Im Juni 2025 stand Anton Carniaux, Direktor f\u00fcr \u00f6ffentliche und rechtliche Angelegenheiten bei Microsoft Frankreich, vor einem Ausschuss des franz\u00f6sischen Senats. Unter Eid wurde er gefragt, ob er garantieren k\u00f6nne, dass die bei Microsoft gespeicherten Daten franz\u00f6sischer Kunden - insbesondere die \u00fcber die zentrale \u00f6ffentliche Beschaffungsstelle UGAP anvertrauten Daten - ohne ausdr\u00fcckliche Zustimmung der franz\u00f6sischen Beh\u00f6rden nicht an US-Beh\u00f6rden weitergegeben w\u00fcrden. Er antwortete kurz und b\u00fcndig: \u201eNon, je ne peux pas le garantir.\u201c Nein, ich kann es nicht garantieren. Wenn Microsoft eine g\u00fcltige gerichtliche Anordnung gem\u00e4\u00df dem CLOUD Act erh\u00e4lt, muss es dieser nachkommen. Egal, wo die Daten physisch liegen, egal, was Frankreich dar\u00fcber denkt.<\/p>\n\n\n\n
Diese Erkl\u00e4rung ist ein Wendepunkt in der europ\u00e4ischen Cloud-Debatte, nicht weil sie etwas Neues sagt. Dass sie CLOUD-Gesetz<\/a> Seit 2018 steht es schwarz auf wei\u00df im Gesetz. Es ist bahnbrechend, weil es laut und unter Eid von einem Vertreter eines der gr\u00f6\u00dften US-Provider gesagt wurde, auf dessen Infrastruktur ein wesentlicher Teil der europ\u00e4ischen \u00f6ffentlichen Verwaltung beruht. Von diesem Moment an ist es unm\u00f6glich, so zu tun, als sei das Problem theoretisch.<\/p>\n\n\n\n In diesem Artikel werden wir aufschl\u00fcsseln, was das CLOUD-Gesetz f\u00fcr Sie - als Nutzer, Freiberufler oder Unternehmen in Europa - wirklich bedeutet und wann es ein Grund ist, etwas zu \u00e4ndern und wann es nur ein Grund ist, es zu verstehen.<\/p>\n\n\n\n 2018 verabschiedete der US-Kongress eine \u00c4nderung \u00e4lterer Gesetze, die geschaffen wurden, als es die Cloud noch nicht gab. Das Ziel war nicht die Einf\u00fchrung einer neuen \u00dcberwachung, sondern die Kl\u00e4rung der Frage, wie weit die US-Gerichtsbarkeit reicht, wenn Daten bei einem US-Unternehmen gespeichert sind, sich aber physisch in Europa oder irgendwo anders auf der Welt befinden.<\/p>\n\n\n\n Der konkrete Rechtsstreit, der im Hintergrund stand, wurde von Microsoft seit 2013 gef\u00fchrt. Der US-Justizminister wollte, dass die E-Mails in einem irischen Datenzentrum gespeichert werden, Microsoft argumentierte, dass das US-Recht nicht auf sie anwendbar sei. Der Fall ging bis vor den Obersten Gerichtshof. Bevor dieser ein Urteil f\u00e4llen konnte, verabschiedete der Kongress das CLOUD-Gesetz, das den Streit zugunsten der Staatsanwaltschaft beendete: Ja, die US-Verf\u00fcgung gilt f\u00fcr im Ausland gespeicherte Daten - solange sie von einem Anbieter gespeichert werden, f\u00fcr den die USA zust\u00e4ndig sind.<\/p>\n\n\n\n Der Schl\u00fcsselbegriff, um den sich das ganze Thema dreht, ist \u201eBesitz, Gewahrsam oder Kontrolle\u201c. Wenn ein US-Anbieter Ihre Daten in einer dieser Beziehungen hat, k\u00f6nnen die US-Beh\u00f6rden darauf zugreifen - unabh\u00e4ngig davon, in welchem europ\u00e4ischen Rechenzentrum sie sich physisch befinden. Wenn sie sich nicht in deren H\u00e4nden befinden (z. B. weil sie ohne Ihre Schl\u00fcssel nicht entschl\u00fcsselt werden k\u00f6nnen oder weil der Anbieter nicht in den USA ans\u00e4ssig ist), findet der CLOUD Act keine Anwendung.<\/p>\n\n\n\n Das ist der springende Punkt. Alles andere ist nur eine Verfeinerung dieses Satzes.<\/p>\n\n\n\n F\u00fcr technische Leser.