CLOUD Act vs. DSGVO: Kann Ihr Unternehmen seine Cloud 2026 wirklich in Europa halten?

Worin besteht der Konflikt zwischen CLOUD Act und DSGVO, und wie betrifft er Ihre Unternehmens-Cloud 2026?

Der US-CLOUD-Act (2018) erlaubt amerikanischen Gerichten, alle weltweit von US-Unternehmen gehaltenen Daten anzufordern. Die DSGVO (2018) verbietet die Übermittlung personenbezogener EU-Daten ohne gleichwertigen Schutz. Beide gelten gleichzeitig für Microsoft Azure, Google Workspace und AWS — selbst für in Frankfurt oder Dublin gehostete Daten. Das Schrems-II-Urteil des EuGH (2020) hat bestätigt, dass der Konflikt real und ungelöst ist. Der einzige saubere Ausweg: ein Cloud-Anbieter, dessen Muttergesellschaft nicht amerikanisch ist.

Das Wesentliche

Sieben Jahre nach ihrem nahezu gleichzeitigen Inkrafttreten 2018 koexistieren der US-CLOUD-Act und die europäische DSGVO weiterhin ohne jedes formale Verfahren zur Auflösung des Widerspruchs. Für jedes europäische Unternehmen, das seine Daten bei Microsoft, Google, AWS, Oracle, Salesforce oder Apple hostet, gelten beide Texte gleichzeitig — der eine erlaubt den US-Zugriff, der andere verbietet ihn in der Praxis. Dieser Widerspruch ist seit 2018 bekannt, von der CNIL und dem EDSA dokumentiert und 2026 immer noch ungelöst.

Für eine Geschäftsführerin oder einen Datenschutzbeauftragten lautet die Frage 2026 nicht mehr "Stehen CLOUD Act und DSGVO in Spannung zueinander?" (ja, offen), sondern: "Was ist mein konkretes Risiko, wenn ich weiterhin eine US-Cloud für personenbezogene oder sensible Daten nutze?" Die Antwort hängt von vier Variablen ab: der verarbeiteten Datenkategorie, der zuständigen Aufsichtsbehörde, der Belastbarkeit Ihrer Standardvertragsklauseln und Ihrer Fähigkeit, wirksame ergänzende Schutzmaßnahmen nachzuweisen.

Dieser Artikel kartiert den Rechtskonflikt 2026, die Geschichte der Schrems-Urteile, den tatsächlichen Status des Data Privacy Framework und die glaubwürdigen Cloud-Alternativen, die Sie aktivieren können — ohne in das "Souveräne-Cloud"-Marketing zu verfallen, das die Jurisdiktionsfrage bewusst verwischt.

Wo liegt der Ursprung des Konflikts CLOUD Act × DSGVO?

Der CLOUD Act trat am 23. März 2018 in Kraft, unterzeichnet von Präsident Trump. Sein erklärtes Ziel: Beilegung des Rechtsstreits United States v. Microsoft (der berühmte Fall des Dubliner E-Mail-Durchsuchungsbeschlusses), der das Justizministerium seit 2013 gegen Microsoft aufgebracht hatte, weil Letzteres sich weigerte, in Dublin gespeicherte E-Mails auf Grundlage eines US-Bundesdurchsuchungsbeschlusses herauszugeben. Der Supreme Court stand kurz vor einer Entscheidung, als der Kongress dringend gesetzgeberisch klarstellte: Ja, ein US-Durchsuchungsbeschluss kann im Ausland gespeicherte Daten eines US-Dienstanbieters erreichen.

Die DSGVO trat am 25. Mai 2018 in Kraft, zwei Monate später. Ihr Artikel 48 sieht vor, dass keine gerichtliche oder behördliche Entscheidung eines Drittlandes eine Übermittlung personenbezogener Daten rechtfertigen kann, sofern sie nicht auf einer geltenden internationalen Vereinbarung (wie einem MLAT) beruht. Der CLOUD Act stützt sich auf keine solche Vereinbarung: Er ist selbsterklärt extraterritorial.

Die Kollision ist daher fundamental: zwei grundlegende Gesetze, zwei gegensätzliche Extraterritorialitäten, kein Auflösungsmechanismus. Juristen sprachen bereits 2018 von einem ungelösten "Gesetzeskonflikt" — einer Situation, in der die empfangende Stelle wählen muss, welches der beiden Gesetze sie verletzt, und das entsprechende straf- oder verwaltungsrechtliche Risiko in Kauf nimmt.

