Was ist der US CLOUD Act?

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018 ist ein Gesetz der Vereinigten Staaten, das US-Behörden erlaubt, Anbieter mit Sitz in den USA zur Herausgabe von Daten zu zwingen, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden, gleich wo auf der Welt diese Daten physisch liegen. In der Praxis heißt das: Daten bei einem US-Unternehmen sind für US-Behörden erreichbar, auch wenn sie in einem Rechenzentrum in Frankfurt, Dublin oder sonst wo liegen.

Für europäische Organisationen ist der CLOUD Act der greifbare Grund dafür, dass Daten in einer EU-Region zu speichern nicht dasselbe ist, wie sie fremdem Zugriff zu entziehen. Er steht im Zentrum der Debatte über Datensouveränität und ist einer der Haupttreiber hinter Europas Vorstoß für souveräne Infrastruktur.

Was der US CLOUD Act ist

Der CLOUD Act hat den Stored Communications Act von 1986 aktualisiert, der die Regeln dafür setzt, wann die US-Regierung Anbieter zur Herausgabe gespeicherter elektronischer Kommunikation zwingen kann. Vor dem Gesetz war rechtlich zweifelhaft, ob ein US-Durchsuchungsbeschluss an Daten im Ausland reicht. Der CLOUD Act hat diesen Zweifel zugunsten der Regierung ausgeräumt: Maßgeblich ist nicht, wo die Daten liegen, sondern ob ein für die USA erreichbarer Anbieter sie kontrolliert.

Er gilt für Anbieter, die der US-Gerichtsbarkeit unterstehen, also für Unternehmen mit Hauptsitz in den USA und, je nach Umfang der Kontrolle, auch für deren Tochtergesellschaften. Auslöser ist die Kontrolle über die Daten, nicht ihr Ort.

Wie er wirkt

Der Mechanismus ist geradlinig, und genau deshalb zählt er:

• Eine US-Behörde erlässt eine rechtmäßige Anordnung, einen Durchsuchungsbeschluss oder eine Vorladung, für bestimmte Daten.
• Die Anordnung wird einem Anbieter zugestellt, der der US-Gerichtsbarkeit untersteht und Besitz, Gewahrsam oder Kontrolle über diese Daten hat.
• Der Anbieter muss die Daten herausgeben, gleich ob sie in den USA oder in einer EU-Region liegen. Die Geografie schützt sie nicht.

Das Gesetz hat außerdem einen Rahmen für Regierungsabkommen zwischen den USA und anderen Staaten geschaffen, um grenzüberschreitende Ersuchen zu vereinfachen. Die Kernpflicht für erreichbare Anbieter besteht aber unabhängig von einem solchen Abkommen.

Der Konflikt mit der DSGVO

Der CLOUD Act bringt europäische Organisationen in eine echte Zwangslage. Gibt ein US-Anbieter personenbezogene Daten aus der EU auf eine Anordnung nach dem CLOUD Act an US-Behörden heraus, kann diese Offenlegung selbst gegen die DSGVO verstoßen. Nach Art. 48 DSGVO macht ein Urteil oder eine Entscheidung einer Behörde aus einem Drittland eine Übermittlung personenbezogener Daten nicht für sich allein rechtmäßig; es braucht eine gültige Grundlage im Unionsrecht, etwa ein internationales Abkommen.

Der Europäische Datenschutzausschuss vertritt hier eine enge Auffassung: Fehlt eine solche Grundlage, darf ein an die EU gebundener Anbieter personenbezogene Daten auf ein unmittelbares Ersuchen nach dem CLOUD Act in der Regel nicht rechtmäßig an US-Behörden geben. Heraus kommt ein Normenkonflikt, der US-Anordnung folgen und Bußgelder nach der DSGVO riskieren oder der DSGVO folgen und fehlende Compliance in den USA riskieren, den kein Vertragstext vollständig auflöst.

Was das für EU-Organisationen heißt

Die praktische Lehre lautet: Über den Zugriff auf Ihre Daten entscheidet die Gerichtsbarkeit, nicht die Geografie. Ein Datenkatalog ist dafür ein empfindliches Beispiel: Er beschreibt, welche Daten Sie halten, wohin sie fließen und wer sie verantwortet, also genau die Karte, die Sie einer ausländischen Anordnung nicht offenlegen wollen. Wo dieser Katalog läuft und wer ihn betreibt, ist eine Entscheidung über Souveränität.

Deshalb löst die Datenresidenz allein das Problem nicht, und deshalb ist das Interesse an souveräner Cloud und europäisch betriebener Infrastruktur gewachsen. Der verlässliche Ausweg aus dem Konflikt besteht darin, dafür zu sorgen, dass der Anbieter Ihrer Daten der US-Gerichtsbarkeit von vornherein nicht untersteht und dass die Daten in einer Umgebung laufen können, die Sie kontrollieren.

Wie Dawiso hilft

Dawiso ist so gebaut, dass der Konflikt um den CLOUD Act für Ihre kuratierten Metadaten nicht gilt.

• In europäischem Besitz und europäisch betrieben. Dawiso wird von einem europäischen Unternehmen gebaut und betrieben, es gibt also keine US-Muttergesellschaft, die eine Anordnung nach dem CLOUD Act an Ihrer Stelle zwingen könnte.
• Dort betreiben, wo Sie es kontrollieren. Betreiben Sie Dawiso in einer Private Cloud in Ihrem eigenen EU-Tenant oder vollständig On-Premises, sodass Ihre Daten und Metadaten in einer Umgebung und einer Gerichtsbarkeit bleiben, die Sie kontrollieren.
• Nur Metadaten, je Kunde getrennt. In hybriden Aufbauten werden nur Metadaten übertragen, und jeder Kunde hat einen eigenen Metadatenspeicher, was DSGVO, ISO 27001 und SOC 2 stützt.
• Governance, die Compliance trägt. Der Datenkatalog, die Klassifizierung und die Lineage geben Ihnen das Bild personenbezogener und sensibler Daten, das die DSGVO und der EU Data Act bei Ihnen voraussetzen.

Die größere Argumentation steht in Europäische Datensouveränität und der Datenkatalog.

Fazit

Der US CLOUD Act erlaubt US-Behörden, Anbieter mit Sitz in den USA zur Herausgabe von Daten zu zwingen, wo immer diese liegen. Deshalb entzieht eine EU-Datenresidenz auf einer US-betriebenen Plattform die Daten dem Zugriff nicht. Er kollidiert mit der DSGVO und lässt europäische Organisationen in einem Normenkonflikt zurück, den Verträge nicht vollständig beheben. Die tragfähige Antwort ist Souveränität: Halten Sie Ihre empfindlichsten Systeme, den Datenkatalog eingeschlossen, bei einem europäischen Anbieter, betrieben dort, wo Sie es bestimmen.