US-Cloud und Datenschutz: Worauf es bei der Wahl ankommt

Symbolbild: Aufgeschlagenes Buch mit goldener Lupe und schwarzem Füllfederhalter mit Goldbeschlägen auf dunkler Tischfläche, warmes Seitenlicht.
Symbolbild, KI-generiert

Verfasst von

Marcel Peter

in

Ein Server in Frankfurt ist nicht automatisch ein Server unter deutschem Recht. Viele Geschäftsführer achten beim Hosting auf den Standort und übersehen den Vertragspartner. Wie wenig der Standort allein sagt, wurde am 10. Juni 2025 in Paris unter Eid erfragt. Eine Untersuchungskommission des französischen Senats wollte von Anton Carniaux, bei Microsoft France Direktor für öffentliche und rechtliche Angelegenheiten, wissen: Kann er garantieren, dass Daten, die französische Bürger betreffen und die die staatliche Beschaffungsstelle Ugap bei Microsoft speichern lässt, niemals auf Anordnung der US-Regierung herausgegeben werden, ohne dass die französischen Behörden ausdrücklich zugestimmt haben? Er antwortete: „Non, je ne peux pas le garantir.“ Auf Deutsch: Nein, das kann ich nicht garantieren. Einen solchen Fall habe es bisher nie gegeben, fügte er hinzu.

Das Wichtigste in Kürze

  • Nach dem CLOUD Act (18 U.S.C. § 2713) kommt es auf den Anbieter an, nicht auf den Speicherort der Daten.
  • FISA Section 702 ermächtigte US-Nachrichtendienste, Nicht-US-Personen im Ausland gezielt über US-Kommunikationsanbieter zu überwachen. Nach dem Stand laut CRS-Bericht vom 22.06.2026 ist die Vorschrift seit dem 12. Juni 2026 ausgelaufen; nach den vorliegenden Quellen hat der Kongress sie bis zum 29. Oktober 2026 nicht erneuert. Bereits erteilte Anordnungen gelten übergangsweise weiter. Eine spätere Erneuerung durch den Kongress ist nicht ausgeschlossen.
  • Übermittlungen in die USA stützen sich derzeit auf das Data Privacy Framework (Beschluss (EU) 2023/1795). Ob es Bestand hat, ist offen: Gegen das Urteil des Gerichts der EU zu diesem Beschluss ist beim Gerichtshof ein Rechtsmittel eingelegt.
  • Für die Anbieterwahl zählen sieben Prüffelder, von der Gesellschafterstruktur bis zur Datensicherung.

Warum das Thema bei Ihnen landet

Die Datenschutz-Grundverordnung (DSGVO) macht Sie zum Verantwortlichen: Verarbeitet ein Dienstleister Ihre Abrechnungs-, Personal- und Kundendaten, haben Sie ihn ausgewählt. Nach Art. 28 Abs. 1 DSGVO kommen dafür nur Auftragsverarbeiter in Frage, die hinreichende Garantien bieten. Unterliegt der Anbieter der US-Rechtsordnung, sollten Sie prüfen, ob dortige Behörden Zugriff verlangen können und wie die Übermittlung nach Kapitel V DSGVO (Art. 44 ff.) abgesichert ist. Die Aufsichtsbehörde darf Sie danach fragen (Art. 58 Abs. 1 lit. a DSGVO), das ist keine bloße Theorie. Ob das Risiko beherrschbar ist, ist umstritten: Das Gericht der EU wies die Klage gegen das Data Privacy Framework ab (T-553/23), der Kläger Philippe Latombe hat Rechtsmittel eingelegt. Zum Unterschied zwischen Compliance und tatsächlicher Sicherheit bei US-Anbietern lesen Sie auch Compliance ist nicht Sicherheit.

Was die Rechtslage sagt

CLOUD Act: Der Anbieter zählt, nicht der Server

Am 23. März 2018 wurde der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) verabschiedet. Er fügte dem Stored Communications Act, dem US-Gesetz über den Zugriff auf gespeicherte elektronische Kommunikation, in Titel 18 des US-Gesetzbuchs den § 2713 hinzu. Danach sind Anbieter elektronischer Kommunikationsdienste und Anbieter von Remote-Computing-Diensten (Dienste, bei denen der Anbieter Daten seiner Kunden aufbewahrt oder bearbeitet, etwa Cloud-Speicher) verpflichtet, Inhalte und Kundendaten zu sichern oder herauszugeben, sofern sie diese in Besitz, Gewahrsam oder Kontrolle haben. Wo die Daten liegen, in den USA oder im Ausland, spielt nach dem Gesetzeswortlaut ausdrücklich keine Rolle.

