Auf Mastodon ansehen
Hinweis: Ich bin kein Jurist. Deshalb sollten alle Äusserungen in diesem Artikel mit Vorsicht gelesen werden. Keinesfalls dürfen sie als rechtlich korrekt angenommen werden.
Noch ein Hinweis: Bei der Recherche zu diesem Artikel habe ich in geringem Masse KI verwendet. Der Artikel selbst ist vollständig menschgeschrieben.
Auf der FrOSCon am 15. August 2026 hatte ich ein interessantes Gespräch mit einem Herrn. Darin ging es um ein Missverständnis bezüglich des US-Cloud-Acts, bzw. um einen häufig übersehenen Aspekt.
Das Thema "digitale Souveränität" wird seit einigen Jahren in Europa diskutiert. Es handelt sich um einen Überbegriff, der verschiedene Aspekte beinhaltet. Die Wikipedia definiert den Begriff so:
Unter digitaler Souveränität werden im politischen Diskurs Möglichkeiten zur selbstbestimmten Nutzung und Gestaltung von Informationstechnik durch Gesellschaften, Staaten, Unternehmen und Individuen diskutiert. Dies umfasst sowohl die digitale Kompetenz als Sachkenntnis als auch die Kompetenz im Sinne von Befugnis, Tätigkeiten auch eigenständig ausüben zu dürfen.
Ein Auslöser dieser Diskussion ist der US-Cloud-Act, zu dem die Wikipedia schreibt:
Das Gesetz verpflichtet US-amerikanische Internet-Firmen und IT-Dienstleister, US-Behörden auch dann Zugriff auf gespeicherte Daten zu gewährleisten, wenn die Speicherung nicht in den USA erfolgt.
Erstens
Aufgrund dieser staatlichen Zugriffsmöglichkeit sind Staaten, Unternehmen, Organisationen und Privatpersonen bestrebt, ihre Daten nicht bei US-amerikanischen, sondern bei europäischen Anbietern zu speichern. Damit sollen Kontrolle, Unabhängigkeit und Zugriffsschutz auf der Grundlage europäischer Gesetze hergestellt werden.
Zweitens
Viele US-amerikanische Anbieter (Hyperscaler) reagieren darauf mit eigenen Rechenzentren in Europa. Jedoch hat ein Rechtsgutachten der Universität zu Köln vom 21. März 2025 klargestellt, dass:
Unternehmen demnach angehalten sind, Daten auch dann herauszugeben, wenn diese außerhalb der USA gespeichert sind. Entscheidend ist demnach nicht der physikalische Speicherort der Informationen, sondern die Kontrolle darüber durch die betroffene Firma. Das impliziert, dass selbst Daten, die in Rechenzentren auf europäischem Boden liegen und über deutsche Tochtergesellschaften verwaltet werden, dem Zugriff unterliegen. Voraussetzung ist, dass die US-Muttergesellschaft die letztliche Kontrolle ausübt.
Dies wurde von einem Rechtsvertreter der Firma Microsoft öffentlich bestätigt:
Herr Anton Carniaux, Direktor für öffentliche und rechtliche Angelegenheiten bei Microsoft France, und Herrn Pierre Lagarde, Technischer Direktor für den öffentlichen Sektor wurden zur Sitzung des französischen Senats geladen.
Im Rahmen einer Anhörung des Senats wurden zwei Microsoft-Vertreter zu verschiedenen Themen im Bereich des US-Zugriffs und der Datensicherheit befragt. So wurde bestätigt, dass Microsoft es nicht verhindern kann, dass US-Behörden/Geheimdienste auf Daten der Kunden in Europa zugreifen können.
Soweit, so bekannt. Doch es geht weiter.
Drittens
Doch wie sieht der umgekehrte Fall aus? Darum ging es beim oben erwähnten Gespräch auf der FrOSCon. Angenommen, ihr (oder der Staat, Unternehmen, Organisation) legt eure Daten bei einem europäischen Anbieter ab, oder lasst sie dort verarbeiten. Dann habt ihr aus Erstens und Zweitens gelernt und fühlt euch souverän.
