Der US CLOUD Act im Detail: Warum ein EU-Rechenzentrum Sie nicht automatisch schützt

“Unsere Daten liegen in einem Rechenzentrum in Frankfurt” - dieser Satz beruhigt viele, ist aber kein verlässliches Schutzversprechen. Warum das so ist, und was Sie stattdessen prüfen sollten, erklärt dieser Artikel - die erste Vertiefung aus dem Ausblick unseres Schrems-III-Beitrags.

Was der CLOUD Act konkret regelt

Der Clarifying Lawful Overseas Use of Data Act - kurz CLOUD Act - trat am 23. März 2018 in den USA in Kraft. Er verpflichtet US-amerikanische Anbieter elektronischer Kommunikationsdienste, auf rechtmäßige Anordnung US-amerikanischer Behörden Daten herauszugeben - unabhängig davon, wo diese Daten physisch gespeichert sind und unabhängig von der Staatsangehörigkeit der betroffenen Person.

Der Gesetzestext ist an dieser Stelle unmissverständlich: Anbieter müssen Kommunikationsdaten und Aufzeichnungen herausgeben, “unabhängig davon, ob sich diese Kommunikation, Aufzeichnung oder andere Information innerhalb oder außerhalb der Vereinigten Staaten befindet.”

Damit reicht die Reichweite US-amerikanischer Behörden über die Landesgrenze hinaus - direkt zu jedem Server, den ein US-Unternehmen weltweit betreibt.

Der Auslöser: der Microsoft-Ireland-Fall

Der CLOUD Act entstand nicht im luftleeren Raum. Vorausgegangen war der Fall United States v. Microsoft Corp.: US-Behörden verlangten von Microsoft die Herausgabe von E-Mails, die auf einem Server in Dublin gespeichert waren. Microsoft weigerte sich mit dem Argument, ein US-Durchsuchungsbefehl könne sich nicht auf im Ausland gespeicherte Daten erstrecken. Der Fall zog sich bis vor den US Supreme Court.

Noch bevor das Gericht ein Urteil fällte, verabschiedete der US-Kongress den CLOUD Act - der die Rechtsfrage im Sinne der Behörden gesetzlich klärte und den Fall damit gegenstandslos machte (“mooted”). Die Botschaft war eindeutig: Speicherort allein soll kein Hindernis für den behördlichen Zugriff sein.

Warum “Server in der EU” nicht “sicher vor US-Zugriff” bedeutet

Der entscheidende Punkt für die Praxis: Der CLOUD Act knüpft nicht am Speicherort an, sondern an der Frage, ob das Unternehmen, das die Daten kontrolliert, US-amerikanischem Recht unterliegt. Betreibt ein US-Konzern - etwa Microsoft, Google oder Amazon - ein Rechenzentrum in Frankfurt, Dublin oder Amsterdam, bleibt die europäische Tochtergesellschaft oder Niederlassung an die Herausgabepflichten der US-Muttergesellschaft gebunden.

Das bedeutet konkret: Ein “EU-Rechenzentrum” schützt bei einem US-Unternehmen vor allem gegen andere Risiken (etwa Latenz, Ausfallsicherheit, manche Aspekte der DSGVO-Compliance bei der Verarbeitung) - nicht aber zuverlässig gegen den Zugriff US-amerikanischer Behörden, wenn diese sich an das Mutterunternehmen wenden.

Erschwerend kommt hinzu: CLOUD-Act-Anordnungen sind häufig mit einer Verschwiegenheitsanordnung (non-disclosure order) verbunden. Der US-Anbieter darf seinen europäischen Kunden unter Umständen nicht einmal darüber informieren, dass auf dessen Daten zugegriffen wurde.

Der Konflikt mit der DSGVO

Hier entsteht eine direkte Spannung zum europäischen Recht. Artikel 48 der DSGVO untersagt es grundsätzlich, personenbezogene Daten aufgrund einer Anordnung eines Drittstaats-Gerichts oder einer Drittstaats-Behörde herauszugeben - es sei denn, es besteht eine völkerrechtliche Übereinkunft (etwa ein Rechtshilfeabkommen) mit der EU oder einem Mitgliedstaat.

