Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Bundesgesetz vom März 2018, das Anbieter unter US-Jurisdiktion verpflichtet, gespeicherte Daten auf Anordnung von US-Behörden herauszugeben, unabhängig davon, wo auf der Welt diese Daten physisch liegen.
Für europäische Unternehmen ist das Gesetz der Grund, warum die Standortfrage bei der Cloud-Wahl weniger beantwortet, als viele Broschüren versprechen. Ein Rechenzentrum in Frankfurt oder Paris ändert nichts an der Reichweite des CLOUD Act, solange der Betreiber einem US-Mutterkonzern gehört. Wer die Tragweite verstehen will, muss kurz in die Vorgeschichte schauen, denn das Gesetz ist die direkte Antwort auf einen verlorenen Rechtsstreit.
Entstehung: der Fall Microsoft Irland
2013 verlangte die US-Bundespolizei FBI in einem Drogenermittlungsverfahren per Durchsuchungsbeschluss E-Mails heraus, die Microsoft im Rechenzentrum Dublin speicherte. Grundlage war der Stored Communications Act von 1986, ein Gesetz aus der Zeit vor dem Cloud-Computing. Microsoft verweigerte die Herausgabe mit dem Argument, ein US-Beschluss reiche nicht auf irische Server, und bekam 2016 in zweiter Instanz Recht. Der Streit ging als Microsoft Corp. v. United States bis vor den Supreme Court.
Der Fall legte ein strukturelles Problem offen: Der reguläre Weg für grenzüberschreitende Beweiserhebung, das Rechtshilfeabkommen (Mutual Legal Assistance Treaty, kurz MLAT), dauert in der Praxis Monate und war für die Geschwindigkeit digitaler Ermittlungen nie gebaut. Zwei Anläufe, das Problem gesetzlich zu lösen, scheiterten zunächst: der LEADS Act von 2015 und der International Communications Privacy Act von 2017 kamen nie über das Entwurfsstadium hinaus.
Zu einem Urteil kam es ebenfalls nie. Während das Verfahren lief, verabschiedete der US-Kongress den CLOUD Act und beantwortete die offene Rechtsfrage per Gesetz: Am 23. März 2018 trat er als Teil eines Haushaltsgesetzes (Consolidated Appropriations Act, Division V) in Kraft. Das Justizministerium beschaffte sich umgehend eine neue Anordnung auf der neuen Grundlage, und der Supreme Court erklärte den Fall im April 2018 für erledigt. Die ausführliche Selbstdarstellung des Gesetzes hat das US-Justizministerium in einem Whitepaper veröffentlicht; eine neutrale Übersicht bietet der Wikipedia-Artikel zum CLOUD Act.
Kernmechanik: „possession, custody, or control"
Das Herzstück des Gesetzes ist eine Ergänzung des Stored Communications Act (18 U.S.C. § 2713). Anbieter müssen Daten herausgeben, die sich in ihrem Besitz, ihrer Verwahrung oder ihrer Kontrolle befinden, im Gesetzestext „possession, custody, or control". Der Speicherort ist damit ausdrücklich irrelevant. Erfasst sind Anbieter elektronischer Kommunikations- und Cloud-Dienste, die in den USA tätig sind oder dort eine rechtliche Präsenz haben. Das beschränkt die Wirkung keineswegs auf US-Konzerne: Auch ein europäischer Anbieter mit US-Niederlassung kann in den Anwendungsbereich fallen. Und weil Gerichte die Konzernmutter zur Herausgabe von Daten verpflichten können, die eine Tochtergesellschaft im Ausland hält, schützt eine europäische Tochter-GmbH mit eigenem Rechenzentrum nicht vor dem Durchgriff.
Das Verfahren läuft vollständig nach US-Recht: Eine richterliche Anordnung oder Subpoena genügt, ein Rechtshilfeersuchen an den Staat, in dem die Daten liegen, ist nicht mehr nötig. Der Anbieter kann die Anordnung anfechten, wenn sie ihn in Konflikt mit dem Recht eines Partnerlandes bringt; diese Möglichkeit ist aber eng gefasst und greift im Verhältnis zur EU praktisch kaum. Eine Pflicht, die betroffene Person oder eine europäische Aufsichtsbehörde zu informieren, kennt das Gesetz nicht.
Executive Agreements: die zweite Säule
Neben dem Herausgabeanspruch schuf der CLOUD Act ein Instrument namens Executive Agreement: bilaterale Abkommen, mit denen Partnerstaaten gegenseitig direkten Datenzugriff bei ihren Anbietern erhalten, vorbei am langsamen Rechtshilfeweg. Das erste Abkommen schlossen die USA mit dem Vereinigten Königreich, ein weiteres folgte mit Australien. Zwischen den USA und der EU laufen Gespräche über ein solches Abkommen seit 2019 mit Unterbrechungen, ohne dass ein Abschluss erreicht wurde. Bis dahin bleibt der Zugriff auf EU-Daten über den CLOUD Act ein einseitiger Vorgang, an dem europäische Stellen nicht beteiligt sind.
