CLOUD Act und Serverstandort: warum Frankfurt allein nicht reicht

Wer nach dem Datenschutz seiner Cloud-Dienste fragt, bekommt häufig dieselbe Antwort: „Unsere Daten liegen in Frankfurt.“ Das ist meistens richtig. Fast alle großen US-Anbieter betreiben Rechenzentren in Deutschland und werben damit. Die Antwort klärt aber nur, wo die Daten physisch gespeichert sind. Welche Behörden darauf zugreifen können, hängt auch davon ab, welchem Recht der Anbieter unterliegt.

Ich gehe hier die drei US-Regelungen durch, die in diesem Zusammenhang immer wieder auftauchen, und was daraus für die Auswahl eines Anbieters folgt.

Hier geht es um die technischen und praktischen Folgen. Ob Ihr Betrieb einen bestimmten Dienst datenschutzrechtlich zulässig nutzt, bewertet eine Datenschutzbeauftragte oder ein Fachanwalt. Diesen Teil übernehme ich nicht.

Was der Serverstandort regelt

Der Standort des Rechenzentrums bestimmt, welches Recht für den Ort gilt, an dem die Festplatten stehen. Das ist nicht wenig: Deutsche Behörden brauchen für einen Zugriff deutsche Rechtsgrundlagen, und die DSGVO gilt ohnehin.

Ein Unternehmen unterliegt aber nicht nur dem Recht des Ortes, an dem seine Server stehen. Ein US-Konzern bleibt an US-Recht gebunden, auch wenn er in Deutschland eine Tochtergesellschaft gründet und dort ein Rechenzentrum betreibt. Für die Daten in diesem Rechenzentrum gelten damit zwei Rechtsordnungen gleichzeitig, und die widersprechen sich in einem Punkt.

Der CLOUD Act

Der „Clarifying Lawful Overseas Use of Data Act“ wurde im März 2018 verabschiedet. Anlass war ein Rechtsstreit zwischen Microsoft und dem US-Justizministerium: Microsoft hatte sich geweigert, E-Mails herauszugeben, die auf Servern in Irland lagen. Der CLOUD Act hat diese Frage entschieden, bevor der Supreme Court es tun konnte.

Seitdem gilt: Ein Anbieter, der US-Recht unterliegt, muss auf Anordnung Daten herausgeben, die er in seinem Besitz, in seinem Gewahrsam oder unter seiner Kontrolle hat. Wo diese Daten gespeichert sind, spielt dafür keine Rolle. Bei hundertprozentigen europäischen Töchtern eines US-Konzerns wird diese Kontrolle in der Fachliteratur meist angenommen. Abschließend geklärt ist das nicht. Es hängt von der Konzernstruktur und den tatsächlichen Zugriffsmöglichkeiten im Einzelfall ab.

Das kollidiert mit Artikel 48 DSGVO. Danach werden Urteile und Behördenentscheidungen aus Drittstaaten, die eine Datenherausgabe verlangen, nur anerkannt oder vollstreckt, wenn sie auf einem internationalen Abkommen beruhen, etwa einem Rechtshilfeabkommen. Andere Gründe für eine Übermittlung nach der DSGVO bleiben davon unberührt. Ein Anbieter kann also vor der Lage stehen, dass US-Recht die Herausgabe verlangt und europäisches Recht sie nicht ohne Weiteres deckt. Wie er sich dann verhält, können Sie von außen weder sehen noch beeinflussen.

Ausschließen können die Anbieter diesen Konflikt nicht, das hat Microsoft selbst eingeräumt. Am 10. Juni 2025 fragte ein Untersuchungsausschuss des französischen Senats Anton Carniaux, den Direktor für öffentliche und rechtliche Angelegenheiten von Microsoft France, unter Eid, ob er garantieren könne, dass Daten französischer Bürger nie ohne ausdrückliche Zustimmung der französischen Behörden auf Anordnung der US-Regierung herausgegeben werden. Er antwortete: „Nein, das kann ich nicht garantieren.“ Bisher sei das aber noch nie vorgekommen. Vor derselben Frage steht jeder Anbieter unter US-Recht.

FISA Section 702

Der CLOUD Act betrifft vor allem Anordnungen in Strafverfahren. Daneben gibt es Section 702 des Foreign Intelligence Surveillance Act. Sie erlaubt US-Geheimdiensten, die Kommunikation von Personen außerhalb der USA, die keine US-Bürger sind, über US-Kommunikations- und Cloud-Anbieter zu erfassen. Für einen Betrieb in Deutschland heißt das: Seine Mitarbeiter und Kunden sind genau die Gruppe, auf die sich diese Befugnis richtet.

