Der US CLOUD Act verpflichtet amerikanische IT-Dienstleister zur Herausgabe von Kundendaten an US-Behörden, unabhängig vom weltweiten Speicherort. Dies betrifft alle Unternehmen, die Dienste von Anbietern wie AWS, Azure oder Google Cloud nutzen. Für europäische Organisationen entsteht dadurch ein massives rechtliches Risiko.
Was besagt Section 2713?
Der Kern des Gesetzes findet sich in Section 2713 des Stored Communications Act. Diese Klausel zwingt US-Unternehmen, elektronische Kommunikationsdaten und Aufzeichnungen offenzulegen. Die Pflicht greift ausdrücklich auch dann, wenn sich die betroffenen Server physisch im Ausland befinden. Amerikanische Ermittlungsbehörden erhalten somit potenziellen Zugriff auf Datenzentren in Frankfurt oder Paris.
Wer ist vom CLOUD Act betroffen?
Das Gesetz gilt für alle Unternehmen, die der US-Gerichtsbarkeit unterliegen. Dies umfasst sämtliche amerikanische Technologiekonzerne und deren globale Tochtergesellschaften. Ein deutscher Mittelständler, der seine Daten bei einer europäischen Tochterfirma eines US-Konzerns speichert, ist ebenfalls betroffen. Die physische Speicherung der Daten in der EU bietet in diesem Fall keinen ausreichenden Schutz vor dem Zugriff.
- US-amerikanische Hyperscaler (AWS, Microsoft Azure, Google Cloud).
- US-SaaS-Anbieter, die LLM-Schnittstellen bereitstellen.
- Europäische Töchter von US-Konzernen, unabhängig von ihrem Standort.
Der direkte Konflikt mit der DSGVO
Der CLOUD Act steht in fundamentalem Widerspruch zur europäischen Datenschutzgrundverordnung. Die DSGVO verbietet die Übermittlung personenbezogener Daten an Drittländer ohne angemessene Schutzgarantien. Ein Datenzugriff durch US-Behörden stellt aus europäischer Sicht eine illegale Datenübermittlung dar. Unternehmen stehen somit vor dem unlösbaren Dilemma, entweder amerikanisches oder europäisches Recht zu brechen.
| Rechtsnorm | Fokus | Auswirkung auf EU-Daten |
|---|---|---|
| US CLOUD Act | Strafverfolgung | Erzwingt Herausgabe trotz EU-Hosting |
| DSGVO | Schutz der Privatsphäre | Verbietet Herausgabe an US-Behörden |
| EuGH (Schrems II) | Datentransfer | Kippte das Privacy Shield Abkommen |
Praktische Konsequenzen für den Mittelstand
Für deutsche Unternehmen bedeutet diese Rechtslage eine erhebliche Planungsunsicherheit. Sie müssen bei der Auswahl von Software für ihr KI-Governance Framework die Standortfrage priorisieren. Die Nutzung von Diensten, die dem CLOUD Act unterliegen, erfordert aufwendige vertragliche und technische Zusatzmaßnahmen. Eine konsequente Vermeidung gelingt nur durch den Einsatz von Anbietern ohne jeglichen US-Bezug.
Die Quintessenz
Der CLOUD Act hebelt den physischen Standortschutz von Daten aus und erfordert alternative, europäische Hosting-Strategien.
Häufige Fragen
Schützt eine Verschlüsselung der Daten in der US-Cloud vor dem CLOUD Act?
Nur wenn der Schlüssel ausschließlich vom europäischen Kunden kontrolliert wird (Bring Your Own Key) und der Cloud-Anbieter keinen Zugriff hat.
Betrifft der CLOUD Act auch rein europäische Cloud-Anbieter?
Nein, europäische Anbieter ohne rechtliche Verflechtungen in die USA unterliegen diesem Gesetz nicht.
Offizielle Informationen und hilfreiche Hintergründe.