Der CLOUD Act und Ihre europäischen Daten: hilft Hosting in Europa?
Kurz gesagt
Der CLOUD Act ist ein US-Gesetz von 2018, mit dem US-Behörden einen US-Anbieter verpflichten können, Daten herauszugeben, die er besitzt, verwahrt oder kontrolliert, auch wenn sie in Europa liegen. Hosting im europäischen Rechenzentrum eines US-Unternehmens beseitigt das Risiko daher nicht. Was hilft: Daten bei einem Anbieter, der nicht dem US-Recht unterliegt, oder auf Infrastruktur, die Sie selbst betreiben.
Was regelt der CLOUD Act?
Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) wurde 2018 in den USA verabschiedet. Er bestimmt, dass ein US-Anbieter von Kommunikations- oder Cloud-Diensten Daten auf eine gültige US-Anordnung hin herausgeben muss, wenn sie sich in seinem „Besitz, Gewahrsam oder seiner Kontrolle“ befinden. Wo die Daten physisch liegen, spielt dafür keine Rolle.
Das Gesetz gibt Anbietern eine begrenzte Möglichkeit, eine solche Anordnung anzufechten, wenn sie mit dem Recht eines anderen Staates kollidiert, und sieht Abkommen zwischen den USA und anderen Staaten vor. Die Grundregel bleibt: Wer dem US-Recht unterliegt, kann zur Herausgabe gezwungen werden, auch aus einem europäischen Rechenzentrum.
Warum ein europäisches Rechenzentrum nicht genügt
Viele US-Cloud-Anbieter bieten Speicherung in Europa an, manche eine „souveräne“ Variante mit europäischem Betriebspersonal. Das senkt Risiken, löst aber den Kernpunkt nicht: Solange die Muttergesellschaft dem US-Recht unterliegt, kann eine Anordnung den Konzern erreichen.
Microsoft hat das selbst bestätigt. Im Juni 2025 erklärte der Rechtsdirektor von Microsoft Frankreich unter Eid vor dem französischen Senat, er könne nicht garantieren, dass Daten französischer Bürger nie ohne Zustimmung der französischen Behörden an US-Behörden übermittelt werden. Er fügte hinzu, dass dies in der Praxis noch nicht vorgekommen sei. Siehe auch Microsoft 365 Copilot oder eigene KI-Umgebung?
Hinzu kommen US-Nachrichtendienstbefugnisse wie Section 702 FISA. Sie waren 2020 der Grund, warum der Gerichtshof der EU im Urteil Schrems II den Privacy Shield für ungültig erklärte. Das aktuelle EU-US Data Privacy Framework liegt erneut beim Gerichtshof.
Warum das bei KI besonders schwer wiegt
Bei Speicherung geht es um Dateien, die Sie bewusst ablegen. Bei KI geht es um alles, was Beschäftigte in einen Prompt schreiben: Verträge, Arztbriefe, Strategiepapiere, Mandatsakten. Diese Inhalte werden vom KI-Anbieter verarbeitet und oft protokolliert. Die größten KI-Anbieter sind US-Unternehmen. Für ChatGPT im Detail: ChatGPT, DSGVO und Auftragsverarbeitungsvertrag.
Für Organisationen mit Berufsgeheimnis, besonderen Kategorien personenbezogener Daten oder einer Aufsicht mit Anforderungen an Auslagerungen ist das ein konkretes Risiko, das in die Datenschutz-Folgenabschätzung gehört. Siehe DSFA für generative KI.
Was hilft wirklich?
| Maßnahme | Wirkung auf das CLOUD-Act-Risiko |
|---|---|
| Speicherung im europäischen Rechenzentrum eines US-Anbieters | Begrenzt: Der Konzern bleibt dem US-Recht unterworfen |
| Verschlüsselung mit Schlüsseln nur in Ihrer Hand | Stark für Speicherung; bei KI muss der Text zur Verarbeitung entschlüsselt werden |
| Ein europäischer Anbieter ohne US-Muttergesellschaft | Groß, wenn auch keine US-Unterauftragnehmer in der Kette sind |
| Eigene Infrastruktur, eigener Betrieb | Am größten: Es gibt keinen Anbieter, der gezwungen werden kann, weil niemand sonst die Daten hat |
Für KI bedeutet die letzte Zeile: Open-Weight-Modelle auf einem eigenen Node. Mit werqly steht dieser Node in Ihrem Serverraum, und die Modelle laufen dort und nirgendwo sonst. Ohne Serverraum steht der Node in einem abgeschlossenen Rack in unserem europäischen Rechenzentrum, nur für Sie. Siehe Was ist private KI?
Häufige Fragen
Fragen zu diesem Thema
Gilt der CLOUD Act auch für Daten in Europa?
Ja, wenn die Daten im Besitz, Gewahrsam oder unter der Kontrolle eines Anbieters sind, der dem US-Recht unterliegt. Der physische Speicherort ist nicht entscheidend. Ein europäisches Rechenzentrum eines US-Konzerns beseitigt das Risiko daher nicht.
Widerspricht der CLOUD Act der DSGVO?
Es kann ein Konflikt entstehen: Die DSGVO erlaubt eine Übermittlung aufgrund einer ausländischen Anordnung nur über ein internationales Abkommen oder eine andere DSGVO-Grundlage. Ein Anbieter kann dann zwischen zwei Rechtsordnungen stehen. Für Sie als Verantwortlichen ist das ein Risiko für die DSFA.
Hilft eine souveräne Cloud eines US-Anbieters?
Sie senkt Risiken, etwa durch europäisches Betriebspersonal und eine europäische Gesellschaft. Solange die Muttergesellschaft dem US-Recht unterliegt, bleibt ein Restrisiko. Wie groß, hängt von der rechtlichen und technischen Ausgestaltung ab; lassen Sie das je Anbieter prüfen.
Unterliegt werqly dem CLOUD Act?
werqly gehört zum niederländischen Unternehmen TIMA Labs. Wichtiger noch: Bei einem Node im eigenen Serverraum hat werqly die Inhalte von Prompts und Dokumenten nicht. Die Modelle laufen auf Ihrer Hardware, also gibt es nichts, was eine ausländische Behörde über werqly anfordern könnte.
Quellen
- U.S. Department of Justice — The CLOUD Act (Ressourcen)
- Gerichtshof der EU — Pressemitteilung Schrems II (C-311/18), Juli 2020 (Englisch)
- The Register — Microsoft admits it “cannot guarantee” data sovereignty (Juli 2025)
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.