Inhalt (6 Abschnitte)
Der „Cloud Act“ ist zum Schreckgespenst der Hosting-Diskussionen geworden: oft ins Feld geführt, selten gelesen. Das Ergebnis: Man hört alles und sein Gegenteil, von „die Amerikaner lesen Ihre E-Mails“ bis „das betrifft nur Kriminelle“. Beides ist falsch. Hier lesen Sie, was das Gesetz tatsächlich erlaubt, was es nicht erlaubt und was das konkret für ein französisches KMU bedeutet, das entscheidet, wo es seine Daten hostet.
Was ist der Cloud Act genau? #
Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Bundesgesetz, verabschiedet im März 2018. Er ging aus einem konkreten Rechtsstreit hervor: dem Fall Microsoft Ireland, in dem Microsoft sich weigerte, dem FBI E-Mails aus seinem Rechenzentrum in Dublin herauszugeben, mit der Begründung, dass ein US-Durchsuchungsbefehl an der Landesgrenze ende. Der Kongress entschied den Streit, indem er die Regel neu schrieb: Ein Anbieter, der US-Recht unterliegt, muss die Daten herausgeben, die er besitzt, kontrolliert oder verwahrt, unabhängig davon, wo sie gespeichert sind.
Das ist der zentrale Punkt und der einzige, den man sich wirklich merken muss: Der Cloud Act spricht nicht von Geografie, er spricht von Rechtshoheit. Die Frage lautet nicht „Wo steht der Server?“, sondern „Wer kontrolliert das Unternehmen, das ihn betreibt, und nach welchem Recht?“
Was erlaubt er konkret? #
- Eine US-Behörde kann eine Anordnung (Warrant oder Subpoena) an jedes Unternehmen richten, das „der Rechtshoheit der Vereinigten Staaten unterliegt“: an eine US-Muttergesellschaft, aber auch an die lokale Tochter eines US-Konzerns.
- Die Anordnung betrifft die Daten, die das Unternehmen besitzt oder kontrolliert, auch in einem Rechenzentrum in Paris, Frankfurt oder Dublin.
- Sie kann mit einer Schweigepflicht (Gag Order) verbunden sein: Der Kunde, dessen Daten herausgegeben werden, wird nicht unbedingt darüber informiert.
- Das Gesetz sieht bilaterale Abkommen (Executive Agreements) und Rechtsbehelfe für den Anbieter vor: geregelt und in der Hand des Anbieters, nicht des Kunden.
Was der Cloud Act nicht ist: ein Selbstbedienungszugang der US-Behörden zu allem, was herumliegt. Das Verfahren verlangt einen gerichtlichen Rahmen, zielt auf bestimmte Ermittlungen, und die großen Anbieter veröffentlichen Transparenzberichte. Die Debatte auf „die lesen alles“ zu reduzieren, ist falsch, aber das Gegenteil, „das wird mich nie betreffen“, weicht der eigentlichen Frage aus.
Meine Server stehen in Paris bei einem US-Anbieter: Bin ich betroffen? #
Ja. Genau diesen Fall soll das Gesetz abdecken. Das französische Rechenzentrum eines US-Hyperscalers bleibt unter der Kontrolle eines Unternehmens nach US-Recht: Der Standort beantwortet eine Frage der Latenz und des Marketings, nicht der Rechtshoheit. Wir haben diesen Punkt in unserem Artikel über Hosting in Frankreich ausführlich behandelt: „in Europa gehostet“ und „nach europäischem Recht“ sind zwei verschiedene Aussagen.
Der Standort eines Servers ist eine geografische Antwort auf eine Rechtsfrage. Dem Cloud Act ist die Geografie gleichgültig.
Und die DSGVO? #
Die beiden Texte widersprechen sich direkt. Artikel 48 DSGVO bestimmt, dass die Entscheidung einer Behörde eines Drittlandes, die eine Übermittlung personenbezogener Daten verlangt, nur dann vollstreckbar ist, wenn sie sich auf eine internationale Übereinkunft stützt (zum Beispiel ein Rechtshilfeabkommen). Eine direkte Anordnung nach dem Cloud Act, die diese Kanäle umgeht, bringt den Anbieter also in eine Zwickmühle: das US-Recht verletzen oder das europäische Recht verletzen. Der Europäische Datenschutzausschuss (EDSA/EDPB) hat diesen Konflikt bereits 2019 hervorgehoben.
Für Sie als Kunden ist die praktische Schlussfolgerung einfach: Dieser Rechtskonflikt betrifft Sie nicht, solange Ihre Hosting-Kette vollständig europäischem Recht unterliegt. Das ändert sich, sobald ein US-amerikanisches Glied hinzukommt.
Ist ein KMU wirklich gefährdet? #
Seien wir ehrlich: Die Wahrscheinlichkeit, dass sich eine US-Behörde für die Kundendatei eines KMU im Elsass interessiert, ist gering. Wäre der Cloud Act nur eine Frage der Wahrscheinlichkeit, wäre er kein Thema. Aber das Risiko liegt anderswo:
- Compliance: Ihr Datenschutzbeauftragter, Ihre Großkunden und öffentliche Ausschreibungen stellen die Frage schriftlich. „Hosting-Kette außerhalb der Reichweite des Cloud Act“ wird zum Auswahlkriterium.
- Kaskadierende Klauseln: Wenn Sie Auftragsverarbeiter im Sinne der DSGVO für Ihre eigenen Kunden sind, wird deren Anforderung an Souveränität vertraglich zu Ihrer eigenen.
- Abhängigkeit: Der Cloud Act ist ein Symptom. Im Kern geht es darum, dass ein Dritter außerhalb Ihres Rechtsraums die Regeln (Bedingungen, Preise, Zugang) ändern kann, ohne dass Sie ein echtes Rechtsmittel haben.
- Sensible Branchen: Gesundheit, Recht, Kommunen, Verteidigung: Dort ist die Frage überhaupt nicht mehr theoretisch.
Wie man sich konkret davon löst #
Drei Hebel, nach Wirksamkeit geordnet. Erstens: durchgehend Anbieter nach europäischem Recht wählen (Hoster, aber auch E-Mail, Webanalyse, Backup): Der Cloud Act gilt pro Glied der Kette, nicht im Durchschnitt. Zweitens: Was bei einem US-Anbieter bleiben muss, mit Schlüsseln verschlüsseln, die nur Sie besitzen: Daten, die verschlüsselt und ohne Schlüssel herausgegeben werden, verlieren den größten Teil ihres Werts. Drittens: von jedem Dienstleister den AVV und die Liste der Unterauftragsverarbeiter verlangen: Dort verstecken sich die US-amerikanischen Glieder, die man nicht vermutet.
Diese Logik wenden wir auf unsere eigene Infrastruktur an: Server in Frankreich bei Betreibern nach französischem Recht, eine technische Kette aus Open-Source-Software und ein souveränes Hosting, das wir unseren Kunden mit AVV und offengelegten Unterauftragsverarbeitern anbieten. Nicht aus Ideologie, sondern schlicht aus der Lektüre des geltenden Rechts. Genau dieses Raster hat der französische Staat 2026 übrigens in seiner Beschaffungsdoktrin offiziell festgeschrieben: Immunität gegenüber extraterritorialem Recht, Austauschbarkeit, technologische Beherrschung. Eine Frage zu Ihrer eigenen Hosting-Kette? Sprechen wir darüber.
