CLOUD Act: Auswirkungen auf deutsche Unternehmen

Der US-amerikanische CLOUD Act taucht in fast jeder Anbieterbewertung als Risikoposition auf, meist ohne dass klar wird, was er tatsächlich regelt. Er ist weder ein Überwachungsgesetz noch ein Freibrief für pauschalen Behördenzugriff, sondern eine Zuständigkeitsregel: Sie stellt klar, dass US-Herausgabeanordnungen auch Daten erfassen, die außerhalb der USA gespeichert sind. Dieser Leitfaden ordnet ein, wen das betrifft, wie sich der CLOUD Act zur DSGVO verhält und welche Fragen bei der Anbieterauswahl weiterhelfen.

Dieser Text ist eine fachliche Einordnung und keine Rechtsberatung. Ob und wie der CLOUD Act deine konkrete Konstellation berührt, lässt sich nur mit Blick auf deine Verträge, deine Datenarten und deine Branche beurteilen.

Was ist der CLOUD Act?

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Bundesgesetz aus dem März 2018, das Anbieter unter US-Jurisdiktion verpflichtet, Kommunikationsinhalte und Bestandsdaten auf rechtmäßige behördliche Anordnung herauszugeben, unabhängig davon, ob diese Daten in den USA oder im Ausland liegen.

Verabschiedet wurde er als Teil des Consolidated Appropriations Act 2018 (Public Law 115-141). Auslöser war der Rechtsstreit United States v. Microsoft Corp., in dem strittig war, ob eine US-Anordnung E-Mails erfasst, die in einem Rechenzentrum in Irland gespeichert sind. Der Gesetzgeber beantwortete die Frage, bevor der Supreme Court entscheiden konnte, und ergänzte den Stored Communications Act um eine ausdrückliche Klarstellung:

18 U.S.C. § 2713 (sinngemäß):
Ein Anbieter muss Inhalte und Kundendaten, die sich in seinem Besitz,
seiner Verwahrung oder unter seiner Kontrolle befinden, herausgeben,
unabhängig davon, ob sie innerhalb oder außerhalb der USA liegen.

Entscheidend ist die Formulierung "possession, custody, or control". Nicht der Speicherort bestimmt die Reichweite, sondern die tatsächliche Verfügungsgewalt des Anbieters. Ein Rechenzentrum in Frankfurt ändert daran nichts, wenn der Betreiber konzernrechtlich oder technisch auf die Daten zugreifen kann.

Der zweite, seltener diskutierte Teil des Gesetzes schafft eine Grundlage für sogenannte Executive Agreements: Abkommen, mit denen die USA und ein Partnerstaat sich gegenseitig direkte Datenanfragen bei Anbietern erlauben, unter Umgehung des klassischen Rechtshilfeverfahrens. Ein solches Abkommen besteht mit dem Vereinigten Königreich. Zwischen der EU und den USA wurde über ein entsprechendes Abkommen verhandelt; den aktuellen Verhandlungsstand solltest du bei der Europäischen Kommission prüfen, statt dich auf ältere Darstellungen zu verlassen.

Wer ist vom CLOUD Act betroffen?

Vom CLOUD Act erfasst sind nicht deutsche Unternehmen selbst, sondern die Anbieter elektronischer Kommunikations- und Cloud-Dienste, die der US-Jurisdiktion unterliegen. Betroffen bist du also mittelbar, über die Dienstleister, bei denen deine Daten liegen.

Die Jurisdiktionsfrage ist dabei breiter, als viele annehmen. Sie kann greifen bei:

• US-Unternehmen mit Sitz in den Vereinigten Staaten, unabhängig vom Standort ihrer Rechenzentren.
• Europäischen Tochtergesellschaften eines US-Konzerns, wenn die Muttergesellschaft rechtlich oder faktisch Kontrolle über die Daten ausüben kann. Wie weit diese Kontrolle reicht, ist juristisch umstritten und im Einzelfall zu bewerten.
• Nicht-US-Anbietern mit substanziellem US-Bezug, etwa eigener US-Niederlassung oder US-Geschäftstätigkeit, über die eine US-Gerichtszuständigkeit begründet werden kann.
• Subunternehmern in der Lieferkette, auch wenn dein Vertragspartner selbst rein europäisch ist. Ein europäischer Anbieter, der US-Dienste für Backup, Monitoring oder Identitätsmanagement einsetzt, trägt das Thema weiter.

