Herausforderungen der Datensicherheit durch den US CLOUD Act für europäische Unternehmen

Datensouveränität in der Cloud: Die Auswirkungen des US CLOUD Act auf europäische Unternehmen

Die fortschreitende Digitalisierung hat Cloud-Dienste zu einem unverzichtbaren Bestandteil moderner Unternehmensarchitekturen gemacht. Viele europäische Unternehmen vertrauen dabei auf die Infrastruktur großer US-amerikanischer Anbieter wie Amazon Web Services (AWS), Microsoft Azure oder Google Cloud. Diese Abhängigkeit birgt jedoch, insbesondere im Lichte des US Clarifying Lawful Overseas Use of Data Act (CLOUD Act), erhebliche Herausforderungen für den Datenschutz und die digitale Souveränität.

Der US CLOUD Act: Eine Einführung

Der CLOUD Act, im Jahr 2018 in den USA verabschiedet, erweitert die Befugnisse amerikanischer Behörden, auf gespeicherte Daten zuzugreifen. Das Gesetz verpflichtet Anbieter von elektronischen Kommunikationsdiensten und Remote-Computing-Diensten, die der US-Jurisdiktion unterliegen, zur Herausgabe von Daten. Entscheidend hierbei ist, dass diese Verpflichtung unabhängig vom physischen Speicherort der Daten gilt – selbst wenn die Daten auf Servern außerhalb der Vereinigten Staaten, beispielsweise in europäischen Rechenzentren, liegen. Ursprünglich als Instrument zur effizienteren Bekämpfung von Kriminalität und Terrorismus konzipiert, stellt der CLOUD Act eine Anpassung des Stored Communications Act (SCA) an das Zeitalter der Cloud dar.

Kollision mit der EU-Datenschutz-Grundverordnung (DSGVO)

Die extraterritoriale Reichweite des CLOUD Act führt zu einem unmittelbaren Konflikt mit den Prinzipien der EU-Datenschutz-Grundverordnung (DSGVO). Artikel 48 DSGVO besagt, dass die Übermittlung oder Offenlegung personenbezogener Daten an Behörden eines Drittlandes nur dann zulässig ist, wenn sie auf einer völkerrechtlichen Übereinkunft, wie einem Rechtshilfeabkommen (Mutual Legal Assistance Treaty, MLAT), basiert. Eine Anordnung, die sich allein auf den CLOUD Act stützt, erfüllt diese Bedingung aus europäischer Perspektive nicht und stellt somit keine gültige Rechtsgrundlage für einen Datentransfer dar.

Dies versetzt Cloud-Anbieter in ein Dilemma: Befolgen sie eine CLOUD Act-Anordnung ohne entsprechende völkerrechtliche Grundlage, verstoßen sie möglicherweise gegen die DSGVO und riskieren hohe Bußgelder. Verweigern sie hingegen die Herausgabe, drohen ihnen Sanktionen nach US-Recht. Der Europäische Datenschutzausschuss (EDSA) hat wiederholt betont, dass der CLOUD Act allein keine ausreichende Rechtsgrundlage für die Übermittlung personenbezogener Daten in die USA darstellt und die im CLOUD Act vorgesehene Anfechtungsmöglichkeit für Provider als unzureichenden Schutzmechanismus bewertet.

Ein weiteres Problemfeld sind die sogenannten „Gag Orders“. Diese ermöglichen es US-Behörden, den betroffenen Dienstleistern für bis zu 180 Tage zu untersagen, ihre Kunden über eine erfolgte Datenanfrage zu informieren. Dies verhindert, dass europäische Unternehmen oder Einzelpersonen wissen, wann ihre Daten möglicherweise an US-Behörden übermittelt wurden, und schränkt somit ihre Möglichkeiten zur Rechtswahrnehmung erheblich ein.

