Blog · 04. Juli 2026 · Quellen geprüft 06. Juli 2026

Der CLOUD Act gilt auch für die ‚souveräne‘ Cloud

Küstenlandschaft vor Sonnenaufgang: ein einzelnes, schwach limonengrün leuchtendes Datenkabel steigt aus dem dunklen Meer und läuft über den Sand landeinwärts.

Viele Kanzleien machen die Entscheidung für einen Cloud-Dienst an einer einzigen Frage fest: Stehen die Server in Deutschland oder in der EU? Die Frage ist berechtigt, doch sie greift zu kurz. Wer rechtlich beurteilen will, wer auf Verfahrensdaten zugreifen darf, muss eine andere Größe betrachten: die Kontrolle über den Anbieter. Dieser Beitrag legt die Primärquellen offen. Prüfen Sie selbst.

Das Gesetz benennt die Kontrolle, nicht den Standort

Grundlage ist der US-amerikanische CLOUD Act von 2018. Er hat 18 U.S.C. § 2713 in das US-Recht eingefügt. Danach muss ein Anbieter von Kommunikations- oder Speicherdiensten Daten herausgeben, die sich in seinem Besitz, seiner Verwahrung oder unter seiner Kontrolle befinden. Der Wortlaut ist eindeutig: „regardless of whether such communication, record, or other information is located within or outside of the United States“.[1] Der Speicherort taucht im Tatbestand nur auf, um ihn für unerheblich zu erklären. Maßgeblich ist, wer die Daten kontrolliert.

Die US-Regierung liest das Gesetz genauso

Das ist keine europäische Auslegung. Das US-Justizministerium beschreibt die Reichweite in seinem CLOUD-Act-Whitepaper von 2019 selbst. Der Act mache „explicit in U.S. law the long-established U.S. and international principle that a company subject to a country’s jurisdiction can be required to produce data the company controls, regardless of where it is stored at any point in time“.[2] Das Ministerium betont, es handle sich um eine Klarstellung bestehenden Rechts, nicht um eine neue Befugnis. Für die Beurteilung des Zugriffsrisikos ändert diese Einordnung nichts.

Der Bundestag ordnet es ein

Die Wissenschaftlichen Dienste des Deutschen Bundestages kommen zum selben Ergebnis. In der Dokumentation WD 3 - 3000 - 181/20 heißt es, der CLOUD Act solle klarstellen, dass ein dem US-Recht unterfallendes Unternehmen einem Herausgabeverlangen nachkommen müsse, „gleich wo sich die Daten befänden“.[3] Die Ausarbeitung WD 3 - 3000 - 102/21 wird noch deutlicher. Ein EU-Sitz oder eine EU-Niederlassung beuge einem Zugriff nicht sicher vor, denn „auch bei einem Konzernverbund, bei dem der Mutterkonzern seinen Sitz in den USA hat, oder bei einer (Zweig)Niederlassung des Unternehmens sind Zugriffe der US-Sicherheitsbehörden möglich“.[4] Das Fazit der Ausarbeitung fasst es zusammen: „nur, weil der Cloud-Anbieter oder die Server, welche die Cloud bilden, in der EU gelegen sind“, könne „nicht schon davon ausgegangen werden, dass keine Zugriffsmöglichkeit der USA auf die Daten besteht“.[4]

Ein Anbieter bestätigt es unter Eid

Am 10. Juni 2025 sagte Microsoft France vor einer Untersuchungskommission des französischen Senats aus, unter Eid. Der Berichterstatter fragte Anton Carniaux, bei Microsoft France Direktor für Rechts- und Regierungsangelegenheiten, ob er garantieren könne, dass die Daten französischer Bürger niemals auf eine Anordnung der US-Regierung hin ohne Zustimmung der französischen Behörden übermittelt würden. Die Antwort fiel knapp aus: „Non, je ne peux pas le garantir.“ Nein, das könne er nicht garantieren.[5] Carniaux ergänzte, ein solcher Fall sei bislang nie eingetreten. Der Kern der Aussage bleibt: Ein Ausschluss ist ihm nicht möglich.