Der letzte Punkt wird regelmäßig übersehen. Für die eigene Bewertung zählt nicht das Logo auf der Rechnung, sondern die vollständige Kette der Auftragsverarbeiter samt ihrer Konzernzugehörigkeit.

graph TD
    A["Ein Dienstleister verarbeitet Daten für dich"] --> B{"Unterliegt der Anbieter oder seine Konzernmutter US-Jurisdiktion?"}
    B -- "Nein, auch nicht über Subunternehmer" --> C["CLOUD Act greift nicht unmittelbar; Lieferkette dennoch dokumentieren"]
    B -- "Unklar" --> D["Auftragsverarbeiter-Verzeichnis und Unterauftragnehmerliste auswerten"]
    B -- "Ja" --> E{"Kann der Anbieter technisch auf Klartextdaten zugreifen?"}
    E -- "Nein, Schlüssel liegen ausschließlich bei dir" --> F["Inhalte bleiben geschützt; Metadaten und Verfügbarkeit weiter bewerten"]
    E -- "Ja" --> G["Herausgabepflicht kann Inhaltsdaten erfassen; Konflikt mit Art. 48 DSGVO bewerten und dokumentieren"]
    D --> E

Was erlaubt der CLOUD Act konkret, und was nicht?

Der CLOUD Act erlaubt US-Strafverfolgungsbehörden, im Rahmen eines konkreten Ermittlungsverfahrens und auf richterliche Anordnung hin Daten bei einem Anbieter anzufordern, auch wenn diese Daten im Ausland liegen. Er schafft keine anlasslose Massenüberwachung und keinen automatisierten Behördenzugang.

Diese Unterscheidung ist wichtig, weil in der Diskussion häufig drei verschiedene Rechtsgrundlagen vermischt werden:

Der Europäische Gerichtshof hat sich in der Entscheidung Schrems II (C-311/18, Juli 2020) vor allem mit den nachrichtendienstlichen Befugnissen befasst, nicht mit dem CLOUD Act. Wer beides in einen Topf wirft, argumentiert in einer Transfer-Folgenabschätzung unsauber.

Der CLOUD Act enthält außerdem eine eng gefasste Möglichkeit für Anbieter, eine Anordnung anzufechten, wenn die betroffene Person kein US-Bürger ist, sich nicht in den USA aufhält und die Herausgabe gegen das Recht eines Partnerstaats verstoßen würde. Diese Möglichkeit setzt im Kern ein bestehendes Executive Agreement voraus. Für Betroffene aus Staaten ohne ein solches Abkommen ist der Weg damit praktisch schmal. Den genauen Wortlaut der Voraussetzungen findest du im Gesetzestext selbst.

Wie verhält sich der CLOUD Act zur DSGVO?

Der CLOUD Act und die DSGVO stehen in einem echten Normenkonflikt: Artikel 48 DSGVO bestimmt, dass Urteile und Behördenentscheidungen eines Drittlands nur dann anerkannt oder vollstreckt werden können, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruhen.

Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben dazu 2019 eine gemeinsame Stellungnahme zu den Auswirkungen des CLOUD Act auf den EU-Rechtsrahmen veröffentlicht. Kernaussage: Eine US-Anordnung allein ist keine taugliche Grundlage für eine Übermittlung. Wer trotzdem herausgibt, braucht eine eigenständige Rechtsgrundlage nach Kapitel V DSGVO, und die Ausnahmetatbestände des Artikel 49 sind auf Einzelfälle zugeschnitten, nicht auf wiederkehrende Herausgaben.

Daraus ergibt sich die praktische Lage: Ein Anbieter, der einer US-Anordnung folgt, riskiert einen Verstoß gegen die DSGVO. Ein Anbieter, der sie verweigert, riskiert Sanktionen in den USA. Verantwortlich im Sinne der DSGVO bleibt in der Regel dein Unternehmen als Auftraggeber. Verstöße gegen die Übermittlungsvorschriften fallen in den oberen Bußgeldrahmen des Artikel 83 DSGVO, also bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Ob ein solcher Rahmen ausgeschöpft wird, entscheidet die zuständige Aufsichtsbehörde im Einzelfall.

Der EU-U.S. Data Privacy Framework, dessen Angemessenheitsbeschluss die Europäische Kommission 2023 erlassen hat, erleichtert Übermittlungen an zertifizierte US-Unternehmen. Er beseitigt den Konflikt mit Artikel 48 aber nicht, weil er die Zulässigkeit der Übermittlung regelt und nicht die Frage, ob eine ausländische Herausgabeanordnung anerkannt werden darf. Der Bestand solcher Angemessenheitsbeschlüsse hängt zudem von laufenden Überprüfungen und Verfahren ab. Prüfe den aktuellen Status bei der Europäischen Kommission, bevor du dich in einer Dokumentation darauf stützt.

Was bedeutet das für deine Infrastruktur?

