3. Juli 2026

US CLOUD ActDatensouveränitätDSGVOgrenzüberschreitende DatenübermittlungCLOUD ActDatenschutz

Was ist der US CLOUD Act?

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act), am 23. März 2018 als Division V des Consolidated Appropriations Act, 2018 unterzeichnet, ist ein Gesetz der Vereinigten Staaten, das US-Behörden erlaubt, Kommunikations- und Cloud-Anbieter, die der US-Gerichtsbarkeit unterstehen, zur Herausgabe von Daten zu zwingen, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden, gleich ob diese Daten innerhalb oder außerhalb der Vereinigten Staaten gespeichert sind. In der Praxis heißt das: Daten bei einem US-Unternehmen sind für US-Rechtsverfahren erreichbar, auch wenn sie in einem Rechenzentrum in Frankfurt, Dublin oder anderswo liegen.

Für europäische Organisationen ist der CLOUD Act der greifbare Grund dafür, dass Daten in einer EU-Region zu speichern nicht dasselbe ist, wie sie fremdem Zugriff zu entziehen. Er steht im Zentrum der Debatte über Datensouveränität und ist einer der Haupttreiber hinter Europas Vorstoß für souveräne Infrastruktur.

TL;DR

Der US CLOUD Act (2018) erlaubt US-Behörden, Anbieter mit Sitz in den USA zur Herausgabe von Daten zu zwingen, über die sie Besitz, Gewahrsam oder Kontrolle haben, gleich wo diese Daten liegen, auch in Rechenzentren in der EU. Er hat den Stored Communications Act geändert und kann bis zu US-Unternehmen und deren Tochtergesellschaften reichen. Damit entsteht ein unmittelbarer Konflikt mit der DSGVO: Nach Art. 48 macht eine ausländische Anordnung eine Übermittlung nicht für sich allein rechtmäßig, ein Anbieter kann also zwischen US-Recht und EU-Recht geraten. Daten in einer EU-Region zu speichern entzieht sie dem Zugriff nicht, wenn der Betreiber der US-Gerichtsbarkeit untersteht. Anbieter können eine Anordnung nur in begrenzten Fällen unter Berufung auf die völkerrechtliche Rücksichtnahme (Comity) anfechten. Der direkteste Weg, das Risiko zu senken, ist Souveränität: ein Anbieter und eine Infrastruktur außerhalb der US-Gerichtsbarkeit, betrieben dort, wo Sie es bestimmen.

Was der US CLOUD Act ist

Der CLOUD Act hat den Stored Communications Act von 1986 aktualisiert, der die Regeln dafür setzt, wann die US-Regierung Anbieter zur Herausgabe gespeicherter elektronischer Kommunikation zwingen kann. Vor dem Gesetz war rechtlich zweifelhaft, ob sich ein US-Durchsuchungsbeschluss auf Daten im Ausland erstreckt. Im Fall Microsoft Ireland hatte ein Bundesberufungsgericht 2016 entschieden, dass ein Durchsuchungsbeschluss nach dem Stored Communications Act sich nicht auf E-Mails erstreckt, die Microsoft in Dublin speicherte. Der CLOUD Act hat die Frage zugunsten der Regierung geklärt, und am 17. April 2018 erklärte der Supreme Court das Verfahren United States v. Microsoft Corp. für erledigt, weil das neue Gesetz galt und die Regierung auf seiner Grundlage einen neuen Durchsuchungsbeschluss erwirkt hatte. Maßgeblich ist seitdem nicht, wo die Daten liegen, sondern ob ein Anbieter, der der US-Gerichtsbarkeit untersteht, sie kontrolliert.

Er gilt für Anbieter, die der US-Gerichtsbarkeit unterstehen, also für Unternehmen mit Hauptsitz in den USA und, je nach Umfang der Kontrolle, auch für deren Tochtergesellschaften. Auslöser ist die Kontrolle über die Daten, nicht ihr Ort.

