{"type":"template", "config":{"type":"preset", "templateType":"detail", "templateName":"detail"}}

{"config":{"type":"attribute", "attribute":"name"}} Was ist der USA Cloud Act?

Der Clarifying Lawful Overseas Use of Data (CLOUD) Act, auch bekannt als CLOUD Act, ist eine Verordnung, die US-Unternehmen dazu verpflichtet, den Behörden Zugang zu elektronischen Informationen bereitzustellen – selbst, wenn diese sich im Ausland befinden.
Das Ziel des CLOUD Acts ist es, die Ermittlung der US-Behörden zu verbessern, wenn es beispielweise um schwere Straftaten geht – von Terrorismus und Gewaltverbrechen bis hin zu sexueller Ausbeutung von Kindern und Cyberkriminalität.

Warum ist der US CLOUD Act ein Problem?

Der US CLOUD Act verpflichtet US-Unternehmen – beispielsweise Cloud-Provider – zur Herausgabe der gespeicherten Daten ihrer Kunden an die US-Behörden. Dabei ist es unerheblich, ob diese Daten in Europa liegen und z. B. durch die EU-DSGVO geschützt sind. Im schlimmsten Fall müsste ein US-Unternehmen auf Verlangen die sensiblen Kundendaten eines deutschen Unternehmens herausgeben. Diese Regelung gilt selbst für US-amerikanische Tochterunternehmen.
Das Besondere: Der übliche Weg ein Rechtshilfeersuchen zu beantragen, ist aus US-Sicht nach dem CLOUD Act nicht mehr erforderlich.

Sind EU-DSGVO und CLOUD Act vereinbar?

Nein, solche globalen Zugriffsrechte widersprechen natürlich der EU-DSGVO. Mit dem als „Schrems II“ bekannten Urteil vom 16. Juli 2020 wurde das EU-US-Privacy Shield vom Europäischen Gerichtshof (EuGH) für ungültig erklärt.
Das bedeutete: Ein deutsches Unternehmen, das seine sensiblen Daten bei einem US-Cloud-Provider gespeichert hatte, ging das Risiko ein, gegen die EU-DSGVO zu verstoßen und zu Bußgeldern verurteilt zu werden. Darüber hinaus bestand auch das Risiko, dass US-Behörden Zugriff auf Geschäftsgeheimnisse und Patente deutscher oder europäischer Unternehmen erhalten. Seit dem 10.07.2023 ist glücklicherweise der NAchfolger, das sog. EU-US Data Privacy Framework (DPF) in Kraft, sodass Unternehmen nicht mehr unmittelbar Gefahr laufen gegen die DSGVO zu verstoßen, wenn sie US-amerikanische Cloud-Dienstleister nutzen.

Wie können sich deutsche Unternehmen bzgl. des US CLOUD Acts absichern?

Grundsätzlich wird empfohlen, sensible Unternehmensdaten nur auf Servern innerhalb der EU zu speichern, die ausschließlich einem europäischen Unternehmen gehören. Mittlerweile gibt es auch in Deutschland zahlreiche deutsche Cloud-Anbieter, die die DSGVO-Forderungen erfüllen.
Viele Unternehmen fahren dabei zweispurig. Unkritische Daten verbleiben bei US-Providern, während die sensiblen Informationen entweder im eigenen Rechenzentrum (Private Cloud) oder bei einem deutschen Provider liegen.
Doch Vorsicht! Wer Software-Produkte aus den USA als SaaS nutzt oder beispielsweise ein Büro oder ein Tochterunternehmen in den USA betreibt, sollte datenschutzrechtlich alles klären!

Gibt es weitere US-Gesetze, die nicht mit der EU-DSGVO vereinbar sind?

Drei US-Gesetze können derzeit datenschutzrechtliche Fragen aufwerfen: Der Foreign Intelligence Surveillance Act of 1978 (FISA), der USA Patriot Act of 2001 sowie der Clarifying Lawful Overseas Use of Data Act von 2018 (CLOUD Act). Der USA Freedom Act of 2015 ist dagegen im März 2020 außer Kraft getreten.

Weitere Informationen zum US CLOUD Act:

CLOUD Act Resources