Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Bundesgesetz aus dem Jahr 2018, das US-Strafverfolgungsbehörden den Zugriff auf Daten ermöglicht, die von Anbietern unter US-Jurisdiktion verwaltet werden – unabhängig davon, in welchem Land diese Daten gespeichert sind. Der US CLOUD Act ändert den Stored Communications Act und steht im Konflikt mit Artikel 48 DSGVO.

Was ist der US CLOUD Act?

Der US CLOUD Act ist ein Gesetz, das die räumliche Reichweite bestehender US-Ermittlungsbefugnisse klarstellt. Er wurde am 23. März 2018 als Teil eines Haushaltsgesetzes verabschiedet und änderte den Stored Communications Act, der seit 1986 den Zugriff auf gespeicherte Kommunikationsdaten regelt. Kern der Neuregelung ist die Vorschrift 18 U.S.C. § 2713: Anbieter von Kommunikations- und Datenverarbeitungsdiensten müssen Daten herausgeben, die sich in ihrem Besitz, ihrer Verwahrung oder unter ihrer Kontrolle befinden – auch wenn diese Daten außerhalb der USA liegen.

Wichtig für das Verständnis ist, was der US CLOUD Act nicht ist. Er schafft keine neuen Zugriffsbefugnisse und keinen behördlichen Direktzugang zu Systemen. Was ein US-Ermittler verlangen darf, richtet sich weiterhin nach dem bestehenden Verfahrensrecht: Für Kommunikationsinhalte ist grundsätzlich ein richterlicher Beschluss auf Grundlage eines hinreichenden Tatverdachts erforderlich, für Verkehrs- und Bestandsdaten genügen niedrigschwelligere Instrumente. Der US CLOUD Act beantwortet allein die Frage, ob der Speicherort im Ausland diesem Zugriff entgegensteht – und beantwortet sie mit nein.

Der zweite, in Europa weniger bekannte Teil des Gesetzes betrifft die Gegenrichtung. Der US CLOUD Act schafft in 18 U.S.C. § 2523 die Grundlage für bilaterale Abkommen, mit denen qualifizierte Drittstaaten Daten direkt bei US-Anbietern anfordern können, ohne den langsamen Weg der Rechtshilfe zu gehen. Der US CLOUD Act ist damit nicht nur ein Zugriffs-, sondern auch ein Kooperationsinstrument.

Warum wurde der US CLOUD Act erlassen?

Der US CLOUD Act wurde erlassen, weil die Rechtslage zur Reichweite von US-Beschlüssen auf im Ausland gespeicherte Daten ungeklärt war. Auslöser war ein Verfahren, das als Microsoft-Ireland-Fall bekannt wurde: US-Ermittler forderten E-Mail-Inhalte an, die Microsoft in einem Rechenzentrum in Irland speicherte. Ein US-Bundesberufungsgericht entschied 2016, dass der Stored Communications Act keine extraterritoriale Wirkung habe.

Das Verfahren lag beim Obersten Gerichtshof der USA, als der Gesetzgeber eingriff. Nach Inkrafttreten des US CLOUD Act war der Streitgegenstand entfallen, und das Verfahren wurde für erledigt erklärt. Die gesetzgeberische Absicht war ausdrücklich, Ermittlungen nicht daran scheitern zu lassen, wo ein Anbieter Daten technisch ablegt – aus Sicht der US-Regierung eine Frage der Praktikabilität in einer Cloud-Architektur, in der Speicherorte dynamisch und für Ermittler nicht erkennbar sind.

Aus europäischer Sicht verschob der US CLOUD Act damit eine Debatte: Nicht mehr der Serverstandort, sondern die Jurisdiktion über das Unternehmen wurde zum entscheidenden Kriterium. Diese Verschiebung prägt die Diskussion um Cloud-Souveränität bis heute.

Für wen gilt der US CLOUD Act?