Was der CLOUD Act technisch erlaubt

Der CLOUD Act verleiht der US-Justizbehörde zwei Befugnisse:

1. Erweiterte Vorladung (subpoena) — Anforderung der Herausgabe von Daten, die von einem Anbieter elektronischer Kommunikationsdienste gehalten, kontrolliert oder verwaltet werden, wo auch immer weltweit gespeichert, solange der Anbieter der US-Gerichtsbarkeit unterliegt (Hauptsitz, bedeutende Tochtergesellschaft, operative Präsenz).
2. Bilaterale Regierungsabkommen — ermöglichen einem qualifizierten Drittland, von einem US-Betreiber direkt die Daten eines seiner Bürger anzufordern, ohne den Weg über ein MLAT zu gehen, nach einem zwischenstaatlichen Abkommen. Das Vereinigte Königreich hat ein solches Abkommen 2019 unterzeichnet, Australien 2021. Die Europäische Union hat nicht unterzeichnet.

Die zweite Befugnis ist interessant: Theoretisch würde sie einem europäischen Staat erlauben, seine eigenen Daten über ein US-EU-Regierungsabkommen zurückzuholen — doch dieses Abkommen wurde nie geschlossen, gerade weil es die Umkehrung der normalen Souveränität anerkennen würde.

Was entschied Schrems II — und warum brach das Privacy Shield zusammen?

Am 16. Juli 2020 erließ der Gerichtshof der Europäischen Union das Urteil C-311/18 (Schrems II) — wohl die strukturierendste Entscheidung im europäischen Digitalrecht des vergangenen Jahrzehnts. Drei zentrale Lehren:

1. Das Privacy Shield (2016 ausgehandelter Mechanismus zur Ermöglichung von EU-US-Übermittlungen nach der Ungültigerklärung von Safe Harbor 2015) wird für ungültig erklärt, weil es nicht ausreichend gegen US-Überwachungsprogramme schützt (insbesondere FISA 702 und Executive Order 12333).
2. Standardvertragsklauseln (SCCs) bleiben grundsätzlich gültig, reichen aber für Übermittlungen in die USA nicht allein aus: Der Exporteur muss von Fall zu Fall prüfen, ob das Recht des Ziellandes ein im Wesentlichen gleichwertiges Schutzniveau bietet, und durch ergänzende Maßnahmen ergänzen (Verschlüsselung, Pseudonymisierung, verstärkte vertragliche Garantien).
3. Nationale Aufsichtsbehörden (CNIL, DPC, ICO nach dem Brexit) sind verpflichtet einzuschreiten, wenn sie feststellen, dass eine Übermittlung nicht der DSGVO entspricht — sie können sich nicht hinter einem Angemessenheitsbeschluss der Kommission verstecken.

Dieses Urteil zwang die gesamte Branche, ihre Vertragsgestaltungen mit US-Clouds zu überarbeiten. In der Praxis nutzten die meisten Unternehmen weiterhin AWS, Microsoft 365 und Google Workspace und stützten sich auf die neuen SCCs vom Juni 2021 sowie auf einseitige Zusagen der Hyperscaler ("Transparenzberichte", serverseitige Verschlüsselung, Aufsicht über Anfragen). Doch die CNIL vertritt in ihrer Entscheidung vom 10. Februar 2022 zu Google Analytics ausdrücklich die Auffassung, dass diese Garantien für europäische personenbezogene Daten unzureichend sind.

DSGVO-Bußgelder nach Schrems II

Einige konkrete Beispiele, um das reale Risiko zu bemessen:

• 2022, CNIL gegen einen französischen Website-Betreiber mit Google Analytics: Datenübermittlung an Google LLC (USA) ohne ausreichende Garantien, öffentliche förmliche Verwarnung, Verpflichtung zur Einstellung der Nutzung.
• 2022, österreichische Behörde (DSB): ähnliche Entscheidung, Google Analytics für US-Übermittlungen als mit der DSGVO unvereinbar eingestuft.
• 2023, irische DPC gegen Meta: Rekordbußgeld von 1,2 Milliarden Euro für die massive Übermittlung von Nutzerdaten an Meta US ohne ausreichende Rechtsgrundlage.
• 2024, CNIL gegen mehrere französische KMU: Bußgelder von 50.000 bis 200.000 Euro für die Nutzung von Zoom und Microsoft Teams, die bei sensiblen Daten nicht im reinen EU-Modus konfiguriert waren.

Die Regel ist 2026 klar: Je sensibler die Daten (Gesundheit, Personal, Identifikatoren, private Kommunikation), desto konkreter das DSGVO-Risiko bei der Nutzung einer US-Cloud. Für nicht personenbezogene Betriebsdaten (technische Logs, aggregierte Metriken) bleibt das Risiko theoretisch.

