Was ist der CLOUD Act?
CLOUD Act steht für Clarifying Lawful Overseas Use of Data Act.
Der CLOUD Act ist ein US-Gesetz von 2018, das Internet- und Cloud-Anbieter unter US-Recht verpflichtet, US-Ermittlungsbehörden auf Anordnung Daten herauszugeben, auch wenn sie außerhalb der USA gespeichert sind.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite3 Abschnitte
Einfach erklärt
Der CLOUD Act ist ein US-Gesetz von 2018. Es verpflichtet Anbieter von Internet- und Cloud-Diensten, die US-Recht unterliegen, US-Ermittlungsbehörden auf Anordnung Daten herauszugeben. Das gilt auch dann, wenn die Daten in einem Rechenzentrum in Frankfurt liegen. Man kann es sich wie ein Schließfach vorstellen: Entscheidend ist nicht, in welcher Filiale es steht, sondern welche Bank den Zweitschlüssel hat und welchem Recht diese Bank folgt.
Was das für Ihren Betrieb bedeutet
Der CLOUD Act gilt für Ermittlungen in Strafsachen und setzt eine Anordnung im Einzelfall voraus. Er ist kein Programm zur Massenüberwachung. Für die meisten kleinen Betriebe ist er kein Alltagsproblem, aber ein Restrisiko, das Sie kennen sollten: Sie haben keinen Einfluss darauf und erfahren unter Umständen nichts davon.
Zugleich steht das Gesetz in Spannung zur DSGVO. Nach deren Art. 48 werden Anordnungen aus Drittländern in der EU nur auf Grundlage eines internationalen Abkommens anerkannt. Der Anbieter kann so zwischen zwei Rechtsordnungen geraten.
Was Sie tun können
- Prüfen Sie bei wichtigen Diensten, wo der Mutterkonzern des Anbieters sitzt, nicht nur, wo die Server stehen.
- Für besonders sensible Daten kommen Anbieter ohne US-Bezug in Frage. Eine andere Möglichkeit ist eine Verschlüsselung, deren Schlüssel nur bei Ihnen liegt.
- Wie sich solche Abhängigkeiten einordnen lassen, beschreibt der Beitrag zur digitalen Souveränität. Eine schnelle Selbsteinschätzung bietet der Souveränitäts-Check.
Einordnung: Wie stark Sie dieses Risiko für Ihre Daten gewichten, ist eine Abwägung im Einzelfall. Ihr Datenschutzbeauftragter oder ein Anwalt kann sie mit Ihnen treffen.
Rechtsgrundlage
Der Clarifying Lawful Overseas Use of Data Act ist Division V des Consolidated Appropriations Act 2018 (Pub. L. 115-141) vom 23. März 2018. Kern ist 18 U.S.C. § 2713: Anbieter elektronischer Kommunikationsdienste und von Remote-Computing-Diensten müssen Inhalte und Kundendaten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle („possession, custody, or control“) offenlegen, unabhängig davon, ob sie innerhalb oder außerhalb der USA gespeichert sind. Anlass war der Rechtsstreit um E-Mails, die Microsoft in Irland speicherte.
Nach 18 U.S.C. § 2703(h) kann der Anbieter binnen 14 Tagen beantragen, eine Anordnung zu ändern oder aufzuheben. Voraussetzung: Der Kunde ist keine US-Person, lebt nicht in den USA und die Offenlegung würde das Recht eines „qualifying foreign government“ verletzen. Das setzt ein Abkommen nach 18 U.S.C. § 2523 voraus. Laut US-Justizministerium bestehen solche Abkommen mit dem Vereinigten Königreich (unterzeichnet 2019) und Australien (2021). Mit der EU gibt es keines, die Verhandlungen wurden 2023 wieder aufgenommen.
Abgrenzung
- CLOUD Act: Strafverfolgung nach dem Stored Communications Act, Herausgabe auf Anordnung im Einzelfall.
- FISA Section 702: Auslandsaufklärung der Nachrichtendienste. Sie war Gegenstand des Schrems-II-Urteils von 2020. Mehr dazu unter Drittlandtransfer.
- Art. 48 DSGVO: Urteile und Verwaltungsentscheidungen aus Drittländern werden nur über ein internationales Abkommen wie ein Rechtshilfeabkommen anerkannt. Ein Anbieter mit US-Bezug kann damit zwischen beide Rechtsordnungen geraten.
Typische Fehler
- Serverstandort als Schutz. Maßgeblich ist die Kontrolle über die Daten, nicht der Ort des Speichers. Eine Region „Frankfurt“ beantwortet die Frage nicht.
- Panik. Der CLOUD Act erlaubt keinen freien Zugriff. Er setzt ein Verfahren mit Anordnung voraus.
- Verschlüsselung ohne eigene Schlüssel. Verwaltet der Anbieter die Schlüssel, kann er auch Klartext herausgeben. Was er nicht entschlüsseln kann, gibt er nur verschlüsselt heraus.
- EU-Anbieter ungeprüft. Auch ein europäischer Anbieter kann US-Dienste als Unterauftragsverarbeiter einsetzen.
Prüfen
Vorgehen je Dienst:
- Konzernstruktur: Wer ist Muttergesellschaft und unterliegt sie US-Recht?
- Unterauftragsverarbeiter: Steht ein Anbieter mit US-Bezug in der Kette?
- Schlüssel: Wer verwaltet die Schlüssel, Anbieter oder Kunde?
- Transparenzbericht: Viele große Anbieter veröffentlichen, wie viele Behördenanfragen sie erhalten und wie viele sie beantwortet haben.