Kurzfassung
Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) ist ein US-Bundesgesetz von 2018. Er stellt klar, dass US-Behörden US-Technologieunternehmen zur Herausgabe von Daten verpflichten können, auch wenn diese außerhalb der Vereinigten Staaten gespeichert sind.
Was ist der CLOUD Act?
Vor dem CLOUD Act argumentierten US-Anbieter, dass physisch in ausländischen Rechenzentren gespeicherte Daten US-Anordnungen entzogen seien. Das Gesetz beseitigt diese Mehrdeutigkeit: Ein US-Unternehmen muss bei rechtmäßiger US-Anordnung Daten unter seiner Kontrolle herausgeben, unabhängig vom physischen Speicherort. Zusätzlich schafft das Gesetz einen Rahmen für „Executive Agreements" mit verbündeten Regierungen, um grenzüberschreitende Anfragen zu beschleunigen.
Für europäische Kunden entsteht daraus eine strukturelle Sorge. Ein Hyperscaler mit EU-Rechenzentren, EU-Kundendaten und EU-Personal bleibt ein US-Unternehmen. Unter dem CLOUD Act kann er verpflichtet werden, Daten an US-Behörden herauszugeben – unter Umständen ohne den Kunden zu informieren. Dieser Konflikt mit den DSGVO-Transfer-Prinzipien ist genau das, worauf Schrems II aufsetzt.
Die praktische Antwort ist eine Welle „EU-souveräner" Architekturen: Anbieter wählen, die nicht extraterritorialen Gesetzen unterliegen, Schlüssel in der EU halten, souveräne oder self-hosted Control Planes betreiben und Operationen vertraglich in eigene EU-Einheiten trennen. NetBird, Zitadel und ähnliche EU-Werkzeuge positionieren sich ausdrücklich als Alternativen ohne CLOUD-Act-Exposition.
Warum ist der CLOUD Act relevant?
- Souveränitäts-Pivot: Ein Hauptgrund, warum europäische Kunden US-Anbieter neu bewerten
- Lieferantenbewertung: Standardfrage in NIS2-, DORA- und Schrems-II-Reviews
- Architekturwirkung: Beeinflusst, wo Schlüssel und Control Planes platziert werden
- DSGVO-Spannung: Kernelement im rechtlichen Konflikt um EU–US-Datentransfers
Verwandte Begriffe
- Schrems II: EuGH-Urteil, dessen Risikoanalyse den CLOUD Act direkt benennt
- GDPR: Verordnung, deren Prinzipien mit extraterritorialem US-Recht in Spannung stehen
- NIS2 Directive: Treibt Lieferkettenprüfungen, die CLOUD-Act-Exposition sichtbar machen
- DORA: Finanzregulierung, die dieselben Souveränitätsfragen stellt