Für Sie heißt das: US-Anbieter können nach dem CLOUD Act verpflichtet werden, Daten herauszugeben, auch wenn diese in der EU liegen. Offen ist, ob dasselbe für ein Unternehmen ohne US-Gesellschafter und ohne US-Niederlassung gilt. Es hängt davon ab, ob ein US-Gericht seine Zuständigkeit bejaht. Eine gesicherte Rechtsprechung dazu kennen wir nicht.

Section 215 des PATRIOT Act diente früher der Massenerfassung von Telefon-Metadaten. Am 15. März 2020 lief sie aus, eine Erneuerung gab es nicht (Public Law 116-69, § 1703); für ältere Verfahren gilt eine Übergangsklausel. Als Argument gegen US-Anbieter taugt sie deshalb nicht mehr.

Welche Folgen das Slaughter-Urteil, das FTC-Beben in den USA, für die US-Cloud-Nutzung hat, behandelt unser Beitrag FTC-Beben: Slaughter-Urteil und US-Cloud.

FISA 702: Inhalt und Stand

Section 702 des Foreign Intelligence Surveillance Act (FISA) ermächtigte US-Nachrichtendienste, Nicht-US-Personen im Ausland gezielt über US-Anbieter von Kommunikationsdiensten zu überwachen. Sie galt nur auf Zeit. Im Frühjahr 2026 verlängerte der Kongress sie mehrfach nur kurzfristig, zuletzt mit dem Gesetz vom 30. April 2026 bis zum 12. Juni 2026. Seither ist sie ausgelaufen (Congressional Research Service, Bericht vom 22.06.2026). Nach den vorliegenden Quellen hat der Kongress sie bis zum 29. Oktober 2026 nicht erneuert. Anordnungen, die das FISA-Gericht (das US-Gericht, das solche Überwachungsanordnungen genehmigt) bereits erteilt hat, bleiben nach den Übergangsregeln in Kraft, bis sie enden, höchstens aber ein Jahr nach der Erteilung. Nach den vorliegenden Quellen hat das Gericht im März 2026 Zertifizierungen für ein Jahr genehmigt, sodass die Erhebung auf dieser Grundlage bis etwa März 2027 weiterlaufen kann; ein genaues Enddatum ist nicht amtlich veröffentlicht. Ob und wann der Kongress die Vorschrift erneuert, ist offen; darauf hat Ihr Anbieter keinen Einfluss.

Schrems II und das Data Privacy Framework

Mit dem Urteil „Schrems II“ vom 16. Juli 2020 (Rechtssache C-311/18) erklärte der Europäische Gerichtshof den Privacy Shield, das damalige Datenabkommen mit den USA, für ungültig. Der Grund: Der Gerichtshof prüfte das US-Überwachungsrecht, unter anderem Section 702 FISA, die Executive Order 12333 und die Präsidialdirektive PPD-28, und sah darin keinen der Sache nach gleichwertigen Schutz. Für die Executive Order 12333 und die PPD-28 stellte er zusätzlich fest, dass Betroffenen keine gerichtlich durchsetzbaren Rechte zustehen. Standardvertragsklauseln (SCC) blieben möglich. Sie setzen aber voraus, dass im Einzelfall geprüft wird, ob das Zielland ein gleichwertiges Schutzniveau bietet.

Mit dem Angemessenheitsbeschluss (EU) 2023/1795 hat die Kommission das EU-US Data Privacy Framework (DPF) in Kraft gesetzt. Seither dürfen personenbezogene Daten an US-Unternehmen übermittelt werden, die sich dafür zertifiziert haben, und zwar ohne zusätzliche Garantien. Der Satz „US-Clouds sind nach Schrems II verboten“ stimmt in dieser Pauschalität nicht und seit dem Beschluss erst recht nicht. Der Beschluss ist allerdings angegriffen: Philippe Latombe hatte ihn vor dem Gericht der EU angefochten (T-553/23), das Gericht wies die Klage am 3. September 2025 ab. Am 31. Oktober 2025 legte Latombe dagegen Rechtsmittel beim Gerichtshof ein (C-703/25 P). Nach dem Register des Gerichtshofs ist das Rechtsmittel anhängig, eine Entscheidung in der Sache liegt nicht vor (Stand 30.10.2026).

Für die Praxis heißt das: Der Beschluss trägt Übermittlungen an zertifizierte Unternehmen, solange er nicht aufgehoben wird. Würde er aufgehoben, blieben Standardvertragsklauseln mit einer eigenen Prüfung des Einzelfalls. Hat Ihr Unternehmen eine solche Folgenabschätzung für Datenübermittlungen (englisch Transfer Impact Assessment, TIA) schon dokumentiert, steht es dann besser da. Den Ausgang des Verfahrens kann niemand verlässlich vorhersagen.