Die Position der großen Cloud-Anbieter

Große Cloud-Anbieter wie Amazon, Microsoft und Google betonen, dass sie jede Anfrage sorgfältig auf ihre Verhältnismäßigkeit prüfen und gegebenenfalls vor Gericht anfechten würden, um die Daten ihrer Kunden zu schützen. Transparenzberichte zeigen, dass zwar regelmäßig Anfragen von Regierungsbehörden eingehen, die Anbieter jedoch angeben, nur in einem Teil der Fälle Daten herauszugeben. Allerdings beinhalten diese Berichte keine Angaben zu „Gag Orders“, was die Transparenz für Kunden einschränkt.

In den letzten Jahren haben US-Anbieter zudem "souveräne Cloud"-Angebote beworben, die versprechen, Daten ausschließlich in europäischen Rechenzentren zu hosten und zu verarbeiten. Beispiele hierfür sind Microsofts EU Data Boundary oder die Amazon European Sovereign Cloud. Kritiker weisen jedoch darauf hin, dass diese Angebote den Zugriff nach dem CLOUD Act nicht ausschließen, da die Mutterunternehmen weiterhin der US-Jurisdiktion unterliegen. Die rechtliche Zuständigkeit bleibt in den USA, selbst wenn die physischen Server in Europa stehen.

Strategien zur Risikominimierung für europäische Unternehmen

Angesichts dieser komplexen Rechtslage ergeben sich für europäische Unternehmen konkrete Handlungsempfehlungen, um die Risiken durch den CLOUD Act zu minimieren und die digitale Souveränität zu stärken:

1. Umfassende Risikoanalyse und Datenklassifizierung:

Unternehmen sollten eine detaillierte Bestandsaufnahme ihrer Datenbestände und -flüsse vornehmen. Eine Klassifizierung nach Sensibilität der Daten ist essenziell, um potenzielle Risiken im Falle eines Zugriffs durch US-Behörden zu bewerten. Dazu gehören auch die Durchführung von Transfer Impact Assessments (TIAs), um die Einhaltung der DSGVO bei Datentransfers in Drittländer zu gewährleisten.

2. Prüfung alternativer Cloud-Anbieter:

Es ist ratsam, die Abhängigkeit von US-Cloud-Anbietern kritisch zu hinterfragen und europäische Alternativen in Betracht zu ziehen, die nicht der US-Jurisdiktion unterliegen. Anbieter wie OVHcloud oder Nextcloud bieten bereits entsprechende Lösungen an. Bei der Auswahl sollte nicht nur der Standort der Rechenzentren, sondern auch die Eigentümerstruktur und der rechtliche Sitz des Unternehmens berücksichtigt werden.

3. Robuste Technische und Organisatorische Maßnahmen (TOMs):

• Clientseitige Verschlüsselung: Der Einsatz starker Verschlüsselungsmethoden, bei denen die kryptografischen Schlüssel ausschließlich unter der Kontrolle des Kunden verbleiben (Hold Your Own Key – HYOK), ist eine der effektivsten Maßnahmen. Dies verhindert, dass der Cloud-Anbieter (und somit potenziell US-Behörden) Zugriff auf unverschlüsselte Daten erhält.
• Strikte Zugriffskontrollen: Implementierung von Identity and Access Management (IAM)-Richtlinien, die den Zugriff auf Daten auf das absolut Notwendige beschränken.
• Pseudonymisierung und Anonymisierung: Wo möglich, sollten Daten so aufbereitet werden, dass ein direkter Bezug zu Personen erschwert oder unmöglich gemacht wird.
• Geografische Datenlokalisierung: Sensible Daten sollten in Rechenzentren innerhalb der EU gespeichert werden, um zumindest die Anwendung europäischer Gesetze zu maximieren.

4. Vertragliche Gestaltung:

Cloud-Verträge sollten präzise Regelungen zu Datenverarbeitung, Speicherorten, Sicherheitsstandards und dem Umgang mit Behördenanfragen enthalten, die im Einklang mit Artikel 28 DSGVO stehen.

5. Entwicklung von Exit-Strategien:

Unternehmen sollten proaktiv Exit-Pläne für den Fall einer Aufhebung bestehender Datenschutzabkommen zwischen der EU und den USA entwickeln. Dies beinhaltet die Identifizierung kritischer Workloads und die Erprobung alternativer Lösungen, um die Geschäftskontinuität sicherzustellen.