Der CLOUD Act sieht zwar ein Verfahren vor, mit dem ein Unternehmen eine Anordnung anfechten kann, wenn die betroffene Person keine US-Staatsangehörigkeit besitzt und die Herausgabe gegen das Recht eines “qualifizierten ausländischen Staates” verstoßen würde - ein US-Gericht muss dann im Rahmen einer sogenannten comity-Prüfung abwägen, ob die Herausgabe dennoch verlangt wird. Das ist jedoch ein Einzelfallverfahren mit unsicherem Ausgang, keine grundsätzliche Ausnahme.

Zusätzlich hat die EU mit dem Data Act (in Kraft seit Januar 2024, anwendbar seit September 2025) Regelungen geschaffen, die den unrechtmäßigen Zugriff von Drittstaaten-Behörden auf nicht-personenbezogene Daten explizit blockieren sollen. Für personenbezogene Daten gilt seit 2018 bereits die DSGVO. Trotzdem existiert bis heute kein formeller Mechanismus, der CLOUD Act und DSGVO grundsätzlich in Einklang bringt - beide Rechtsordnungen bestehen nebeneinander, mit ungelöstem Konflikt im Einzelfall.

Die Verbindung zu Schrems III

Dieser strukturelle Konflikt ist genau der Hintergrund, vor dem die im letzten Artikel beschriebene Entwicklung um das EU-US Data Privacy Framework verständlich wird: Das DPF sollte einen praktikablen Rahmen schaffen, unter dem US-Unternehmen trotz solcher Zugriffsrechte als “angemessenes Schutzniveau” gelten können - gestützt auf Zusagen zur Verhältnismäßigkeit und auf eine unabhängige Aufsicht durch die FTC. Genau diese Unabhängigkeit steht nun durch das Supreme-Court-Urteil infrage. Der CLOUD Act selbst ändert sich dadurch nicht - aber die Angemessenheits-Konstruktion, die seine Auswirkungen abfedern sollte, wird brüchiger.

Was das für Ihr Unternehmen bedeutet

• Fragen Sie nicht nur “wo”, sondern “wer”. Entscheidend ist nicht der Serverstandort, sondern ob der Anbieter (oder dessen Mutterkonzern) US-amerikanischem Recht unterliegt.
• Prüfen Sie die Konzernstruktur bei der Softwareauswahl. Ein europäisches Tochterunternehmen eines US-Konzerns bietet nicht dieselbe rechtliche Distanz wie ein Anbieter ohne US-Mutterkonzern.
• Unterscheiden Sie zwischen Datenschutz-Compliance und Zugriffsschutz. Ein Anbieter kann DSGVO-konform verarbeiten (Auftragsverarbeitungsvertrag, technische Maßnahmen) und trotzdem dem CLOUD Act unterliegen - beides sind unterschiedliche Fragen.
• Bei sensiblen oder öffentlich-sektor-nahen Aufträgen: Prüfen Sie, ob Ihr Auftraggeber explizit einen Ausschluss von Drittstaaten-Zugriff verlangt - das ist in Ausschreibungen zunehmend Standard.

Ausblick

In weiteren Beiträgen dieser Serie vergleichen wir Schrems I, Schrems II und die angekündigte dritte Klage im Detail - was sich zwischen den drei Fällen rechtlich unterschied und was strukturell immer gleich blieb. Außerdem haben wir bereits eine praktische Übersicht konkreter europäischer Alternativen für Hosting, CDN, Mail und Zusammenarbeit veröffentlicht.

Wenn Sie schon jetzt wissen möchten, wie Ihre aktuelle Software-Auswahl in dieser Hinsicht aufgestellt ist, nehmen Sie unverbindlich Kontakt mit uns auf.