Was der CLOUD Act für Daten bei US-Anbietern bedeutet
Aktualisiert am 23. September 2026: Die Beschreibung von CLOUD Act und Schrems II folgt jetzt dem Wortlaut der verlinkten Fundstellen, und das Urteil des Gerichts der EU vom 3. September 2025 zum EU-US Data Privacy Framework ist ergänzt.
Nach dem US CLOUD Act können US-Behörden von Anbietern, die US-Recht unterliegen, auf Anordnung Daten verlangen, auch wenn diese in Europa gespeichert sind. Was das für Ihr Unternehmen bedeutet und welche Rolle europäische Anbieter dabei spielen.
Das betrifft Cloud- und Kommunikationsdienste von Anbietern mit Sitz in den USA, auch wenn deren Rechenzentren in Europa stehen. Rechtsgrundlage ist der CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
Der Serverstandort allein entscheidet dabei nicht: Maßgeblich ist, ob der Anbieter US-Recht unterliegt, auch wenn Ihre Daten in Frankfurt liegen.
Was ist der CLOUD Act?
Der CLOUD Act trat am 23. März 2018 als US-Bundesgesetz in Kraft. Er ergänzte den Stored Communications Act um 18 U.S.C. § 2713: Anbieter elektronischer Kommunikations- und Cloud-Dienste (electronic communication service und remote computing service), die US-Recht unterliegen, müssen Daten in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle auf Anordnung von US-Behörden sichern oder herausgeben, unabhängig davon, ob diese Daten in den USA oder anderswo auf der Welt gespeichert sind (18 U.S.C. § 2713).
Betroffen sein können damit auch Rechenzentren in der EU, wenn der Betreiber oder sein Konzern US-Recht unterliegt. Ob und wie ein konkreter Dienst betroffen ist, hängt von Vertragspartner, Konzernstruktur und Konfiguration ab.
Das Gesetz entstand während eines Rechtsstreits um E-Mail-Daten, die in einem Rechenzentrum in Irland gespeichert waren. Microsoft hatte sich gegen einen Durchsuchungsbeschluss für diese Daten gewehrt. Nach dem Inkrafttreten des CLOUD Act erklärte der Supreme Court das Verfahren am 17. April 2018 für erledigt (United States v. Microsoft Corp., No. 17-2).
Was DPAs und SCCs leisten und wo ihre Wirkung endet
Viele Unternehmen verlassen sich auf Data Processing Agreements (DPAs) oder Standardvertragsklauseln (SCCs) mit ihren US-Anbietern. Diese Verträge regeln das Verhältnis zwischen Ihnen und dem Anbieter. Eine US-Behörde binden sie nicht.
Konkret bedeutet das:
- Ein privatrechtlicher Vertrag befreit ein Unternehmen, das US-Recht unterliegt, nicht von einer US-Anordnung
- Geheimhaltungsanordnungen ("gag orders") können verhindern, dass der Provider Sie benachrichtigt
- Der Serverstandort in der EU allein ändert daran nichts, maßgeblich ist, welchem Recht der Anbieter unterliegt
Eine vertragliche Zusage ersetzt deshalb nicht die Frage, welchem Recht der Anbieter unterliegt.
Was Schrems II und das Data Privacy Framework bedeuten
Am 16. Juli 2020 erklärte der Europäische Gerichtshof (EuGH) in der Rechtssache C-311/18 den Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Standardvertragsklauseln bleiben zulässig, sind aber an eine Prüfung des Rechts im Drittland im Einzelfall gebunden.
Der Gerichtshof begründete das mit den Befugnissen nach FISA Section 702 und Executive Order 12333: Sie seien nicht auf das zwingend erforderliche Maß beschränkt, und Betroffene in der EU hätten keinen wirksamen gerichtlichen Rechtsbehelf.
Der Nachfolger, das EU-US Data Privacy Framework vom Juli 2023, stützt sich auf die Executive Order 14086 des US-Präsidenten. Eine Nichtigkeitsklage gegen den Angemessenheitsbeschluss hat das Gericht der EU am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe gegen Kommission), der Beschluss gilt damit weiter. Die Kommission überwacht den Rahmen fortlaufend und kann ihn aussetzen, ändern oder aufheben, wenn sich die Rechtslage in den USA ändert. Welche Fragen das Urteil des Supreme Court vom 29. Juni 2026 zu unabhängigen US-Behörden für diesen Rahmen aufwirft, beschreibt der Beitrag Supreme-Court-Urteil zu unabhängigen US-Behörden.
Die Datenwege bei Nexoria
Nexoria beschreibt die Verarbeitung nach einzelnen Schritten:
- Dateien, Wissensindex und semantische Suche: auf Servern in Deutschland
- KI-Antwortgenerierung: Die Antwortgenerierung durch Nex nutzt Mistral AI.
- Weitere Dienste und aktivierte Integrationen: separat unter Sicherheit aufgeführt, darunter Sentry zur technischen Fehlerüberwachung sowie Telnyx für den optionalen VoiceBot-Telefonanschluss
- Optional angebundene KI-Anbieter: ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) und Langdock lassen sich optional an Nexoria anbinden. Nexoria funktioniert auch ohne diese Anbindungen. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Maßgeblich sind dessen Bedingungen, Verarbeitungsorte und Einstellungen.
Die von Nexoria an Mistral AI übermittelten Daten werden nach dem individuellen Auftragsverarbeitungsvertrag nicht für Modelltraining verwendet. Aus diesen technischen Angaben leiten wir keinen pauschalen Ausschluss behördlicher Zugriffe oder sämtlicher Drittlandbezüge ab.
Fazit: Handeln Sie jetzt
Für die Bewertung einer Plattform sind die tatsächlich genutzten Dienste, ihre Verarbeitungsorte und die beteiligten Anbieter maßgeblich. Bei Nexoria können Sie diese Aufteilung für die Kernplattform und zusätzliche Integrationen in der Komponentenübersicht nachlesen.
Nexoria verbindet KI-Assistent, Dokumentensuche, Geschäftsprozesse und Kommunikation. Welche Daten dabei verarbeitet werden, hängt von der jeweiligen Funktion und den aktivierten Integrationen ab.
Erfahren Sie, wie Nexoria Base und Pro Dateiablage und Suche in Deutschland mit der Antwortgenerierung durch Mistral AI verbinden, oder buchen Sie eine persönliche Demo mit unserem Team.