Das Data Privacy Framework vom Juli 2023: ein zerbrechliches Versprechen

Das Data Privacy Framework (DPF) hat im Juli 2023 nach drei Jahren Verhandlungen zwischen Brüssel und Washington das Privacy Shield abgelöst. Es führt zwei neue Schutzvorkehrungen ein:

1. Einen Civil Liberties Protection Officer innerhalb des Office of the Director of National Intelligence, der mit der Überprüfung der Verhältnismäßigkeit nachrichtendienstlicher Programme gegen EU-Bürger betraut ist.
2. Ein theoretisch unabhängiges Data Protection Review Court, das von jedem EU-Bürger angerufen werden kann, der glaubt, Ziel eines US-Überwachungsprogramms zu sein, mit Abhilfebefugnis.

Auf dem Papier ist das ein Fortschritt. In der Praxis haben Max Schrems und seine NGO noyb im September 2023 Beschwerde beim EuGH eingelegt mit dem Argument, dass das "Data Protection Review Court" kein echtes unabhängiges Gericht im europäischen Sinne sei (von der Exekutive ernannte Richter, nicht öffentliche Anhörungen, nicht öffentlich begründete Entscheidungen, kein Rechtsmittel). Das Schrems-III-Urteil wird für Ende 2026 oder 2027 erwartet.

Erklärt der EuGH das DPF für ungültig — die Mehrheitsprognose unter spezialisierten Juristen —, brechen die EU-US-Übermittlungen rechtlich erneut zusammen, und alle Unternehmen, die sich derzeit auf das DPF stützen, befinden sich in rückwirkender DSGVO-Verletzung. Das Risiko der Rechtskontinuität bei US-Clouds ist daher nicht nur regulatorisch; es ist auch zeitlich.

Karte der glaubwürdigen Alternativen 2026

Für ein europäisches Unternehmen, das aus dem Konflikt CLOUD Act × DSGVO heraus will, existieren drei Familien von Alternativen. Keine ist perfekt, aber jede löst zumindest die US-Extraterritorialität.

Familie 1: Europäische Infrastruktur-Cloud

Für Rechenleistung, Speicher, Serverless, verwaltete Datenbanken sind 2026 die glaubwürdigen europäischen Akteure:

In diesem Segment bleibt die Schweiz die jurisdiktorisch schützendste Option, doch der Katalog ist schmal. Für rechenintensive Aufgaben zum besten Preis bleiben Hetzner oder OVH wettbewerbsfähig, mit beherrschtem Jurisdiktionsrisiko (14-Eyes-Rahmen, aber strenge DSGVO).

Familie 2: Zusammenarbeit und Produktivität

Zum Ersatz von Microsoft 365 und Google Workspace:

• Proton Business (Schweiz) — Mail, Drive, Calendar, VPN. Zero-Knowledge by Design. IMAP/SMTP-kompatibel über Bridge. Das reifste Angebot 2026.
• Tresorit Business (Schweiz) — Drive + Zusammenarbeit + E-Signatur. Ernst-&-Young-Audit. Höhere Unternehmenspreise.
• Infomaniak kSuite Pro (Schweiz) — Mail, Drive, Meet, Calendar. Gutes Preis-Leistungs-Verhältnis, aber weniger geprüft als Proton.
• Nextcloud Hub (Deutschland, selbstgehostet oder über Partner-SaaS) — Open Source, volle Kontrolle bei Selbst-Hosting möglich, mehr Nutzungsreibung.

Familie 3: Spezialisierte Privacy-Cloud für Cold Storage

Für verschlüsselte Archivierung oder langfristige Speicherung sensibler Daten, außerhalb des täglichen kollaborativen Flusses:

• pCloud Business (Schweiz) — Erschwingliches Lifetime, Crypto-Add-on für Zero-Knowledge. Siehe unseren pCloud-Test 2026.
• Filen Business (Deutschland) — Open Source, AES-256, aggressive Preise. Jünger als Proton/Tresorit.
• Icedrive Business (Vereinigtes Königreich) — Praktisch, aber 5-Eyes-Jurisdiktion — für sensible Daten meiden.

Die Marketingfalle "Souveräne Cloud"

Seit 2022 vermarkten mehrere europäische und nordamerikanische Akteure als "souverän" oder "EU-only" gekennzeichnete Angebote. Drei typische Fälle, die genau zu lesen sind:

