Der US CLOUD Act

Worum es geht

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Bundesgesetz, das die USA im März 2018 verabschiedet haben [3]. Es ergänzt den Stored Communications Act. Wichtig ist § 2713: Anbieter von elektronischen Kommunikations- und Cloud-Diensten müssen Inhalte und Kundendaten aufbewahren oder herausgeben, wenn diese sich in ihrem Besitz, ihrer Verwahrung oder ihrer Kontrolle befinden („possession, custody, or control“), und zwar unabhängig davon, ob die Daten in den USA oder im Ausland liegen [1].

Der Speicherort allein schützt also nicht vor einem Herausgabeverlangen, wenn der Anbieter dem US-Recht unterliegt. Die Frage ist die Kontrolle über die Daten, nicht die Adresse des Rechenzentrums.

Was das Gesetz nicht bedeutet

Der Satz „Alle Daten in US-Clouds sind automatisch für US-Behörden einsehbar“ stimmt so nicht. Der CLOUD Act schafft keinen Dauerzugriff. Er verpflichtet Anbieter, auf ein rechtliches Verfahren (legal process) nach dem Stored Communications Act zu reagieren [2]. Ob ein Anbieter erfasst ist, hängt davon ab, ob er der US-Gerichtsbarkeit unterliegt.

Wen es treffen kann

Entscheidend ist nicht allein der Firmensitz. Das Gesetz knüpft an den Anbieter und seine Kontrolle über die Daten an [1]. Bei den Abwägungskriterien für Anfechtungen nennt § 2703(h) ausdrücklich auch „die Verbindungen und die Präsenz des Anbieters in den USA“ [2]. Wie weit das bei europäischen Tochterfirmen amerikanischer Konzerne reicht, muss im Einzelfall juristisch geklärt werden. Das kann dieser Text nicht leisten.

Wie Anbieter sich wehren können

§ 2703(h) erlaubt einem Anbieter, ein Verlangen auf Inhaltsdaten anzufechten, wenn er vernünftigerweise annimmt, dass der Kunde keine „United States person“ ist und nicht in den USA wohnt, und dass die Herausgabe ihn dem wesentlichen Risiko aussetzt, die Gesetze einer „qualifying foreign government“ zu verletzen. Der Antrag ist innerhalb von 14 Tagen zu stellen. Das Gericht wägt unter anderem die Interessen der USA, die des Drittstaats, mögliche Strafen für den Anbieter und die Verbindung des Kunden zu den USA ab [2].

Eine „qualifying foreign government“ ist nur ein Staat, mit dem die USA ein Abkommen nach dem CLOUD Act geschlossen haben, das in Kraft ist [2]. Das US-Justizministerium nennt Abkommen mit dem Vereinigten Königreich und Australien. Mit der EU waren die Verhandlungen laut derselben Seite im März 2023 wieder aufgenommen worden, ein abgeschlossenes Abkommen ist dort nicht aufgeführt [3]. Wenn es mit Deutschland oder der EU kein Abkommen in Kraft gibt, steht dieser gesetzliche Anfechtungsweg für Anbieter dort nicht offen. Ob andere Wege bleiben, ist juristisch zu klären.

Das europäische Gegenstück: Art. 48 DSGVO

Art. 48 DSGVO sagt, dass Urteile und Behördenentscheidungen eines Drittstaats nur anerkannt oder vollstreckt werden dürfen, wenn sie auf einem internationalen Abkommen beruhen, etwa einem Rechtshilfeabkommen, das zwischen dem Drittstaat und der EU oder einem Mitgliedstaat gilt [4]. Der Europäische Datenschutzausschuss hat dazu im Juni 2025 seine Leitlinien 02/2024 in der endgültigen Fassung veröffentlicht [5].

Die Leitlinien sagen: Entscheidungen von Drittstaaten können nicht automatisch und unmittelbar in der EU anerkannt oder vollstreckt werden. Antwortet ein Verantwortlicher in der EU trotzdem auf ein solches Ersuchen, ist das eine Übermittlung im Sinne der DSGVO und braucht eine Rechtsgrundlage nach Art. 6 und eine Übermittlungsgrundlage nach Kapitel V. Gibt es kein Abkommen, kommen andere Grundlagen in Betracht, bis hin zu den Ausnahmen des Art. 49 [5].