Section 702 ist befristet und wurde seit 2008 mehrfach verlängert, zuletzt im April 2024 bis April 2026 und danach noch zweimal für wenige Wochen. Am 12. Juni 2026 ist die gesetzliche Grundlage ausgelaufen, weil sich der Kongress nicht auf eine Verlängerung einigen konnte. Die Überwachung läuft trotzdem weiter: Das zuständige US-Gericht hatte die laufenden Anordnungen im März 2026 für ein Jahr genehmigt, und die gelten bis März 2027. Angewendet wird die Befugnis also seit 2008 ohne Unterbrechung.

Das EU-US Data Privacy Framework

Das Data Privacy Framework ist die Grundlage, auf der viele Unternehmen Daten an zertifizierte US-Anbieter übermitteln. Die EU-Kommission hat es im Juli 2023 für angemessen erklärt. Es ist bereits der dritte Anlauf: Seine Vorgänger Safe Harbor und Privacy Shield hat der Europäische Gerichtshof 2015 und 2020 für ungültig erklärt, beide Male wegen der Zugriffsbefugnisse US-amerikanischer Behörden.

Auch das aktuelle Framework liegt wieder beim Europäischen Gerichtshof. Wie das Verfahren ausgeht, kann heute niemand seriös vorhersagen. Wer seine Datenübermittlungen allein auf das Framework stützt, sollte aber wissen, dass die Grundlage schon zweimal innerhalb weniger Jahre weggefallen ist. Das Framework regelt außerdem nur Übermittlungen; den CLOUD Act und FISA 702 lässt es unberührt.

Was das für die Auswahl eines Anbieters heißt

Eine Pflicht, US-Dienste zu verlassen, ergibt sich aus alldem nicht. Wer einen Anbieter auswählt oder einen bestehenden prüft, kommt mit „Serverstandort Deutschland“ allein aber nicht weit. Diese Fragen helfen weiter:

1. Wer ist Ihr Vertragspartner, und wo sitzt die Muttergesellschaft? Eine deutsche oder irische Gesellschaft als Vertragspartner sagt wenig, wenn der Konzern in den USA sitzt.
2. Wer verwaltet die Schlüssel? Liegen die Schlüssel beim Anbieter, kann er Daten lesbar herausgeben. Verschlüsseln Sie selbst, bevor die Daten den Betrieb verlassen, kann er das nicht.
3. Von wo aus wird der Dienst betrieben? Wenn Support und Administration aus den USA auf Ihre Systeme zugreifen, liegt dort auch eine Zugriffsmöglichkeit.
4. Welche Unterauftragsverarbeiter stehen im Auftragsverarbeitungsvertrag? Ein europäischer Anbieter, der seinerseits Speicher bei einem US-Konzern mietet, verlagert die Frage nur eine Ebene tiefer.

Die „Sovereign Cloud“-Angebote der großen US-Anbieter setzen bei Punkt 2 und 3 an: Datenhaltung in der EU, Betrieb durch europäisches Personal, teils Schlüssel in Kundenhand. Das sind echte Verbesserungen. Die Konzernzugehörigkeit ändern sie nicht. Ob das für Ihren Betrieb genügt, hängt davon ab, welche Daten Sie dort ablegen und wovor Sie sich schützen wollen.

Für viele Daten ist das Risiko vertretbar. Für Personalakten, Gesundheitsdaten, Mandantenunterlagen oder Daten, nach deren Speicherort Ihre Kunden in Ausschreibungen fragen, sieht die Abwägung oft anders aus. Dort ist ein Anbieter, der nur europäischem Recht unterliegt, die einfachere Antwort, weil sich die Frage nach dem US-Zugriff dann gar nicht erst stellt.

Wo Sie anfangen können

Meist lohnt es sich, zuerst festzuhalten, welche Dienste Sie nutzen, welche Daten dort liegen und welchem Recht der jeweilige Anbieter unterliegt. Diese Übersicht brauchen Sie ohnehin, sobald ein Kunde oder Ihre Datenschutzbeauftragte danach fragt. Der Selbstcheck gibt Ihnen in etwa drei Minuten einen ersten Eindruck, zugeschnitten auf die Programme, die Sie tatsächlich nutzen.

Wie ein Umstieg in Stufen aussieht, ohne dass Sie alles auf einmal ersetzen oder selbst betreiben müssen, steht auf der Seite zur digitalen Souveränität. Welche europäischen Alternativen es für die einzelnen Teile von Microsoft 365 gibt, zeigt der Vergleich der Alternativen. Wer beim Kalender anfangen will, findet im Beitrag Kalender ohne Google, was dabei auf den Diensttelefonen zu beachten ist.