CLOUD Act
Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act[1]) ist ein seit 2018 bestehendes US-amerikanisches Gesetz zum Zugriff der US-Behörden auf gespeicherte Daten im Internet. Er ergänzt Titel 18 United States Code, Chapter 121 (Stored Communications Act) um 18 US Code § 2713.[2]
Inhalt
[Bearbeiten | Quelltext bearbeiten]Das Gesetz verpflichtet US-amerikanische Internet-Firmen und IT-Dienstleister, US-Behörden auch dann Zugriff auf gespeicherte Daten zu gewährleisten, wenn die Speicherung nicht in den USA erfolgt.
Umgekehrt können über diesen Weg auch ausländische Firmen Zugriff auf Daten erhalten, die von US-Konzernen im Ausland gespeichert werden. Infolge des Gesetzes sollen bilaterale Abkommen ausgearbeitet werden, die es ausländischen Behörden ermöglichen, ihre Anfragen direkt an die Konzerne zu stellen. Hiermit würde eine gerichtliche Kontrolle bei einer Abfrage außen vor bleiben, was zu Kritik durch Datenschützer geführt hat.[3]
Dem von der Herausgabeverpflichtung betroffenen Unternehmen steht nach dem Gesetz im Einzelfall ein Widerspruchsrecht gegen die Anordnung zur Herausgabe von Daten zu, wenn der Eigentümer der Daten kein US-Bürger ist, nicht in den USA lebt und das Unternehmen durch die Herausgabe der Daten gegen Recht in anderen Ländern verstoßen würde.[4] Dies gilt allerdings nur für Länder, die mit den USA ein Abkommen unter dem CLOUD Act abgeschlossen haben. Mit dem Vereinigten Königreich und Australien haben die Vereinigten Staaten Executive Agreements auf Grundlage des CLOUD Act geschlossen. Mit Kanada wurden Verhandlungen über ein entsprechendes Abkommen aufgenommen.[5]
Das Gesetz wurde eingeführt, nachdem US-Behörden in verschiedenen Fällen Probleme hatten, an im US-Ausland gespeicherte Daten zu gelangen. So konnten Unternehmen bis vor Verabschiedung des Gesetzes sich darauf berufen, dass ein Durchsuchungsbeschluss nur in den USA Geltung hat.[6] Internet-Firmen und IT-Dienstleistern kann nach dem Gesetz verboten werden, ihre Benutzer über eine solche heimliche Abfrage von Benutzerdaten zu informieren.
Das Gesetz wurde am 23. März 2018 unterzeichnet.
Kritik
[Bearbeiten | Quelltext bearbeiten]Die US-Datenschutzorganisation Electronic Frontier Foundation wertete den CLOUD Act als „gefährliches Gesetz“. Das Gesetz sei „nichts geringeres als ein Eingriff in die Privatsphäre und eine Beschneidung der Grundrechte“. Auch der Konzern Microsoft übt scharfe Kritik an diesem Gesetz.[7]
Ein Rechtsgutachten der Universität zu Köln kommt zu dem Schluss, dass US-amerikanische Sicherheitsbehörden (sowohl Nachrichtendienste als auch Strafverfolgungsbehörden) unter Voraussetzungen, die nicht öffentlich bekannt sind und weitgehend ohne nachvollziehbare gerichtliche Überprüfung, 1) die Herausgabe von in Clouds gespeicherten Informationen verlangen (Section 702 FISA, Sections 2801-2713 SCA) und 2) auch auf im Ausland gespeicherte Daten auch ohne die Mitwirkung von Cloud-Anbietern zugreifen können (Executive Order 12.333). Die Jurisdiktion US-amerikanischer Gerichte – und somit auch der US-Cloud Act – betrifft nicht nur Daten bei US-Hyperscalern, sondern auch Daten bei Unternehmen, die 1) Tochter einer US-Firma sind, 2) eine Niederlassung in den USA haben oder 3) im Einzelfall auch nur geschäftliche Kontakte in die USA haben.[8]
Schweiz
