Erklärt
Der US CLOUD Act, einfach erklärt
Du hörst den Begriff überall, aber niemand sagt dir, was er konkret bedeutet. Hier bekommst du eine sachliche Erklärung — und warum das Thema gerade für ein deutsches Unternehmen wichtig ist.
Was ist der CLOUD Act?
Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-amerikanisches Gesetz aus dem Jahr 2018. Stark vereinfacht regelt es, dass US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten verlangen können, die ein US-Unternehmen verwaltet.
Der entscheidende Punkt: Dieser Zugriff kann grundsätzlich auch dann in Betracht kommen, wenn die Daten gar nicht in den USA gespeichert sind, sondern zum Beispiel auf einem Server in Europa. Es kommt also nicht in erster Linie darauf an, wo die Festplatte steht, sondern welchem Recht das Unternehmen unterliegt, das die Daten verwaltet.
Das Gesetz folgt dem Unternehmen, nicht dem Server.
Genau das ist die Verschiebung, die viele überrascht: Ein Rechenzentrum in Frankfurt macht einen Anbieter nicht automatisch unabhängig von US-Recht — wenn das Unternehmen (oder dessen Mutterkonzern) in den USA sitzt.
Wie kommt es zu diesem Zugriff?
Der gedankliche Knoten löst sich, wenn man die Frage anders stellt. Nicht „In welchem Land liegt der Server?", sondern:
Welches Unternehmen verwaltet die Daten? Der Anbieter, der die technische Kontrolle hat.
Unter welchem Recht steht dieses Unternehmen? Hat es seinen Sitz in den USA — oder einen US-Konzern als Mutter —, kann es in den Anwendungsbereich des CLOUD Act fallen.
Wie viele Parteien sind beteiligt? Je länger die Kette an Anbietern und Subdienstleistern, desto schwerer ist die Lage zu überblicken.
Wichtig zur Einordnung: Es geht hier nicht darum, dass irgendwer „mal eben" in deine Daten schaut. Solche Anforderungen sind an rechtliche Voraussetzungen geknüpft. Aber die grundsätzliche Möglichkeit besteht — und genau die willst du als Verantwortlicher für die Daten deiner eigenen Kunden bewerten können.
Warum das ein deutsches KMU betrifft
„Ich bin doch nur ein kleiner Handwerksbetrieb / eine Agentur / ein Online-Shop — wen interessieren meine Daten schon?" Eine verständliche Reaktion. Der Punkt ist aber ein anderer: Es geht weniger um die Wahrscheinlichkeit eines konkreten Zugriffs, sondern um deine Verantwortung gegenüber deinen eigenen Kunden.
Wenn du personenbezogene Daten verarbeitest — Kundenadressen, Bestellungen, E-Mails, Formulardaten —, bist du nach der DSGVO dafür verantwortlich, wo und unter welchem Recht diese Daten verarbeitet werden. Wählst du einen Anbieter, der US-Recht unterliegt, wird diese Frage Teil deiner eigenen Datenschutz-Dokumentation. Das macht die Sache nicht unmöglich, aber aufwändiger und erklärungsbedürftiger.
Die praktische Frage
Stell dir vor, ein Kunde fragt dich: „Wo liegen eigentlich meine Daten und wer kann darauf zugreifen?" Je kürzer und klarer du das beantworten kannst, desto einfacher ist deine eigene Datenschutz-Verantwortung zu erfüllen.
Wie wir das bei IVRY angehen
Wir versuchen, die Kette so kurz wie möglich zu halten und dort, wo es geht, ganz in Deutschland zu verankern. Konkret heißt das:
Eigene Hardware — wir mieten keine US-Hyperscaler-Cloud, sondern betreiben eigene Server.
Unabhängiger EU-Betreiber — die Rechenzentrums-Infrastruktur stellt mit GHOSTnet ein unabhängiger Anbieter aus der EU, kein US-Konzern dazwischen.
Deutsches Recht — IVRY ist eine deutsche GmbH. Standort und Betreiber-Recht zeigen damit in dieselbe Richtung: Deutschland.
Das Ziel ist nicht, andere Anbieter schlechtzureden — viele machen einen guten Job. Uns geht es darum, dir eine möglichst einfache und ehrliche Antwort zu geben, die du an deine eigenen Kunden weiterreichen kannst. Wie das im Detail aussieht, zeigen wir transparent unter Wo deine Daten liegen.
Stand: 16.06.2026. Dieser Beitrag ist eine allgemeine Einordnung und keine Rechtsberatung.
Genannte Gesetze und Marken gehören ihren jeweiligen Inhabern; die Nennung dient der Beschreibung und stellt keine Verbindung oder Empfehlung dar.