US CLOUD Act: Warum „Daten liegen in Deutschland" nicht die ganze Wahrheit ist
Ein Microsoft-365-Tenant kann seine Daten in deutschen Rechenzentren speichern und trotzdem mit einem Anbieter betrieben werden, der US-Recht unterliegt. Im Juni 2025 musste ein Microsoft-Manager vor dem französischen Senat unter Eid einräumen, dass er das nicht ausschließen kann. Wir ordnen ein, was der CLOUD Act tatsächlich regelt, was er nicht regelt, und warum der Speicherort allein die Frage nicht beantwortet.
Serverstandort → US-Jurisdiktion → CLOUD Act → DSGVO/DPF
EIN SATZ VOR DEM SENAT
Was der CLOUD Act tatsächlich regelt
Am 10. Juni 2025 wurde Anton Carniaux, Director of Public and Legal Affairs bei Microsoft France, vor einer Untersuchungskommission des französischen Senats vereidigt. Die Frage: Kann Microsoft garantieren, dass Daten französischer Bürger niemals aufgrund einer US-Anordnung ohne Zustimmung französischer Behörden herausgegeben werden?
„Non, je ne peux pas le garantir."
Carniaux antwortete mit diesem Satz und ergänzte direkt, ein solcher Fall sei bei europäischen Kunden bislang nicht vorgekommen. Das bedeutet nicht, dass Microsoft europäische Daten an die USA weitergibt, das lässt sich aus dieser Aussage nicht ableiten. Es bedeutet: Microsoft kann nicht garantieren, dass eine rechtmäßige US-Anordnung unter allen Umständen ausgeschlossen werden kann. Genau darum geht es beim CLOUD Act.
Der Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, stammt aus 2018. Sein Hintergrund war ein Rechtsstreit zwischen Microsoft und US-Behörden um E-Mails eines Kontos, die auf einem Server in Dublin lagen. Microsoft argumentierte, eine US-Anordnung könne nicht auf außerhalb der USA gespeicherte Daten angewendet werden. Der Fall erreichte den US Supreme Court, noch bevor dieser entscheiden konnte, verabschiedete der Kongress den CLOUD Act, und der Supreme Court erklärte den Rechtsstreit für erledigt.
Der entscheidende Punkt steht heute in 18 U.S.C. § 2713: Ein erfasster Anbieter muss Daten herausgeben, die sich in seiner possession, custody or control befinden, unabhängig davon, ob sie innerhalb oder außerhalb der USA gespeichert sind. Der physische Standort des Servers ist damit nicht automatisch entscheidend.
KEIN AUTOMATISCHER SCHUTZ
Deutschland als Speicherort ist kein Freibrief
Ein einfacher Fall: Ein deutsches Unternehmen nutzt Microsoft 365, Exchange-Postfächer und OneDrive-Daten liegen in einem deutschen Rechenzentrum, SharePoint läuft in einer europäischen Region. Technisch liegen die Daten damit in Europa.
Die entscheidende zusätzliche Frage lautet aber: Wer kontrolliert diese Daten, und welchem Recht unterliegt der Anbieter? Bei einem Anbieter, der dem relevanten US-Rechtsrahmen unterliegt, kann eine US-rechtliche Herausgabeanordnung grundsätzlich auch außerhalb der USA gespeicherte Daten betreffen, sofern die gesetzlichen Voraussetzungen erfüllt sind. § 2713 stellt gerade nicht auf den physischen Speicherort ab.
Das bedeutet nicht, dass jede US-Tochter oder jede europäische Gesellschaft eines US-Konzerns automatisch jeder US-Anordnung folgen muss. Die konkrete US-Gerichtsbarkeit und die tatsächliche Kontrolle über die Daten spielen eine Rolle. Das vom Bundesinnenministerium beauftragte Rechtsgutachten der Universität zu Köln beschäftigt sich ausführlich mit genau diesen Fragen.
Wichtig ist auch, was der CLOUD Act nicht bedeutet: Ein häufiger Irrtum ist, ihn als eine Art dauerhaften Direktzugriff der US-Behörden auf europäische Microsoft-Server zu verstehen. Das besagt das Gesetz nicht. Es schafft gesetzliche Möglichkeiten, von bestimmten Anbietern im Einzelfall die Herausgabe von Daten zu verlangen. Welche rechtliche Maßnahme dafür erforderlich ist, hängt unter anderem von der Art der Daten und der jeweiligen Rechtsgrundlage ab.
