US CLOUD Act
Kurz gesagtUS-Anbieter müssen Daten herausgeben, auch wenn sie in Frankfurt liegen.
Der Clarifying Lawful Overseas Use of Data Act wurde 2018 verabschiedet. Er beendete einen Streit, den Microsoft jahrelang bis vor den Obersten Gerichtshof getragen hatte: Muss ein US-Konzern E-Mails herausgeben, die auf einem Server in Irland liegen?
Die Antwort des Gesetzgebers lautet ja. Maßgeblich ist nicht der Ort der Daten, sondern die Verfügungsgewalt des Unternehmens.
Was genau gilt
Der CLOUD Act erfasst jeden Anbieter elektronischer Kommunikations- oder Speicherdienste, der der US-Gerichtsbarkeit unterliegt. Das umfasst amerikanische Konzerne und deren Tochtergesellschaften — auch die deutsche GmbH eines US-Unternehmens, sofern der Mutterkonzern tatsächliche Kontrolle ausübt.
Die Anordnung richtet sich an das Unternehmen, nicht an das Rechenzentrum. Ein Serverstandort in der EU ändert daran nichts. Ein europäischer Betreibervertrag ändert es nur dann, wenn der US-Konzern die Daten weder besitzt noch verwahrt noch kontrolliert — und genau das ist der Punkt, an dem sich souveräne Cloud-Angebote unterscheiden. Siehe Souveräne Cloud.
Der Widerspruch zur DSGVO
Artikel 48 DSGVO sagt sinngemäß: Ein Urteil oder eine Behördenanordnung aus einem Drittland ist nur dann eine zulässige Grundlage für eine Übermittlung, wenn ein Rechtshilfeabkommen sie trägt. Der CLOUD Act sieht ein solches Verfahren nicht vor.
Ein US-Anbieter mit europäischen Kunden steht damit zwischen zwei Rechtsordnungen, die sich widersprechen. Beide sehen empfindliche Sanktionen vor. In der Praxis gewinnt in der Regel die Rechtsordnung, in der die Geschäftsleitung sitzt.
Was das für eine Entscheidung bedeutet
Es heißt nicht, dass amerikanische Anbieter Daten frei herausgeben. Es gibt Verfahren, Prüfungen und Transparenzberichte. Es heißt: Das Risiko liegt nicht bei Ihnen, und Sie erfahren unter Umständen nichts davon.
Für die meisten Unternehmen ist das tragbar. Für Verarbeitung von Gesundheitsdaten, Rüstungsprojekten, Verhandlungsunterlagen und Konstruktionsdaten ist es das häufig nicht. Der Unterschied liegt nicht in der Technik, sondern in der Frage, was ein einzelner Zugriff kosten würde.