Ein Gutachten für das Bundesinnenministerium

Im Auftrag des Bundesministeriums des Innern hat die Rechtswissenschaftliche Fakultät der Universität zu Köln die US-Rechtslage begutachtet. Das Gutachten wurde im Dezember 2025 über eine Anfrage nach dem Informationsfreiheitsgesetz öffentlich zugänglich.[6] Sein Grundsatz: Für die Durchsetzbarkeit eines Herausgabeverlangens durch US-Behörden sei „nicht der Ort der Speicherung, sondern die tatsächliche Kontrolle über die Daten“ maßgeblich.[6] Liegt ein Server außerhalb der USA, komme es auf die Kontrolle des US-Unternehmens an; eine ausländische Tochtergesellschaft unterliege „in der Regel der Herausgabepflicht“.[6] Davon zu unterscheiden ist ein zweiter Weg: Sobald Daten auf US-Territorium gespeichert oder verarbeitet werden, greift zusätzlich Section 702 FISA.[6] Beide Wege führen zum selben Befund. Die Lagerung in der EU entscheidet für sich genommen nicht.

Die europäische Seite spiegelt den Konflikt

Aus europäischer Sicht besteht ein Spannungsverhältnis. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben bereits 2019 auf Anfrage des LIBE-Ausschusses festgehalten, dass eine unmittelbare US-Anordnung ohne völkerrechtliche Grundlage kein tragfähiger Weg für eine Datenübermittlung nach der DSGVO ist.[7] Die Leitlinien 02/2024 des Ausschusses zu Art. 48 DSGVO bekräftigen das: Ein Urteil oder eine Anordnung einer Drittstaatsbehörde ist nur anzuerkennen, wenn sie auf einem internationalen Abkommen beruht; Art. 48 ist selbst kein Übermittlungstatbestand.[8] Der US-Herausgabepflicht steht damit eine europäische Schranke gegenüber. Der Anbieter sitzt zwischen zwei Rechtsordnungen.

Was „souveräne“ Clouds daran ändern

Seit dem 15. Januar 2026 bietet AWS eine „European Sovereign Cloud“ an, mit erster Region in Brandenburg, Betrieb durch in der EU ansässiges Personal und Tochtergesellschaften nach deutschem Recht.[9] Das Angebot liefert Datenresidenz und operative Autonomie. Am Maßstab der oben zitierten Quellen ändert das nichts, solange die Muttergesellschaft ihren Sitz in den USA hat. Der Softwareentwickler Golo Roden bringt die Unterscheidung auf den Punkt: „Datenspeicherung ist eine Frage der Geographie, Souveränität eine Frage der Macht.“[10] Und weiter: „Solange das Unternehmen, das diesen Betrieb besitzt, einem fremden Rechtssystem unterliegt, kann dieses Rechtssystem es zu Handlungen zwingen, und keine Serverplatzierung ändert daran etwas.“[10] Für dieses Muster hat der Technikchef eines deutschen Anbieters den Begriff „Sovereignty Washing“ geprägt.[11]

Zur Vollständigkeit: Seit Juli 2023 besteht mit dem EU-US Data Privacy Framework wieder ein Angemessenheitsbeschluss der EU-Kommission. Er betrifft die Zulässigkeit der Datenübermittlung nach europäischem Recht. Die US-Zugriffsbefugnisse aus CLOUD Act, SCA und Section 702 FISA berührt er nicht. Die hier beschriebene Frage bleibt bestehen.

Warum das für Berufsgeheimnisträger zählt

Insolvenzverwalterinnen und Insolvenzverwalter sind in aller Regel Rechtsanwälte. Ihre Akten sind Berufsgeheimnisse im Sinne des § 203 StGB. Das Gesetz erlaubt seit der Reform von 2017 die Mitwirkung externer Dienstleister, verlangt dafür aber, dass der Zugriff auf das Erforderliche beschränkt bleibt und die mitwirkenden Personen zur Verschwiegenheit verpflichtet werden (§ 203 Abs. 3 S. 2, Abs. 4 StGB).[12] Der tragende Gedanke ist alt: Ein Geheimnis soll den vom Schweigepflichtigen kontrollierten Bereich nicht verlassen.[13]

