Der Beitrag ordnet den CLOUD Act ein und zeigt Nexorias Datenwege: Dateiablage und Suche in Deutschland, Mistral-Antworten in Frankreich sowie getrennt beschriebene zusätzliche Dienste.
Ihre Geschäftsdaten landen in den USA, jetzt gerade
Der US CLOUD Act verpflichtet amerikanische Unternehmen, Daten an US-Behörden herauszugeben, auch wenn sie in Europa gespeichert sind. Was das für Ihr Unternehmen bedeutet und warum europäische Alternativen die einzige Lösung sind.
Wenn Ihr Unternehmen Microsoft 365, Google Workspace, AWS oder OpenAI nutzt, haben US-Behörden Zugriff auf Ihre Daten. Nicht theoretisch, praktisch. Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) macht es möglich.
Und das Erschreckende: Der Serverstandort spielt keine Rolle. Auch wenn Ihre Daten in Frankfurt stehen, solange der Anbieter ein US-Unternehmen ist, kann das FBI, die NSA oder das US-Justizministerium die Herausgabe anordnen. Ohne Sie zu informieren.
Was ist der CLOUD Act?
Der CLOUD Act trat am 23. März 2018 als US-Bundesgesetz in Kraft. Er verpflichtet jeden US-amerikanischen Anbieter von Cloud- und Kommunikationsdiensten, auf Anordnung von US-Behörden Daten herauszugeben, unabhängig davon, ob diese Daten in den USA oder anderswo auf der Welt gespeichert sind (18 U.S.C. § 2713).
Betroffen sind unter anderem: AWS, Microsoft Azure, Google Cloud, OpenAI, Salesforce, Slack, Microsoft 365, Google Workspace und jedes andere US-Unternehmen, das Cloud-Dienste anbietet.
Das Gesetz entstand als Reaktion auf den Fall United States v. Microsoft Corp. , in dem Microsoft sich weigerte, in Irland gespeicherte E-Mail-Daten an US-Behörden herauszugeben. Bevor der Supreme Court entscheiden konnte, wurde der CLOUD Act verabschiedet und machte die Frage obsolet.
Warum DPAs und SCCs nichts bringen
Viele Unternehmen verlassen sich auf Data Processing Agreements (DPAs) oder Standardvertragsklauseln (SCCs) mit ihren US-Anbietern. Das Problem: Diese Verträge sind US-Bundesrecht nachrangig.
Konkret bedeutet das:
- Kein privatrechtlicher Vertrag kann ein US-Unternehmen davon befreien, einer US-Anordnung Folge zu leisten
- Geheimhaltungsanordnungen ("gag orders") verhindern, dass der Provider Sie benachrichtigt
- Der Serverstandort in der EU ist irrelevant, der CLOUD Act gilt weltweit
- Artikel 48 DSGVO wird direkt ausgehebelt
Die Verträge sind weniger wert als das Papier, auf dem sie gedruckt werden.
Das Schrems-II-Urteil bestätigt es
Am 16. Juli 2020 erklärte der Europäische Gerichtshof (EuGH) in der Rechtssache C-311/18 das EU-US Privacy Shield für ungültig. Das Urteil stellte fest: Die USA bieten kein angemessenes Datenschutzniveau für EU-Bürger.
Der Grund: US-Überwachungsgesetze wie FISA Section 702 und Executive Order 12333 ermöglichen massenhafte Überwachung, ohne richterliche Kontrolle, ohne Verhältnismäßigkeit, ohne wirksamen Rechtsschutz.
Der Nachfolger (EU-US Data Privacy Framework, Juli 2023) basiert lediglich auf einer Präsidialverordnung, die jederzeit widerrufen werden kann. Max Schrems hat bereits angekündigt, auch dieses Abkommen anzufechten.
Die Datenwege bei Nexoria
Nexoria beschreibt die Verarbeitung nach einzelnen Schritten:
- Dateien, Wissensindex und semantische Suche: auf Servern in Deutschland
- KI-Antwortgenerierung: durch Mistral AI mit Verarbeitung in Frankreich
- Weitere Dienste und aktivierte Integrationen: separat unter [Sicherheit](/security) aufgeführt, darunter Sentry zur technischen Fehlerüberwachung sowie Telnyx für den optionalen VoiceBot-Telefonanschluss
Die von Nexoria an Mistral AI übermittelten Daten werden nach dem individuellen Auftragsverarbeitungsvertrag nicht für Modelltraining verwendet. Aus diesen technischen Angaben leiten wir keinen pauschalen Ausschluss behördlicher Zugriffe oder sämtlicher Drittlandbezüge ab.
Fazit: Handeln Sie jetzt
Für die Bewertung einer Plattform sind die tatsächlich genutzten Dienste, ihre Verarbeitungsorte und die beteiligten Anbieter maßgeblich. Bei Nexoria können Sie diese Aufteilung für die Kernplattform und zusätzliche Integrationen in der [Komponentenübersicht](/security) nachlesen.
Nexoria verbindet KI-Assistent, Dokumentensuche, Geschäftsprozesse und Kommunikation. Welche Daten dabei verarbeitet werden, hängt von der jeweiligen Funktion und den aktivierten Integrationen ab.
Erfahren Sie, wie Nexoria Base und Pro Dateiablage und Suche in Deutschland mit KI-Antwortgenerierung in Frankreich verbinden, oder vereinbaren Sie eine kostenlose Beratung mit unserem Team.
Belege
Quellen
Primärquellen zu den in diesem Beitrag genannten Rechtsnormen, Urteilen und Leitlinien.
- Verordnung (EU) 2016/679, Datenschutz-GrundverordnungVolltext im Amtsblatt der Europäischen Union, Fundstelle für alle im Beitrag genannten DSGVO-Artikel.
- Durchführungsbeschluss (EU) 2023/1795, Angemessenheit des EU-US Data Privacy FrameworkDer Angemessenheitsbeschluss, auf den sich die im Beitrag beschriebenen Datentransfers in die USA stützen.
- Durchführungsbeschluss (EU) 2021/914, StandardvertragsklauselnDer von der Kommission erlassene Text der Standardvertragsklauseln für Übermittlungen in Drittländer.
- EuGH, Urteil vom 16. Juli 2020, Rechtssache C-311/18 (Schrems II)Erklärt den EU-US-Datenschutzschild für ungültig und bindet die Standardvertragsklauseln an eine Prüfung des Drittlandrechts im Einzelfall.
- 18 U.S. Code Paragraf 2713, eingefügt durch den US CLOUD ActGesetzestext beim Legal Information Institute der Cornell Law School. Die Norm wurde 2018 durch den CLOUD Act eingefügt, Public Law 115-141, Division V.
- 50 U.S. Code Paragraf 1881a, FISA Section 702Gesetzestext beim Legal Information Institute der Cornell Law School, Adressat sind Anbieter elektronischer Kommunikationsdienste im US-Rechtsraum.
- Executive Order 12333, United States Intelligence ActivitiesKodifizierter Text beim Office of the Federal Register, National Archives. Fundstelle zur im Beitrag genannten Executive Order.
Artikel teilen
CTO & Co-Founder · Nexoria Systems
20+ Jahre Erfahrung in Software-Architektur. Baut europäische KI-Systeme, die Unternehmensdaten schützen statt sie zu exponieren.
CEO & Co-Founder · Nexoria Systems
Strategie, Produkt und Kundennähe: Caan baut Nexoria als Unternehmen genauso mit wie als Plattform. Er versteht Technik und Markt und springt überall ein, wo es zählt.