Europäische Initiativen und der Weg nach vorn

Die Europäische Union hat die Herausforderung der digitalen Souveränität erkannt und reagiert mit Initiativen wie dem EU Data Act und Gaia-X. Der Data Act, der Mitte September 2025 in Kraft tritt, zielt darauf ab, die Kontrolle über Daten zu stärken und den Wechsel zwischen Cloud-Anbietern zu erleichtern. Gaia-X hat das ambitionierte Ziel, eine föderierte, sichere und souveräne europäische Dateninfrastruktur zu schaffen, die europäische Werte und Standards widerspiegelt. Obwohl diese Initiativen noch in der Entwicklung sind und vor Herausforderungen stehen, signalisieren sie einen klaren politischen Willen zur Stärkung der europäischen Position.

Die Debatte um den CLOUD Act und seine Auswirkungen auf europäische Unternehmen unterstreicht die Notwendigkeit einer ausgewogenen Strategie. Es gilt, die Vorteile globaler Cloud-Dienste zu nutzen, gleichzeitig aber die Risiken für Datenschutz und digitale Souveränität proaktiv zu managen. Für Unternehmen bedeutet dies eine kritische Prüfung ihrer Cloud-Strategie und die konsequente Umsetzung von Maßnahmen, die den Schutz ihrer Daten und die Einhaltung europäischer Rechtsvorschriften gewährleisten.

Fazit

Der US CLOUD Act bleibt eine signifikante Herausforderung für europäische Unternehmen, die auf Cloud-Dienste angewiesen sind. Die Diskrepanz zwischen US-amerikanischem und europäischem Recht erzeugt Rechtsunsicherheit und erfordert von Unternehmen eine hohe Sorgfaltspflicht. Eine reine Verlagerung von Serverstandorten nach Europa ist nicht ausreichend, solange die Anbieter der US-Jurisdiktion unterliegen. Die Stärkung der eigenen digitalen Souveränität durch europäische Alternativen und robuste technische Schutzmaßnahmen ist daher kein Luxus, sondern eine strategische Notwendigkeit, um die Integrität und Vertraulichkeit von Unternehmensdaten langfristig zu sichern.

Bibliographie

• Zandt, Florian. "Cloud Act erklärt: Wie Amazon, Microsoft & Co. Daten an US ...". t3n. 2025-11-01.
• Wire. "CLOUD Act vs. EU-Datenschutz: Was das US-Gesetz für die ...". Wire. 2025-07-22T08:35:37.000Z.
• Haar, Tobias. "Wie der US CLOUD Act das europäische Datenschutzdilemma verschärft". heise.de. 2025-09-02T05:00:00.000Z.
• Wolfenstein, Konrad. "Warum der US CLOUD Act ein Problem und Risiko für Europa und ...". Xpert.Digital. 2025-04-16T12:59:18.000Z.
• Heck, Nils; Schreiber, Meike; Martin-Jung, Helmut. "Digitale Souveränität: Wie abhängig ist Deutschland von US-Cloud ...". Süddeutsche Zeitung. 2025-08-26T06:08:00.000Z.
• Khammar, Susanne. "Cloud Act oder DSGVO: Das müssen Unternehmen beachten". e-recht24.de. 2018-12-13T15:04:33.000Z.
• Gribl, Barbara. "Warum europäische Datenräume US-Zugriff nicht ausschließen". CloudComputing-Insider. 2025-09-08T09:00:00.000Z.
• "Fünf Fakten zur tatsächlichen Funktionsweise des CLOUD Act". AWS Germany – Amazon Web Services in Deutschland. 2025-07-28T12:33:12.000Z.
• netfiles GmbH. "Sicherer Datenaustausch trotz CLOUD Act? Das müssen Sie wissen". netfiles.com. 2025-08-05T23:00:00.000Z.
• "Microsoft gesteht: USA könnten sich Zugriff auf EU-Daten in der ...". DER STANDARD. 2025-07-22T00:00:00.000Z.