<\/strong> Mit dem CLOUD-Gesetz werden drei \u00e4ltere US-Gesetze ge\u00e4ndert - der Stored Communications Act, der Wiretap Act und das Pen Register\/Trap and Trace Statute. Die wichtigste inhaltliche Bestimmung findet sich in Abschnitt 2713: Ein Anbieter muss die Verpflichtungen des SCA unabh\u00e4ngig vom Standort der Daten einhalten. Die zweite Komponente (\u00a7 2523) legt den Rahmen f\u00fcr bilaterale Exekutivvereinbarungen mit dem Ausland fest. Die dritte Komponente (\u00a7 2703(h)) f\u00fchrt einen neuen verfahrensrechtlichen Rechtsbehelf ein - den comity objection (Einspruch aus Gr\u00fcnden der internationalen Konformit\u00e4t) -, den ein Anbieter einlegen kann, wenn der Kunde weder US-B\u00fcrger noch in den USA ans\u00e4ssig ist und die Einhaltung der Vorschriften gegen das Recht eines Staates mit einem g\u00fcltigen CLOUD Act-Abkommen versto\u00dfen w\u00fcrde.<\/p>\n<\/blockquote>\n\n\n\n In der europ\u00e4ischen Debatte wird der CLOUD Act oft als \u201edie Amerikaner k\u00f6nnen Ihre Daten nehmen, wann immer sie wollen\u201c bezeichnet. Dies ist weitgehend eine \u00dcbertreibung. Es lohnt sich zu wissen, was der CLOUD Act nachweislich nicht ist.<\/p>\n\n\n\n Es handelt sich nicht um ein neues \u00dcberwachungsgesetz.<\/strong> Die US-Staatsanwaltschaft ben\u00f6tigt nach wie vor einen Haftbefehl, der auf einem hinreichenden Verdacht beruht - genau wie vor 2018. Die \u00c4nderung betrifft die Reichweite der Gerichtsbarkeit, nicht die Bedingungen f\u00fcr die Auslieferung.<\/p>\n\n\n\n Er kann den Anbieter nicht dazu zwingen, Daten zu entschl\u00fcsseln, f\u00fcr die er nicht die Schl\u00fcssel besitzt.<\/strong> Das Gesetz sieht ausdr\u00fccklich vor, dass Vereinbarungen im Rahmen des CLOUD-Gesetzes nicht dazu verpflichten d\u00fcrfen, einen Entschl\u00fcsselungsmechanismus zu schaffen oder eine Hintert\u00fcr einzubauen. Dies ist der Grund, warum Dienste mit echter Ende-zu-Ende-Verschl\u00fcsselung (der Anbieter hat nie die Schl\u00fcssel) unter einem anderen Risikoregime arbeiten als eine traditionelle Cloud, bei der die Schl\u00fcssel vom Anbieter verwaltet werden.<\/p>\n\n\n\n Einen Anbieter, der keine Verbindungen zu den USA hat, wird sie nicht erreichen.<\/strong> Wenn Ihr Cloud-Anbieter ein europ\u00e4isches Unternehmen ohne US-Tochtergesellschaft, US-Verm\u00f6genswerte oder US-Pr\u00e4senz ist, ist er nicht direkt vom CLOUD Act betroffen. Ein Rechtskonflikt entsteht nur, wenn der Anbieter gleichzeitig unter beide Rechtsordnungen f\u00e4llt.<\/p>\n\n\n\n Sie erlaubt keine Massenerfassung oder gezielte \u00dcberwachung von US-Personen durch ausl\u00e4ndische Beh\u00f6rden.<\/strong> Die bilateralen Abkommen, die der CLOUD Act zul\u00e4sst (bisher nur mit dem Vereinigten K\u00f6nigreich und Australien), verbieten ausdr\u00fccklich die Massenerfassung und die gezielte Erfassung von US-B\u00fcrgern durch ausl\u00e4ndische Beh\u00f6rden.<\/p>\n\n\n\n Es ist wichtig, dies laut auszusprechen. Das CLOUD-Gesetz ist ein Instrument f\u00fcr den gezielten Zugriff auf Daten im Rahmen spezifischer strafrechtlicher Ermittlungen - kein Instrument f\u00fcr eine pauschale \u00dcberwachung. F\u00fcr die meisten europ\u00e4ischen Nutzer ist die theoretische Wahrscheinlichkeit, dass ihre spezifischen Daten in einem US-Gerichtsbeschluss enthalten sind, gering. Aus den Transparenzberichten der gro\u00dfen Anbieter geht hervor, dass sich die \u00fcberwiegende Mehrheit der US-Anfragen auf einzelne Ermittlungen gegen bestimmte Personen bezieht.<\/p>\n\n\n\n Ein gr\u00f6\u00dferes Risiko als das CLOUD-Gesetz.<\/strong> F\u00fcr flache Datenerfassung<\/a> \u00fcber Ausl\u00e4nder dient in den USA FISA 702. Dort sind die Bedingungen lockerer, die gerichtliche \u00dcberpr\u00fcfung indirekter und der Anwendungsbereich der Programme (PRISM, Upstream) wesentlich breiter. Schrems II hat Privacy Shield genau wegen FISA 702 f\u00fcr ung\u00fcltig erkl\u00e4rt, nicht wegen des CLOUD Act. Wenn europ\u00e4ische Regulierungsbeh\u00f6rden \u00fcber das Risiko der US-\u00dcberwachung sprechen, meinen sie technisch gesehen genau das.