CLOUD Act und DSGVO: das Spannungsverhältnis
Aus europäischer Sicht kollidiert der CLOUD Act mit der Systematik der DSGVO. Nach Art. 48 DSGVO dürfen Entscheidungen von Behörden und Gerichten aus Drittstaaten, die eine Datenübermittlung verlangen, nur anerkannt werden, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruhen. Genau diesen Weg umgeht der CLOUD Act konstruktionsbedingt. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte kamen deshalb schon in ihrer gemeinsamen Stellungnahme vom Juli 2019 zu dem Schluss, dass eine Herausgabe allein auf Basis einer CLOUD-Act-Anordnung regelmäßig keine Rechtsgrundlage nach der DSGVO hat; tragfähig wäre in aller Regel nur der Weg über ein Rechtshilfeabkommen.
Für die Anbieter entsteht damit eine Zwickmühle: Befolgen sie die US-Anordnung, riskieren sie einen DSGVO-Verstoß samt Bußgeld. Verweigern sie die Herausgabe, drohen Sanktionen in den USA. Aufgelöst ist dieser Konflikt bis heute nicht, er wird von Fall zu Fall ausgehalten. Für betroffene Unternehmen ist das die unangenehmste Eigenschaft der Lage: Ob und wie oft ihre Daten Gegenstand solcher Anordnungen sind, erfahren sie im Zweifel nie.
Einordnung: Unterstützung, Kritik und internationale Wirkung
Bemerkenswert an der Entstehungsgeschichte ist, wer das Gesetz wollte. Neben dem US-Justizministerium unterstützten es ausgerechnet die großen Technologiekonzerne, darunter Microsoft, Apple und Amazon Web Services. Aus deren Sicht beendete der CLOUD Act einen unhaltbaren Schwebezustand: Nach dem Irland-Verfahren war unklar, welchem Recht sie bei grenzüberschreitenden Anfragen folgen mussten. Das Gesetz gab ihnen einen klaren, wenn auch einseitigen Rahmen.
Die Kritik kam von Bürgerrechtsorganisationen wie der Electronic Frontier Foundation, der ACLU, Amnesty International und Human Rights Watch. Ihre Einwände: Das Gesetz schwäche den Schutz des Vierten Verfassungszusatzes vor unverhältnismäßigen Durchsuchungen, die Executive Agreements umgingen die richterliche Kontrolle, und Betroffene würden von Herausgabeverlangen nichts erfahren. In der internationalen Debatte wird der CLOUD Act zudem regelmäßig neben Chinas Nachrichtendienstgesetz gestellt, das chinesische Unternehmen zur Kooperation mit Behörden verpflichtet; die Mechanik extraterritorialer Zugriffspflichten ist in beiden Fällen dieselbe, auch wenn Rechtsstaatlichkeit und Kontrollmechanismen sich deutlich unterscheiden. Sichtbarste Folge weltweit: Nach Verabschiedung des Gesetzes haben zahlreiche Staaten Lokalisierungs- und Souveränitätsanforderungen für Daten eingeführt. Der CLOUD Act hat die Fragmentierung des globalen Datenraums, die er ignorierte, damit selbst beschleunigt.
Praxisfolge: Datenresidenz ist keine Souveränität
Die wichtigste Konsequenz für die Architekturplanung lautet: Ein EU-Rechenzentrum eines US-Anbieters bietet Datenresidenz, aber keine digitale Souveränität. Der rechtliche Zugriff folgt der Eigentümerstruktur, nicht der Geografie. Wie belastbar diese Einschätzung ist, zeigte im Juni 2025 eine Anhörung im französischen Senat: Anton Carniaux, Chefjustiziar von Microsoft France, wurde unter Eid gefragt, ob er garantieren könne, dass Daten französischer Bürger niemals ohne Zustimmung der französischen Behörden an die US-Regierung übermittelt werden. Seine Antwort: Das könne er nicht garantieren. Bemerkenswert war daran nicht die Rechtslage, die war Fachleuten bekannt, sondern dass ein Konzernvertreter sie erstmals so unmissverständlich bestätigte.
Auch die „souveränen" Cloud-Angebote der Hyperscaler, von EU-Datengrenzen bis zu formal eigenständigen europäischen Strukturen, ändern an der Grundmechanik wenig: Sie verlagern Daten, Personal und Betrieb nach Europa, die Kontrolle über das Unternehmen bleibt beim US-Konzern. Solche Konstruktionen reduzieren praktische Risiken und können für viele Workloads völlig ausreichen. Man sollte nur präzise benennen, was sie leisten: Risikominderung, keine Immunität.
