde eine Flagge auf einer Landingpage eine Rechtsfrage erledigen.

Kurz gefasst

• Der CLOUD Act knüpft an den Anbieter an, nicht an den Standort der Daten. Ein EU-Rechenzentrum im Besitz eines amerikanischen Unternehmens liegt voll in seiner Reichweite.
• Artikel 48 DSGVO verbietet die Herausgabe auf eine ausländische Anordnung ohne vertragliche Grundlage. Der Anbieter steckt zwischen zwei Rechtsordnungen.
• Das Data Privacy Framework und Schrems II behandeln eine andere Frage: Übermittlungen und Nachrichtendienstrecht, nicht Strafprozessrecht.
• Der praktische Gewinn ist keine Flagge auf einer Website, sondern ein Anbieter, der seine Kette benennen kann.