Cloud Act: Was der US-Zugriff für Ihre Daten und Ihre KI bedeutet

Was ist der US Cloud Act?

Der „Clarifying Lawful Overseas Use of Data Act“ gilt seit März 2018. Er ergänzt den US Stored Communications Act um eine klare Regel: Ein Anbieter, der US-Recht unterliegt, muss auf rechtmäßige Anordnung Daten herausgeben, die sich in seinem Besitz, seiner Verwahrung oder unter seiner Kontrolle befinden. Ob die Daten innerhalb oder außerhalb der USA liegen, spielt keine Rolle (18 U.S.C. § 2713).

Entscheidend ist also nicht der Speicherort, sondern wer Zugriff hat. Das betrifft US-Konzerne und die Tochtergesellschaften, die sie kontrollieren. Wie weit die Pflicht im Einzelfall reicht, etwa bei Unternehmen mit US-Geschäft, ist eine Frage für Juristen.

Der Anbieter kann eine Anordnung unter bestimmten Bedingungen anfechten, wenn sie mit dem Recht eines anderen Staates kollidiert. Dieses Verfahren ist aber an Abkommen der USA mit dem jeweiligen Staat gebunden. Und der Kunde erfährt von einer Anordnung unter Umständen nichts: US-Gerichte können dem Anbieter verbieten, ihn zu informieren.

Kurz gesagtSeit 2018 müssen Anbieter unter US-Recht Daten herausgeben, die sie kontrollieren, egal wo die Server stehen, und manchmal ohne Sie zu informieren.

Cloud Act und DSGVO: Wo liegt der Konflikt?

Die DSGVO regelt in Art. 48, was mit solchen Anordnungen passiert: Urteile und Entscheidungen von Behörden eines Drittlands, die eine Übermittlung personenbezogener Daten verlangen, werden nur anerkannt, wenn sie auf einer internationalen Übereinkunft beruhen, etwa einem Rechtshilfeabkommen. Eine Anordnung nach dem Cloud Act allein ist das nicht.

Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben das 2019 in einer gemeinsamen Stellungnahme so eingeordnet: Eine Herausgabe allein auf Basis des Cloud Act lässt sich in der Regel nicht auf eine Rechtsgrundlage der DSGVO stützen. Der Anbieter steht damit zwischen zwei Rechtsordnungen. Folgt er der US-Anordnung, verstößt er womöglich gegen die DSGVO. Folgt er der DSGVO, riskiert er Sanktionen in den USA.

Für Sie als Verantwortlichen heißt das: Das Risiko landet bei Ihnen. Viele Auftragsverarbeitungsverträge mit US-Anbietern enthalten eine Klausel, Behördenanfragen zu prüfen, anzufechten und Sie zu informieren, soweit das erlaubt ist. Das ist gut und richtig. Es ändert aber nur, wie der Konflikt ausgetragen wird, nicht, ob er besteht.

Kurz gesagtArt. 48 DSGVO erkennt solche Anordnungen nur über ein Abkommen an. Den Konflikt trägt der Kunde, auch mit Data Privacy Framework.

Warum „EU-Region“ die Frage nicht schließt

Ein EU-Rechenzentrum beantwortet, wo die Daten liegen. Das ist Datenresidenz. Der Cloud Act fragt, wer zur Herausgabe verpflichtet werden kann. Das ist Datensouveränität, und sie folgt der Rechtsordnung des Anbieters, nicht der Adresse seines Rechenzentrums. Die Grafik oben zeigt den Weg: von der US-Behörde über den Anbieter und seine EU-Tochter bis zu Ihren Daten in Frankfurt.

Oft wird Verschlüsselung als Lösung genannt. Sie hilft nur, wenn die Schlüssel ausschließlich bei Ihnen liegen und der Anbieter die Daten nie im Klartext sieht. Bei einer KI ist das selten der Fall: Um eine Frage zu beantworten, muss das System Ihre Dokumente lesen, und das geschieht im Klartext auf den Rechnern des Betreibers.

Kurz gesagtEine EU-Region beantwortet, wo Daten liegen, nicht, wer sie herausgeben muss. Verschlüsselung hilft bei KI selten.

Welche Daten einer KI-Plattform betroffen sind

Bei einer KI mit eigenen Daten, einem RAG-System, fallen mehr Daten an als bei einem Dateispeicher. Jede dieser Kategorien kann unter eine Anordnung fallen, wenn ein Anbieter unter US-Recht sie verwahrt:

Die letzte Zeile wird oft übersehen. Selbst wenn die Plattform in Deutschland läuft: Nutzt sie ein Sprachmodell eines US-Anbieters, gehen Frage und Textstellen bei jeder Antwort dorthin.

Kurz gesagtDokumente, Embeddings, Verläufe, Protokolle und Modellaufrufe, bei einer KI liegt mehr beim Anbieter als bei einem Dateispeicher.

Wem Ihr KI-Anbieter verpflichtet ist

Hinter jedem Anbieter stehen drei Ketten, und die meisten Fragebögen fragen nur nach einer. Die Aufsicht: Welche Behörde kontrolliert ihn? In Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur zentrale Aufsicht für die KI-Verordnung. Der Eigentümer: Mit welcher Firma schließen Sie den Vertrag, und wem gehört sie? Und der Rechtsraum: Welcher Staat kann den Anbieter zur Herausgabe zwingen, nach welchem Gesetz?

Die drei Ketten können in drei Richtungen zeigen. Ein Anbieter kann in Deutschland beaufsichtigt werden, einem Konzern in einem anderen Land gehören und nach dem Recht eines dritten Staates zur Herausgabe verpflichtet sein. Am schnellsten ändert sich der Eigentümer: Eine Übernahme kann zwischen zwei Ausschreibungen alle drei Antworten verschieben.

Stellen Sie diese Fragen jedem Anbieter, auch uns:

Kurz gesagtFragen Sie nach Aufsicht, Eigentümer und Rechtsraum, und was sich bei einer Übernahme ändert.

Drei Wege, KI mit Ihren Daten zu betreiben

Ob der Cloud Act für Sie ein Thema ist, hängt davon ab, wer Ihre KI betreibt und welches Sprachmodell sie nutzt. Es gibt drei Wege:

Viele Unternehmen entscheiden pro Projekt: eigene Server und ein lokales Modell für Personalakten und Mandantendaten, die RAGSuite Engine für Projekte, die schnell starten sollen. Mit dem kostenlosen Standort-Check prüfen Sie jeden Anbieter anhand seiner Fakten:

Mehr zum Unterschied zwischen Standort und Kontrolle lesen Sie auf unserer Seite Digitale Souveränität. Was in der RAGSuite Engine wo läuft, zeigt das Trust Center. Und wie der Betrieb auf eigenen Servern aussieht, erklärt Lokale KI für Unternehmen.

Dies ist eine allgemeine Information, keine Rechtsberatung. Lassen Sie Ihr konkretes Risiko von Ihrem Datenschutzbeauftragten oder einer Rechtsberatung bewerten.

Kurz gesagtUS-Anbieter mit EU-Region, RAGSuite Engine oder eigene Server: Entscheiden Sie pro Projekt, und prüfen Sie auch das Sprachmodell.