Der Cloud Act erklärt: was er für Ihre Daten bedeutet

Dieser Artikel informiert und ersetzt keine Rechtsberatung. Rangee ist unser Produkt; die zitierten Texte haben wir am 2. November 2026 geprüft.

Der Cloud Act ist ein US-Gesetz vom 23. März 2018. Es verpflichtet Online-Anbieter unter US-Recht, Behörden die Daten unter ihrer Kontrolle herauszugeben, auch wenn diese außerhalb der USA gespeichert sind. Außerdem regelt es Abkommen mit Partnerstaaten.

Das Gesetz wird oft für gegensätzliche Thesen bemüht. Für die einen liefert es alle europäischen Daten an Washington aus. Für die anderen betrifft es nur Schwerverbrecher. Beide Lesarten sind falsch. Dieser Leitfaden geht vom Gesetzestext aus, von den FAQ des US-Justizministeriums und den europäischen Stellungnahmen, und leitet daraus konkrete Prüfpunkte für Ihre Tools ab.

Was ist der Cloud Act?

Der Cloud Act (Clarifying Lawful Overseas Use of Data Act) wurde am 23. März 2018 als Teil des US-Haushaltsgesetzes verabschiedet (Pub. L. 115-141). Er hat zwei Teile: eine Pflicht für Anbieter, Daten unter ihrer Kontrolle herauszugeben, egal wo sie liegen, und einen Rahmen für bilaterale Abkommen über den Zugang zu elektronischen Beweismitteln.

Der erste Teil passt in einen Satz, der als Section 2713 ins US-Bundesrecht eingefügt wurde. Ein Anbieter elektronischer Kommunikation oder entfernter Datenspeicherung muss bestimmte Daten sichern oder herausgeben. Gemeint sind Inhalte, Metadaten und Kundendaten in seinem „Besitz, Gewahrsam oder Kontrolle“. Und zwar „regardless of whether“ die Daten in den USA oder anderswo liegen.

Das Gesetz entstand aus einem Rechtsstreit. Die US-Regierung verlangte von Microsoft E-Mails, die in einem Rechenzentrum in Irland lagen. Microsoft weigerte sich mit dem Argument, das Gesetz von 1986 gelte nicht außerhalb des US-Gebiets. Der Cloud Act hat die Frage entschieden: Der Speicherort zählt nicht mehr, nur die Kontrolle.

Der zweite Teil erlaubt den USA, „Exekutivabkommen“ mit rechtsstaatlichen Ländern zu schließen. Laut der Seite des Justizministeriums gibt es zwei unterzeichnete Abkommen: mit dem Vereinigten Königreich (2019) und Australien (2021). Die Verhandlungen mit der Europäischen Union wurden im März 2023 wieder aufgenommen und sind zum 1. November 2026 nicht abgeschlossen.

Welche Unternehmen sind betroffen?

Betroffen sind Anbieter elektronischer Kommunikation und entfernter Datenspeicherung, die der Zuständigkeit von US-Gerichten unterliegen. Laut Justizministerium umfasst das E-Mail-Dienste, Telekommunikationsanbieter, soziale Netzwerke und Cloud-Speicher. Die Zuständigkeit ist „nicht beschränkt“ auf US-Firmen: Sie hängt von den Verbindungen des Unternehmens zu den USA ab.

In der Praxis gibt es drei Fälle:

• Der Anbieter ist ein US-Unternehmen, oder die europäische Tochter eines US-Konzerns kontrolliert die Daten. Er ist betroffen, egal wo die Server stehen. Die FAQ des Ministeriums stellen klar, dass die Konzernstruktur nichts ändert: Es zählt die Einheit, die die Kontrolle hat.
• Der Anbieter ist europäisch, aber in den USA präsent: eine Tochter, Büros, ein Geschäft, das „gezielt“ auf den US-Markt ausgerichtet ist. Er kann betroffen sein. Das ist eine Einzelfallprüfung, die das Ministerium als „highly fact-dependent“ bezeichnet.
• Der Anbieter ist europäisch, ohne Geschäft in Richtung USA. Er fällt grundsätzlich nicht unter den Cloud Act. Seine Unterauftragsverarbeiter aber möglicherweise schon.

Der letzte Punkt wird am häufigsten übersehen. Eine deutsche Software, die ihre Dateien bei einem US-Hoster speichert, setzt diese Dateien dem Gesetz aus: Der Hoster hält sie, und er unterliegt US-Recht. Die Frage betrifft also nicht einen Anbieter, sondern die ganze Kette.

Was erlaubt der Cloud Act den US-Behörden?

