Stand: 28. August 2026. Diese Seite erklärt einen rechtlichen Sachverhalt, so gut wir ihn nach öffentlichen Quellen darstellen können. Sie ersetzt keine Rechtsberatung.
Worum es geht
Der Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, ist ein US-amerikanisches Gesetz aus dem Jahr 2018. Es verpflichtet Anbieter von Kommunikations- und Cloud-Diensten, die US-amerikanischer Gerichtsbarkeit unterliegen, zur Herausgabe von Daten, die sich in ihrem Besitz, ihrer Verwahrung oder unter ihrer Kontrolle befinden — unabhängig davon, ob diese Daten in den USA oder außerhalb gespeichert sind.
Der entscheidende Satz steht in 18 U.S.C. § 2713. Maßgeblich ist danach nicht, wo ein Server steht, sondern wer rechtlich und tatsächlich über die Daten verfügt.
Warum „Server in Europa“ die Frage nicht beantwortet
Viele Anbieter werben mit Rechenzentren in der EU. Das ist ein echter Vorteil für Latenz, für die Verfügbarkeit und für eine Reihe datenschutzrechtlicher Fragen. Für den CLOUD Act ist es unerheblich.
Denn wenn ein Unternehmen US-Gerichtsbarkeit unterliegt, greift die Herausgabepflicht auf alle Daten zu, über die es Kontrolle hat — auch auf solche in Frankfurt, Dublin oder Wien. Ein europäisches Rechenzentrum eines amerikanischen Konzerns ändert daran nichts.
Ob und wann das auch für europäische Tochtergesellschaften amerikanischer Konzerne gilt, ist rechtlich nicht abschließend geklärt. Ein Gutachten der Universität zu Köln für das deutsche Bundesinnenministerium und eine Ausarbeitung des Wissenschaftlichen Dienstes des Bundestages bejahen die Konzernkontrolle. Andere Stimmen, etwa aus dem Cross-Border Data Forum, verneinen einen Automatismus. Eine veröffentlichte US-Gerichtsentscheidung, die unter § 2713 die Herausgabe von Daten einer EU-Tochter angeordnet hätte, ist uns nicht bekannt. Wer in diesem Punkt Gewissheit behauptet — in die eine oder die andere Richtung —, geht über die Beleglage hinaus.
Der Konflikt mit der DSGVO
Artikel 48 der Datenschutz-Grundverordnung bestimmt, dass Entscheidungen von Gerichten oder Behörden eines Drittstaats, die zur Offenlegung personenbezogener Daten verpflichten, nur anerkannt oder vollstreckbar werden dürfen, wenn sie auf eine internationale Übereinkunft gestützt sind.
Daraus entsteht die eigentliche Schwierigkeit, und sie ist struktureller Natur: Ein Anbieter unter US-Gerichtsbarkeit steht in einer Normenkollision, die er selbst nicht auflösen kann. Er kann entweder der US-Anordnung folgen oder die DSGVO einhalten. Beides zugleich geht nicht. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben genau das in ihrer gemeinsamen Antwort an den LIBE-Ausschuss festgestellt.
Diese Kollision lässt sich weder durch Verträge noch durch den Serverstandort beseitigen. Sie ist eine Eigenschaft der Rechtslage, nicht ein Versäumnis des jeweiligen Anbieters.
Ein Detail, das selten erwähnt wird: Der CLOUD Act sieht in § 2703(h) einen Weg vor, eine Anordnung anzufechten. Dieser Weg steht allerdings nur gegenüber Staaten offen, mit denen die USA ein sogenanntes Executive Agreement geschlossen haben. Das sind bislang das Vereinigte Königreich und Australien. Für österreichische Daten läuft dieser Schutzmechanismus leer. Es bleibt die schwächere, richterrechtlich entwickelte Abwägung nach dem Grundsatz der comity.
Wie oft kommt das vor?
Hier hilft ein Blick in die Transparenzberichte der Anbieter selbst, statt in die Werbung ihrer Wettbewerber.
Microsoft berichtet für das zweite Halbjahr 2025 von Herausgaben von Inhaltsdaten an US-Strafverfolgungsbehörden, die drei Nicht-US-Firmenkunden mit Daten außerhalb der Vereinigten Staaten betrafen. Einer dieser drei Kunden war nach Microsofts eigener Angabe in der EU oder EFTA ansässig. Zugleich hält der Bericht fest, dass keine dieser Offenlegungen Azure-Inhaltsdaten betraf. Amazon Web Services meldet für das erste Halbjahr 2026 keine derartigen Fälle.