Der US CLOUD Act gilt für Anbieter von elektronischen Kommunikationsdiensten und Datenverarbeitungsdiensten, die der US-Jurisdiktion unterliegen. Maßgeblich ist nicht die Staatsangehörigkeit des Kunden und nicht der Speicherort, sondern die Frage, ob ein Anbieter dem Zugriff US-amerikanischer Gerichte unterworfen ist und ob er über die verlangten Daten Kontrolle hat.

Der Begriff „possession, custody, or control“ ist dabei der praktisch entscheidende Punkt. Kontrolle kann auch dann bestehen, wenn Daten formal bei einer europäischen Tochtergesellschaft liegen, die Muttergesellschaft aber rechtlich oder faktisch auf sie zugreifen kann. Betroffen sind daher typischerweise:

US-Unternehmen mit Rechenzentren in Europa
europäische Tochtergesellschaften von US-Konzernen, soweit die Konzernmutter Kontrolle über die Daten hat
nicht-US-Unternehmen mit hinreichender geschäftlicher Präsenz in den USA, wenn eine US-Gerichtszuständigkeit begründet werden kann
Subunternehmer und Vorleistungen in der Lieferkette, etwa wenn ein europäischer Anbieter auf Infrastruktur eines US-Anbieters aufsetzt

Der letzte Punkt wird in Beschaffungsverfahren regelmäßig übersehen. Ein europäischer Softwareanbieter kann selbst außerhalb der US-Jurisdiktion stehen und trotzdem Daten in einer Umgebung betreiben, die von einem US-Anbieter kontrolliert wird. Für die Bewertung ist deshalb die gesamte Kette relevant, nicht nur der Vertragspartner.

Welche Daten kann eine US-Behörde auf Grundlage des US CLOUD Act verlangen?

Auf Grundlage des US CLOUD Act können US-Behörden Kommunikationsinhalte sowie Bestands- und Verkehrsdaten verlangen, die ein Anbieter kontrolliert. Der Umfang richtet sich nach dem Instrument: Inhalte von Nachrichten, Dateien und gespeicherter Kommunikation erfordern grundsätzlich einen richterlichen Beschluss, während Angaben zu Kundenkonten, Anmeldezeiten, IP-Adressen und Kommunikationsverbindungen mit geringeren Anforderungen erlangt werden können.

Praktisch bedeutsam ist die Möglichkeit, die Herausgabe mit einer Verpflichtung zur Geheimhaltung zu verbinden. Nach 18 U.S.C. § 2705(b) kann ein Gericht dem Anbieter untersagen, den Betroffenen zu informieren. Für europäische Verantwortliche entsteht daraus ein struktureller Blindfleck: Sie können nicht davon ausgehen, von einem Zugriff auf ihre Daten zu erfahren. Die veröffentlichten Transparenzberichte großer Anbieter geben nur aggregierte Größenordnungen wieder und lassen keine Aussage über einzelne Kundenbeziehungen zu.

Zu beachten ist außerdem, dass Anbieter nur herausgeben können, worauf sie tatsächlich Zugriff haben. Liegen Daten ausschließlich verschlüsselt vor und verfügt der Anbieter nicht über die Schlüssel, kann er lediglich Chiffrat und die vorhandenen Metadaten liefern. Diese technische Grenze ist das wirksamste Gegenmittel – und der Grund, warum Schlüsselhoheit in Ausschreibungen zunehmend ausdrücklich abgefragt wird.

Was sind Executive Agreements nach dem US CLOUD Act?

Executive Agreements sind bilaterale Abkommen zwischen den USA und qualifizierten Drittstaaten, die einen direkten Datenzugriff bei Anbietern des jeweils anderen Landes ermöglichen. Rechtsgrundlage ist 18 U.S.C. § 2523. Voraussetzung ist eine Feststellung der US-Regierung, dass der Partnerstaat hinreichende Rechtsstaats- und Datenschutzstandards einhält.