Weit gefehlt, denn grundsätzlich gilt: Der Cloud-Act richtet sich an Unternehmen, die in den USA ansässig sind oder eine effektive Kontrolle über die Daten haben, unabhängig von der Herkunft des Mutterunternehmens. Das heisst, wenn ein europäisches Unternehmen eine Tochterfirma in den USA hat, die Daten verwaltet oder Zugriff darauf hat, könnten US-Behörden diese Tochterfirma zur Herausgabe zwingen. Die Daten müssten also nicht unbedingt in den USA gespeichert sein; entscheidend ist, ob diese US-Niederlassung einer europäischen Firma Zugriff darauf hat.
In der Praxis versuchen Unternehmen, durch organisatorische Trennung den direkten Zugriff der US-Niederlassung auf sensible Daten zu vermeiden, aber je nach Konstellation kann der Cloud-Act dennoch greifen.
Die Quellenangaben zu diesem Kapitel findet ihr am Ende dieses Artikels unter den letzten drei Quellenangaben.
Fazit
Dieser Artikel erwähnt in den Kapiteln Erstens und Zweitens Bekanntes. Die Tatsache, dass ein Datenabfluss auch bei europäischer Datenspeicherung und Verarbeitung stattfinden kann, falls die Anbieter US-Niederlassungen haben, dürfte vielen neu sein. Bevor man sich für die Verlagerung der Daten zu einem europäischen Anbieter entscheidet, gilt es, zu prüfen, ob dieser Anbieter eine Zweigstelle in den USA hat und ob diese Zweigstelle technisch und organisatorisch ausreichend vom europäischen Mutterunternehmen entkoppelt ist.
Ich wünsche euch ein schönes Wochenende.
Titelbild: https://pixabay.com/photos/man-faceless-clouds-peaked-cap-cap-4008859/
Quellen:
https://de.wikipedia.org/wiki/Wolkenkuckucksheim
https://de.wikipedia.org/wiki/Digitale_Souver%C3%A4nit%C3%A4t
https://de.wikipedia.org/wiki/CLOUD_Act
https://www.crossborderdataforum.org/cloudactfaqs/
https://aws.amazon.com/de/blogs/security/aws-and-the-cloud-act/
https://www.insideprivacy.com/surveillance-law-enforcement-access/reaching-for-the-cloud/
..."gilt es, zu prüfen, ob dieser Anbieter eine Zweigstelle in den USA hat und ob diese Zweigstelle technisch und organisatorisch ausreichend vom europäischen Mutterunternehmen entkoppelt ist." Diese "Kopplung" in irgendeiner Form wird sich schwerlich "prüfen" lassen. Wenn die Tarnung geschickt genug und die Firmenverflechtung über 100 Ecken erfolgt, hilft nur der Glaube an "Souveränität".
Lieber Verfasser dieses Artikels:
Du scheinst davon auszugehen, dass Tochterunternehmen und Niederlassungen das Gleiche sind. Das ist aber nicht so. Tochterunternehmen sind etwas anderes als Niederlassungen.
Wenn man sich diesem Unterschied bewusst ist, fällt es einem schwer, einen Sinn aus dem Artikel zu entnehmen. Deshalb mag ich diesen Artikel nicht.
Lieber Roman,
meinerseits bin ich auch kein Jurist, und Experte für Datenschutzregelungen bin ich ebenfalls keiner. Auf einen möglichen "Denkfehler" (wo auch immer) will ich aber hinweisen:
"Niederlassung" scheint mir nicht geregelt, es scheint aber für den Datenschutz KEINE Rolle zu spielen. Es kann ein lokaler Vertreter sein, oder gar eine (eigene) Landesgesellschaft.
Egal wo die Daten liegen – ob Tochterunternehmen und Niederlassung: Sobald Zugriff "besteht", darf –sagt die Regelung– ein Zugriff anscheinend nicht blockiert werden.