Diese Zahlen widerlegen zwei verbreitete Aussagen auf einmal. „Das passiert ständig“ ist falsch. Es sind sehr wenige Fälle. „Das ist noch nie vorgekommen“ ist ebenfalls falsch. Es ist vorgekommen, und ein europäischer Firmenkunde war betroffen.
Was europäische Gerichte dazu sagen
Der französische Conseil d’État hat sich im März 2026 mit der Frage befasst und eine Formulierung gefunden, die ehrlicher ist als die meisten Marketingaussagen beider Lager: Das Risiko eines Zugriffs könne nicht vollständig ausgeschlossen werden — angesichts der bestehenden Garantien sei es jedoch hinnehmbar.
In dieselbe Richtung gehen ein Beschluss des Oberlandesgerichts Karlsruhe zum Vergaberecht und ein Beschluss der deutschen Datenschutzkonferenz. Die europäische Rechtsprechung behandelt den CLOUD Act also als reales, aber begrenztes Risiko — nicht als Ausschlussgrund und nicht als Nichtigkeit.
Was das für SUSI bedeutet
Wir setzen standardmäßig einen Modell-Anbieter mit Sitz in der EU ein, dessen Verarbeitung über europäische Endpunkte läuft. Dieser Anbieter unterliegt nicht der US-Gerichtsbarkeit. Für den Regelbetrieb stellt sich die Frage daher nicht.
Sie stellt sich in zwei Fällen:
- Wenn Ihre Organisation Modelle amerikanischer Anbieter freischalten lässt und Ihre Mitarbeitenden diese auswählen. Welche Modelle in welchem Rechtsraum rechnen, ist im Dienst gekennzeichnet — europäische Modelle tragen den Zusatz „(EU)“. Die Freischaltung entscheidet Ihr Haus, nicht der einzelne Nutzer.
- Bei zwei Zusatzfunktionen unseres EU-Anbieters, der Bilderzeugung und der Web-Recherche, die nach dessen Angaben Verarbeitungsschritte außerhalb der EU umfassen können. Diese beiden Funktionen können wir für Ihre Umgebung abschalten. Das ist keine Einstellung, die bei Ihnen jemand versehentlich rückgängig macht — es ist eine Eigenschaft der Umgebung, die sich vertraglich festhalten lässt.
Was wir nicht behaupten
Wir sagen nicht, dass Ihre Daten bei einem amerikanischen Anbieter abgegriffen werden. Die Zahlen oben zeigen, dass das sehr selten geschieht, und wir haben keinen Grund, daraus mehr zu machen, als es ist.
Wir sagen nicht, dass amerikanische Anbieter unsicher wären. Sie betreiben erhebliche Sicherheitsapparate, meist größere als unseren.
Wir sagen nicht, dass uns diese Rechtslage überhaupt nicht berührt. Wer eine Website betreibt, die sich auch an amerikanische Interessenten richtet, kann nach einer im erwähnten Gutachten vertretenen Auffassung in den Anwendungsbereich amerikanischer Gerichtsbarkeit geraten. Wir halten das für unwahrscheinlich und haben keine US-Niederlassung, keine US-Muttergesellschaft und keine US-Infrastruktur — aber ein pauschales „betrifft uns nicht“ wäre eine stärkere Aussage, als wir belegen können.
Was wir sagen, ist dies: Die Normenkollision existiert, sie ist strukturell, und sie lässt sich nicht wegvertragen. Wer sie vermeiden will, muss den Rechtsraum wechseln, nicht den Serverstandort. Genau das ist der Grund, warum unsere Voreinstellung so aussieht, wie sie aussieht.
Quellen
- 18 U.S.C. § 2713 — Wortlaut der Herausgabeverpflichtung
- Verordnung (EU) 2016/679, Artikel 48
- Europäischer Datenschutzausschuss und Europäischer Datenschutzbeauftragter, gemeinsame Antwort an den LIBE-Ausschuss vom 10. Juli 2019
- Microsoft, Law Enforcement Requests Report, zweites Halbjahr 2025
- Amazon Web Services, Information Request Report, erstes Halbjahr 2026
- Conseil d’État, Entscheidung vom 20. März 2026, Nr. 503159 und 504171
- Oberlandesgericht Karlsruhe, Beschluss 15 Verg 8/22
- Datenschutzkonferenz, Beschluss vom 31. Jänner 2023
- Universität zu Köln, Gutachten für das Bundesministerium des Innern, März 2025
- Wissenschaftlicher Dienst des Deutschen Bundestages, WD 3-3000-105/23
Ergänzende Angaben zur Verarbeitung Ihrer Daten finden Sie in unserer Datenschutzerklärung.