Das erste Abkommen dieser Art schlossen die USA mit dem Vereinigten Königreich; es trat im Oktober 2022 in Kraft. Ein weiteres Abkommen wurde mit Australien unterzeichnet. Verhandlungen zwischen den USA und der Europäischen Union über ein entsprechendes Abkommen laufen seit 2019, sind aber über lange Zeit nicht abgeschlossen worden; der aktuelle Stand sollte vor jeder verbindlichen Aussage geprüft werden.

Die Existenz eines Abkommens hat eine wenig bekannte Nebenwirkung. Der US CLOUD Act eröffnet Anbietern in 18 U.S.C. § 2703(h) die Möglichkeit, sich gegen eine Herausgabeanordnung zu wehren, wenn der Betroffene keine US-Person ist und die Herausgabe gegen das Recht eines Partnerstaats verstoßen würde. Dieser Rechtsbehelf greift jedoch nur gegenüber Staaten mit Executive Agreement. Für die EU-Mitgliedstaaten existiert er bislang nicht – Anbieter können sich dort nur auf allgemeine völkerrechtliche Rücksichtnahme berufen, deren Erfolgsaussichten deutlich unsicherer sind.

Wie verhält sich der US CLOUD Act zur DSGVO?

Der US CLOUD Act steht im direkten Konflikt mit Artikel 48 DSGVO. Diese Vorschrift bestimmt, dass Urteile von Drittlandsgerichten und Entscheidungen von Drittlandsbehörden, mit denen eine Offenlegung personenbezogener Daten verlangt wird, nur anerkannt oder durchsetzbar sind, wenn sie auf einer in Kraft befindlichen internationalen Übereinkunft wie einem Rechtshilfeabkommen beruhen – unbeschadet anderer Übermittlungsgründe des Kapitels V.

Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben diesen Konflikt in einer gemeinsamen Stellungnahme an den LIBE-Ausschuss des Europäischen Parlaments im Juli 2019 bewertet. Kernergebnis: Solange kein internationales Abkommen besteht, ist eine US-Herausgabeanordnung allein keine tragfähige Grundlage für eine Übermittlung. Auch eine rechtliche Verpflichtung nach Artikel 6 Absatz 1 Buchstabe c DSGVO hilft nicht weiter, da sich diese auf Unionsrecht oder mitgliedstaatliches Recht bezieht, nicht auf Drittlandsrecht. Ausnahmen nach Artikel 49 DSGVO sind eng gefasst und für regelmäßige Übermittlungen nicht geeignet.

Damit entsteht eine echte Pflichtenkollision: Der Anbieter kann sich zwischen einer US-Anordnung und dem europäischen Datenschutzrecht bewegen, ohne beide Anforderungen erfüllen zu können. Aufsichtsrechtlich verantwortlich bleibt jedoch der europäische Verantwortliche, der den Dienst einsetzt. Für die DSGVO-Konformität genügt es deshalb nicht, das Risiko dem Anbieter zuzuschreiben – die Bewertung des Übermittlungsrisikos, üblicherweise in Form eines Transfer Impact Assessment, gehört zur Dokumentationspflicht des Verantwortlichen.

Wie unterscheidet sich der US CLOUD Act von FISA 702 und Schrems II?

Der US CLOUD Act unterscheidet sich von FISA 702 durch Zweck, Verfahren und Adressaten: Der US CLOUD Act betrifft Strafverfolgung im Einzelfall mit richterlicher Kontrolle, FISA 702 betrifft nachrichtendienstliche Überwachung zu Zwecken der Auslandsaufklärung. Die beiden Regelungen werden in der deutschsprachigen Diskussion häufig vermischt, was zu falschen Schlussfolgerungen führt.