DIE WICHTIGSTE EINORDNUNG
§ 2703(h): Ein spezieller Schutzmechanismus – aber nicht für Deutschland
Für bestimmte Herausgabeanordnungen betreffend Kommunikationsinhalte enthält § 2703(h) einen besonderen Mechanismus für Konflikte mit dem Recht bestimmter ausländischer Staaten. Danach kann ein Anbieter beantragen, eine Anordnung zu ändern oder aufzuheben, wenn die Herausgabe gegen das Recht einer „qualifying foreign government“ verstoßen würde.
Die entscheidende Einschränkung
Als „qualifying foreign government“ gilt nach § 2703(h) nur ein Staat, mit dem die USA ein Executive Agreement nach § 2523 abgeschlossen haben und dessen Rechtsordnung weitere gesetzliche Voraussetzungen erfüllt. Aktuell nennt das US-Justizministerium zwei solche CLOUD-Act-Abkommen: mit dem Vereinigten Königreich (unterzeichnet 2019) und mit Australien (unterzeichnet 2021, in Kraft seit 2024).
Ein entsprechendes Abkommen mit Deutschland oder einem EU-Mitgliedstaat besteht derzeit nicht. Die EU und die USA verhandeln zwar seit Jahren über grenzüberschreitenden Zugang zu elektronischen Beweismitteln, das ist aber nicht dasselbe wie ein in Kraft befindliches CLOUD-Act-Executive-Agreement.
Für deutsche Unternehmen bedeutet das: Der spezielle gesetzliche Konfliktmechanismus nach § 2703(h) steht ihnen mangels eines entsprechenden Abkommens derzeit nicht zur Verfügung. Das bedeutet nicht, dass ein Anbieter keinerlei andere rechtliche Einwendungen gegen eine US-Anordnung haben kann, das Kölner Gutachten bewertet die Rechtsschutzmöglichkeiten europäischer Unternehmen insgesamt aber als eingeschränkt.
Das ist kein theoretisches Detail: Der CLOUD Act sieht diesen Mechanismus zwar vor, Deutschland gehört aber derzeit nicht zu den Staaten mit einem entsprechenden Abkommen.
ZWEI WEITERE BAUSTEINE
Benachrichtigung und das Kölner Gutachten
Muss der Kunde von einem Zugriff erfahren?
Es stimmt nicht, dass US-Recht grundsätzlich jede Information verbietet. Es gibt aber Möglichkeiten, eine Benachrichtigung zu verzögern oder einem Anbieter zu untersagen, andere Personen zu informieren, § 2705 regelt entsprechende Verfahren. Für einen Kunden bedeutet das: Eine Benachrichtigung kann eingeschränkt oder verzögert sein, das ist etwas anderes als die pauschale Aussage „der Kunde erfährt nie etwas“.
Das Kölner Gutachten: Serverstandort ist nur ein Teil der Betrachtung
Das Rechtsgutachten der Universität zu Köln, im Auftrag des damaligen Bundesministeriums des Innern und für Heimat, wurde am 21. März 2025 vorgelegt und untersucht die US-Rechtslage zum weltweiten Datenzugriff bei Cloud-Diensten. Die Kurzfassung: US-Sicherheitsbehörden verfügen über weitreichende Herausgabe- und Zugriffsrechte, das betrifft nicht nur Daten auf US-Servern, unter bestimmten Voraussetzungen auch ausländische Server und Cloud-Anbieter, nicht immer ist dafür ein klassischer gerichtlicher Durchsuchungsbeschluss erforderlich.
Gleichzeitig ist das Gutachten keine Aussage darüber, dass jede solche Herausgabe nach deutschem oder europäischem Recht zulässig wäre. US-Recht und EU-Recht stehen nicht in einer Hierarchie: Ein US-Anbieter kann nach US-Recht zur Herausgabe verpflichtet und gleichzeitig nach europäischem Recht mit Datenschutzanforderungen konfrontiert sein. Genau daraus entsteht der mögliche Konflikt zwischen zwei Rechtsordnungen.
ZWEI VERSCHIEDENE FRAGEN
CLOUD Act, DSGVO und das Data Privacy Framework
Der CLOUD Act beantwortet eine Frage des US-Rechts: Kann ein Anbieter zur Herausgabe verpflichtet werden? Die DSGVO beantwortet eine andere: Unter welchen Voraussetzungen dürfen personenbezogene Daten in Drittländer übermittelt werden? Das eine hebt das andere nicht automatisch auf.
