Was bedeutet der CLOUD Act für US-Anbieter mit EU-Rechenzentren?

„Unsere Server stehen in Frankfurt“ ist das häufigste Souveränitäts-Argument im KI-Vertrieb — und das am häufigsten missverstandene. Der US CLOUD Act von 2018 knüpft den Datenzugriff nicht an den Serverstandort, sondern an die Kontrolle über das Unternehmen.

Was der CLOUD Act regelt

Der Clarifying Lawful Overseas Use of Data Act verpflichtet Anbieter, die US-Jurisdiktion unterliegen, US-Behörden auf gültige Anordnung Daten herauszugeben — unabhängig davon, wo die Daten gespeichert sind. Ein US-Konzern kann sich also nicht darauf berufen, dass die angeforderten Daten in einem EU-Rechenzentrum liegen. Betroffen sind nicht nur US-Firmen selbst, sondern auch deren Tochtergesellschaften — die Reichweite bei Beteiligungsstrukturen ist juristisch umstritten, aber das Risiko liegt beim Kunden.

Der Konflikt mit der DSGVO

Eine CLOUD-Act-Herausgabe ohne EU-Rechtsgrundlage kann gleichzeitig ein DSGVO-Verstoß sein (Art. 48 DSGVO erkennt Drittstaaten-Anordnungen nicht automatisch an). Der Anbieter steht dann zwischen zwei Rechtsordnungen — und Ihr Unternehmen trägt als Verantwortlicher das Risiko mit. Genau deshalb fragen Datenschutzbeauftragte und öffentliche Auftraggeber nicht nur „Wo stehen die Server?“, sondern „Wer kontrolliert das Unternehmen?“.

Die drei Prüffragen für KI-Anbieter

• Wo sitzt die Konzernmutter? Ein Anbieter mit EU-Sitz, aber US-Börsennotierung und US-Kapitalstruktur (Beispiel in unserer Datenbank: Nebius, Nasdaq-notiert) hat eine andere Risikolage als ein Anbieter in rein europäischem Eigentum (IONOS, STACKIT, Scaleway, OVHcloud).
• Wer sind die Subprozessoren? Auch ein europäischer Anbieter kann US-Dienste im Betrieb einsetzen — für CRM, Monitoring oder Support. Das steht in der Subprozessorenliste, nicht auf der Startseite.
• Läuft die Inference wirklich beim Anbieter? Gateways routen teils zu US-Hyperscalern in „EU-Regionen“ (AWS Bedrock Frankfurt, Azure Schweden). Die Daten bleiben geografisch in Europa — die CLOUD-Act-Frage bleibt trotzdem bestehen, weil der Betreiber der Region ein US-Konzern ist.

Einordnung statt Panik

Der CLOUD Act ist kein Massenüberwachungsinstrument — Anordnungen betreffen konkrete Ermittlungen und sind selten. Für viele Workloads ist ein US-Anbieter mit EU-Region eine vertretbare, gut dokumentierbare Wahl. Aber für besonders geschützte Daten (Gesundheits-, Sozial-, Verschlusssachen) und für öffentliche Auftraggeber ist die Eigentümerfrage oft ein Ausschlusskriterium — Frankreich hat mit SecNumCloud sogar eine Zertifizierung gebaut, die US-Kontrolle explizit ausschließt. Unsere Datenbank weist deshalb die US-Eigentümerstruktur pro Anbieter als eigenes Feld aus.