<\/p>\n<\/blockquote>\n\n\n\n Hier kommt, was in den meisten Artikeln \u00fcber CLOUD Act nicht angesprochen wird: wann es f\u00fcr Sie ge\u00e4ndert werden muss und wann nicht. Gehen wir es Situation f\u00fcr Situation durch.<\/p>\n\n\n\n Privater Nutzer von Gemeinschaftsdiensten.<\/strong> Sie haben Google Mail<\/a>, Fotos in iCloud, OneDrive, Dropbox. Das CLOUD-Gesetz gilt technisch gesehen f\u00fcr Ihre Daten, aber die praktische Wahrscheinlichkeit, dass die US-Beh\u00f6rden sie speziell haben wollen, ist sehr gering. Die Frage, was man dagegen tun kann, betrifft Sie vor allem wegen der Sensibilit\u00e4t der Inhalte - wenn es um Gesundheit, Finanzen, private Beziehungen oder politisch heikle Themen geht, gibt es Grund, \u00fcber europ\u00e4ische Alternativen nachzudenken (Proton<\/a>, Tuta<\/a>, Infomaniac<\/a>, Tresorit). Nicht wegen des FBI, sondern wegen des allgemeinen Vertrauensprofils gegen\u00fcber Anbietern, die gesetzlich verpflichtet sind, die Interessen eines Staates \u00fcber Ihre Interessen zu stellen.<\/p>\n\n\n\n Freiberufler oder Kleinunternehmen ohne regulatorischen Druck.<\/strong> Sie machen die Buchhaltung, die Rechnungsstellung, die Kommunikation mit den Kunden. Sofern Sie nicht jemanden unter Ihren Kunden haben, dessen Daten f\u00fcr jemand anderen von Interesse sind (Anwaltschaft, Journalisten, \u00c4rzte, Forscher, Lobbyisten, Politiker), ist das tats\u00e4chliche Risiko von CLOUD Act f\u00fcr Sie gering. Strategisch relevanter ist in der Regel das allgemeine Vertrauensprofil gegen\u00fcber dem Anbieter und die Frage, wer Ihre Gesch\u00e4ftsdaten im Betrieb lesen kann - nicht wer sie vor Gericht durchsetzen kann.<\/p>\n\n\n\n Ein sensibler Beruf.<\/strong> Anwalt, Arzt, Therapeut, Journalist, Forscher, Ermittler, Steuerberater. F\u00fcr diese Berufe ist das CLOUD-Gesetz ein operativ relevantes Thema - nicht, weil irgendjemand sie alle \u00fcberwachen will, sondern weil Sie Ihrer beruflichen Schweigepflicht nicht nachkommen k\u00f6nnen, wenn ein Anbieter in einer fremden Rechtsordnung ohne Ihr Wissen Daten an Sie weitergeben kann. In einigen europ\u00e4ischen L\u00e4ndern haben die Berufsverb\u00e4nde bereits damit begonnen, dieses Problem normativ anzugehen. F\u00fcr diese Berufe lohnt es sich, entweder einen europ\u00e4ischen Anbieter ohne US-Verbindungen oder Dienste mit echter Ende-zu-Ende-Verschl\u00fcsselung zu nutzen, sofern die Art der Arbeit dies zul\u00e4sst.<\/p>\n\n\n\n Mittelst\u00e4ndisches Unternehmen mit europ\u00e4ischen Kunden.<\/strong> Dies ist der Ort, an dem GDPR<\/a>. Wenn Sie personenbezogene Daten europ\u00e4ischer Kunden verarbeiten, m\u00fcssen Sie nach europ\u00e4ischem Recht wissen, wer auf diese Daten zugreifen kann. Die europ\u00e4ische Aufsichtsbeh\u00f6rde (EDPB) hat in ihren aktualisierten Leitlinien vom Juni 2025 klargestellt, dass die direkte CLOUD Act-Anforderung keine unabh\u00e4ngige legitime Grundlage im europ\u00e4ischen Recht hat. Wenn Ihr US-Anbieter die Daten ohne den richtigen Rechtsweg freigibt, bekommen Sie \u00c4rger mit der europ\u00e4ischen Aufsichtsbeh\u00f6rde. Aus diesem Grund ziehen gro\u00dfe europ\u00e4ische Unternehmen ab 2024 ernsthaft hybride Architekturen in Betracht, bei denen sensible Daten in der europ\u00e4ischen Infrastruktur verbleiben und die US-Cloud nur f\u00fcr weniger sensible Teile des Betriebs genutzt wird.<\/p>\n\n\n\n Regulierte Organisation oder \u00f6ffentliche Verwaltung.