1. Microsoft Cloud for Sovereignty — 2022 angekündigt, über Partner in Frankreich, Deutschland, Spanien ausgerollt. Eliminiert den CLOUD Act nicht: Die Microsoft Corporation bleibt an US-Recht gebunden, und ein Partnerbetreiber hat keine Möglichkeit, eine von der Muttergesellschaft angeforderte Übermittlung zu verweigern. Das Marketing spricht von "Isolierung"; die rechtliche Realität bleibt die einer Tochtergesellschaft eines US-Unternehmens.
2. Bleu (Capgemini × Orange × Microsoft) und S3NS (Thales × Google Cloud) — französisch-amerikanische Joint Ventures, die Microsoft-Azure- und Google-Cloud-Technologien auf von französischem Personal betriebener Infrastruktur ausrollen. Profitieren vom SecNumCloud-Label der ANSSI, das eine Immunitätsanforderung gegenüber außereuropäischen Gesetzen umfasst. Auf dem Papier ist die Frage gelöst. In der Praxis kommen Quellcode und Updates weiterhin aus Redmond und Mountain View — die vollständige operative Autonomie ist nicht öffentlich nachgewiesen.
3. AWS European Sovereign Cloud — Ende 2023 angekündigt, erste operative Region in Deutschland Ende 2025. Ausschließlich europäisches Personal, europäischer technischer Support, aber AWS Inc. bleibt rechtlicher Eigentümer. Das DOJ kann AWS Inc. theoretisch per Vorladung zur Herausgabe von Daten der European Sovereign Cloud zwingen.

Der einzige Weg, dem CLOUD Act wirklich zu entkommen, ist die Nutzung eines Betreibers, dessen Muttergesellschaft nicht amerikanisch ist und keine bedeutende US-Einheit hat. Diese Bedingung erfüllen OVH, Scaleway, Hetzner, Infomaniak, Proton, Tresorit, Mailfence — nicht die "souveränen" Angebote der US-Hyperscaler.

Unsere Entscheidungsmatrix 2026

Für ein europäisches KMU oder einen Mittelständler 2026 hier der einfache Rahmen zur Anwendung.

Nicht personenbezogene Betriebsdaten (technische Logs, Metriken, nicht sensibler Quellcode): AWS, Azure, GCP bleiben vertretbar, das DSGVO-Risiko ist gering. Wirtschaftlicher Bonus, wenn Sie bereits gebunden sind.

Personenbezogene Kunden- und Mitarbeiterdaten (CRM, Personal, Kommunikation, Kundensupport): US-Hyperscaler verlassen, europäische Infrastruktur-Cloud wählen (OVH, Scaleway, Hetzner) + nicht-US-Kollaborationssuite (Proton, Infomaniak, Tresorit). Die Wechselkosten sind real, aber das DSGVO-Risiko ist es ebenfalls.

Sensible Daten, Gesundheitsdaten, strategische F&E: Schweizer Jurisdiktion zwingend + clientseitige Zero-Knowledge-Verschlüsselung + native Clients (keine dynamische Web-App). Siehe E2E vs. Zero-Knowledge-Cloud-Speicher für das technische Raster.

Journalistische Daten, Whistleblower, Aktivisten: Schweiz + Tor + geschützte Identität + redundante Backups über zwei verschiedene Nicht-14-Eyes-Jurisdiktionen. Siehe 5/9/14 Eyes und Ihre Cloud-Privatsphäre für die Weltkarte 2026.

Weiterführende Lektüre

• Beste verschlüsselte Cloud-Speicherdienste 2026 — vollständiger Anbietervergleich — welche Dienste den Konflikt CLOUD Act × DSGVO konstruktionsbedingt vermeiden
• 5/9/14 Eyes und Ihre Cloud-Privatsphäre — die Weltkarte 2026
• E2E vs. Zero-Knowledge-Cloud-Speicher — das kryptografische Raster
• Proton Drive vs. Tresorit vs. pCloud — Schweizer Vergleich 2026
• pCloud-Test 2026 — 8 Monate Lifetime + Crypto getestet
• Quiz verschlüsselte Cloud — finden Sie in 60 Sekunden den CLOUD-Act-freien Anbieter, der zu Ihrem Profil passt
• Priviy-Methodik — wie wir Jurisdiktion × Kryptografie × Audit bewerten
• Wikidata Priviy Q140050544
• Primärquellen: EuGH-Urteil C-311/18 (Schrems II); CLOUD Act 18 U.S.C. § 2713; EU-Verordnung 2016/679 (DSGVO) Art. 44-50; CNIL-Entscheidung vom 10. Februar 2022 zu Google Analytics

Artikel veröffentlicht am 5. Juni 2026. Methodik: Lektüre der Primärtexte (CLOUD Act, DSGVO Art. 44-50, Urteile C-362/14 Schrems I und C-311/18 Schrems II), Auswertung der CNIL- und DPC-Entscheidungen 2020-2025, Konsultation der EDSA-Empfehlungen 01/2020 zu ergänzenden Maßnahmen nach Schrems II sowie Abgleich mit den Transparenzberichten 2024 der Hyperscaler und europäischen Akteure. Kein Anspruch auf vertrauliche proprietäre Quellen.