Gilt der CLOUD Act auch für Daten in EU-Rechenzentren?

Ja, wenn der Anbieter US-Recht unterliegt. 18 U.S.C. § 2713 verpflichtet Anbieter, Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle herauszugeben, unabhängig davon, ob sie innerhalb oder außerhalb der USA gespeichert sind. Der Standort des Rechenzentrums allein schützt deshalb nicht vor einer Herausgabeanordnung an einen US-Anbieter.

Ist das EU-US Data Privacy Framework noch gültig?

Ja. Die EU-Kommission hat den Angemessenheitsbeschluss am 10. Juli 2023 angenommen, und das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen. Gegen dieses Urteil wurde am 31. Oktober 2025 Rechtsmittel beim EuGH eingelegt (C-703/25 P). Eine Entscheidung darüber ist uns bis Anfang Oktober 2026 nicht bekannt.

Brauche ich ein Transfer Impact Assessment?

Wenn Sie personenbezogene Daten auf Basis von Standardvertragsklauseln in ein Drittland übermitteln, ja: Nach den Empfehlungen 01/2020 des EDSA bewerten Sie Recht und Praxis des Ziellands. Auch ein Fernzugriff aus einem Drittland, etwa im Support, gilt als Übermittlung. Bei Übermittlungen an DPF-zertifizierte US-Unternehmen stützen Sie sich stattdessen auf den Angemessenheitsbeschluss.

Schützt Verschlüsselung vor dem CLOUD Act?

Nur, wenn der Anbieter die Schlüssel nicht hat. Der EDSA erkennt Verschlüsselung als wirksame Zusatzmaßnahme an, wenn die Schlüssel allein beim Datenexporteur oder einer vertrauenswürdigen Stelle im EWR liegen. Muss der Anbieter die Daten im Klartext verarbeiten, wie bei einer laufenden Anwendung, sieht der EDSA keine wirksame technische Maßnahme.

Reicht ein europäischer Cloud-Anbieter für die DSGVO?

Er nimmt eine große Frage aus dem Spiel, ersetzt aber nicht die übrigen Pflichten: Vertrag zur Auftragsverarbeitung, Liste der Unterauftragsverarbeiter, technische und organisatorische Maßnahmen. Prüfen Sie, ob der Vertrag jede Verarbeitung in Drittländern ausschließt und ob die Unterauftragnehmer des Anbieters ebenfalls in der EU sitzen.

← Zurück zum Blog

Sicherheit26. Oktober 2026Florian Apel

CLOUD Act und DSGVO: Was die Wahl des Cloud-Anbieters für SaaS bedeutet

„Die Daten liegen doch in Deutschland“ beantwortet die Frage nach dem CLOUD Act nicht. Was das US-Gesetz erlaubt, wie es um das Data Privacy Framework steht und worauf SaaS-Anbieter bei der Wahl der Cloud achten sollten.

Compliance Scaleway

Titelbild: CLOUD Act und DSGVO: Was die Wahl des Cloud-Anbieters für SaaS bedeutet

Ein Großkunde schickt einem SaaS-Anbieter vor der Unterschrift einen Fragebogen zur Informationssicherheit. Frage 14: „Unterliegt einer Ihrer Unterauftragsverarbeiter dem US CLOUD Act?“ Die Anwendung läuft in Frankfurt, bei einem US-Hyperscaler. „Die Daten liegen doch in Deutschland“, sagt der CTO – und merkt beim Aufschreiben, dass das die Frage nicht beantwortet.

Der CLOUD Act ist ein US-Gesetz von 2018, das Anbieter unter US-Recht verpflichtet, Daten auf behördliche Anordnung herauszugeben, auch wenn sie außerhalb der USA gespeichert sind. Dieser Beitrag ordnet ein, was das zusammen mit der DSGVO für die Wahl Ihres Cloud-Anbieters bedeutet. Er stützt sich auf Primärquellen und ist keine Rechtsberatung.

Was erlaubt der CLOUD Act?

Der Clarifying Lawful Overseas Use of Data Act ist seit März 2018 in Kraft. Sein Kern steht in 18 U.S.C. § 2713: Anbieter elektronischer Kommunikations- und Cloud-Dienste müssen Inhalte und Daten herausgeben, die sich in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befinden – unabhängig davon, ob diese innerhalb oder außerhalb der USA liegen.

Entscheidend ist also nicht der Standort der Server, sondern wer Zugriff auf die Daten hat und wessen Recht er unterliegt. Eine EU-Region eines US-Anbieters beantwortet diese Frage nicht. Auf der anderen Seite steht Art. 48 DSGVO: Urteile und Behördenentscheidungen eines Drittlands, die eine Herausgabe verlangen, werden nur auf Grundlage eines internationalen Abkommens anerkannt. Ein Anbieter kann so zwischen zwei Rechtsordnungen geraten.

Was haben Schrems II und das Data Privacy Framework damit zu tun?

Am 16. Juli 2020 erklärte der Europäische Gerichtshof im Urteil Schrems II (C-311/18) das EU-US Privacy Shield für ungültig: Die US-Überwachungsprogramme seien nicht auf das zwingend Notwendige beschränkt, und Betroffene hätten keine durchsetzbaren Rechte vor Gericht. Standardvertragsklauseln blieben gültig – aber wer Daten exportiert, muss prüfen, ob sie im Zielland eingehalten werden können.

Am 10. Juli 2023 folgte ein neuer Angemessenheitsbeschluss der EU-Kommission, das EU-US Data Privacy Framework (DPF). Es stützt sich auf eine Executive Order vom Oktober 2022 mit neuen Schranken für US-Geheimdienste und auf ein Data Protection Review Court für Beschwerden. Es deckt Übermittlungen an US-Unternehmen, die sich unter dem Framework zertifiziert haben.