Aus der Rechtslage folgt keine pauschale Antwort, sondern eine Reihe von Gestaltungsfragen. Diese vier haben in der Praxis den größten Hebel:

• Verfügungsgewalt statt Standort: Die Frage ist nicht "Wo steht der Server?", sondern "Wer kann technisch und rechtlich auf die Daten zugreifen?". Ein EU-Rechenzentrum eines US-Konzerns beantwortet die zweite Frage nicht.
• Schlüsselhoheit: Verschlüsselung hilft nur, wenn der Anbieter die Schlüssel nicht selbst verwaltet. Bei anbieterseitigem Key Management bleibt die Herausgabe von Klartext technisch möglich. Modelle mit kundenseitig gehaltenen Schlüsseln verlagern das Risiko, verlagern aber auch die Betriebsverantwortung zu dir.
• Metadaten: Bestands- und Verbindungsdaten, Abrechnungsdaten und Logs sind häufig nicht verschlüsselt und können aussagekräftig sein. Sie gehören in die Bewertung.
• Lieferkette: Ein europäischer Anbieter mit US-Subunternehmern für Support, Telemetrie oder Backup trägt das Thema in deine Verarbeitung hinein. Die Unterauftragnehmerliste ist deshalb ein Prüfdokument, kein Anhang zur Kenntnisnahme.

Sinnvoll ist eine Einteilung der eigenen Datenbestände nach Schutzbedarf. Für Bestände mit hohem Schutzbedarf, etwa Gesundheitsdaten, Berufsgeheimnisse nach § 203 StGB oder Daten aus regulierten Bereichen, ist die Anbieterjurisdiktion ein hartes Auswahlkriterium. Für unkritische Bestände ist sie ein Abwägungspunkt unter mehreren.

Auf europäischer Seite adressiert der EU Data Act (Verordnung (EU) 2023/2854) das Thema ausdrücklich. Er verpflichtet Anbieter von Datenverarbeitungsdiensten zu Schutzvorkehrungen gegen unrechtmäßigen behördlichen Zugriff aus Drittstaaten auf in der EU gespeicherte Daten. Die Verordnung gilt seit dem 12. September 2025; die konkreten Pflichten und ihre Auslegung solltest du am Verordnungstext prüfen. Ein europäisches Zertifizierungsschema für Cloud-Dienste mit Souveränitätsanforderungen wird auf EU-Ebene seit Längerem diskutiert. Zum jeweils aktuellen Stand ist die ENISA die richtige Quelle.

Wie ordnet sich der CLOUD Act neben DSGVO, NIS2 und C5 ein?

Der CLOUD Act ist eine ausländische Zugriffsnorm, während DSGVO, NIS2, DORA und BSI C5 europäische beziehungsweise deutsche Anforderungen an dich und deine Dienstleister formulieren. Sie überschneiden sich nur in der Konsequenz, nämlich bei der Auswahl und Kontrolle von Dienstleistern.

Der letzte Punkt ist für die Beschaffung besonders brauchbar. Der Kriterienkatalog C5 des BSI verlangt vom Anbieter Transparenzangaben unter anderem zum Gerichtsstand und zum Ort der Datenverarbeitung. Ein C5-Testat beantwortet damit nicht die Rechtsfrage, liefert dir aber geprüfte Fakten, auf denen du deine eigene Bewertung aufbauen kannst. centron hält ein uneingeschränktes BSI-C5:2020-Typ-1-Testat für ccloud³ und die Managed Cloud sowie Zertifizierungen nach ISO/IEC 27001, ISO 9001 und ISO 14001.

Wo stehen die verbindlichen Angaben?

Für den Gesetzestext selbst ist die US-Kodifikation maßgeblich, insbesondere die durch den CLOUD Act geänderten Vorschriften des Stored Communications Act in 18 U.S.C. Kapitel 121. Für die datenschutzrechtliche Bewertung in der EU sind der Verordnungstext der DSGVO sowie die gemeinsame Stellungnahme von EDSA und EDSB aus dem Jahr 2019 die belastbaren Quellen. Zum Stand von Angemessenheitsbeschlüssen und laufenden Verhandlungen informiert die Europäische Kommission, zu Cloud-Sicherheitsanforderungen das BSI und zur europäischen Zertifizierungslandschaft die ENISA.

Was dir keine allgemeine Darstellung abnimmt: die Bewertung deines konkreten Falls. Datenarten, Branche, Vertragswerk und Lieferkette entscheiden darüber, ob die Anbieterjurisdiktion für dich ein Ausschlusskriterium oder ein dokumentierter Restrisikoposten ist. Diese Einordnung gehört gemeinsam mit dem Datenschutzbeauftragten und der Rechtsabteilung getroffen und schriftlich festgehalten, damit sie im Prüfungsfall nachvollziehbar ist.

Weitere Compliance-Themen

• BSI C5: Testat, Typ 1 und Typ 2 verstehen
• DORA: Was die Verordnung für IT-Dienstleister bedeutet
• ISO 27001: Anforderungen, Ablauf und Aufwand
• NIS2: Wer ist betroffen und was ist zu tun?