Was regelt der CLOUD Act im Kern?

Der CLOUD Act verpflichtet US-Unternehmen, auf Anordnung von US-Strafverfolgungsbehörden oder Geheimdiensten Zugriff auf alle Daten zu gewähren, die in ihrem Besitz, ihrer Kontrolle oder Verfügungsgewalt stehen – weltweit. Der physische Serverstandort ist dabei irrelevant. Unternehmen können Einwand erheben, haben aber keine garantierte Möglichkeit, die Herausgabe zu verweigern.

Wie wirkt der CLOUD Act in der Praxis?

US-Behörden können über gerichtliche Anordnungen oder National Security Letters Datenzugang von US-Anbietern verlangen, auch wenn die Daten in EU-Rechenzentren liegen. Der Anbieter ist zur Herausgabe verpflichtet; ein Einwand ist möglich, aber nicht garantiert erfolgreich. MLAT-Abkommen und das EU-US Data Privacy Framework bieten keinen systemischen Schutz vor CLOUD-Act-Zugriffen.

In welchen Entscheidungskontexten ist der CLOUD Act zu berücksichtigen?

Der CLOUD Act ist zu berücksichtigen bei der Auswahl von Cloud-Anbietern für sensible Workloads, bei Datenschutz-Folgenabschätzungen nach DSGVO, bei Risikoanalysen unter DORA, NIS2 und KRITIS sowie bei der Bewertung von Anbieterzusagen wie der EU Data Boundary und bei Architekturentscheidungen zugunsten EU-nativer oder On-Premises-Lösungen.

Wie verhält sich der CLOUD Act zur DSGVO und zum EU-US Data Privacy Framework?

Die DSGVO und der CLOUD Act stehen in einem strukturellen Widerspruch: Die DSGVO schützt personenbezogene Daten vor unrechtmäßiger Verarbeitung, während der CLOUD Act US-Behörden rechtmäßige Zugriffsbefugnisse einräumt – unabhängig vom EU-Datenschutzrecht. Das EU-US Data Privacy Framework reguliert kommerzielle Transfers, löst diesen Widerspruch aber nicht vollständig.

Wie können Organisationen das Risiko durch den CLOUD Act reduzieren?

Durch eigene Schlüsselverwaltung (BYOK/DKE), bei der der Anbieter technisch keinen Zugriff auf Klardaten hat; durch Wahl von EU-nativen Anbietern ohne US-Rechtspflicht; durch On-Premises-Architekturen. Eine vollständige Eliminierung des Risikos ist nur durch den Verzicht auf CLOUD-Act-pflichtige Anbieter möglich.

Welche Konzepte sind mit dem CLOUD Act fachlich verwandt?

Fachlich verwandt sind Daten-Jurisdiktion, Datenresidenz, Digitale Souveränität, BYOK/DKE, EU Data Boundary, Cloud-Exit-Strategie, FISA Section 702 und MLAT. Diese Konzepte beschreiben gemeinsam den rechtlichen und technischen Rahmen, innerhalb dessen das Risiko durch den CLOUD Act bewertet und durch geeignete Maßnahmen adressiert werden kann.

Welche Quellen sind für das Verständnis des CLOUD Act und seiner Auswirkungen maßgeblich?

Maßgeblich ist der Gesetzestext des CLOUD Act (S.2383, US-Kongress 2018), ergänzt durch Stellungnahmen des Europäischen Datenschutzausschusses, Leitlinien des BSI zu Risiken bei US-Cloud-Diensten sowie Publikationen des Bundesministeriums des Innern zur digitalen Souveränität. Diese Quellen definieren den rechtlichen Rahmen und geben Orientierung für Compliance-Bewertungen.

Application Delivery: Definition, Funktionsweise & Vorteile

Q: Was ist der CLOUD Act?

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-amerikanisches Bundesgesetz von 2018, das US-Behörden ermächtigt, von in den USA ansässigen oder börsennotierten Unternehmen die Herausgabe elektronischer Daten zu verlangen – unabhängig vom physischen Speicherort dieser Daten.

Inhalt dieser Seite

Definition
Funktionsweise
Einsatzbereiche
Was ist es nicht
Vorteile und Nachteile
Verwandte Begriffe
Beispiele
Quellen

Kurzerklärung

Der CLOUD Act ist ein US-amerikanisches Bundesgesetz von 2018, das US-Behörden ermächtigt, von in den USA ansässigen oder börsennotierten Unternehmen die Herausgabe elektronischer Daten zu verlangen, unabhängig davon, wo diese Daten physisch gespeichert sind.

Blogbeiträge

Interessante Artikel

Cloud Exit Framework: Strategische Souveränität statt Panik-Exit

Strategischer Cloud Exit stärkt digitale Souveränität, Resilienz und Unabhängigkeit. Warum Exit-Fähigkeit mehr ist als Migration und strukturiert geplant werden sollte.