[Bearbeiten | Quelltext bearbeiten]In der Schweiz wird der CLOUD Act insbesondere im Zusammenhang mit der Nutzung von Cloud-Diensten US-amerikanischer Anbieter diskutiert. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) befasste sich 2022 mit der geplanten Auslagerung von Personendaten der Suva aus einer eigenen Infrastruktur in ein von Microsoft auf schweizerischem Territorium betriebenes Rechenzentrum. Aufgrund unterschiedlicher Rechtsauffassungen riet der EDÖB der Suva, die Auslagerung neu zu beurteilen.[9]
Das Bundesamt für Justiz untersuchte 2021 die Vereinbarkeit des CLOUD Act mit dem schweizerischen Recht. Das Gutachten kam zum Schluss, dass eine Herausgabe von Daten aufgrund einer Anordnung nach dem CLOUD Act nur in spezifischen Ausnahmefällen mit dem schweizerischen und europäischen Datenschutzrecht vereinbar sei. Der Abschluss eines Executive Agreements würde nach Einschätzung des Bundesamts zudem einen Paradigmenwechsel in der internationalen Strafrechtskooperation darstellen, da schweizerische private Unternehmen dabei unmittelbar an ausländischen Strafverfahren mitwirken könnten.[10]
Die Frage des grenzüberschreitenden Zugriffs auf elektronische Beweismittel beschäftigt die Schweiz weiterhin. Der Bundesrat beschloss im April 2025, Sondierungsgespräche mit der Europäischen Union aufzunehmen und notwendige gesetzliche Grundlagen für die grenzüberschreitende Sicherstellung elektronischer Beweismittel zu prüfen.[11]
Weblinks
[Bearbeiten | Quelltext bearbeiten]- Cloud Act Resources CLOUD Act im Webauftritt des Justizministeriums der Vereinigten Staaten (inkl. Gesetzestext und White Paper mit FAQ)
- US CLOUD Act und Schweizer KMU: Die Souveränitätsfrage – Einordnung des CLOUD Act aus Sicht Schweizer KMU, n'cloud.swiss, 19. August 2026
Siehe auch
[Bearbeiten | Quelltext bearbeiten]Einzelnachweise
[Bearbeiten | Quelltext bearbeiten]- ↑ Consolidated Appropriations Act, 2018. In: Public Law. Band 115, Nr. 141. United States Government Publishing Office, 2018, Division V—CLOUD ACT, S. 867 (govinfo.gov [PDF; 2,3 MB]).
- ↑ 18 U.S. Code § 2713 - Required preservation and disclosure of communications and records, auf law.cornell.edu
- ↑ CLOUD Act - US-Gesetz für internationalen Datenzugriff und -schutz verabschiedet. In: Heise Online. Abgerufen am 27. September 2019.
- ↑ The Software Alliance: The CLOUD Act and the European Union: Myths vs. Facts. Abgerufen am 20. September 2019.
- ↑ CLOUD Act Resources. U.S. Department of Justice, abgerufen am 20. August 2026 (englisch).
- ↑ Microsoft verteidigt Daten in Europa gegen US-Zugriff. In: Heise Online. 10. September 2015, abgerufen am 26. März 2018.
- ↑ Tanja Tricarico: Microsoft gegen Cloud Act: Die Daten vor US-Zugriff schützen. In: Die Tageszeitung. 18. September 2018, abgerufen am 19. April 2020.
- ↑ Rechtswissenschaftliche Fakultät, Universität zu Köln: Rechtsgutachten zur US-Rechtslage zum weltweiten Datenzugriff durch US-Behörden bei Nutzung von Cloud-Diensten. 21. März 2025, abgerufen am 21. Dezember 2025.
- ↑ Auslagerung von Personendaten durch die Suva in eine Microsoft Cloud. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 13. Juni 2022, abgerufen am 20. August 2026.
- ↑ Bericht zum US CLOUD Act. (PDF) Bundesamt für Justiz, 17. September 2021, abgerufen am 20. August 2026.
- ↑ Elektronische Beweismittel im Strafverfahren. Bundesamt für Justiz, 9. April 2025, abgerufen am 20. August 2026.