Wie er wirkt

Der Mechanismus ist geradlinig, und genau deshalb zählt er:

Eine US-Behörde erlässt eine rechtmäßige Anordnung, einen Durchsuchungsbeschluss oder eine Vorladung, für bestimmte Daten.
Die Anordnung wird einem Anbieter zugestellt, der der US-Gerichtsbarkeit untersteht und Besitz, Gewahrsam oder Kontrolle über diese Daten hat.
Der Anbieter muss die Daten herausgeben, gleich ob sie in den USA oder in einer EU-Region liegen. Die Geografie schützt sie nicht.

Die Pflicht gilt nicht ausnahmslos. Nach 18 U.S.C. 2703(h) kann ein Anbieter bei Gericht beantragen, eine Anordnung zum Inhalt der Kommunikation eines Kunden aufzuheben oder zu ändern, der keine US-Person ist und nicht in den USA lebt, aber nur, wenn die Offenlegung das Recht eines „qualifying foreign government“ zu verletzen droht, also eines Staates, mit dem ein Regierungsabkommen nach dem CLOUD Act in Kraft ist und dessen Recht US-Anbietern im Gegenzug entsprechenden Schutz gewährt. Das Gericht wägt dann Gesichtspunkte der Comity ab, etwa die Interessen beider Regierungen und die Sanktionen, die dem Anbieter drohen. Die bisherigen Comity-Einwände nach Common Law bleiben in anderen Fällen ebenfalls möglich.

Das Gesetz hat diesen Rahmen für Regierungsabkommen geschaffen, um grenzüberschreitende Ersuchen in beide Richtungen zu vereinfachen. Das Abkommen mit dem Vereinigten Königreich trat im Oktober 2022 in Kraft, das mit Australien im Januar 2024; die Abkommenstexte veröffentlicht das US-Justizministerium. Die Verhandlungen zwischen der EU und den USA über den Zugang zu elektronischen Beweismitteln begannen 2019 und wurden im März 2023 wieder aufgenommen, Stand Oktober 2026 ist aber noch kein Abkommen zwischen der EU und den USA geschlossen. Die Kernpflicht für Anbieter, die der US-Gerichtsbarkeit unterstehen, besteht unabhängig von einem solchen Abkommen.

Zum Vergrößern klicken

Der CLOUD Act bringt europäische Organisationen in eine echte Zwangslage. Gibt ein US-Anbieter personenbezogene Daten aus der EU auf eine Anordnung nach dem CLOUD Act an US-Behörden heraus, kann diese Offenlegung selbst gegen die DSGVO verstoßen. Nach Art. 48 DSGVO macht ein Urteil oder eine Entscheidung einer Behörde aus einem Drittland eine Übermittlung personenbezogener Daten nicht für sich allein rechtmäßig; ein solches Urteil oder eine solche Entscheidung kann nur anerkannt oder vollstreckt werden, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen, unbeschadet der anderen Übermittlungsgründe in Kapitel V wie der eng gefassten Ausnahmen nach Art. 49 DSGVO.

Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) haben im Juli 2019 in einer gemeinsamen rechtlichen Bewertung für das Europäische Parlament eine restriktive Auffassung vertreten: Eine Anordnung nach dem CLOUD Act ist für sich allein keine Rechtsgrundlage nach der DSGVO, ein Anbieter, der der DSGVO unterliegt und personenbezogene Daten auf ein unmittelbares Ersuchen herausgibt, riskiert also einen Verstoß gegen sie. Als angemessenen Weg forderten sie ein internationales Abkommen zwischen der EU und den USA mit starken Garantien. Heraus kommt ein Normenkonflikt, der US-Anordnung folgen und Bußgelder nach der DSGVO riskieren oder der DSGVO folgen und fehlende Compliance in den USA riskieren, den kein Vertragstext vollständig auflöst.