Mehr zum Artikel

Warum Cloud Exit kein Widerspruch zur Cloud-Strategie ist

Was bedeutet Cloud Exit wirklich? Erfahren Sie, warum Unternehmen trotz Microsoft Cloud auf Exit-Readiness setzen sollten und welche Rolle DORA, NIS2 und DSGVO spielen.

Mehr zum Artikel

CLOUD ActDefinitionDer Clarifying Lawful Overseas Use of Data Act (CLOUD Act) wurde 2018 vom US-Kongress verabschiedet und erweitert den Stored Communications Act um extraterritoriale Reichweite:
„US-Anbieter sind zur Datenherausgabe verpflichtet, unabhängig vom Serverstandort.“
Betroffen sind alle Unternehmen, die dem US-amerikanischen Recht unterliegen, insbesondere Microsoft, Google/Alphabet, Amazon und Meta.

								Kerninhalt des Gesetzes
US-Strafverfolgungsbehörden und Geheimdienste können Datenzugang anordnen
Die Anordnung gilt für Daten „in the possession, custody, or control“ des Unternehmens
Serverstandort ist für die Verpflichtung irrelevant
Unternehmen können unter bestimmten Bedingungen Einwand erheben – dieser ist aber nicht automatisch erfolgreich

							
FunktionsweiseDer CLOUD Act wirkt in der Praxis wie folgt:
US-Behörden stellen eine Anforderung (Warrant, National Security Letter, gerichtliche Anordnung) an einen US-Anbieter
Der Anbieter ist verpflichtet, Daten herauszugeben – auch wenn sie in EU-Rechenzentren liegen
Der Anbieter kann Einwand erheben, wenn die Herausgabe gegen das Recht des Landes verstößt, in dem die Daten liegen – Erfolg ist nicht garantiert
MLAT-Abkommen können im Einzelfall Schutz bieten, sind aber komplex und zeitaufwändig
Das EU-US Data Privacy Framework reguliert kommerzielle Datentransfers, schützt aber nicht vor behördlichen Zugriffsrechten nach CLOUD Act
Einsatzbereiche (Relevanz)Der CLOUD Act ist relevant bei:
Auswahl von Cloud-Anbietern für sensible oder kritische Workloads
Datenschutz-Folgenabschätzungen (DSFA) nach DSGVO
Risikoanalysen im Rahmen von DORA, NIS2 und KRITIS-Anforderungen
Beurteilung von Anbieterzusagen wie der Microsoft EU Data Boundary
Architekturentscheidungen für EU-native oder On-Premises-Optionen

								Unterschiede zu ähnlichen Regelwerken
FISA Section 702: Ermächtigt US-Geheimdienste zur Überwachung von Kommunikation mit Auslandsbezug. Breiter in der Reichweite, aber weniger öffentlich sichtbar als der CLOUD Act.
DSGVO: Regelt den datenschutzrechtskonformen Umgang mit personenbezogenen Daten in der EU. Sie steht in strukturellem Widerspruch zum CLOUD Act – dieser Konflikt ist rechtlich ungelöst.
EU-US Data Privacy Framework: Reguliert kommerzielle Datentransfers zwischen EU und USA. Schützt nicht vor behördlichen Zugriffsrechten nach CLOUD Act.
MLAT: Internationales Rechtshilfeabkommen, das im Einzelfall Schutz bieten kann – aber kein systemisches Schutzinstrument ist.

							
Was der CLOUD Act nicht betrifft / Risiken für betroffene Organisationen
														Vorteile													
Was der CLOUD Act nicht betrifft
Rechtssicherheit über anwendbare Zugriffsrechte
Reduzierbares regulatorisches Risiko
Grundlage für DSFA und Anbieterbewertung
Verhandlungsposition gegenüber Anbietern

														Nachteile													
Risiken für betroffene Organisationen
Datenzugriff durch US-Behörden ohne Kenntnis oder Zustimmung
Mögliche Verletzung von EU-Datenschutz- und Berufsgeheimnis-Anforderungen
Nicht nachweisbare Compliance bei gleichzeitiger EU-Datenschutzpflich

								Verwandte Begriffe
Daten-Jurisdiktion
Datenresidenz
Digitale Souveränität
BYOK / DKE
EU Data Boundary
Cloud-Exit-Strategie
FISA Section 702
MLAT

							

								Quellen
CLOUD Act (S.2383) – US-Kongress, 2018 https://www.congress.gov/bill/115th-congress/senate-bill/2383
Europäischer Datenschutzausschuss – Stellungnahme zum CLOUD Act https://edpb.europa.eu
Bundesministerium des Innern – Digitale Souveränität https://www.bmi.bund.de
BSI – Risiken bei US-Cloud-Diensten https://www.bsi.bund.de

							