Für Berufsgeheimnisträger wird das Kontroll-Kriterium damit zum Prüfstein. „Die Daten liegen in der EU“ beschreibt einen Standort. Es beschreibt nicht, wer im Streitfall über die Herausgabe bestimmt. Unterliegt der Betreiber einem ausländischen Herausgaberecht, liegt diese Entscheidung nicht mehr allein in der Sphäre, die die Kanzlei kontrolliert. Die Universität Würzburg hat die Kernfrage schon 2018 benannt: „inwieweit die Daten dort ausreichend vor staatlichen Zugriffen geschützt sind“.[13]

Das Kriterium ist die Kontrolle, nicht der Standort

Aus derselben Rechtslage folgt die Gegenrichtung. Die US-Zugriffsbefugnisse setzen einen Anknüpfungspunkt voraus. Die Bundestags-Ausarbeitung hält fest, dass sie sich „nicht allein nach dem Sitz des Unternehmens bestimmen“, sondern dass „eine rechtliche Verknüpfung des Unternehmens mit den USA“ genügt.[4] Das Kölner Gutachten benennt die Kehrseite: Liegt der Server außerhalb der USA, „kommt es auf die mögliche Kontrolle des US-amerikanischen Unternehmens“ an.[6] Der Umkehrschluss (e contrario) liegt nahe: Fehlt diese Verknüpfung, fehlt der Herausgabepflicht der Adressat.

Daraus ergibt sich ein Kriterium, kein Gütesiegel. Ein Anbieter ohne US-Konzernmutter, ohne US-Server und ohne maßgebliche Geschäftstätigkeit in den USA unterliegt dem CLOUD Act und dem übrigen US-Herausgaberecht nicht. Er unterliegt deutschem und europäischem Recht und deutscher Aufsicht. Das ist keine Zusage absoluter Sicherheit, denn jede Rechtsordnung kennt eigene Zugriffsregeln. Es ist der eine Faktor, der das US-Zugriffsrecht ein- oder ausschaltet.

Woran Sie einen Anbieter prüfen

Vier Prüffragen führen zum Kern:

  • Eigentümerstruktur: Wer kontrolliert den Betreiber, und steht eine Konzernmutter in den USA?
  • Anwendbares Recht: Unterliegt der Betreiber, der Ihre Daten tatsächlich verarbeitet, dem US-Herausgaberecht?
  • Auftragsverarbeitung: Sichert ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Weisung und Kontrolle bei Ihnen?
  • Subprozessoren: Steckt in der Kette der Unterauftragnehmer ein US-Konzern?

Wer diese vier Antworten kennt, weiß, in welcher Rechtsordnung seine Verfahrensdaten im Ernstfall liegen.

Zenzy beantwortet sie in eine Richtung. Wir verarbeiten Verfahrensdaten auf eigener Infrastruktur in Deutschland und setzen offene Modelle ein, die wir selbst betreiben. Kein US-Cloud-Konzern steht in der Verarbeitungskette. Warum wir dafür auf offene Modelle setzen, führen wir im nächsten Beitrag aus. Die Primärquellen zu diesem Text stehen unten. Prüfen Sie sie.

Quellen

Alle URLs am 6. Juli 2026 live geprüft.