Regelung	Zweck	Verfahren	Bezug zur EU-Debatte
US CLOUD Act	Strafverfolgung, Beweiserhebung im Einzelfall	Herausgabeanordnung gegen den Anbieter, für Inhalte mit richterlichem Beschluss	Konflikt mit Art. 48 DSGVO; nicht Gegenstand des Angemessenheitsbeschlusses
FISA 702	Auslandsaufklärung durch Nachrichtendienste	Programmbezogene Anordnungen, kein Einzelfallbeschluss für jede Zielperson	Zentraler Grund für die Aufhebung des Privacy Shield in Schrems II
Executive Order 12333	Auslandsaufklärung außerhalb des US-Territoriums	Ohne gerichtliche Vorabkontrolle	In Schrems II als zusätzliches Risiko benannt

Das Schrems-II-Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 (Rechtssache C-311/18) betraf ausdrücklich die nachrichtendienstliche Überwachung, nicht den US CLOUD Act. Ebenso adressiert der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023 die Zugriffe von Nachrichtendiensten und die dafür geschaffenen Rechtsschutzmechanismen – der Zugriff nach dem US CLOUD Act ist davon nicht erfasst. Wer eine Übermittlung ausschließlich auf das Data Privacy Framework stützt, hat die CLOUD-Act-Problematik daher nicht adressiert, sondern nur einen anderen Teil des Risikos.

Schützt ein Rechenzentrum in der EU vor dem US CLOUD Act?

Nein, ein Rechenzentrum in der EU schützt allein nicht vor dem US CLOUD Act, weil das Gesetz an die Jurisdiktion über den Anbieter anknüpft und nicht an den Speicherort der Daten. Ein deutsches Rechenzentrum eines US-Konzerns unterliegt derselben Herausgabepflicht wie ein Rechenzentrum in Virginia, solange die Muttergesellschaft Kontrolle über die Daten hat.

Diese Erkenntnis hat eine Reihe von Betreibermodellen hervorgebracht, die genau an diesem Kontrollkriterium ansetzen: Treuhandmodelle, europäische Betreibergesellschaften mit eigener Rechtspersönlichkeit, Lizenzkonstruktionen ohne administrativen Zugriff des US-Anbieters sowie souveräne Cloud-Angebote unter europäischer Kontrolle. Rechtlich umstritten bleibt jeweils, ob die technische und organisatorische Trennung ausreicht, um Kontrolle im Sinne des US CLOUD Act zu verneinen. Belastbare Rechtsprechung dazu gibt es kaum, weshalb Bewertungen dieser Modelle vorsichtig ausfallen sollten.

Welche Maßnahmen mindern das Risiko aus dem US CLOUD Act?

Das Risiko aus dem US CLOUD Act lässt sich vor allem dadurch mindern, dass ein Anbieter technisch keinen Zugriff auf die Inhalte hat oder organisatorisch nicht der US-Jurisdiktion unterliegt. Rein vertragliche Zusicherungen helfen dagegen nicht, weil sie eine gesetzliche Herausgabepflicht nicht außer Kraft setzen können.

Wirksam sind in der Praxis fünf Ansätze:

Schlüsselhoheit: Verschlüsselung, bei der ausschließlich die Organisation oder die Endgeräte über die Schlüssel verfügen, sodass ein Anbieter nur Chiffrat herausgeben könnte
Betriebsmodell: Betrieb in der eigenen Infrastruktur oder bei einem Anbieter, der vollständig europäischer Jurisdiktion unterliegt, einschließlich aller Vorleistungen
Anbieter- und Lieferkettenprüfung: Bewertung von Konzernstruktur, Gesellschafterverhältnissen, Subunternehmern und Administrationszugriffen statt nur des Serverstandorts
Datensparsamkeit und Zweckbegrenzung: besonders schutzbedürftige Kategorien und Metadaten dort vermeiden, wo Zugriff nicht ausgeschlossen werden kann
Dokumentierte Risikobewertung: Transfer Impact Assessment mit Prüfung der Erforderlichkeit, der Alternativen und der ergänzenden Maßnahmen

Der Schlüsselpunkt ist dabei die Reihenfolge: Technische Maßnahmen wirken unabhängig von der Rechtslage, organisatorische Maßnahmen wirken nur, solange die Konstruktion einer Kontrollprüfung standhält, und vertragliche Maßnahmen wirken gegenüber staatlichen Anordnungen praktisch nicht. Erfahrungsgemäß wird diese Rangfolge in Anbietergesprächen umgekehrt dargestellt.