Am 3. September 2025 wies das Gericht der EU die Klage des Franzosen Philippe Latombe gegen den Beschluss ab (T-553/23): Zum Zeitpunkt der Annahme hätten die USA ein angemessenes Schutzniveau gewährleistet. Latombe legte am 31. Oktober 2025 Rechtsmittel beim EuGH ein (C-703/25 P); eine Entscheidung darüber ist uns bis Anfang Oktober 2026 nicht bekannt. Das DPF gilt also – mit dem Wissen, dass der EuGH beide Vorgänger gekippt hat.

Worauf sollten SaaS-Anbieter bei der Wahl achten?

Ihr Cloud-Anbieter ist Unterauftragsverarbeiter nach Art. 28 DSGVO: Er darf nur mit Genehmigung Ihrer Kunden eingesetzt werden und steht in Ihrer Liste. Fünf Punkte gehören auf die Prüfliste:

Der Vertrag zur Auftragsverarbeitung. Ort der Verarbeitung, technische und organisatorische Maßnahmen, Regeln für weitere Unterauftragnehmer – schriftlich, nicht nur auf einer Marketingseite.
Die Liste der Unterauftragsverarbeiter. Nicht nur der Hoster zählt, auch E-Mail-Versand, Support-Tool, Monitoring und CDN. Ein einziger US-Dienst in der Kette bringt die Transferfrage zurück.
Das Transfer Impact Assessment. Wer Daten auf Basis von Standardvertragsklauseln in ein Drittland übermittelt, muss laut den Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (EDSA) Recht und Praxis des Ziellands bewerten und bei Bedarf zusätzliche Maßnahmen ergreifen. Auch ein Fernzugriff aus einem Drittland, etwa im Support, gilt als Übermittlung.
Verschlüsselung und Schlüsselkontrolle. Nach dem EDSA ist Verschlüsselung nur dann eine wirksame Zusatzmaßnahme, wenn die Schlüssel allein beim Datenexporteur oder einer vertrauenswürdigen Stelle im EWR liegen. Braucht der Anbieter die Daten im Klartext – wie jede laufende Anwendung –, sieht der EDSA keine wirksame technische Maßnahme.
Der Sitz des Anbieters. Ist der Anbieter im EWR ansässig und schließt sein Vertrag jede Verarbeitung in Drittländern aus, entfällt nach dem EDSA die Prüfung, ob und wohin die Cloud Daten übermittelt. Der CLOUD Act richtet sich an Anbieter unter US-Recht – fragen Sie deshalb auch nach US-Niederlassungen oder einer US-Muttergesellschaft und nach den Unterauftragnehmern des Anbieters. Behördenzugriff gibt es auch in der EU, dann nach dem Recht der EU und ihrer Mitgliedstaaten, mit dem dortigen Rechtsschutz.

Wer einen Wechsel erwägt, findet den Ablauf unter Wechsel von AWS, Azure oder GCP; was Souveränität über das Recht hinaus bedeutet, unter Digitale Souveränität.

Wie ist Clusterward aufgestellt?

Wir haben Clusterward so gebaut, dass Frage 14 kurz ausfällt:

Ihre Cluster, Datenbanken und Buckets laufen in Ihrem eigenen Scaleway-Projekt, auf Basis Ihres eigenen Vertrags mit Scaleway. Für diese Infrastruktur ist Scaleway Ihr Auftragsverarbeiter, nicht unserer.
Die Clusterward-Plattform läuft bei Scaleway in Amsterdam, E-Mails versendet Scaleway aus Paris. Scaleway SAS mit Sitz in Paris ist unser einziger Unterauftragsverarbeiter. Eine Übermittlung in Drittländer findet nicht statt; Support und Betrieb mit Zugriff auf personenbezogene Daten erfolgen nur aus der EU.
Jeder Workspace hat eine eigene Datenbank und einen eigenen Datenschlüssel; Schlüssel für Cloud und Cluster sind mit AES-256-GCM verschlüsselt und nach dem Speichern nicht mehr auslesbar.
Was Sie selbst mit eigenen Zugangsdaten anbinden, etwa GitHub oder Cloudflare-DNS, ist Ihr eigener Auftragsverarbeiter – mit eigener Transferfrage.

Die Einzelheiten stehen in der Vereinbarung zur Auftragsverarbeitung. Die rechtliche Bewertung bleibt bei Ihnen; die Fakten dafür liegen schriftlich vor.

Fazit

Der CLOUD Act knüpft an die Kontrolle über Daten an, nicht an ihren Standort. Das Data Privacy Framework erlaubt Übermittlungen an zertifizierte US-Unternehmen, liegt aber erneut beim EuGH. Für SaaS-Anbieter heißt das: Unterauftragsverarbeiter kennen, Übermittlungen prüfen, Schlüsselkontrolle nüchtern einschätzen – und den Anbieter so wählen, dass möglichst wenige dieser Fragen überhaupt entstehen.

Fragebogen vom Großkunden auf dem Tisch? Schicken Sie uns die Fragen zu Hosting und Unterauftragsverarbeitern. Wir sagen Ihnen, welche davon Clusterward mit Fakten beantwortet. Frage stellen →

Quellen und weiterführende Links

Häufige Fragen

Ja, wenn der Anbieter US-Recht unterliegt. 18 U.S.C. § 2713 verpflichtet Anbieter, Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle herauszugeben, unabhängig davon, ob sie innerhalb oder außerhalb der USA gespeichert sind. Der Standort des Rechenzentrums allein schützt deshalb nicht vor einer Herausgabeanordnung an einen US-Anbieter.