Zwei staatliche Dokumente, ein Bundestag-Gutachten und ein Beschluss der Vergabekammer, liefern das bislang präziseste juristische Bild der Lage. Das Ergebnis: Wer Microsoft 365 über eine EU-Tochter betreibt, ist vor der Aufsichtsbehörde auf der sicheren Seite. Vor der NSA nicht. Das ist kein Widerspruch, sondern eine Unterscheidung, die die meisten IT-Berater nicht treffen.
Die Quellen: Bundestag und Vergabekammer sprechen Klartext
Im Januar 2024 veröffentlichten die Wissenschaftlichen Dienste des Deutschen Bundestags den Sachstand WD 3-3000-105/23 zur Frage, was US-Behörden von deutschen Cloud-Diensten verlangen können. Knapp ein Jahr zuvor hatte die 2. Vergabekammer des Bundes in ihrem Beschluss VK 2-114/22 eine wegweisende vergaberechtliche Entscheidung getroffen. Beide Dokumente stammen von staatlichen Institutionen mit hoher rechtlicher Autorität. Gemeinsam liefern sie das präziseste juristische Bild der Situation.
Der CLOUD-Act-Kontrolltest: Nicht der Serverstandort entscheidet
Der US-amerikanische CLOUD Act verpflichtet US-Unternehmen zur Herausgabe von Daten, wenn sie auf diese Daten rechtlich und tatsächlich zugreifen können, unabhängig davon, wo auf der Welt die Daten physisch liegen. Ein Rechenzentrum in Frankfurt schützt also nicht, solange die Muttergesellschaft dem US-Recht unterliegt.
Ob dieser Kontrolltest auch auf Nicht-US-Unternehmen ausgedehnt werden kann, lässt der Bundestag-Sachstand bewusst offen. Es sei, so die Wissenschaftlichen Dienste, völkerrechtlich nicht abschließend geklärt.
Das Drei-Stufen-Modell: Grün, Gelb, Rot
Grün: EU-Anbieter, EU-Server, kein US-Konzern in der Kette. Herausgabepflicht laut Bundestag-Gutachten mangels Bezugs zur US-Gerichtsbarkeit ausgeschlossen.
Gelb: EU-Tochtergesellschaft eines US-Konzerns (z.B. Microsoft Deutschland GmbH). Die Vergabekammer des Bundes hat in VK 2-114/22 entschieden, dass das latente CLOUD-Act-Risiko allein noch keine Übermittlung im Sinne von Art. 44 DSGVO begründet, solange die Daten tatsächlich in der EU bleiben und Vertragswerke vorliegen. Das ist die vergaberechtliche Position – sie sagt etwas über das Bußgeldrisiko aus, nicht über das tatsächliche Zugriffsrisiko. Beides sollte man nicht verwechseln.
Rot: US-Anbieter, Daten direkt beim US-Unternehmen. Art. 44 DSGVO vollständig anwendbar. Der EU-US Data Privacy Framework liefert die Compliance-Grundlage, ist aber politisch fragil.
Die VK Bund 2023: Eine Gegenstimme, die man kennen sollte
Die Vergabekammer wies den Nachprüfungsantrag zurück und hielt den Einsatz einer deutschen US-Tochter als Hosting-Dienstleister für zulässig. Die tragende Begründung:
Art. 44 DSGVO spricht von Übermittlung oder Verarbeitung und verlangt ein aktives Zutun des Verantwortlichen. Das bloße passive Ausgesetztsein gegenüber einem hypothetischen staatlichen Zugriff genügt nicht. Die Vergabekammer formuliert es direkt: Das latente Risiko eines möglichen Behördenzugriffs stellt keine Übermittlung im Sinne von Art. 44 DSGVO dar.
Außerdem, so die Vergabekammer: Eine faktische Beschlagnahme deutscher Server durch US-Behörden scheitert am völkerrechtlichen Territorialprinzip. Und eine Weisung der US-Konzernmutter an die deutsche GmbH, Daten ohne deutsches Gerichtsverfahren herauszugeben, wäre nach § 43 GmbHG rechtswidrig. Wir halten dagegen: Ein abstraktes Zugriffsrisiko bleibt ein Risiko, auch wenn keine Behörde bislang einen Präzedenzfall geliefert hat, in dem dieses Szenario tatsächlich eingetreten ist. Vergaberechtliche Zulässigkeit ist keine Garantie gegen faktischen Zugriff – sie ist eine Aussage über das Bußgeldrisiko, mehr nicht.
Die unbequeme Wahrheit: Compliance ist nicht Sicherheit
Die deutsche Rechtsprechung hat eine klare Frage beantwortet: Ist die Nutzung von Microsoft 365 über eine EU-Tochtergesellschaft eine unzulässige Drittlandübermittlung? Antwort: Nein, bei korrekter vertraglicher Einbindung kein Bußgeldrisiko.
Sie hat eine andere Frage nicht beantwortet: Kommt ein US-Geheimdienst faktisch an die Daten, wenn er es wirklich will?
FISA Section 702 ermächtigt US-Geheimdienste zur Überwachung ohne Gerichtsverfahren, nicht gegen die deutsche GmbH, sondern gegen die US-amerikanische Muttergesellschaft weltweit. Die Vergabekammer hat diesen Einwand formal beiseitegeschoben. Die Realität technischer Geheimdienstarbeit respektiert den § 43 GmbHG nicht.
Die deutsche Rechtsprechung schützt vor der Aufsichtsbehörde, nicht vor der NSA.
Drei Entscheidungsebenen für die Praxis
Ebene 1, DSGVO-Compliance: Wer Microsoft 365 oder Google Workspace über eine EU-Tochtergesellschaft mit korrekter Auftragsverarbeitungsvereinbarung nutzt, bewegt sich nach der Linie der Vergabekammer (VK 2-114/22) auf der sicheren Seite gegenüber der Aufsichtsbehörde. Das ist die Rechtslage – keine Aussage darüber, ob die Daten faktisch sicher sind.
Ebene 2, vertragliche Absicherung: Wer in der Gelb-Zone operiert, sollte auf vertragliche Weigerungs-Zusagen des EU-Tochter-Anbieters bestehen.
Ebene 3, echte Datensouveränität: Wer tatsächlich sicherstellen will, dass US-Geheimdienste nicht an die Daten kommen — nicht nur formal-rechtlich, sondern faktisch — braucht entweder Double Key Encryption mit eigenen Schlüsseln oder einen echten EU-Anbieter ohne US-Konzern in der gesamten Kette.
Was das für Ihre Web-Infrastruktur konkret heißt
Dieselben Fragen gelten für die gesamte digitale Infrastruktur: Website-Hosting, E-Mail, DNS, CDN, Analytics. Wer seine Website auf AWS, Azure oder Google Cloud betreibt, wer Cloudflare als CDN nutzt, wer Google Analytics einsetzt, befindet sich in der Gelb- oder Rot-Zone.
Experto Mundi analysiert die Hosting- und Infrastrukturstruktur Ihrer Website in einem strukturierten Web-Audit und gibt Ihnen eine klare Einordnung: wo Sie stehen, was das bedeutet und welche konkreten Optionen Sie haben.
Quellen
Wissenschaftliche Dienste des Deutschen Bundestags, Sachstand WD 3-3000-105/23, Abschluss 19. Januar 2024. 2. Vergabekammer des Bundes, Beschluss VK 2-114/22, 13. Februar 2023. Datenschutzkonferenz, Beschluss vom 31. Januar 2023. EU-Kommission, Angemessenheitsbeschluss EU-US Data Privacy Framework, 10. Juli 2023.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 24.06.2026.