Für interne Kommunikation ist der Zusammenhang besonders unmittelbar, weil dort Inhalte, Verzeichnisdaten und Verbindungsdaten gleichzeitig anfallen und häufig personenbezogene Informationen Dritter betreffen. Organisationen mit erhöhten Anforderungen setzen deshalb in der Regel auf Lösungen, die vollständige Verschlüsselung, ein wählbares Betriebsmodell im eigenen Rechtsraum und eine nachvollziehbare Offenlegung der eingesetzten Vorleistungen verbinden.

Wie diese Anforderungen in der internen Kommunikation praktisch umgesetzt werden können, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Welche Rolle spielt der US CLOUD Act in Beschaffung und Zertifizierung?

Der US CLOUD Act ist in Beschaffungsverfahren des öffentlichen Sektors und bei Betreibern kritischer Infrastruktur zu einem eigenständigen Zuschlagskriterium geworden. Grundlage sind meist Anforderungen an die Immunität gegenüber außereuropäischem Recht, die inzwischen in mehrere Prüf- und Kennzeichnungssysteme eingegangen sind.

Das französische Qualifizierungsschema SecNumCloud der ANSSI verlangt für die höchste Stufe unter anderem Sitz und Kontrolle des Anbieters innerhalb der EU sowie Grenzen für außereuropäische Beteiligungen. Das dritte Label-Level von Gaia-X formuliert eine vergleichbare Anforderung und bezieht die Gesellschafterstruktur ausdrücklich ein. Beim geplanten europäischen Zertifizierungsschema EUCS war die Frage, ob Souveränitätskriterien aufgenommen werden, über Jahre politisch umstritten. Der deutsche Prüfkatalog C5 des BSI adressiert dagegen Sicherheitsmaßnahmen und verlangt Transparenz über Gerichtsstände, enthält aber kein Immunitätskriterium.

Für Ausschreibungen folgt daraus eine praktische Konsequenz: Formulierungen wie „Datenhaltung in Deutschland“ sind als Anforderung ungeeignet, weil sie das eigentliche Kriterium verfehlen. Belastbar sind Anforderungen an Sitz und Kontrollverhältnisse des Anbieters, an die Offenlegung der Subunternehmerkette und an die ausschließliche Schlüsselverfügung des Auftraggebers.

Gibt es eine europäische Entsprechung zum US CLOUD Act?

Die europäische Entsprechung zum US CLOUD Act ist die E-Evidence-Verordnung (EU) 2023/1543 über europäische Herausgabe- und Sicherungsanordnungen für elektronische Beweismittel in Strafsachen, ergänzt durch die Richtlinie (EU) 2023/1544 zur Bestellung von Vertretern. Sie erlaubt Strafverfolgungsbehörden eines Mitgliedstaats, elektronische Beweismittel unmittelbar bei Diensteanbietern in einem anderen Mitgliedstaat anzufordern, statt den Weg der Rechtshilfe zu gehen.

Die Verordnung ist damit strukturell mit dem US CLOUD Act vergleichbar, arbeitet aber innerhalb eines gemeinsamen Rechtsraums mit harmonisierten Grundrechtsstandards und definierten Ablehnungsgründen. Ihre Anwendbarkeit war für August 2026 vorgesehen; da Umsetzungsschritte und nationale Begleitgesetzgebung erfahrungsgemäß nachlaufen, sollte der aktuelle Stand geprüft werden. Für Organisationen bedeutet die Verordnung, dass Herausgabeanordnungen künftig nicht nur ein Thema der Anbieterauswahl, sondern auch der eigenen Prozesse sind.

Welche Missverständnisse gibt es zum US CLOUD Act?

