US CLOUD Act: Was er für europäische Unternehmen bedeutet
Der Clarifying Lawful Overseas Use of Data Act verpflichtet US-Anbieter zur Datenherausgabe – unabhängig davon, wo die Daten liegen. Was daraus für Ihre Cloud-Auswahl folgt.
Compliance-Übersicht als PDF
CLOUD Act, Schrems II, DSGVO-Cloud und Gaia-X kompakt auf 10 Seiten – mit Fakten, Auswirkungen, Checklisten und FAQ zum Weitergeben.
Was ist der US CLOUD Act?
Der US CLOUD Act ist ein 2018 in Kraft getretenes US-Bundesgesetz. Es verpflichtet Unternehmen, die der US-Jurisdiktion unterliegen, gespeicherte Kommunikations- und Nutzungsdaten auf behördliche Anordnung herauszugeben – auch dann, wenn diese Daten außerhalb der USA verarbeitet werden.
Maßgeblich ist damit nicht der Speicherort, sondern der Rechtsträger. Ein Rechenzentrum in Frankfurt oder Amsterdam schützt nicht vor einer Anordnung, wenn der Betreiber ein US-Konzern oder dessen Tochtergesellschaft ist.
Für europäische Verantwortliche entsteht dadurch ein Spannungsfeld: Die DSGVO verlangt eine Rechtsgrundlage für jede Offenlegung personenbezogener Daten, während der CLOUD Act eine Herausgabe verlangen kann, die den Betroffenen nicht mitgeteilt wird.
Die wichtigsten Fakten
- In Kraft seit
- März 2018 (H.R. 4943)
- Betroffene
- US-Unternehmen und deren Tochtergesellschaften weltweit
- Reichweite
- Unabhängig vom physischen Speicherort der Daten
- Datenarten
- Inhalts-, Verkehrs- und Bestandsdaten
- Transparenz
- Anordnungen können mit Schweigepflicht verbunden sein
- Nicht betroffen
- Anbieter ohne US-Rechtsträger und ohne US-Mutter
Was das für Unternehmen und Behörden bedeutet
Der CLOUD Act ist kein theoretisches Risiko, sondern ein konkretes Kriterium in Datenschutz-Folgenabschätzung und Beschaffung.
Rechenzentrumsstandort reicht nicht
Die Zusage „Daten bleiben in Deutschland“ beantwortet die entscheidende Frage nicht. Prüfen Sie, welche juristische Person Vertragspartner ist und welche Konzernmutter dahintersteht.
Konflikt mit der DSGVO
Eine Herausgabe an US-Behörden ohne Rechtshilfeabkommen kann eine unzulässige Übermittlung nach Art. 48 DSGVO darstellen – das Risiko trägt der Verantwortliche, nicht der Anbieter.
Dokumentationsaufwand
Beim Einsatz US-naher Dienste sind zusätzliche Schutzmaßnahmen, Transfer Impact Assessments und regelmäßige Überprüfungen zu dokumentieren.
Support- und Betriebskette
Auch Fernwartung, Second-Level-Support oder Monitoring aus den USA können Zugriff auf personenbezogene Daten eröffnen.
Wie Sie CLOUD-Act-Risiken vermeiden
Diese Kriterien gehören in jede Ausschreibung und jeden Anbietervergleich:
- Vertragspartner ist eine europäische juristische Person ohne US-Mutterkonzern.
- Alle Primär-, Backup- und Protokolldaten werden ausschließlich in der EU gespeichert.
- Betrieb, Administration und Support erfolgen ausschließlich aus der EU.
- Verschlüsselung ist dokumentiert, die Schlüsselverantwortung ist eindeutig geregelt.
- Unterauftragsverarbeiter sind vollständig gelistet und ebenfalls EU-ansässig.
- Ein vollständiger Datenexport in offenen Formaten ist jederzeit ohne Zusatzkosten möglich.
Häufige Fragen zum CLOUD Act
Ähnliche Fragen
Weiterführende Antworten rund um digitale Souveränität, Datenhoheit und Compliance.
Digitale Souveränität
Was bedeutet digitale Souveränität?
Die Fähigkeit einer Organisation, selbstbestimmt über Daten, Technologie und IT-Betrieb zu entscheiden – ohne rechtliche, technische oder wirtschaftliche Abhängigkeit von einzelnen Anbietern oder Drittstaaten.
Zur Definition und den vier DimensionenWie gelingt digitale Souveränität in der Praxis?
In sechs Schritten: Bestandsaufnahme, Risikobewertung, verbindliche Souveränitätskriterien, Anbieterauswahl, schrittweise Migration und laufende Überprüfung durch Audits und Exporttests.
Zum Schritt-für-Schritt-Leitfaden
Datenhoheit & souveräne Cloud
Was ist eine souveräne Cloud?
Eine Cloud-Umgebung mit europäischem Rechtsträger, Speicherung und Verarbeitung in der EU, Betrieb und Support aus der EU sowie voller Kundenhoheit über Schlüssel, Konfiguration und Datenexport.
Zur Checkliste mit zwölf KriterienWas bedeutet Datenhoheit?
Das Recht und die technische Möglichkeit, jederzeit selbst zu bestimmen, wer auf Daten zugreift, wo sie verarbeitet werden und in welcher Form sie das System wieder verlassen.
Zum Glossar der SouveränitätsbegriffeWo werden meine Daten gespeichert?
Ausschließlich im eigenen, ISO/IEC 27001-zertifizierten Rechenzentrum in Deutschland (Ahaus, Münsterland) – ohne Datentransfer in Drittländer.
Zu Sicherheit und Rechenzentrum
Compliance & Recht
Was bedeutet das Schrems-II-Urteil für Cloud-Dienste?
Datenübermittlungen in die USA erfordern zusätzliche Schutzmaßnahmen und eine Einzelfallprüfung. Verarbeitung ausschließlich in der EU vermeidet diese Pflichten.
Zur Themenseite Schrems IIWas macht eine Cloud DSGVO-konform?
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, dokumentierte technische und organisatorische Maßnahmen, transparente Unterauftragsverarbeiter, klare Löschfristen und ein vollständiger Datenexport.
Zur Checkliste DSGVO-konforme CloudWelche Rolle spielen Gaia-X und der BSI IT-Grundschutz?
Gaia-X liefert ein europäisches Rahmenwerk für interoperable Cloud-Dienste, der BSI IT-Grundschutz konkrete Bausteine für die technische und organisatorische Absicherung.
Zur Themenseite Gaia-X
Alternativen & Umstieg
Gibt es eine souveräne Alternative zu Microsoft 365?
xworks.365 deckt E-Mail, Kalender, Kontakte, Dateien, Dokumentbearbeitung und Videokonferenzen in einer integrierten Plattform ab – betrieben von einem deutschen Unternehmen in Deutschland.
Zu allen Funktionen im ÜberblickWie vermeide ich Vendor Lock-in?
Offene Standards (IMAP, SMTP, CalDAV, CardDAV, WebDAV), offene Dokumentformate und ein vollständiger Selbstbedienungs-Export – vertraglich bereits bei der Auswahl geregelt.
Zum Vergleich souveräner Cloud-AnsätzeWie sieht eine souveräne Umstellung in der Praxis aus?
Eine Modellrechnung für eine kommunale Verwaltung zeigt Architektur, Migrationsplan und messbare Kennzahlen einer souveränen Collaboration-Plattform.
Zur Case Study öffentliche Verwaltung