Die Europäische Kommission hat im Juli 2023 das EU-US Data Privacy Framework (DPF) als Angemessenheitsmechanismus beschlossen, er ist weiterhin in Kraft. Das Gericht der EU wies eine Klage dagegen am 3. September 2025 ab, ein Rechtsmittel (C-703/25 P, Latombe/Kommission) ist im September 2026 weiter anhängig. Am 31. Juli 2026 bat die EDSA-Vorsitzende Anu Talus die Kommission zusätzlich um eine Bewertung, ob das US-Urteil Trump v. Slaughter vom 29. Juni 2026 Auswirkungen auf die Unabhängigkeit der Federal Trade Commission (FTC) hat, die für das DPF zentral ist.
Der wichtigste Satz zur Einordnung: Das Data Privacy Framework ist kein Schutzmechanismus gegen den CLOUD Act. Es regelt die datenschutzrechtliche Zulässigkeit bestimmter Übermittlungen in die USA, es verhindert nicht, dass ein US-Anbieter einer rechtmäßigen US-Anordnung unterliegt. DPF und CLOUD Act beantworten unterschiedliche Fragen und lösen sich gegenseitig nicht auf.
DIE ANDERE SEITE
HBDI und DSK: nicht nur Warnungen
Microsoft 365 kann datenschutzkonform eingesetzt werden
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) veröffentlichte im November 2025 einen 137-seitigen Bericht zu Microsoft 365 und kam zu dem Ergebnis: Microsoft 365 kann datenschutzkonform genutzt werden. Er hatte zuvor mit Microsoft sieben frühere Kritikpunkte der Datenschutzkonferenz am Microsoft-Datenschutznachtrag untersucht. Der HBDI kommt in seinem Bericht zu dem Ergebnis, dass personenbezogene Daten inzwischen weitgehend im Europäischen Wirtschaftsraum verarbeitet werden und verbleibende Übermittlungen über Angemessenheitsbeschlüsse beziehungsweise Standardvertragsklauseln abgesichert sind.
Zwei Einschränkungen: Der HBDI hat ausdrücklich keine technische Untersuchung einzelner Microsoft-365-Dienste durchgeführt, er bewertet vertragliche und rechtliche Rahmenbedingungen. Und er trifft damit keine Aussage, dass Microsoft 365 vor einem Zugriff aufgrund US-amerikanischen Rechts geschützt wäre.
DSK: Vorsicht bei „Confidential Cloud Computing"
Die Datenschutzkonferenz verabschiedete am 16. Juni 2025 eine Entschließung zu „Confidential Cloud Computing“ und weist darauf hin, dass der Begriff nicht einheitlich definiert ist. Die Aussage, Daten könnten sogar vor dem Cloud-Betreiber geheim gehalten werden, hängt vom konkreten Angreifermodell ab und greift als pauschales Werbeversprechen zu kurz.
Das Kölner Gutachten weist ergänzend darauf hin, dass technische Maßnahmen wie Verschlüsselung eine US-rechtliche Zugriffsmöglichkeit nicht automatisch ausschließen, relevant ist unter anderem, ob der Anbieter selbst noch Zugriff auf die Daten oder die zur Entschlüsselung erforderlichen Schlüssel hat.
ZUSAMMENGEFASST
Drei Aussagen, die nicht dasselbe bedeuten
| Daten liegen in Deutschland | Physischer bzw. vertraglich zugesicherter Speicherort |
| Daten werden innerhalb der EU/EWR verarbeitet | Regionale Datenverarbeitung bzw. Datenresidenz |
| Anbieter unterliegt keinem relevanten US-Recht | Frage der rechtlichen Zugriffsmöglichkeit |
CHANCEN UND GRENZEN
Warum Selbst-Hosting hier interessant wird
Self-Hosting ist nicht automatisch sicherer, aber es verändert den Rechts- und Kontrollrahmen. Eine Nextcloud auf eigener Hardware in Deutschland ist eine andere Konstellation als OneDrive bei einem US-Hyperscaler.
Was sich ändert
Ein selbst betriebener Mailserver wie mailcow unterscheidet sich grundsätzlich von Exchange Online, bei Vaultwarden kontrolliert der Betreiber die Infrastruktur und Datenablage selbst.
Kein Freifahrtschein
Steht der Server bei einem US-Cloudanbieter, liegen Backups bei einem US-Anbieter, läuft Monitoring über einen US-Dienst, ist die Infrastruktur nicht vollständig aus diesem Rechtsraum herausgelöst.
Die ganze Kette zählt
„Der Anbieter sitzt in Deutschland“ ist genauso wenig eine vollständige Prüfung wie „der Server steht in Deutschland“. Entscheidend sind Betreiber, Zugriff, Backup-Ziel, Subunternehmer und Supportsysteme zusammen.