<\/strong> F\u00fcr Sie ist souver\u00e4ne Wolke<\/a> Wahl fast unvermeidlich - entweder weil der nationale Rechtsrahmen dies vorschreibt (franz\u00f6sische SecNumCloud, deutsches BSI C5) oder weil die Haftung f\u00fcr etwaige Datenverluste<\/a> w\u00e4re politisch und finanziell unhaltbar. Dies ist das Segment, in dem sich der europ\u00e4ische Markt in den letzten zwei Jahren am schnellsten gewandelt hat.<\/p>\n\n\n\n Was die Datenschutz-Grundverordnung und das CLOUD-Gesetz miteinander zu tun haben.<\/strong> F\u00fcr einen europ\u00e4ischen Anbieter oder Auftragsverarbeiter, der auch der US-Gerichtsbarkeit unterliegt (aufgrund von Hauptsitz, Tochtergesellschaft, US-Verm\u00f6genswerten), ergibt sich ein unaufl\u00f6sbarer Konflikt: Die Befolgung einer US-Gerichtsanordnung bedeutet einen Versto\u00df gegen Artikel 48 der DSGVO, die Befolgung der DSGVO bedeutet einen Versto\u00df gegen eine US-Gerichtsanordnung. In den EDPB-Leitlinien 02\/2024, Endg\u00fcltige Version 2.1, vom 4. Juni 2025, hei\u00dft es ausdr\u00fccklich, dass die direkte CLOUD Act-Anforderung nicht durch ein \u201eberechtigtes Interesse\u201c gem\u00e4\u00df Artikel 6 Absatz 1 Buchstabe f der DSGVO gerechtfertigt werden kann. In der Praxis bedeutet dies, dass Anbieter in beiden Rechtsordnungen aus rein rechtlicher Sicht keinen v\u00f6llig sicheren Weg haben. Eine der wenigen klaren Optionen besteht darin, die US-Beh\u00f6rden auf das MLAT (Interstate Mutual Legal Assistance Treaty) zu verweisen, das formell verf\u00fcgbar ist.<\/p>\n<\/blockquote>\n\n\n\n Das Wort \u201esouver\u00e4n\u201c wurde in den letzten zwei Jahren im Marketing der Cloud-Anbieter so h\u00e4ufig verwendet, dass es seine konkrete Bedeutung zu verlieren begann. Lassen Sie es uns auf das Wesentliche reduzieren - ohne Marketing.<\/p>\n\n\n\n In Europa gibt es heute drei Arten von Angeboten, die sich als \u201esouver\u00e4n\u201c pr\u00e4sentieren, und jedes hat ein anderes Verh\u00e4ltnis zum CLOUD Act.<\/p>\n\n\n\n Echte europ\u00e4ische Anbieter.<\/strong> Franz\u00f6sisch OVHcloud, 3DS Outscale, Oodrive, NumSpot, Scaleway. Schweizer Infomaniac. Der deutsche Hetzner und andere Teilnehmer an der Gaia-X-Initiative. Diese Unternehmen verf\u00fcgen \u00fcber europ\u00e4isches Kapital und ein europ\u00e4isches Management und sind in den USA nicht oder nur minimal vertreten. Sie fallen nicht direkt unter das CLOUD-Gesetz. Die Schw\u00e4che liegt in der Gr\u00f6\u00dfe - sie k\u00f6nnen in der Regel nicht mit AWS oder Azure konkurrieren, wenn es um die Tiefe spezialisierter Dienste geht (maschinelles Lernen, Data Warehousing, geografische Verteilung). Aber f\u00fcr die meisten Standardanforderungen sind sie v\u00f6llig ausreichend.<\/p>\n\n\n\n Hybride \u201esouver\u00e4ne\u201c Partnerschaften.<\/strong> French Bleu (Orange + Capgemini betreiben Azure-Technologie), S3NS (Thales mit 95 % und Google<\/a> Cloud mit 5 % mit GCP-Technologie), deutsche Delos Cloud (SAP betreibt Azure f\u00fcr die \u00f6ffentliche Verwaltung). Modell: Ein europ\u00e4isches Unternehmen mit europ\u00e4ischem Kapital betreibt US-Cloud-Technologie unter Lizenz in einer isolierten Instanz, mit eigenen Rechenzentren, eigenen Mitarbeitern und ohne Verbindung zur US-Infrastruktur. S3NS erhielt am 19. Dezember 2025 die h\u00f6chste franz\u00f6sische SecNumCloud 3.2-Qualifikation; Bleu erreichte den zweiten Meilenstein (J1) im November 2025.<\/p>\n\n\n\n Diese Welle ist sowohl die politisch durchsetzungsf\u00e4higste als auch die umstrittenste. Die franz\u00f6sische Cyber-Agentur ANSSI erkennt diese Modelle an - aber ihr Direktor Vincent Strubel sagte im Januar 2026 ausdr\u00fccklich, dass SecNumCloud kein politisches Etikett der Souver\u00e4nit\u00e4t ist, sondern ein Instrument der Cybersicherheit. Mit anderen Worten: ANSSI behauptet nicht, dass S3NS v\u00f6llig immun gegen das CLOUD-Gesetz ist. Sie behauptet, dass es die technischen und verfahrenstechnischen Standards erf\u00fcllt und dass die operative Kontrolle \u00fcber die Daten in europ\u00e4ischer Hand liegt.