Pariser Anwaltskanzlei: Kundendaten zur AWS-Region Paris. Frage des Datenschutzbeauftragten: „Gilt das Cloud-Gesetz noch?“ » Kurze Antwort: möglicherweise ja – weil der Dienstleister amerikanischem Recht unterliegt, nicht weil die Festplatte in Paris steht.
Der CLOUD Act (2018) ermöglicht es US-Behörden, bestimmte Daten anzufordern, die von Cloud-Anbietern unter US-amerikanischer Gerichtsbarkeit gespeichert sind, auch wenn diese im Ausland gespeichert sind. Bei einer europäischen Website geht es nicht um allgemeine Panik: Es geht darum, zu bestimmen, wer wozu gezwungen werden kann und ob Ihre Daten dies zulassen.
Was sich durch den Cloud Act ändert – konkret
Das Gesetz zielt auf US-Anbieter und die von ihnen kontrollierten Unternehmen ab – nicht auf Hosts mit einem Rechenzentrum in der Europäischen Union. Eine Bestellung kann je nach Fall auf den Inhalt selbst abzielen: E-Mails, Dateien, Metadaten. Es kann auch zu einem Rechtskonflikt zwischen der amerikanischen Ordnung und der europäischen Blockade kommen, während die Transparenz eingeschränkt bleibt: Knebelbefehle hindern den Dienstleister manchmal daran, den Kunden zu benachrichtigen.
| Konfiguration | Typische Cloud Act-Exposition |
|---|---|
| AWS/Azure/GCP EU-Region | Ja (US-Unternehmen) |
| OVH / Infomaniak / Hetzner (EU) | Kein US Cloud Act; andere mögliche Frameworks |
| US-CDN leitet den gesamten Datenverkehr weiter | Zur Analyse (Verarbeitung, Protokolle) |
| Verschlüsselung, vom Kunden gehaltene Schlüssel | Reduziert verwertbare Daten |
Ein Rechenzentrum in der Europäischen Union schließt den amerikanischen Geltungsbereich nicht aus, wenn der Vertrag mit einem Unternehmen geschlossen wird, das dem US-Recht unterliegt.
Fragen, die Sie vor der Unterzeichnung stellen sollten
Klären Sie vor der Validierung eines Vertrags die vertragliche rechtliche Identität: Handelt es sich um ein amerikanisches Unternehmen oder eine europäische Tochtergesellschaft? Ordnen Sie Subunternehmer – Backups, Support, Überwachung – zu, die sich in den Vereinigten Staaten befinden könnten. Überprüfen Sie den Standort von Produktion, Backups und Protokollen, wie in unserer [real location]-Umfrage (/en/blog/real-location-enquete/) beschrieben. Fordern Sie Benachrichtigungsklauseln im Falle einer behördlichen Anordnung an, sofern gesetzlich zulässig. Geben Sie abschließend die Verschlüsselung an: Wer besitzt die Schlüssel, gibt es ein Client-KMS und erfordert Ihr Projekt SecNumCloud oder erweiterte Souveränität? Zu diesem letzten Punkt siehe SecNumCloud: Kriterien.
Vergleichen Sie die Dateien im Verzeichnis: OVHcloud, Scaleway und Infomaniak dokumentieren unterschiedliche Souveränitätspositionen der AWS-Region Paris.
Verhältnismäßige Abhilfemaßnahmen
Für nicht sehr sensible Daten auf einer Showcase-Site reicht oft ein europäischer Hoster mit einem soliden Unterauftragsvertrag aus; Der Cloud Act hat in der Praxis kaum Gewicht. Vermeiden Sie bei sensiblen Daten, Verteidigungsgeheimnissen oder bestimmten Gesundheitsdaten den amerikanischen Kanal, ziehen Sie SecNumCloud oder HDS gemäß dem französischen Rahmenwerk in Betracht, verschlüsseln Sie mit Kundenschlüsseln und lassen Sie den Vertrag von einem Anwalt erneut lesen. Für ein CDN oder US-SaaS Kartenverarbeitung; Anonymisierung oder reines EU-Routing können manchmal die Gefährdung verringern.
Querverweis mit DSGVO: Host auswählen und Cloud Act und Vertrag.
Was der Cloud Act nicht bewirkt
Das Gesetz erlaubt es nicht „jedem“, Ihre Daten zu lesen: Es ist ein amerikanisches Verfahren erforderlich. Es ersetzt nicht Ihre DSGVO-Konformität als Datenverantwortlicher. Die Nutzung von AWS im europäischen Raum wird dadurch nicht illegal – es erfordert eine dokumentierte Risikoanalyse und Sicherheitsvorkehrungen.
Der Gipfel: Die Cloud-Region beruhigt – die Gerichtsbarkeit des Vertrags bindet
:::Höhepunkt „Meine Daten sind in Frankfurt“, beruhigt die Geschäftsführung; „Mein Vertrag besteht bei einer Delaware LLC“, beruhigt der informierte Datenschutzbeauftragte. Der Cloud Act ist bei juristischen Personen und Subunternehmern nachzulesen – nicht auf der Rechenzentrumskarte. Diese Ebene zu ignorieren bedeutet, eine Illusion von Souveränität um den Preis einer unvollständigen Due Diligence zu erkaufen. :::
Bei Verbraucherseiten variiert das tatsächliche Risiko je nach Sensibilität der Daten. Bei kritischen Daten wird Illusion zur Verantwortung.
Entscheide dich und gehe ohne blinden Fleck voran
Identifizieren Sie zunächst den Auftraggeber und die Muttergesellschaft und ordnen Sie dann Backups, CDN und Drittanbieter-Support zu. Bewerten Sie die Datensensibilität und die Branchenanforderungen, die für Ihr Unternehmen gelten. Wählen Sie einen europäischen Host oder Garantien für Verschlüsselung und Schlüsselhaltung, wenn ein amerikanischer Dienstleister weiterhin unerlässlich ist. Dokumentieren Sie abschließend Ihre Risikoanalyse zu Transfers, wie im Leitfaden Transfers außerhalb der EU beschrieben.
Konsultieren Sie den Vergleich und die Sovereign-Cloud-Umfrage, um Ihre Auswahlliste zu verfeinern.
Häufig gestellte Fragen
Gilt Cloud Act, wenn sich meine Daten in Frankreich befinden?
Ja, es ist möglich, wenn der Dienstleister amerikanischem Recht unterliegt. Der Standort der Datenträger reicht nicht immer aus, um eine Bestellung auszuschließen, die auf in der Europäischen Union gespeicherte Daten abzielt.
Vermeidet ein rein europäischer Hoster den Cloud Act?
Dies verringert das mit den USA verbundene Risiko, sofern keine amerikanische Muttergesellschaft oder kein US-amerikanischer Subunternehmer dem US-Recht unterliegt. Lesen Sie den Vertrag, nicht nur das Marketing.
Schützt die Verschlüsselung vor dem Cloud Act?
Durch die Verschlüsselung mit Schlüsseln, die nur Sie besitzen, wird der nutzbare Zugriff eingeschränkt. Von einem amerikanischen Dienstanbieter gehostete Schlüssel bleiben offengelegt.
SecNumCloud und Cloud Act: Link?
SecNumCloud bietet verstärktes Hosting gegen extraterritorialen Zugriff für bestimmte sensible Gebühren. Dies ist bei keiner Website automatisch der Fall.
Cloud Act für eine europäische Website: Es ist nicht „in den USA verboten“ – es geht darum, zu wissen, wer rechtlich eine Anordnung bezüglich Ihrer Daten erhalten kann, egal wo diese gespeichert sind.