CLOUD Act: Warum EU-Rechenzentren nicht genug schützen
Ein Gutachten der Uni Köln im Auftrag des Innenministeriums zeigt: US-Behörden können auf Daten in EU-Rechenzentren zugreifen, wenn ein US-Mutterkonzern die Kontrolle hat.
Europäische KI
Was zeigt das neue Gutachten zum US-Datenzugriff?
Ein bislang unveröffentlichtes Gutachten von Rechtswissenschaftlern der Universität zu Köln, erstellt im Auftrag des Bundesinnenministeriums, ist im Zuge einer Anfrage nach dem Informationsfreiheitsgesetz öffentlich geworden. Sein Kernbefund: US-Behörden haben weitreichenden Zugriff auch auf Daten, die in europäischen Rechenzentren gespeichert sind. Grundlage sind der Stored Communications Act in Verbindung mit dem CLOUD Act sowie Section 702 des Foreign Intelligence Surveillance Act, kurz FISA. Beide erlauben es US-Behörden, Cloud-Anbieter zur Herausgabe von Daten zu verpflichten.
Zählt der Serverstandort in Europa überhaupt?
Laut dem Gutachten ist nicht der physische Speicherort der Daten entscheidend, sondern die Kontrolle darüber durch das betroffene Unternehmen. Das bedeutet: Selbst Daten, die in Rechenzentren auf europäischem Boden liegen und über eine deutsche Tochtergesellschaft verwaltet werden, unterliegen dem Zugriff, sofern die US-Muttergesellschaft die letztliche Kontrolle ausübt.
Sind nur US-Tochterfirmen in Europa betroffen?
Nein. Die Reichweite der US-Jurisdiktion beschränkt sich laut Gutachten nicht auf europäische Tochtergesellschaften US-amerikanischer Konzerne. Sie kann auch rein europäische Unternehmen erfassen, sofern diese relevante geschäftliche Verbindungen in die USA unterhalten. Der Kreis potenziell betroffener Firmen im europäischen Binnenmarkt ist damit deutlich größer, als der Begriff "US-Cloud-Anbieter" vermuten lässt.
Hilft Verschlüsselung gegen den Zugriff?
Nur begrenzt. Ein Cloud-Anbieter könnte sich technisch, etwa durch Verschlüsselung, selbst vom Zugriff auf die Daten seiner Kunden ausschließen. Das US-Prozessrecht verlangt jedoch von Parteien, verfahrensrelevante Informationen bereits vor Beginn eines Rechtsstreits aufzubewahren. Ein Anbieter, der regelmäßig mit Herausgabeverlangen konfrontiert ist, kann daher zur Datenaufbewahrung verpflichtet sein. Schließt er sich technisch vom Zugriff aus, riskiert er selbst erhebliche Bußgelder oder strafrechtliche Konsequenzen.
Was sagt die DSGVO zu diesem Konflikt?
Europäische Aufsichtsbehörden dürfen auf Grundlage der DSGVO Offenlegungen an Behörden in Drittstaaten untersagen. Datenübermittlungen in die USA stützen sich derzeit meist auf den Angemessenheitsbeschluss der EU-Kommission, das EU-US Data Privacy Framework, dessen rechtliche Stabilität als wackelig gilt. Das Gutachten verweist ausdrücklich auf die Notwendigkeit, europäische Alternativen zur Stärkung der digitalen Souveränität zu entwickeln.
Was bedeutet das für die Wahl einer KI-Plattform?
| Anbietertyp | Serverstandort | Unterliegt CLOUD Act/FISA |
|---|---|---|
| US-Anbieter, US-Rechenzentrum | USA | Ja |
| US-Anbieter, EU-Tochtergesellschaft | EU | Ja, wenn US-Mutter Kontrolle behält |
| Europäisches Unternehmen ohne US-Mutterkonzern | EU | Nur bei relevanten eigenen US-Geschäftsbeziehungen |
Bei der Anbieterwahl lohnt sich deshalb ein Blick über den reinen Serverstandort hinaus: Wer kontrolliert das Unternehmen, das den Dienst betreibt? Plattformen wie oneAI, die als europäisches Unternehmen ohne US-Mutterkonzern auftreten und wahlweise vollständig on-premise betrieben werden können, unterliegen dieser Form der extraterritorialen US-Jurisdiktion nicht in der gleichen Weise wie eine europäische Tochter eines US-Konzerns.
Fazit: Serverstandort allein reicht nicht
Das Gutachten macht deutlich, dass "Daten bleiben in der EU" allein keine verlässliche Aussage über die Zugriffssicherheit ist. Entscheidend ist die Konzernstruktur und Kontrolle über den Anbieter. Unternehmen, die Wert auf echte Datenhoheit legen, sollten diese Frage explizit bei ihren Lieferanten klären, nicht nur nach dem Standort des Rechenzentrums fragen.