CLOUD Act

Der CLOUD Act ist ein Gesetz der USA aus dem Jahr 2018. Die Abkürzung steht für „Clarifying Lawful Overseas Use of Data Act“, also etwa: Gesetz zur Klarstellung der rechtmäßigen Nutzung von Daten im Ausland. Es regelt, wann US-Ermittlungsbehörden auf Daten zugreifen dürfen, die bei amerikanischen Firmen gespeichert sind. Der entscheidende Punkt: Es kommt nicht darauf an, wo die Computer stehen, auf denen die Daten liegen. Entscheidend ist allein, ob die Firma unter amerikanischer Rechtsprechung steht. Ein US-Konzern muss also auch Daten von Servern in Frankfurt oder Dublin herausgeben, wenn ein amerikanisches Gericht das anordnet.

Der Konflikt zwischen US-Zugriff und europäischem Datenschutz

In der Europäischen Union gilt die Datenschutz-Grundverordnung, kurz DSGVO. Sie erlaubt es Unternehmen nur in engen Grenzen, personenbezogene Daten an Behörden außerhalb der EU weiterzugeben. Der CLOUD Act verlangt aber genau das. Damit gerät ein Anbieter in eine Zwickmühle: Befolgt er das US-Gesetz, verstößt er womöglich gegen europäisches Recht. Befolgt er das europäische Recht, macht er sich in den USA strafbar.

Für Behörden, Krankenhäuser und Unternehmen in Europa ist das ein handfestes Problem. Eine deutsche Stadtverwaltung, die Bürgerdaten in einer amerikanischen Cloud speichert, kann nicht sicher garantieren, dass niemand sonst darauf zugreift. Deshalb lehnen manche Datenschutzbehörden den Einsatz bestimmter US-Dienste in Schulen und Ämtern ab. Der Streit darüber läuft seit Jahren und ist nicht abschließend geklärt.

Ein häufiger Irrtum lautet: Wenn die Daten in einem deutschen Rechenzentrum liegen, greift der CLOUD Act nicht. Das stimmt so nicht. Der Standort des Servers spielt keine Rolle, solange der Betreiber ein US-Unternehmen oder dessen Tochterfirma ist.

Wie eine Anordnung nach dem CLOUD Act abläuft

Am Anfang steht ein konkretes Ermittlungsverfahren in den USA, meist wegen schwerer Straftaten. Die Behörde beantragt bei einem Gericht eine Anordnung gegen den Anbieter. Ist die Anordnung erteilt, muss die Firma die verlangten Daten liefern. Das können E-Mails, Chatverläufe, Dateien oder Verbindungsdaten sein.

Das Gesetz sieht ein Widerspruchsrecht vor. Der Anbieter kann vor einem US-Gericht argumentieren, dass die Herausgabe gegen das Recht eines anderen Staates verstößt. Ob das Gericht dem folgt, liegt in seinem Ermessen. In der Praxis nutzen Firmen dieses Recht selten, weil Verfahren teuer und langwierig sind.

Zusätzlich erlaubt der CLOUD Act sogenannte Executive Agreements. Das sind zwischenstaatliche Abkommen, in denen sich zwei Länder gegenseitigen Datenzugriff zugestehen. Großbritannien und Australien haben solche Abkommen mit den USA geschlossen. Mit der EU als Ganzes gibt es bislang keines.

Wo der CLOUD Act in KI-Diensten und Cloud-Verträgen auftaucht

Fast alle großen KI-Dienste laufen auf amerikanischer Infrastruktur. Wer ChatGPT nutzt oder ein Sprachmodell über eine Programmierschnittstelle in eine eigene Software einbaut, schickt seine Eingaben an US-Anbieter. Damit fällt auch dieser Datenverkehr grundsätzlich in den Anwendungsbereich des CLOUD Act. Unternehmen, die vertrauliche Dokumente durch eine KI analysieren lassen, müssen das einkalkulieren.

In der Wirtschaftspresse begegnet dir der Begriff meist im Zusammenhang mit dem Stichwort „digitale Souveränität“. Gemeint ist der Wunsch Europas, weniger abhängig von amerikanischer Technik zu sein. Projekte wie europäische Cloud-Angebote oder KI-Modelle aus der EU werden oft genau damit begründet. Auch Ausschreibungen öffentlicher Stellen enthalten inzwischen häufig entsprechende Bedingungen.

Als Reaktion bieten US-Konzerne sogenannte souveräne Clouds an. Dabei betreibt ein europäischer Partner die Rechenzentren, und der US-Anbieter liefert nur die Technik. Ob das den Zugriff wirklich ausschließt, ist juristisch umstritten. Wer den Begriff in Nachrichten liest, sollte deshalb genau hinsehen, wer am Ende die Kontrolle über die Schlüssel und die Server hat.