Der Cloud Act erlaubt einer US-Behörde, die eine Straftat ermittelt, von einem Anbieter die Daten unter seiner Kontrolle zu verlangen, auch im Ausland. Für Inhalte eines Kontos braucht sie einen Beschluss (Warrant). Laut Justizministerium unterschreibt ihn ein unabhängiger Richter auf Grundlage eines „hinreichenden Verdachts“, und er benennt die Daten genau.

Ein Beschluss für Inhalte, eine Anordnung für den Rest

Der Beschluss öffnet den Zugang zu Inhalten: Nachrichten, Dateien, Datenbanken. Angaben zum Kunden wie Name, Rechnungsadresse oder IP-Adressen der Anmeldung erhält die Behörde mit weniger strengen Verfahren aus demselben Gesetz von 1986. Der Cloud Act hat diese Verfahren nicht geschaffen: Er hat ihre Reichweite auf Daten außerhalb der USA ausgedehnt.

Der Kunde wird nicht immer informiert. Ein Richter kann dem Anbieter verbieten, Sie zu benachrichtigen, wenn die Warnung die Ermittlungen gefährden würde. Laut FAQ des Ministeriums sind solche Verbote in der Regel auf ein Jahr begrenzt.

Exekutivabkommen in beide Richtungen

Ein Exekutivabkommen erlaubt den Behörden eines Partnerlandes, sich mit ihren eigenen Verfahren direkt an einen US-Anbieter zu wenden. Die USA erhalten im Gegenzug dasselbe. Diese Abkommen gelten nur für schwere Kriminalität und verbieten, US-Personen ins Visier zu nehmen. Mit Deutschland oder der Europäischen Union gibt es keines.

Das Recht auf Widerspruch und seine Grenze

Ein Anbieter kann binnen 14 Tagen beantragen, einen Beschluss aufzuheben, nach Absatz (h) von Section 2703. Zwei Bedingungen gelten. Der Kunde darf weder US-Bürger noch in den USA ansässig sein. Und die Herausgabe muss ein „erhebliches Risiko“ schaffen, das Recht einer „qualifizierten ausländischen Regierung“ zu verletzen.

Hier wendet sich der Text gegen die Europäer. Eine „qualifizierte ausländische Regierung“ ist ein Land mit einem Exekutivabkommen mit den USA. Ohne Abkommen zwischen EU und USA kann ein Anbieter dieses Verfahren nicht nutzen, um einen deutschen Kunden zu schützen. Ihm bleibt nur die klassische Abwägung der „internationalen Rücksichtnahme“ (Comity) vor Gericht, ohne sicheren Ausgang.

Was erlaubt der Cloud Act nicht?

Der Cloud Act schafft weder Massenüberwachung noch eine neue Art von Beschluss, noch eine Pflicht zur Entschlüsselung. Das US-Justizministerium schreibt, dass eine „wahllose oder massenhafte“ Erhebung mit diesem Gesetz nicht erlaubt ist. Es fügt hinzu, dass das Gesetz gegenüber Verschlüsselung „neutral“ ist. Es gilt auch nicht für jedes europäische Unternehmen.

Ein Punkt taucht in Diskussionen oft auf: Der Cloud Act gelte nicht für „zivile oder geschäftliche Anfragen“. Das stimmt für die Exekutivabkommen, die Frage 10 der FAQ auf schwere Kriminalität beschränkt. Section 2713 dagegen gilt für Anfragen von US-Behörden nach dem Gesetz von 1986.

Cloud Act, FISA und Data Privacy Framework: Was ist der Unterschied?

Der Cloud Act betrifft Strafverfahren. Section 702 des FISA betrifft die Auslandsaufklärung über Ausländer außerhalb der USA. Das Data Privacy Framework, von der EU-Kommission am 10. Juli 2023 beschlossen, regelt Übermittlungen personenbezogener Daten an US-Unternehmen. Drei Texte, drei verschiedene Logiken.

Section 702 ist die weitreichendste der drei. Laut NPR dient sie jedes Jahr dazu, die Kommunikation von Hunderttausenden Ausländern zu erfassen. Der Kongress ließ sie am 12. Juni 2026 auslaufen, doch die Erfassung geht unter den bereits erteilten Jahresgenehmigungen des Sondergerichts weiter. Laut Brennan Center gelten die Genehmigungen vom März 2026 bis zum 17. März 2027. Ihre Verlängerung wird im Kongress weiter diskutiert.

Das Data Privacy Framework ist der dritte Übermittlungsrahmen nach Safe Harbor und Privacy Shield. Der EuGH hat die beiden ersten gekippt, den zweiten mit dem Urteil Schrems II im Jahr 2020. Das Gericht der EU hat es bestätigt, am 3. September 2025 (Rechtssache Latombe, T-553/23). Ein Rechtsmittel beim EuGH ist anhängig.