<\/p>\n\n\n\n OVHcloud - Europas gr\u00f6\u00dfter wirklich europ\u00e4ischer Anbieter - argumentiert, dass hybride Modelle nicht v\u00f6llig immun sind, weil die Abh\u00e4ngigkeit von lizenzierter US-Technologie eine langfristige Bindung schafft, deren rechtliche Durchsetzbarkeit in einer Krisensituation nicht im Voraus gepr\u00fcft werden kann. Der Streit ist offen und es gibt noch keine gerichtliche Entscheidung, um ihn beizulegen.<\/p>\n\n\n\n US-Landezonen\u201e in Europa.<\/strong> Microsoft Cloud for Sovereignty, AWS European Sovereign Cloud (Er\u00f6ffnung im Januar 2026 in Brandenburg), Oracle EU Sovereign Cloud. Das Marketingkonzept ist \u00e4hnlich wie bei den vorherigen Kategorien. In der Praxis sind sie unterschiedlich: Der Betreiber bleibt die US-Muttergesellschaft oder ihre europ\u00e4ische Tochtergesellschaft, die der US-Rechtsprechung unterliegt. Der CLOUD Act gilt hier ohne Einschr\u00e4nkung. AWS gibt in Transparenzberichten ab 2020 an, dass es keine au\u00dferhalb der USA gespeicherten Unternehmens- oder Regierungsinhalte freigegeben hat - ein wichtiges empirisches Signal, aber keine rechtliche Garantie f\u00fcr die Zukunft.<\/p>\n\n\n\n Wie der Kontrolleur sie liest.<\/strong> Horizontale europ\u00e4ische Rahmenwerke wie NIS2<\/a> oder DORA schreiben an sich nicht vor, welche Cloud zu nutzen ist. Sie verlangen ein Risikomanagement f\u00fcr die Lieferkette, vertragliche Durchsetzbarkeit gegen\u00fcber dem Anbieter, Auditierbarkeit, einen Ausfallplan und Zugangskontrolle. F\u00fcr Sektoren mit eigenen Vorschriften (Gesundheitswesen, Finanzwesen, Verschlusssachen, kritische Infrastrukturen) gibt es nationale Qualifikationen, die f\u00fcr die \u201esovereign cloud\u201c typischerweise erforderlich sind - SecNumCloud in Frankreich, BSI C5 in Deutschland, \u00e4hnliche Rahmenwerke in anderen L\u00e4ndern. Dies ist die Ebene, auf der die \"sovereign cloud\" von einer strategischen Debatte zu einer rechtlichen Verpflichtung wird.<\/p>\n<\/blockquote>\n\n\n\n Parallel zum CLOUD Act wird in Europa eine zweite Ebene desselben Problems behandelt: die Frage, wie europ\u00e4ische Daten \u00fcberhaupt legal in die USA gelangen k\u00f6nnen. Hier hat es drei Wellen gegeben.<\/p>\n\n\n\n Safe Harbor (2000) wurde 2015 vom EuGH in Schrems I gekippt. Privacy Shield (2016) wurde 2020 in Schrems II gekippt. Der dritte Versuch - der EU-US-Datenschutzrahmen (DPF) - ist seit Juli 2023 in Kraft. Der EuGH wird voraussichtlich zwischen 2026 und 2027 \u00fcber seine G\u00fcltigkeit entscheiden. Die erste Runde fand bereits im September 2025 statt, als das EU-Gericht die Klage des franz\u00f6sischen Abgeordneten Philippe Latombe abwies. Latombe legte im November 2025 Berufung beim Europ\u00e4ischen Gerichtshof ein, der die \u00dcberwachungspraktiken der USA in der Regel wesentlich strenger beurteilt.<\/p>\n\n\n\n F\u00fcr das CLOUD-Gesetz ist es wichtig, dass es von der Datenschutz-Grundverordnung nicht direkt betroffen ist. Die DPF befasst sich mit der kommerziellen Daten\u00fcbermittlung aus der EU in die USA. Das CLOUD-Gesetz befasst sich damit, was US-Beh\u00f6rden mit Daten machen k\u00f6nnen, wenn US-Unternehmen sie haben. Dies sind zwei parallele Ebenen desselben Problems - und zusammen sind sie der Grund daf\u00fcr, dass die europ\u00e4ische Debatte \u00fcber digitale Souver\u00e4nit\u00e4t im Zeitraum 2024-2026 so stark an Dynamik gewonnen hat.<\/p>\n\n\n\n Was mit dem DPF passieren kann.