Editorial Studio / Montabaur
Zwei staatliche Dokumente, ein Bundestag-Gutachten und ein Beschluss der Vergabekammer, liefern das bislang präziseste juristische Bild der Lage. Das Ergebnis: Wer Microsoft 365 über eine EU-Tochter betreibt, ist vor der Aufsichtsbehörde auf der sicheren Seite. Vor der NSA nicht. Das ist kein Widerspruch, sondern eine Unterscheidung, die die meisten IT-Berater nicht treffen.
Die Quellen: Bundestag und Bundeskartellamt sprechen Klartext
Im Januar 2024 veröffentlichten die Wissenschaftlichen Dienste des Deutschen Bundestags den Sachstand WD 3-3000-105/23 zur Frage, was US-Behörden von deutschen Cloud-Diensten verlangen können. Knapp ein Jahr zuvor hatte die 2. Vergabekammer des Bundes in ihrem Beschluss VK 2-114/22 eine wegweisende vergaberechtliche Entscheidung getroffen. Beide Dokumente stammen von staatlichen Institutionen mit hoher rechtlicher Autorität. Gemeinsam liefern sie das präziseste juristische Bild der Situation.
Der CLOUD-Act-Kontrolltest: Nicht der Serverstandort entscheidet
Der US-amerikanische CLOUD Act verpflichtet US-Unternehmen zur Herausgabe von Daten, wenn sie auf diese Daten rechtlich und tatsächlich zugreifen können, unabhängig davon, wo auf der Welt die Daten physisch liegen. Ein Rechenzentrum in Frankfurt schützt also nicht, solange die Muttergesellschaft dem US-Recht unterliegt.
Ob dieser Kontrolltest auch auf Nicht-US-Unternehmen ausgedehnt werden kann, lässt der Bundestag-Sachstand bewusst offen. Es sei, so die Wissenschaftlichen Dienste, völkerrechtlich nicht abschließend geklärt.
Das Drei-Stufen-Modell: Grün, Gelb, Rot
Grün: EU-Anbieter, EU-Server, kein US-Konzern in der Kette. Herausgabepflicht laut Bundestag-Gutachten mangels Bezugs zur US-Gerichtsbarkeit ausgeschlossen.
Gelb: EU-Tochtergesellschaft eines US-Konzerns (z.B. Microsoft Deutschland GmbH). Das latente Risiko begründet nach VK 2-114/22 keine Übermittlung im Sinne von Art. 44 DSGVO, solange die Daten tatsächlich in der EU bleiben und Vertragswerke vorliegen.
Rot: US-Anbieter, Daten direkt beim US-Unternehmen. Art. 44 DSGVO vollständig anwendbar. Der EU-US Data Privacy Framework liefert die Compliance-Grundlage, ist aber politisch fragil.
Die VK Bund 2023: Latentes Risiko ist keine Übermittlung
Die Vergabekammer wies den Nachprüfungsantrag zurück. Die tragende Begründung:
Art. 44 DSGVO spricht von Übermittlung oder Verarbeitung und verlangt ein aktives Zutun des Verantwortlichen. Das bloße passive Ausgesetztsein gegenüber einem hypothetischen staatlichen Zugriff genügt nicht. Die Vergabekammer formuliert es direkt: Das latente Risiko eines möglichen Behördenzugriffs stellt keine Übermittlung im Sinne von Art. 44 DSGVO dar.
Außerdem: Eine faktische Beschlagnahme deutscher Server durch US-Behörden scheitert am völkerrechtlichen Territorialprinzip. Und eine Weisung der US-Konzernmutter an die deutsche GmbH, Daten ohne deutsches Gerichtsverfahren herauszugeben, wäre nach § 43 GmbHG rechtswidrig.
Die unbequeme Wahrheit: Compliance ist nicht Sicherheit
Die deutsche Rechtsprechung hat eine klare Frage beantwortet: Ist die Nutzung von Microsoft 365 über eine EU-Tochtergesellschaft eine unzulässige Drittlandübermittlung? Antwort: Nein, bei korrekter vertraglicher Einbindung kein Bußgeldrisiko.
Sie hat eine andere Frage nicht beantwortet: Kommt ein US-Geheimdienst faktisch an die Daten, wenn er es wirklich will?
FISA Section 702 ermächtigt US-Geheimdienste zur Überwachung ohne Gerichtsverfahren, nicht gegen die deutsche GmbH, sondern gegen die US-amerikanische Muttergesellschaft weltweit. Die Vergabekammer hat diesen Einwand formal beiseitegeschoben. Die Realität technischer Geheimdienstarbeit respektiert den § 43 GmbHG nicht.
Die deutsche Rechtsprechung schützt vor der Aufsichtsbehörde, nicht vor der NSA.
Drei Entscheidungsebenen für die Praxis
Ebene 1, DSGVO-Compliance: Wer Microsoft 365 oder Google Workspace über eine EU-Tochtergesellschaft mit korrekter Auftragsverarbeitungsvereinbarung nutzt, ist nach VK 2-114/22 auf der sicheren Seite gegenüber der Aufsichtsbehörde.
Ebene 2, vertragliche Absicherung: Wer in der Gelb-Zone operiert, sollte auf vertragliche Weigerungs-Zusagen des EU-Tochter-Anbieters bestehen.
Ebene 3, echte Datensouveränität: Wer tatsächlich sicherstellen will, dass US-Geheimdienste nicht an die Daten kommen — nicht nur formal-rechtlich, sondern faktisch — braucht entweder Double Key Encryption mit eigenen Schlüsseln oder einen echten EU-Anbieter ohne US-Konzern in der gesamten Kette.
Was das für Ihre Web-Infrastruktur konkret heißt
Dieselben Fragen gelten für die gesamte digitale Infrastruktur: Website-Hosting, E-Mail, DNS, CDN, Analytics. Wer seine Website auf AWS, Azure oder Google Cloud betreibt, wer Cloudflare als CDN nutzt, wer Google Analytics einsetzt, befindet sich in der Gelb- oder Rot-Zone.
Experto Mundi analysiert die Hosting- und Infrastrukturstruktur Ihrer Website in einem strukturierten Web-Audit und gibt Ihnen eine klare Einordnung: wo Sie stehen, was das bedeutet und welche konkreten Optionen Sie haben.
Quellen
Wissenschaftliche Dienste des Deutschen Bundestags, Sachstand WD 3-3000-105/23, Abschluss 19. Januar 2024. 2. Vergabekammer des Bundes, Beschluss VK 2-114/22, 13. Februar 2023. Datenschutzkonferenz, Beschluss vom 31. Januar 2023. EU-Kommission, Angemessenheitsbeschluss EU-US Data Privacy Framework, 10. Juli 2023.
Rechtlicher Hinweis: Dieser Beitrag gibt einen informativen Überblick über öffentlich verfügbare Behördendokumente und deren rechtliche Einordnung. Er stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar und ersetzt keine anwaltliche Beratung im Einzelfall.