Die saubere Formulierung: Eine vollständig europäisch betriebene Infrastruktur ohne US-rechtlich relevante Anbieter in der Verarbeitungskette reduziert dieses konkrete CLOUD-Act-Risiko erheblich. Genau deshalb setzen wir bei RDDZ konsequent auf europäische, quelloffene Bausteine: Nextcloud statt SharePoint/OneDrive, mailcow statt Exchange Online, Vaultwarden statt einem US-Passwortmanager, UniFi OS Server statt Cloud-verwaltetem Netzwerk-Controller. Und auch bei vollständig selbst betriebener Infrastruktur bleiben Sicherheitsupdates, Backup, Restore-Tests und Dokumentation Aufgabe des Betreibers. Self-Hosting verschiebt Verantwortung, es hebt sie nicht auf.
CHECKLISTE
Was Unternehmen praktisch mitnehmen sollten
Nicht nur auf den Speicherort schauen
„Die Daten liegen in Deutschland“ beantwortet nicht, wem der Anbieter rechtlich verpflichtet ist.
Die ganze Verarbeitungskette prüfen
Nicht nur die Hauptanwendung: Backup-Ziel, CDN, Monitoring, Support, Mailrelay.
Datensensibilität einordnen
Nicht jede Verarbeitung braucht dieselbe Vorsicht, bei Gesundheitsdaten oder Berufsgeheimnissen lohnt eine strengere Betrachtung.
Bestehendes nicht pauschal verteufeln
Microsoft 365 kann laut HBDI unter den geprüften vertraglichen und rechtlichen Rahmenbedingungen datenschutzkonform genutzt werden.
Bei Selbst-Hosting den Betrieb ernst nehmen
Sonst verschiebt man nur das Risiko, statt es zu senken: Updates, Backups, Zugriffsschutz bleiben Pflicht.
Bei Bedarf fachlich beraten lassen
Gerade bei regulierten Branchen oder besonders sensiblen Daten lohnt eine individuelle Prüfung der eigenen Infrastruktur.
FAZIT
Kein Mythos, aber auch kein Papiertiger
Der CLOUD Act ist kein Mythos und kein automatischer Zugriff, aber auch kein Papiertiger. Microsoft selbst hat unter Eid eingeräumt, eine vollständige Garantie nicht geben zu können, während der spezielle gesetzliche Konfliktmechanismus nach § 2703(h) mangels eines entsprechenden CLOUD-Act-Exekutivabkommens für Deutschland derzeit nicht zur Verfügung steht. Gleichzeitig hält eine deutsche Aufsichtsbehörde Microsoft 365 unter bestimmten Bedingungen für datenschutzkonform nutzbar, und das Data Privacy Framework ist trotz laufender rechtlicher Entwicklung weiterhin gültig.
Für Unternehmen bedeutet das: keine Panik, aber auch keine blinde Beruhigung durch „die Daten liegen doch in Deutschland“. Wer besonders sensible Daten verarbeitet oder das Risiko grundsätzlich nicht eingehen will, findet mit einer konsequent europäischen, selbst gehosteten Infrastruktur den Weg, der dieses spezielle Risiko am wirksamsten reduziert, verbunden mit der eigenen Verantwortung, diese Infrastruktur auch sauber zu betreiben. Mehr zum Zusammenhang mit dem Speicherort selbst: Microsoft 365: Datenstandort Deutschland ändert sich.
FAQ
Häufige Fragen zum US CLOUD Act
QUELLEN
Quellen und Rechtsgrundlagen
- 18 U.S.C. § 2713, § 2703(h), § 2705 (CLOUD Act / Stored Communications Act)
- Sénat français: Anhörung Anton Carniaux (Microsoft France), 10. Juni 2025
- Rechtsgutachten der Universität zu Köln im Auftrag des BMI, 21. März 2025
- US Department of Justice: CLOUD Act Agreements (UK, Australien)
- HBDI: Bericht zu Microsoft 365, November 2025
- Datenschutzkonferenz: Entschließung „Confidential Cloud Computing“, 16. Juni 2025
- EuG, Urteil vom 3. September 2025; EuGH C-703/25 P (Latombe/Kommission), anhängig
- EDSA: Schreiben an die EU-Kommission zu Trump v. Slaughter, 31. Juli 2026
Europäische Infrastruktur statt US-Cloud?
Ob Nextcloud, mailcow oder Vaultwarden: Nutzen Sie unsere IT-Leistungen.
