CLOUD Act einfach erklärt
Was das US-Gesetz regelt, warum der Speicherort in Europa nicht schützt und was Unternehmen tun können.
Der CLOUD Act ist ein US-Gesetz, das US-Behörden den Zugriff auf Daten bei US-Anbietern ermöglicht, auch wenn diese Daten in Europa gespeichert sind. Betroffen sind damit Dienste wie Microsoft 365, Google Workspace, AWS, Azure, Salesforce und viele weitere.
Im Juni 2025 erklärte Microsoft France vor dem französischen Senat, eine Weitergabe von Daten an US-Behörden nicht garantiert ausschließen zu können (Bericht). Das hat die Diskussion über digitale Souveränität in Europa deutlich verstärkt.
Für die meisten Dienste gibt es europäische Alternativen. Eine Übersicht finden Sie unter Europäische Alternativen zu US-Software.
Das Wichtigste in Kürze
Seit 2018 in Kraft
Der Clarifying Lawful Overseas Use of Data Act ist ein US-Gesetz vom März 2018. Er regelt, wann US-Behörden von Anbietern die Herausgabe von Daten verlangen können.
Kontrolle statt Speicherort
Entscheidend ist, ob ein US-Unternehmen die Daten kontrolliert, nicht wo sie liegen. Das gilt auch für Rechenzentren in Deutschland und für europäische Tochtergesellschaften.
Konflikt mit der DSGVO
Nach Ansicht der europäischen Datenschutzbehörden ist eine Herausgabe allein auf Grundlage des CLOUD Act in der Regel nicht mit Art. 48 DSGVO vereinbar (e-recht24). Anbieter stehen damit zwischen zwei Rechtsordnungen.
Wann der CLOUD Act greift
Vereinfachte Übersicht. Im Einzelfall kommt es auf Eigentümer und Kontrolle des Anbieters an.
| Anbieter | Speicherort | CLOUD Act anwendbar |
|---|---|---|
| US-Anbieter | USA | ja |
| US-Anbieter | Rechenzentrum in Deutschland | ja |
| Europäische Tochter eines US-Konzerns | Rechenzentrum in Deutschland | nach überwiegender Einschätzung ja |
| Europäischer Anbieter ohne US-Mutter | Europa | in der Regel nein |
| Eigene Server im Unternehmen | eigenes Rechenzentrum | nein |
Was Unternehmen tun können
-
Bestand aufnehmen
Welche Dienste von US-Anbietern sind im Einsatz und welche Daten liegen dort?
-
Risiken bewerten
Wo liegen Geschäftsgeheimnisse, personenbezogene oder besonders schutzbedürftige Daten?
-
Alternativen prüfen
Für die meisten Dienste gibt es europäische Lösungen. Nicht alles muss sofort wechseln.
-
Schrittweise umstellen
Mit den kritischsten Daten beginnen, der Rest folgt nach Plan.
Häufige Fragen
Was ist der CLOUD Act?
Ein US-Gesetz von 2018, das US-Anbieter verpflichtet, Daten auf Anordnung von US-Behörden herauszugeben, unabhängig davon, wo die Daten gespeichert sind.
Gilt der CLOUD Act auch für Rechenzentren in Deutschland?
Ja, wenn ein US-Unternehmen die Daten kontrolliert. Microsoft France hat im Juni 2025 vor dem französischen Senat erklärt, eine Weitergabe an US-Behörden nicht ausschließen zu können.
Schützen EU-Rechenzentren oder souveräne Cloud-Angebote von US-Anbietern?
Sie verbessern Datenhaltung und Betrieb in der EU. Ob sie vor dem CLOUD Act schützen, ist umstritten, solange der Anbieter zu einem US-Konzern gehört.
Was ist mit dem EU-US-Datenschutzrahmen?
Der Datenschutzrahmen regelt die Übermittlung personenbezogener Daten in die USA. Den Zugriff von US-Behörden auf Daten bei US-Anbietern nach dem CLOUD Act hebt er nicht auf.
Muss ich jetzt alle US-Dienste abschalten?
Nein. Sinnvoll ist eine Bestandsaufnahme und dann ein schrittweiser Wechsel, beginnend mit den sensibelsten Daten.
Diese Seite bietet einen allgemeinen Überblick und ersetzt keine Rechtsberatung.
Europäische Alternativen
Prüfen Sie Ihre Abhängigkeit von US-Software
Wir sehen uns an, welche US-Dienste Sie nutzen, und zeigen, wofür es europäische Alternativen gibt.