<\/strong> Wenn der Gerichtshof der EU das Schrems-III-Urteil aufhebt, wird die \u00dcbermittlung personenbezogener Daten aus der EU in die USA erneut in einem rechtlichen Vakuum stattfinden. US-Anbieter werden dies mit Standardvertragsklauseln (SCC) und zus\u00e4tzlichen technischen Ma\u00dfnahmen, wie sie in Schrems II vorgeschrieben sind, angehen. F\u00fcr den europ\u00e4ischen Kunden bedeutet dies in der Regel einen zus\u00e4tzlichen Verwaltungsaufwand, keine Katastrophe - aber strategisch gesehen treibt es die Unternehmen weiter in die europ\u00e4ische Cloud. Der letztendliche Zusammenbruch der DPF wird daher in den staatlichen Cloud-Initiativen als ein stilles Szenario dargestellt, das die Migration beschleunigt.<\/p>\n<\/blockquote>\n\n\n\n Wenn Sie vor der Entscheidung stehen, wohin Ihr eigenes Unternehmen gehen soll, l\u00e4sst sich die Debatte \u00fcber das CLOUD-Gesetz auf einige pragmatische Fragen eingrenzen.<\/p>\n\n\n\n Die erste Frage bezieht sich auf die Sensibilit\u00e4t der Daten. Wenn Sie in erster Linie Marketing, routinem\u00e4\u00dfige Unternehmenskommunikation oder nicht-personenbezogene Vorg\u00e4nge abwickeln, sollte Ihre Entscheidung in erster Linie von betrieblichen und wirtschaftlichen Parametern bestimmt werden - das CLOUD-Gesetz ist ein berechtigtes Anliegen, sollte aber wahrscheinlich nicht das wichtigste sein. Wenn Sie mit Krankenakten, Rechtsakten von Kunden, journalistischen Quellen, Forschungsdaten oder anderen Daten arbeiten, die f\u00fcr Sie verheerend w\u00e4ren, wenn ein Dritter sie in die H\u00e4nde bek\u00e4me, ist das Risiko betrieblich real - und eine gesonderte architektonische Betrachtung wert, nicht ein resigniertes \u201eIch werde es sowieso nicht \u00e4ndern\u201c-Argument.<\/p>\n\n\n\n Die zweite Frage ist rechtlicher Natur. Wenn Sie unter eine sektorale Verordnung fallen, die eine qualifizierte Umgebung vorschreibt (SecNumCloud in Frankreich, BSI C5 in Deutschland, \u00c4quivalente in anderen L\u00e4ndern), ist eine souver\u00e4ne Cloud keine Option - sie ist eine Vorschrift. Wenn Sie unter horizontale Rahmenregelungen wie NIS2 oder DORA fallen, ist die Vorschrift allgemeiner (Risikomanagement, Vertragskontrolle, \u00dcberwachung der Anbieter), geht aber in die gleiche Richtung.<\/p>\n\n\n\n Die dritte Frage betrifft die Architektur. Wenn Sie eine mehrschichtige Architektur haben (weniger sensible Daten getrennt von sensibleren Daten), k\u00f6nnen Sie oft ein Hybridmodell betreiben: die weniger sensible Schicht in der US-Cloud f\u00fcr betriebliche Vorteile, die sensible Schicht in der europ\u00e4ischen oder vor Ort. In der Praxis ist dies der h\u00e4ufigste Kompromissweg, den mittlere und gro\u00dfe europ\u00e4ische Unternehmen zwischen 2025 und 2026 w\u00e4hlen.<\/p>\n\n\n\n Die vierte Frage bezieht sich auf die End-to-End Verschl\u00fcsselung<\/a>. F\u00fcr Kommunikation, Backups oder Dateispeicherung, die realistische Art und Weise heute (Proton, Tuta, Tresorit, Cryptee, Signal<\/a>, Matrix<\/a> selbst gehostet). Vorsicht - Signal ist ein amerikanischer Betreiber; sein Risikoprofil unterscheidet sich von europ\u00e4ischen Diensten (Proton, Tuta, Threema<\/a>). F\u00fcr Datenbank- und Analyseaufgaben ist eine echte Ende-zu-Ende-Verschl\u00fcsselung technisch m\u00f6glich, aber f\u00fcr die meisten Arbeitslasten in der Praxis nicht praktikabel. Hier geht es eher um hybride Verschl\u00fcsselung mit Schl\u00fcsselkontrolle auf der eigentlichen Seite.