Das ist eine Differenzierung. Es heißt nicht, dass jede Herausgabe verboten ist, und es heißt nicht, dass sie ohne Weiteres erlaubt ist. Ein Ersuchen einer ausländischen Behörde ist laut den Leitlinien für sich genommen weder Rechtsgrundlage noch Übermittlungsgrundlage [5].

Der Rahmen für Datenübermittlungen in die USA

Seit dem 10. Juli 2023 gibt es einen Angemessenheitsbeschluss der EU-Kommission für das EU-US Data Privacy Framework [6][7]. Er erleichtert Übermittlungen an US-Unternehmen, die am Framework teilnehmen. Gegen den Beschluss läuft ein Verfahren: Das Gericht der EU hat die Klage von Philippe Latombe am 3. September 2025 abgewiesen [9]. Er hat Rechtsmittel eingelegt (C-703/25 P, im Amtsblatt veröffentlicht am 22. Dezember 2025) [8]. Nach meinem letzten Rechercheergebnis ist das Verfahren noch offen.

Was du tun kannst

Grenzen von Verschlüsselung und Selfhosting

Ein weiterer Baustein: die EU-E-Evidence-Verordnung

Seit dem 18. August 2026 gilt die Verordnung (EU) 2023/1543. Sie erlaubt Justizbehörden eines Mitgliedstaats, Herausgabe- und Sicherungsanordnungen direkt an Diensteanbieter zu richten [10]. Quelle hierfür ist bisher nur ein Sekundärbeitrag, den Primärtext habe ich noch nicht gelesen.

Veröffentlicht: 2026-10-13 · Zuletzt geprüft: 2026-10-13

Quellen

1. 18 U.S. Code § 2713 – Required preservation and disclosure of communications and records ↗, Cornell Law School, Legal Information Institute, abgerufen am 2026-10-13. Quellenart: primär. Prüfstatus: Text gelesen.
2. 18 U.S. Code § 2703 – Required disclosure of customer communications or records (insbesondere Abs. (h)) ↗, Cornell Law School, Legal Information Institute, abgerufen am 2026-10-13. Quellenart: primär. Prüfstatus: Text gelesen.
3. CLOUD Act Resources ↗, U.S. Department of Justice, abgerufen am 2026-10-13. Quellenart: primär. Prüfstatus: Text gelesen.
4. Art. 48 DSGVO – Nach dem Unionsrecht nicht zulässige Übermittlung oder Offenlegung (Wiedergabe der Verordnung (EU) 2016/679) ↗, Intersoft Consulting (gdpr-info.eu), abgerufen am 2026-10-13. Quellenart: Wiedergabe des Primärtexts. Prüfstatus: Text gelesen.
5. Guidelines 02/2024 on Article 48 GDPR, Version 2.1 ↗, Europäischer Datenschutzausschuss (EDPB), Juni 2025, abgerufen am 2026-10-13. Quellenart: primär. Prüfstatus: Text gelesen.
6. EU-US data transfers (Angemessenheitsbeschluss zum Data Privacy Framework) ↗, Europäische Kommission, abgerufen am 2026-10-13. Quellenart: primär. Prüfstatus: Text gelesen.
7. Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 (EU-US Data Privacy Framework) ↗, EUR-Lex, abgerufen am 2026-10-13. Quellenart: primär. Prüfstatus: nur über Sekundärquellen gelesen.
8. Rechtsmittel C-703/25 P (Latombe/Kommission) gegen das Urteil des Gerichts T-553/23 ↗, Amtsblatt der EU, C/2025/6610, abgerufen am 2026-10-13. Quellenart: primär. Prüfstatus: nur über Sekundärquellen gelesen.
9. Transatlantic data transfers: EU General Court upholds Data Privacy Framework ↗, Hogan Lovells, abgerufen am 2026-10-13. Quellenart: sekundär. Prüfstatus: nur Suchergebnis gelesen.
10. E-evidence Regulation and Directive published ↗, eucrim, abgerufen am 2026-10-13. Quellenart: sekundär. Prüfstatus: nur Suchergebnis gelesen.