Handlungsoptionen für Unternehmen
Der CLOUD Act ist kein Grund zur Panik, aber ein Grund zur Datenklassifizierung. Bewährt hat sich ein abgestuftes Vorgehen:
- Daten klassifizieren: Welche Bestände sind so sensibel (Geschäftsgeheimnisse, Forschungsdaten, besondere Kategorien personenbezogener Daten), dass ein möglicher Drittstaaten-Zugriff inakzeptabel wäre? Nur für diese Klasse braucht es strukturelle Konsequenzen.
- Sensible Workloads europäisch betreiben: auf Anbietern ohne US-Mutter (etwa Hetzner, IONOS, STACKIT) oder per Self-Hosting auf eigener Infrastruktur, zum Beispiel mit Werkzeugen wie n8n für die Prozessautomatisierung.
- Schlüsselhoheit prüfen: Verschlüsselung schützt nur, wenn der Anbieter die Schlüssel nicht selbst nutzen kann. Clientseitige oder Ende-zu-Ende-Verschlüsselung ist wirksam, kostet aber Funktionalität; „Bring your own key"-Modelle, bei denen der Anbieter im Betrieb entschlüsselt, sind gegen behördliche Herausgabepflichten weitgehend wirkungslos.
- Verträge nachschärfen: Der Auftragsverarbeitungsvertrag sollte Herausgabeverlangen adressieren: Anfechtungspflicht des Anbieters, Benachrichtigung soweit rechtlich zulässig, Transparenzberichte.
- Exit-Fähigkeit erhalten: Wer wechseln kann, verhandelt anders und reagiert schneller auf Rechtsänderungen. Der Hebel gegen den Vendor-Lock-in ist damit zugleich ein Hebel gegen das CLOUD-Act-Risiko.
Häufige Fragen zum CLOUD Act
Betrifft der CLOUD Act nur Privatpersonen oder auch Unternehmensdaten?
Beides. Das Gesetz spricht von Daten eines „customer or subscriber", ohne zwischen Privatkunden und Geschäftskunden zu unterscheiden. In einem US-Ermittlungsverfahren können also auch E-Mails, Dokumente oder Datenbankbestände eines europäischen Unternehmens herausverlangt werden, sofern sie bei einem Anbieter unter US-Jurisdiktion liegen. Für Geschäftsgeheimnisse ist das der eigentlich heikle Punkt, denn anders als bei personenbezogenen Daten gibt es hier kein flankierendes Schutzregime wie die DSGVO.
Gilt der CLOUD Act auch für europäische Tochterfirmen von US-Konzernen?
Ja. Maßgeblich ist, ob Daten im Besitz, in der Verwahrung oder unter der Kontrolle eines Anbieters stehen, der US-Jurisdiktion unterliegt. US-Gerichte können die Konzernmutter verpflichten, Daten beizubringen, die ihre europäische Tochter speichert. Umgekehrt kann auch ein europäisches Unternehmen mit eigener US-Niederlassung in den Anwendungsbereich fallen.
Schützt ein EU-Rechenzentrum vor dem CLOUD Act?
Nein. Der Speicherort ist nach dem Gesetz ausdrücklich unerheblich. Ein EU-Rechenzentrum verbessert Latenz, Datenresidenz und oft auch die DSGVO-Dokumentation, ändert aber nichts an der Herausgabepflicht des US-Anbieters. Schutz bietet erst eine Struktur, in der kein Beteiligter mit Zugriff auf die Klardaten US-Jurisdiktion unterliegt.
Ist der CLOUD Act dasselbe wie FISA 702?
Nein. Der CLOUD Act ist ein Instrument der Strafverfolgung: Er regelt Herausgabepflichten in konkreten Ermittlungsverfahren mit richterlicher Anordnung. Section 702 des FISA betrifft die nachrichtendienstliche Überwachung von Nicht-US-Personen außerhalb der USA. Beide Regime zusammen bilden das Zugriffsrisiko, das in den europäischen Debatten über US-Clouds verhandelt wird.
Macht der CLOUD Act die Nutzung von US-Cloud-Diensten illegal?
Nein. Datenübermittlungen in die USA stützen sich derzeit auf das EU-US Data Privacy Framework, dessen Angemessenheitsbeschluss das Gericht der EU im September 2025 bestätigt hat; ein Rechtsmittel ist beim EuGH anhängig. Zulässigkeit und Risiko sind aber zwei Fragen: Für unkritische Workloads bleibt die US-Cloud eine legitime Wahl, für hochsensible Daten empfiehlt sich eine Architektur, die einen Drittstaaten-Zugriff strukturell ausschließt statt ihn nur vertraglich zu bedauern.