Das häufigste Missverständnis zum US CLOUD Act ist die Annahme, ein europäischer Serverstandort löse das Problem. Weitere Fehlannahmen, die in Projekten regelmäßig auftreten:

„Der CLOUD Act erlaubt Massenzugriffe.“ Er regelt Einzelfallanordnungen in Strafverfahren; massenhafte Erhebung ist Gegenstand anderer Rechtsgrundlagen wie FISA 702.
„Das Data Privacy Framework löst die CLOUD-Act-Frage.“ Der Angemessenheitsbeschluss betrifft nachrichtendienstliche Zugriffe, nicht strafprozessuale Herausgabeanordnungen.
„Der Anbieter hat vertraglich zugesichert, keine Daten herauszugeben.“ Eine gesetzliche Herausgabepflicht wird durch Vertrag nicht aufgehoben; im Konfliktfall setzt sich das anwendbare Recht durch.
„Wir sind nicht betroffen, weil unser Vertragspartner europäisch ist.“ Entscheidend ist die gesamte Vorleistungskette einschließlich Infrastruktur, Support und Administrationszugriffen.
„Es ist noch nie etwas passiert.“ Geheimhaltungsanordnungen führen dazu, dass Betroffene von Zugriffen regelmäßig nicht erfahren; das Fehlen bekannter Fälle ist kein Nachweis.

Zusammenfassung: Wichtige Punkte zum US CLOUD Act

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Bundesgesetz vom 23. März 2018, das den Stored Communications Act geändert hat.
Nach 18 U.S.C. § 2713 müssen Anbieter unter US-Jurisdiktion Daten herausgeben, die sie kontrollieren – unabhängig davon, in welchem Land die Daten gespeichert sind.
Anknüpfungspunkt ist die Jurisdiktion über den Anbieter und dessen Kontrolle über die Daten, nicht der Serverstandort; ein EU-Rechenzentrum eines US-Konzerns ist deshalb nicht geschützt.
Der US CLOUD Act schafft keine neuen Zugriffsbefugnisse: Für Kommunikationsinhalte bleibt ein richterlicher Beschluss erforderlich, für Bestands- und Verkehrsdaten gelten niedrigere Anforderungen.
Geheimhaltungsanordnungen nach 18 U.S.C. § 2705(b) können verhindern, dass Betroffene von einem Zugriff erfahren.
Der US CLOUD Act steht im Konflikt mit Artikel 48 DSGVO; ohne internationales Abkommen ist eine US-Anordnung allein keine tragfähige Übermittlungsgrundlage.
Executive Agreements nach 18 U.S.C. § 2523 ermöglichen Partnerstaaten direkten Datenzugriff; das erste Abkommen mit dem Vereinigten Königreich trat 2022 in Kraft, ein EU-US-Abkommen fehlt bislang.
Der Rechtsbehelf zur Abwehr von Anordnungen nach 18 U.S.C. § 2703(h) greift nur gegenüber Staaten mit Executive Agreement – für EU-Mitgliedstaaten steht er nicht zur Verfügung.
Der US CLOUD Act ist nicht Gegenstand von Schrems II und wird durch das EU-US Data Privacy Framework nicht adressiert; jene betreffen nachrichtendienstliche Zugriffe nach FISA 702 und Executive Order 12333.
Wirksame Gegenmaßnahmen sind Schlüsselhoheit, ein Betriebsmodell in europäischer Jurisdiktion und die Prüfung der gesamten Vorleistungskette; vertragliche Zusicherungen wirken gegenüber gesetzlichen Pflichten nicht.
In Beschaffung und Zertifizierung schlägt sich das Thema in SecNumCloud, dem dritten Gaia-X-Label und der EUCS-Debatte nieder; die Anforderung „Daten in Deutschland“ verfehlt das eigentliche Kriterium.
Die europäische Entsprechung ist die E-Evidence-Verordnung (EU) 2023/1543, die grenzüberschreitende Herausgabeanordnungen innerhalb der EU regelt.