CLOUD Act

Der CLOUD Act — Clarifying Lawful Overseas Use of Data Act — ist ein Gesetz der Vereinigten Staaten aus dem März 2018. Es verpflichtet Anbieter, die amerikanischem Recht unterliegen, auf richterliche Anordnung Daten herauszugeben, unabhängig davon, in welchem Land diese gespeichert sind.

Für europäische Kunden amerikanischer Cloud-Anbieter ist das der Kern der Souveränitätsdebatte.

Der Fall, aus dem es entstand

2013 verlangten US-Ermittler von Microsoft die Herausgabe von E-Mails, die auf einem Server in Dublin lagen. Microsoft weigerte sich mit dem Argument, amerikanische Durchsuchungsbeschlüsse endeten an der Staatsgrenze. Der Streit ging bis zum Obersten Gerichtshof.

Zu einem Urteil kam es nie. Während das Verfahren lief, verabschiedete der Kongress den CLOUD Act und beantwortete die Frage damit gesetzlich: Maßgeblich ist nicht der Ort der Daten, sondern ob der Anbieter sie unter seiner Kontrolle hat. Das Verfahren wurde daraufhin als erledigt eingestellt.

Wen das Gesetz erfasst

Hier liegt der Punkt, der regelmäßig falsch verstanden wird. Erfasst sind nicht nur Unternehmen mit Sitz in den USA, sondern alle, die amerikanischer Gerichtsbarkeit unterliegen — und dazu zählen nach amerikanischer Auslegung auch europäische Tochtergesellschaften eines US-Konzerns, soweit die Mutter tatsächliche Verfügungsgewalt über die Daten hat.

Ein Rechenzentrum in Frankfurt, betrieben von der deutschen GmbH eines amerikanischen Anbieters, ist damit nicht automatisch außerhalb der Reichweite. Der Serverstandort allein löst das Problem nicht.

Der Konflikt mit europäischem Recht

Artikel 48 der Datenschutz-Grundverordnung bestimmt, dass Urteile und Entscheidungen einer Behörde eines Drittlands nur dann eine Übermittlung personenbezogener Daten rechtfertigen, wenn sie auf einem Rechtshilfeabkommen beruhen.

Damit stehen sich zwei Rechtsordnungen gegenüber: Die eine verlangt die Herausgabe, die andere verbietet sie. Ein Anbieter, der beiden unterliegt, kann nicht beide erfüllen. Juristisch heißt das Normenkonflikt, praktisch bedeutet es, dass die Verantwortung beim Anbieter landet und nicht aufgelöst, sondern nur abgewogen wird.

Der CLOUD Act sieht dafür ein Ventil vor: Anbieter können Anordnungen anfechten, wenn der Betroffene kein US-Bürger ist und die Herausgabe gegen das Recht eines Staates verstößt, mit dem ein sogenanntes Executive Agreement besteht. Solche Abkommen hat die USA bislang nur mit wenigen Staaten geschlossen; mit der Europäischen Union besteht keines.

Die Antwort der Anbieter

Die großen Cloud-Anbieter begegnen dem mit rechtlichen Konstruktionen, die die europäische Einheit von der amerikanischen Mutter trennen sollen: eigenständige Gesellschaften unter europäischer Leitung, Personal mit europäischer Staatsangehörigkeit, Aufsichtsgremien mit unabhängigen Mitgliedern, getrennte Schlüsselverwaltung.

Die AWS European Sovereign Cloud ist das jüngste Beispiel: betrieben über eine eigene Muttergesellschaft mit deutschen Töchtern, geführt von EU-Bürgern. Microsoft und Google verfolgen ähnliche Modelle, teils in Partnerschaft mit europäischen Unternehmen.

Ob diese Konstruktionen tragen, ist umstritten und bisher nicht gerichtlich geklärt. Das Gegenargument lautet, dass wirtschaftliche Abhängigkeit, gemeinsame Software und gemeinsame Betriebsprozesse eine faktische Verfügungsgewalt begründen, auch wenn die Gesellschaftsform eine andere Sprache spricht.

Abgrenzung

Patriot Act ist der Begriff, der in der Debatte meist fällt, aber selten der richtige ist. Er stammt von 2001 und erleichterte vor allem die inländische Überwachung. Der CLOUD Act regelt den grenzüberschreitenden Zugriff und ist der heute einschlägige.

FISA Section 702 betrifft die Auslandsaufklärung der Nachrichtendienste und richtet sich gegen Nicht-Amerikaner außerhalb der USA. Sie war der Kern der Gerichtsurteile, die zweimal die Abkommen zum transatlantischen Datenverkehr gekippt haben. CLOUD Act und FISA 702 sind getrennte Regelungswerke und werden in Diskussionen oft vermischt.

Rechtshilfeabkommen sind der klassische Weg: Behörde fragt Behörde, das Zielland prüft nach seinem Recht. Langsamer, aber von der DSGVO vorgesehen — und genau der Weg, den der CLOUD Act umgeht.

Was daraus folgt

Für die Standortwahl heißt das: Die Frage lautet nicht nur „Wo stehen die Server?", sondern „Wer hat rechtlich Zugriff auf sie?". Ein europäischer Betreiber ohne amerikanische Mutter fällt nicht unter den CLOUD Act — das ist der nüchterne Grund, warum europäische Anbieter in Ausschreibungen zunehmend eigens danach gefragt werden.

Die Bewertung des Einzelfalls gehört in die Hände von Juristen; dieser Artikel beschreibt die Rechtslage, er ersetzt keine Rechtsberatung.