Dieser Rahmen hebelt den Cloud Act nicht aus. Er macht eine Übermittlung zulässig, die ein Unternehmen selbst wählt, etwa an seinen US-Dienstleister. Zu einem strafrechtlichen Beschluss an diesen Dienstleister sagt er nichts.

Was sagt das europäische Recht?

Nach Artikel 48 DSGVO wird die Entscheidung eines Gerichts oder einer Behörde eines Drittlandes nur anerkannt oder vollstreckt, wenn ein internationales Abkommen sie stützt. Ein Rechtshilfevertrag ist das typische Beispiel. Im Juli 2019 zogen die europäischen Datenschutzbehörden daraus eine restriktive Schlussfolgerung.

Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) legten am 10. Juli 2019 eine gemeinsame Bewertung vor, auf Anfrage des Europäischen Parlaments. Laut der Zusammenfassung der Kanzlei Cleary Gottlieb darf ein Anbieter unter der DSGVO grundsätzlich keine Daten auf bloßen US-Beschluss übermitteln. Keine Rechtsgrundlage der DSGVO passt, und keine Ausnahme nach Artikel 49.

Einen offiziellen Weg gibt es durchaus: das Rechtshilfeabkommen zwischen der EU und den USA, in Kraft seit dem 1. Februar 2010. Eine Cloud-Act-Anordnung richtet sich aber direkt an den Anbieter, ohne diesen Weg. Beide Behörden fordern daher ein eigenes Abkommen über elektronische Beweismittel, mit echten Garantien. Das US-Justizministerium nennt nur die Wiederaufnahme dieser Verhandlungen im März 2023.

Das Ergebnis ist ein Normenkonflikt. Ein US-Anbieter, der einen Beschluss für europäische Daten erhält, riskiert US-Sanktionen, wenn er sich weigert, und europäische, wenn er gehorcht. Die DSGVO blockiert die Anfrage also nicht: Sie verlagert das Risiko auf den Anbieter. Für Sie als Kunde ist die DSGVO ein Argument in der Verhandlung, kein Schutzschild.

Europa hat übrigens seinen eigenen Mechanismus. Seit dem 18. August 2026 erlaubt die Verordnung (EU) 2023/1543 einem Richter oder Staatsanwalt eines Mitgliedstaats, einem Anbieter eine Europäische Herausgabeanordnung zuzustellen. Es genügt, dass der Anbieter seine Dienste in der Union anbietet, auch wenn er anderswo sitzt. US-Anbieter auf dem europäischen Markt unterliegen ihr ebenfalls. Kein Anbieter, ob europäisch oder nicht, steht über jeder Anordnung.

Reicht es, Daten in Europa zu speichern?

Nein. Der Serverstandort spielt für den Cloud Act keine Rolle. Section 2713 erfasst die Daten unter der Kontrolle des Anbieters, „regardless of whether“ sie in den USA gespeichert sind. Entscheidend ist, welchem Recht das Unternehmen unterliegt, das die Daten kontrolliert, und welchem Recht jeder seiner Unterauftragsverarbeiter unterliegt.

Zwei Begriffe werden oft verwechselt. Datenresidenz bezeichnet das Land, in dem die Daten gespeichert sind. Souveränität bezeichnet das Recht, dem derjenige unterliegt, der sie kontrolliert. Ein US-Anbieter kann das Erste bieten, ohne das Zweite. Airtable etwa bietet eine europäische Datenresidenz nur im Tarif Enterprise Scale, und der Anbieter bleibt ein kalifornisches Unternehmen.

Microsoft Frankreich hat das vor dem französischen Senat eingeräumt. Am 10. Juni 2025 wurde sein Direktor für öffentliche und rechtliche Angelegenheiten unter Eid vom Untersuchungsausschuss zur öffentlichen Beschaffung befragt. Konnte er garantieren, dass Daten französischer Bürger nie auf US-Anordnung ohne Zustimmung der französischen Behörden übermittelt werden? Seine Antwort laut offiziellem Protokoll, aus dem Französischen übersetzt: „Nein, das kann ich nicht garantieren, aber, noch einmal, das ist bisher nie vorgekommen.“

Die Antwort ist ehrlich, und sie gilt für jeden US-Anbieter. Sie sagt nicht, dass solche Anfragen häufig sind. Sie sagt, dass kein Vertrag, keine Speicherregion und keine geschäftliche Zusage eine gesetzliche Pflicht in den USA ausschließen kann.