<\/p>\n\n\n\n Die f\u00fcnfte Frage ist wirtschaftlicher Natur. Der Preisunterschied zwischen der europ\u00e4ischen und der US-amerikanischen Cloud h\u00e4ngt heute stark von der Art der Arbeitslast ab. Bei Objektspeicher, Core-Compute-Instanzen und Kubernetes-Clustern sind europ\u00e4ische Anbieter oft wettbewerbsf\u00e4hig oder sogar billiger als US-Hyperscale-Anbieter. Bei fortgeschrittenen verwalteten Diensten (Data Warehousing, maschinelles Lernen, geografische Verteilung) sind die souver\u00e4nen europ\u00e4ischen Angebote in der Regel teurer. Dies ist eine Realit\u00e4t, die bei der Entscheidungsfindung bewusst in Betracht gezogen werden muss.<\/p>\n\n\n\n Das CLOUD-Gesetz selbst ist nicht in erster Linie ein \u00dcberwachungsinstrument. Er ist eine gesetzgeberische L\u00f6sung f\u00fcr ein geografisches Problem, das dem US-Kongress nach dem Microsoft-Irland-Fall fehlte - und das der Kongress zugunsten der US-Beh\u00f6rden und zum Nachteil der europ\u00e4ischen Verfahrenskontrolle durch MLAT gel\u00f6st hat. F\u00fcr die meisten einzelnen europ\u00e4ischen Nutzer sind die tats\u00e4chlichen Auswirkungen des CLOUD Acts geringer, als die Marketingmaterialien der europ\u00e4ischen Cloud-Anbieter vermuten lassen.<\/p>\n\n\n\n Aber auf der Ebene des Systems sind die Auswirkungen genau so, wie Anton Carniaux sie im franz\u00f6sischen Senat beschrieben hat: Wir k\u00f6nnen nicht garantieren. Und diese Unf\u00e4higkeit zu garantieren ist ein strukturelles Problem. Sie macht die Infrastruktur, auf der die kritischen Daten der europ\u00e4ischen Staaten, Unternehmen und B\u00fcrger ruhen, zu einem Instrument, dessen Regeln von anderen geschrieben werden. F\u00fcr Staaten, regulierte Organisationen und sensible Berufe ist dies ein Grund, in einen vollst\u00e4ndig europ\u00e4ischen oder zumindest hybriden, souver\u00e4nen Cloud-Pfad zu investieren. F\u00fcr normale Nutzer und kleine Unternehmen ist es eher ein Grund, dar\u00fcber nachzudenken, welche spezifischen Daten tats\u00e4chlich vom Verlust der rechtlichen Kontrolle betroffen w\u00e4ren - und dort eine \u00c4nderung vorzunehmen. Der Rest kann bleiben, wo er ist.<\/p>\n\n\n\n Europ\u00e4ische Antwort - DPF, EDPB-Leitlinien, SecNumCloud, souver\u00e4ne Cloud-Partnerschaft, Regierungsbotschafter<\/a> auf die Matrix, europ\u00e4ische Alternativen wie Infomaniac, Proton oder Threema - ist weitgehend rational, aber uneinheitlich. Regierungen und klassifizierte Lasten gehen voran, das Gesundheitswesen und KMUs bleiben auf dem US-Stack, weil ihnen entweder der regulatorische Druck oder der finanzielle Spielraum f\u00fcr eine Migration fehlt. Was sich seit 2023 in der europ\u00e4ischen Cloud abspielt, ist eine langsame und teure Konsolidierung dieser Ungleichheit - und der CLOUD Act ist der Katalysator, nicht die Ursache.<\/p>\n\n\n\n Hintert\u00fcr<\/strong> - Ein absichtlich eingebauter versteckter Pfad, der es Ihnen erm\u00f6glicht, den normalen Schutz (z. B. Verschl\u00fcsselung) zu umgehen.<\/p>\n\n\n\n Sammlung von Masseng\u00fctern<\/strong> - Massenerhebung von Daten ohne gezielten Verdacht, die typischerweise von Geheimdiensten verwendet wird.<\/p>\n\n\n\n CLOUD Act-Vereinbarungen (Executive Agreements)<\/strong> - Bilaterale zwischenstaatliche Abkommen, die es ausl\u00e4ndischen Beh\u00f6rden erm\u00f6glichen, Daten direkt von US-Anbietern anzufordern (und umgekehrt), mit eingebauten Grenzen gegen Missbrauch. Bisher wurden sie nur mit dem Vereinigten K\u00f6nigreich (ab Oktober 2022) und Australien (ab 31. Januar 2024) abgeschlossen. Die Verhandlungen mit der EU und Kanada laufen noch.<\/p>\n\n\n\n Comity-Einwand<\/strong> - Einspruch aus Gr\u00fcnden der internationalen Komitologie. Ein verfahrenstechnisches Mittel, mit dem ein Anbieter ein US-Gericht bitten kann, eine Anordnung aufzuheben oder zu \u00e4ndern, deren Befolgung gegen das Recht eines ausl\u00e4ndischen Staates versto\u00dfen w\u00fcrde.