Der Konflikt betrifft nicht nur personenbezogene Daten. Art. 32 des EU Data Act, der seit dem 12. September 2025 gilt, verpflichtet Cloud-Anbieter und andere Anbieter von Datenverarbeitungsdiensten zu technischen, organisatorischen und rechtlichen Maßnahmen gegen den Zugriff von Regierungen aus Drittstaaten auf nicht personenbezogene Daten in der EU, wenn dieser Zugriff mit dem Recht der EU oder eines Mitgliedstaats kollidieren würde.

Was das für EU-Organisationen heißt

Die praktische Lehre lautet: Über den Zugriff auf Ihre Daten entscheidet die Gerichtsbarkeit, nicht die Geografie. Ein Datenkatalog ist dafür ein empfindliches Beispiel: Er beschreibt, welche Daten Sie halten, wohin sie fließen und wer sie verantwortet, also genau die Karte, die Sie einer ausländischen Anordnung nicht offenlegen wollen. Wo dieser Katalog läuft und wer ihn betreibt, ist eine Entscheidung über Souveränität.

Deshalb löst die Datenresidenz allein das Problem nicht, und deshalb ist das Interesse an souveräner Cloud und europäisch betriebener Infrastruktur gewachsen. Der direkteste Ausweg aus dem Konflikt besteht darin, dafür zu sorgen, dass der Anbieter Ihrer Daten und der Infrastrukturanbieter darunter der US-Gerichtsbarkeit von vornherein nicht unterstehen und dass die Daten in einer Umgebung laufen können, die Sie kontrollieren.

Wie Dawiso hilft

Dawiso lässt Sie wählen, wo Ihre kuratierten Metadaten liegen und wer sie betreibt, sodass Sie entscheiden, wie viel Risiko durch den CLOUD Act Sie in Kauf nehmen.

Ein europäischer Anbieter. Dawiso wird von einem europäischen Unternehmen mit Sitz in Prag gebaut, der Softwareanbieter selbst ist also kein US-Unternehmen.
Dort betreiben, wo Sie es kontrollieren. Dawiso läuft als SaaS auf Microsoft Azure, in einer Private Cloud in Ihrem eigenen Cloud-Tenant oder vollständig On-Premises. Die Infrastruktur zählt so viel wie der Anbieter: Ein US-Cloud-Anbieter untersteht selbst dem CLOUD Act, deshalb betreiben Teams, die dieses Risiko ausschließen wollen, Dawiso vollständig On-Premises.
Vorrangig Metadaten, je Kunde getrennt. In hybriden Aufbauten werden nur Metadaten sowie gegebenenfalls von Ihnen aktivierte Datenstichproben in den Dawiso-Cloud-Katalog übertragen, und jeder Kunde hat einen eigenen Metadatenspeicher.
Governance, die Compliance trägt. Der Datenkatalog, die Labels der Klassifizierung, die Ihre Stewards vergeben, und die Lineage helfen Ihnen zu dokumentieren, wo personenbezogene und sensible Daten liegen und wie sie fließen, also das Bild, das die DSGVO und der EU Data Act bei Ihnen voraussetzen.

Die größere Argumentation steht in Europäische Datensouveränität und der Datenkatalog.

Fazit

Der US CLOUD Act erlaubt US-Behörden, Anbieter mit Sitz in den USA zur Herausgabe von Daten zu zwingen, wo immer diese liegen. Deshalb entzieht eine EU-Datenresidenz auf einer US-betriebenen Plattform die Daten dem Zugriff nicht. Er kollidiert mit der DSGVO und lässt europäische Organisationen in einem Normenkonflikt zurück, den Verträge nicht vollständig beheben und den bislang kein Abkommen zwischen der EU und den USA gelöst hat. Die direkteste Antwort ist Souveränität: Halten Sie Ihre empfindlichsten Systeme, den Datenkatalog eingeschlossen, bei einem europäischen Anbieter, auf einer Infrastruktur außerhalb der US-Gerichtsbarkeit, betrieben dort, wo Sie es bestimmen.