Für besonders sensible Daten hat Frankreich eine eigene Qualifizierung geschaffen. Das Label SecNumCloud der französischen Cybersicherheitsbehörde ANSSI verlangt unter anderem, dass der Anbieter nach Sitz und Kapital europäisch ist. Ihr Generaldirektor fasst es laut Banque des Territoires so zusammen: Das Label bescheinige, dass nur ein europäischer Anbieter die Kontrolle über die Daten hat. Er erinnert zugleich daran, dass es eine Cybersicherheits-Qualifizierung ist, kein vollständiges Maß für Souveränität.

Was der Cloud Act für Ihre Daten bedeutet: 6 Prüfpunkte

Für ein mittelständisches Unternehmen ändert der Cloud Act nicht den Alltag, wohl aber die Wahl der Tools. Eine US-Anfrage gegen ein kleines europäisches Unternehmen bleibt selten. Das Risiko lässt sich also wie andere steuern: Wo liegen die Daten, wer kontrolliert sie, und was steht im Vertrag?

Diese sechs Punkte prüfen wir selbst, bevor wir ein Tool einsetzen:

1. Die Nationalität des Anbieters und seiner Muttergesellschaft. Lesen Sie Impressum und Nutzungsbedingungen: Welche Gesellschaft unterschreibt den Vertrag, und wer kontrolliert sie? Eine deutsche Tochter eines US-Konzerns bleibt exponiert.
2. Die Liste der Unterauftragsverarbeiter. Hosting, Backups, E-Mail-Versand, Support und KI zählen alle. Unser Vergleich kostenloser Lagerverwaltungssoftware zeigt zum Beispiel, wo jeder Anbieter seine Daten hostet. Ein europäischer Anbieter mit US-Hoster setzt Ihre Daten bei diesem Hoster dem Gesetz aus.
3. Das Land, aus dem zugegriffen wird. Ein technischer Support außerhalb der EU kann auf die Daten zugreifen. Fragen Sie, wer zugreifen kann, von wo und unter welchen Bedingungen.
4. Verschlüsselung und Schlüssel. Der Cloud Act verpflichtet nicht zur Entschlüsselung. Wenn nur Sie die Schlüssel halten, kann ein Anbieter nur unlesbare Daten liefern. Das ist bei Kollaborationstools selten, weil sie die Daten lesen müssen, um sie anzuzeigen.
5. Die Zusagen im Vertrag. Der Auftragsverarbeitungsvertrag (AVV, nach Artikel 28 DSGVO) kann den Anbieter verpflichten, Sie zu benachrichtigen, wenn das Gesetz es erlaubt. Er kann ihn auch verpflichten, unbegründete Anfragen anzufechten. Solche Klauseln stoppen kein Gesetz, zeigen aber die Haltung des Anbieters.
6. Die tatsächliche Sensibilität Ihrer Daten. Eine Lagerliste braucht andere Vorkehrungen als eine Patientenakte. Für Gesundheitsdaten oder sensible Daten der öffentlichen Hand lohnen sich speziell qualifizierte souveräne Cloud-Angebote, wie SecNumCloud in Frankreich.

Diese Fragen gelten für eine Datenbank, ein CRM, ein Projekttool oder einen Messenger. Sie helfen auch beim Lesen eines Vergleichs: In unserem Vergleich der Airtable-Alternativen zählt die Spalte „Land des Anbieters“ so viel wie der Preis.

Und Rangee?

Rangee wird von einer Gesellschaft französischen Rechts herausgegeben. Der Inhalt Ihrer Datenbanken liegt in einem Rechenzentrum in der Europäischen Union, bei Hostinger International Limited, laut ihren Nutzungsbedingungen einer zyprischen Gesellschaft. Das KI-Modell des intelligenten Imports läuft in der EU.

Auch eine ehrliche Kette hat Grenzen, und wir nennen sie. Die Zahlung läuft über Stripe, einen US-Konzern: Stripe verarbeitet Ihre Rechnungsdaten (Name, Adresse, Zahlungsmittel), nicht den Inhalt Ihrer Datenbanken. Und wie jedes Unternehmen unterliegen wir französischen und europäischen Anordnungen.

Wir versprechen also nicht, jedem Gesetz zu entgehen: Das kann niemand. Wir versprechen, was sich prüfen lässt: ein Anbieter französischen Rechts, Datenbanken in der EU und benannte Unterauftragsverarbeiter, die Sie selbst prüfen können. Zu den Kosten vergleicht unsere Preisübersicht für No-Code-Datenbanken Rangee mit anderen Tools, europäische Datenresidenz inklusive.

Wenn Sie sehen möchten, was aus einer Tabelle in einem in Europa gehosteten Tool wird, testen Sie Rangee kostenlos: Der Free-Tarif läuft nicht ab, und Leser zahlen nie.