  1. 18 U.S.C. § 2713 — „Required preservation and disclosure of communications and records“ (CLOUD Act, 2018). https://www.law.cornell.edu/uscode/text/18/2713
  2. U.S. Department of Justice, „Promoting Public Safety, Privacy, and the Rule of Law Around the World: The Purpose and Impact of the CLOUD Act“, White Paper, April 2019, S. 5. https://www.justice.gov/d9/press-releases/attachments/2019/04/10/department_of_justice_cloud_act_white_paper_2019_04_10_final_0.pdf (Archiv: https://www.justice.gov/archives/opa/press-release/file/1153446/dl)
  3. Wissenschaftliche Dienste des Deutschen Bundestages, „US-Datenrecht — Zugriff US-amerikanischer Behörden auf Daten“, WD 3 - 3000 - 181/20, 3. August 2020. https://www.bundestag.de/resource/blob/796102/ea53ffe8e08a9ab11e270719263d8c53/WD-3-181-20-pdf-data.pdf
  4. Wissenschaftliche Dienste des Deutschen Bundestages, „DSGVO und Nutzung US-amerikanischer Cloud-Dienste“, WD 3 - 3000 - 102/21, 3. Juni 2021, S. 13. https://www.bundestag.de/resource/blob/852984/692120a134f9e79999c6f4170a47859a/WD-3-102-21-pdf-data.pdf
  5. Sénat (France), Commission d’enquête sur les coûts et les modalités effectifs de la commande publique, Compte rendu der Anhörung von Microsoft France, 10. Juni 2025. https://www.senat.fr/compte-rendu-commissions/20250609/ce_commande_publique.html · Ankündigung: https://www.senat.fr/actualite/commande-publique-audition-de-microsoft-5344.html
  6. Rechtswissenschaftliche Fakultät der Universität zu Köln (im Auftrag des BMI), „Rechtsgutachten zur US-Rechtslage zum weltweiten Datenzugriff durch US-Behörden bei Nutzung von Cloud-Diensten“ (geschwärzte Fassung), veröffentlicht Dezember 2025 über FragDenStaat. https://fragdenstaat.de/dokumente/273689-rechtsgutachten-zur-us-rechtslage-zum-weltweiten-datenzugriff-durch-us-behoerden-bei-nutzung-von-cloud-diensten/ · Bericht: heise online, 10. Dezember 2025, https://www.heise.de/en/news/Opinion-US-Authorities-Have-Far-Reaching-Access-to-European-Cloud-Data-11111060.html
  7. EDPB & EDPS, „Joint Response to the LIBE Committee on the impact of the US Cloud Act on the European legal framework for personal data protection“, 10. Juli 2019. https://www.edpb.europa.eu/our-work-tools/our-documents/letters/edpb-edps-joint-response-libe-committee-impact-us-cloud-act_en
  8. European Data Protection Board, „Guidelines 02/2024 on Article 48 GDPR“, finale Fassung (Version 2.1), Juni 2025. https://www.edpb.europa.eu/system/files/2025-06/edpb_guidelines_202402_article48_v2_en.pdf
  9. AWS, „Opening the AWS European Sovereign Cloud“ (allgemeine Verfügbarkeit 15. Januar 2026, erste Region Brandenburg). https://aws.amazon.com/blogs/aws/opening-the-aws-european-sovereign-cloud/ · Pressemitteilung: https://press.aboutamazon.com/aws/2026/1/aws-launches-aws-european-sovereign-cloud-and-announces-expansion-across-europe
  10. Golo Roden, „Die souveräne Cloud, die keine ist: ein Etikett für die falsche Ebene“, heise online, 17. Juni 2026. https://www.heise.de/blog/Die-souveraene-Cloud-die-keine-ist-ein-Etikett-fuer-die-falsche-Ebene-11335642.html
  11. Andreas E. Thyen, „Sovereignty Washing bei Microsoft“ (Gastkommentar; Begriff nach Ionos-CTO Dr. Markus Noga), DataCenter-Insider, 7. Juli 2025. https://www.datacenter-insider.de/sovereignty-washing-bei-microsoft-a-5c70841a926dd07b4b22ea4194bb5f62/
  12. § 203 StGB — Verletzung von Privatgeheimnissen (Abs. 1, Abs. 3 S. 2, Abs. 4). https://www.gesetze-im-internet.de/stgb/__203.html
  13. Universität Würzburg, „Die aktuelle Rechtslage zur Nutzung von Cloud-Diensten durch Berufsgeheimnisträger (Rechtsanwälte, Steuerberater, Ärzte etc.)“, Info-Brief vom 5. Dezember 2018. https://www.jura.uni-wuerzburg.de/fileadmin/0200-ma-netze-direkt/Infoblatt/Info-Brief__Cloud_Computing_fuer_Berufsgeheimnistraeger.pdf