IT Glossary
Der CLOUD Act ist ein US-Gesetz, das Anbieter zur Herausgabe kontrollierter Daten verpflichten kann, auch bei EU-Speicherung. Was das für Käufer heisst.
November 2, 2026
Der CLOUD Act ist ein US-Gesetz, das US-Behörden erlaubt, Anbieter unter US-Jurisdiktion per Durchsuchungsbeschluss (Warrant) zur Herausgabe von Daten zu verpflichten, die sich in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befinden, unabhängig vom Speicherort. Der Clarifying Lawful Overseas Use of Data Act wurde im März 2018 erlassen. Für europäische Käufer ist er relevant, weil er dem Anbieter und seinen Eigentümern folgt, nicht dem Standort des Rechenzentrums.
Nicht allein. Datenresidenz beantwortet, wo die Daten liegen; der CLOUD Act fragt, wer das Unternehmen kontrolliert, das sie hält. Eine EU-Region eines US-Anbieters oder ein europäischer SaaS-Anbieter auf einer US-Cloud kann eine Verbindung zur US-Jurisdiktion behalten, die der Speicherort allein nicht kappt.
Das Spannungsfeld steht im europäischen Recht. Nach Artikel 48 DSGVO wird ein Urteil oder eine Entscheidung einer Behörde eines Drittlands, die eine Übermittlung oder Offenlegung personenbezogener Daten verlangt, nur anerkannt oder vollstreckbar, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen. Der CLOUD Act selbst, erlassen im März 2018, ist beim US-Justizministerium (US Department of Justice) dokumentiert. Welche Pflicht im Einzelfall Vorrang hat, ist eine Frage für die Rechtsberatung.
Ein Fintech-Unternehmen mit 300 Mitarbeitenden nutzt 120 SaaS-Anwendungen. Ein Bankkunde bittet den Datenschutzbeauftragten um eine Liste aller Anbieter, die eine US-Herausgabeanordnung erhalten könnten. Das IT-Team kennt die offensichtlichen, das CRM und die Office-Suite, kann aber nicht sagen, welche kleineren Tools zu einem US-Konzern gehören, welche europäischen Anbieter auf einer US-Cloud laufen und welche Unterauftragsverarbeiter jeder Vertrag nennt. Die Antworten lassen sich in eine bestehende Lieferantenbewertung einbauen, etwa nach ISO/IEC 27001 oder dem IT-Grundschutz des BSI.
Nötig sind vier Angaben pro Anbieter: Kontrolle, Hosting, Unterauftragsverarbeiter und Umgang mit Behördenanfragen. Corma liefert den Ausgangspunkt, ein vollständiges Inventar der genutzten SaaS-Anwendungen mit Verträgen und Verlängerungen, Schatten-IT eingeschlossen, damit die Prüfung alle Anbieter abdeckt und nicht nur die bekannten. Corma selbst wird in der EU gehostet, ist nach ISO/IEC 27001:2022 zertifiziert und DSGVO-konform, und Käufer können Corma dieselben vier Fragen stellen, ausgehend von der Sicherheitsseite.
Ja, das ist möglich. Der CLOUD Act erfasst Daten im Besitz, Gewahrsam oder unter der Kontrolle des Anbieters, egal wo sie gespeichert sind. Entscheidend ist die Jurisdiktion des Anbieters, nicht der Serverstandort.
Beide können kollidieren. Artikel 48 DSGVO erkennt eine Herausgabeanordnung aus einem Drittland nur an, wenn sie auf einer internationalen Übereinkunft beruht, sodass ein Anbieter widersprüchlichen Pflichten ausgesetzt sein kann. Wie dieser Konflikt im Einzelfall gelöst wird, klärt die Rechtsberatung.
Die USA haben den CLOUD Act im März 2018 erlassen. Der Name steht für Clarifying Lawful Overseas Use of Data.
Fragen Sie, wer das Unternehmen kontrolliert, wer die Daten wo hostet, welche Unterauftragsverarbeiter beteiligt sind und wie der Anbieter mit Behördenanfragen umgeht. Bewahren Sie die Antworten beim Vertrag auf, um sie bei der Verlängerung erneut zu prüfen.