Vor ca. 20 Jahren:
In DE hatte ich ein Kto. bei einer dortigen Großbank am Ort X. Am Ort Y, der nur 50km weit weg ist, "konnte" oder "wollte" man mir keine Auskunft zu meinen eigenen Daten geben. Im Beispiel müssten sie "Behörden" Zugriff gewähren, ...halt... sofern sie ihn hätten.
Deshalb sucht man sich am besten Dienste die weder von den USA noch von der EU kontrolliert werden können.
sehr gut! Irgendwelche Vorschläge??
Also Tochterunternehmen und Niederlassungen sind schon zwei verschiedene Paar Schuhe, die rechtlich gesehen völlig unterschiedlich agieren! Unabhängig davon, muss man sich aber darüber bewusst sein, dass - egal ob nun bei einer Tochter oder einer Zweigstelle - Daten die in irgendwelchen Datazentren in den USA liegen, immer dem CLOUD ACT unterliegen und die US-Behörden jederzeit Zugriff darauf erlangen können. IMHO ist es zudem unerheblich ob dies nun durch eine Tochter oder Zweigstelle erfolgt ... Es ist doch inzwischen so perfide, dass jeder Hyperscaler, jeder große VPN Service, fast jede große Cloud sowie jedes CDN (content distribution network) auf weltweiten Servern verteilt ist, von denen oft viele in den USA stehen. Dadurch ist es selbst für europäische Anbieter schwierig den Ort der Daten immer sicher zu kontrollieren! Ob Verschlüsselung einen gewissen Schutz bietet, was zudem von der jeweiligen Anwendung abhängt, muss jeder für sich selbst entscheiden. Eine letzte wichtige Anmerkung, die viele Leute im Zusammenhang mit dem CLOUD ACT nicht immer auf dem Radar haben (auch hier im Arktikel nicht erwähnt): Wenn sich US-Ermittlungsbehörden (Staatsanwaltschaften, FBI/CIA/NSA) Zugriff auf deine Daten verschafft haben, besteht danach keinerlei Informationspflicht(en) gegenüber den Betroffenen. Im Prinzip ist das ein beliebiges und endloses "SILENT DATEN-ASCHNORCHELN, was man sich dort in den USA geschaffen hat ... Das ist das genaue Gegenteil von einem Rechtsstaat und einer "Demokratie" vollkommen unwürdig!
Unabhängig von der Schwere und den Einfluss dieser ganzen Thematik auf eine freie Gesellschaft, muss ich zugeben, dass ich dem ganzen eine gewisse Situationskomik (wobei "komisch" hier ganz glar als Euphemismus verstanden werden muss) nicht entbehren kann.
Ich habe mich vor einiger Zeit mit dem Thema Open Source Lizenzen beschäftigt und bin dabei auf das schöne Bild der GNU-GPL gestoßen, die jegliche Software "befreit", die mit ihr in Berührung kommt. Also z.B. benutze ich in meinem Programm Komponenten, die unter der GPL lizenziert sind, muss ich meine Software ebenfalls unter die GPL stellen. Andernfalls darf ich diese Softwarekomponenten nicht in meiner Software einbauen. Ich mag diese Idee - für mich ist sie die perfekte Utopie einer freien, gleichberechtigten Gesellschaft.
Hier beim CLOUD-Act-Thema erleben wir das genau Gegenteil. Alles, was vom CLOUD Act berührt wird, wird unfrei. Ein Kotmidas-Effekt sozusagen. Wäre es nicht so bedrohlich, müsste ich laut lachen ...
Was sagt uns das also?!, am besten gar keine Anbieter Cloud nutzen! wenn einem seine Souveränität wichtig ist.
Ja das ist mir deutlich mehr Aufwand verbunden, und man muss die Verantwortung für seine Daten wieder selber übernehmen. Aber das ging ja vor der "Cloud" auch.
Aber dann muss man ja wieder wirklich erfahrene (und damit "teurer") Mitarbeiter beschäftigen, und kann das nicht an irgendwelche billige Praktikanten abschieben, und keine übernimmt dann die Verantwortung wenn es knallt.
Was bin ich froh, das ich mir das persönlich nur noch max. 8 Jahre antun muss.