<\/p>\n\n\n\n Ende-zu-Ende-Verschl\u00fcsselung (E2EE<\/a>)<\/strong> - Verschl\u00fcsselung, bei der nur der Sender und der Empf\u00e4nger \u00fcber Schl\u00fcssel verf\u00fcgen; Dienstanbieter<\/a> und kann den Inhalt nicht entschl\u00fcsseln, auch nicht mit einem Gerichtsbeschluss.<\/p>\n\n\n\n EDPB (Europ\u00e4ischer Datenschutzausschuss)<\/strong> - ein Gremium, das verbindliche und empfehlende Dokumente zur Anwendung der Datenschutz-Grundverordnung herausgibt.<\/p>\n\n\n\n FISA 702<\/strong> - ein US-Gesetz, das die gezielte Sammlung von Informationen \u00fcber Ausl\u00e4nder au\u00dferhalb der USA erm\u00f6glicht. In der Regel bedeutender als das CLOUD-Gesetz in Bezug auf das europ\u00e4ische \u00dcberwachungsrisiko.<\/p>\n\n\n\n MLAT (Vertrag \u00fcber die gegenseitige Rechtshilfe)<\/strong> - Vertrag \u00fcber gegenseitige Rechtshilfe. Der traditionelle formale Weg, auf dem ein US-Staatsanwalt mit Zustimmung eines europ\u00e4ischen Gerichts Daten von einem europ\u00e4ischen Staat anfordert. Langsam (durchschnittlich 10 Monate), weshalb das CLOUD-Gesetz h\u00e4ufig von US-Beh\u00f6rden umgangen wird.<\/p>\n\n\n\n Besitz, Gewahrsam oder Kontrolle<\/strong> - \u201eBesitz, Gewahrsam, Kontrolle\u201c. Der Schl\u00fcsselbegriff im CLOUD-Gesetz, der bestimmt, ob die US-Beh\u00f6rde den Anbieter erreichen kann.<\/p>\n\n\n\n Haftbefehl mit hinreichendem Verdacht<\/strong> - ein Gerichtsbeschluss auf der Grundlage eines begr\u00fcndeten Verdachts. Standardbedingung f\u00fcr die Erlangung des Inhalts von Nachrichten in den USA.<\/p>\n\n\n\n Schrems I \/ II \/ eventuell III<\/strong> - eine Reihe von Urteilen des EuGH, mit denen die Mechanismen f\u00fcr die \u00dcbermittlung personenbezogener Daten zwischen der EU und den USA schrittweise abgeschafft wurden (Safe Harbor 2015, Privacy Shield 2020 oder das Data Privacy Framework in den folgenden Jahren).<\/p>\n\n\n\n SecNumCloud<\/strong> - Franz\u00f6sische Qualifikation f\u00fcr Cloud-Dienste, die f\u00fcr sensible Anwendungen der \u00f6ffentlichen Verwaltung geeignet sind. H\u00f6chste Stufe 3.2.<\/p>\n\n\n\n Die Informationen und Bewertungen in diesem Artikel beruhen auf \u00f6ffentlich zug\u00e4nglichen Quellen zum Zeitpunkt der Ver\u00f6ffentlichung und k\u00f6nnen sich im Laufe der Zeit \u00e4ndern. F\u00fcr eine konkrete rechtliche Beurteilung Ihrer eigenen Situation empfehlen wir Ihnen, einen auf Datenschutz- und IT-Recht spezialisierten Rechtsberater zu konsultieren.<\/em><\/p>\n\n\n\n V \u010dervnu 2025 st\u00e1l ve v\u00fdboru francouzsk\u00e9ho Sen\u00e1tu Anton Carniaux, \u0159editel pro ve\u0159ejn\u00e9 a pr\u00e1vn\u00ed z\u00e1le\u017eitosti Microsoft France. Pod p\u0159\u00edsahou […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"activitypub_content_warning":"","activitypub_content_visibility":"","activitypub_max_image_attachments":4,"activitypub_interaction_policy_quote":"anyone","activitypub_status":"federated","footnotes":""},"categories":[32],"tags":[],"class_list":["post-741","post","type-post","status-publish","format-standard","hentry","category-digitalni-suverenita"],"yoast_head":"\n
\n\n\n\nWas CLOUD Act mit seiner einfachen Sprache bewirkt<\/h2>\n\n\n\n
\n
\n\n\n\nWas das CLOUD-Gesetz nicht leisten kann (und wie es in den Medien oft falsch dargestellt wird)<\/h2>\n\n\n\n
\n
\n\n\n\nWenn es Sie betrifft<\/h2>\n\n\n\n
\n
\n\n\n\nSovereign Cloud: Was sie wirklich ist und wann sie wirklich hilft<\/h2>\n\n\n\n
\n
\n\n\n\nSchrems, DPF und was kommt als N\u00e4chstes?<\/h2>\n\n\n\n
\n
\n\n\n\nEin praktischer Rahmen f\u00fcr die Entscheidungsfindung<\/h2>\n\n\n\n
\n\n\n\nWas bedeutet das?<\/h2>\n\n\n\n
\n\n\n\nGlossar<\/h2>\n\n\n\n
\n\n\n\n
\n\n\n\nQuellen<\/h2>\n\n\n\n
\n