Souveräne Angebote der US-Anbieter

Auch US-Anbieter reagieren auf die Nachfrage nach europäischen Lösungen. Amazon Web Services (AWS) nahm im Januar 2026 in Brandenburg die erste Region der „European Sovereign Cloud“ in Betrieb. Ob das rechtlich genügt, hängt davon ab, wer die betreibende Gesellschaft kontrolliert und welchem Recht sie unterliegt. Eine pauschale Bewertung, ob zustimmend oder ablehnend, wäre unseriös.

Sieben Kriterien für die Anbieterwahl

Die Liste gilt für jeden Anbieter, egal ob groß, klein, deutsch oder amerikanisch.

1. Standort und Gesellschafterstruktur. Wo sitzt der Anbieter, und wem gehört er bis zur obersten Ebene? Ein Sitz in der EU genügt nicht immer, wenn eine Muttergesellschaft US-Recht unterliegt. Fragen Sie auch nach Kerndiensten Dritter, etwa Software oder Cloud-Bausteinen aus den USA.

2. Zertifizierung nach ISO/IEC 27001. Das Zertifikat belegt, dass ein Informationssicherheits-Managementsystem besteht, also ein dokumentiertes System, mit dem der Betrieb Informationssicherheit steuert, und dass eine unabhängige Stelle es geprüft hat. Es belegt nicht, dass Daten dem Zugriff ausländischer Behörden entzogen sind. Lassen Sie sich das Zertifikat selbst zeigen, mit Geltungsbereich, Standorten und Gültigkeit. Ohne diese drei Angaben sagt „ISO-27001-zertifiziert“ wenig.

3. Georedundanz. Liegen Daten an räumlich getrennten Standorten, und ist der gebuchte Dienst tatsächlich darüber gespiegelt? Entscheidend ist, was im Vertrag steht.

4. Zugangskontrolle. Wer hat physisch und administrativ Zugriff, und wie wird er protokolliert? Fragen Sie auch, wer die Schlüssel zur Verschlüsselung hält. Wer Schlüssel und Betriebssystem selbst verwaltet, trägt mehr Verantwortung. Ob das bei einem Herausgabeverlangen schützt, hängt vom Einzelfall ab, ein Versprechen ist es nicht.

5. Vertragslage nach Art. 28 DSGVO. Ohne Vertrag zur Auftragsverarbeitung geht es nicht. Prüfen Sie darin die Unterauftragsverarbeiter (die Firmen, die der Anbieter seinerseits einsetzt), den Verarbeitungsort und die Pflichten des Anbieters bei behördlichen Herausgabeverlangen. Eine Zusage, alles sei „rechtssicher“, kann Ihnen niemand geben. Die Konformität hängt an Ihrem Einsatz, nicht nur am Anbieter.

6. Exit-Fähigkeit. Kommen Sie an Ihre Daten heran? In welchem Format, in welcher Frist, zu welchen Kosten? Wer einen Anbieter nicht verlassen kann, ist rechtlich und wirtschaftlich abhängig, egal wo dieser sitzt.

7. Datensicherung getrennt vom Produktivstandort. Eine Sicherung am selben Ort, im selben Konto und mit denselben Zugangsdaten fällt mit dem Produktivsystem aus. Liegen die Sicherungen räumlich und organisatorisch getrennt, und wurde eine Wiederherstellung je getestet? Zu den technischen Anforderungen von NIS2 und DORA an eine Website: NIS2 und DORA technisch.

Eine Frage, die sich nach dieser Liste fast von selbst stellt: Muss alles sieben Mal abgehakt sein, bevor Sie unterschreiben? Nicht zwingend. Die Kriterien 1 und 5 sollten Sie nie überspringen. Bei 4 und 7 richtet sich der Umfang nach dem Schutzbedarf Ihrer Daten, ganz ohne Begründung lassen sich beide aber nicht weglassen, denn Zugangskontrolle und Datensicherung gehören zu den Maßnahmen, die nach Art. 32 Abs. 1 DSGVO in Betracht kommen.

Quellen

Demnächst auf dem Blog: Weitere Beiträge zu Datenschutz und IT-Sicherheit folgen.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen im Sinne von § 2 Abs. 1 und Abs. 3 Nr. 5 RDG. Eine Rechtsdienstleistung im Einzelfall ist er nicht, und eine anwaltliche Prüfung Ihrer Datenübermittlungen kann er nicht ersetzen. Verbindlich sind nur die Gesetzes- und Beschlusstexte selbst, jeweils in der aktuell gültigen Fassung. Stand: 30.10.2026.

WhatsApp