Cloud Act: Was er für deutsche Unternehmen und ihre Datenräume bedeutet

Ein mittelständisches Maschinenbauunternehmen aus Baden-Württemberg bereitet den Verkauf einer Tochtergesellschaft vor. Die Geschäftsführung hat einen Datenraum eingerichtet, ein US-Investor prüft die Unterlagen, ein zweites Angebot aus Asien läuft parallel. Niemand im Projektteam hat sich bislang gefragt, wem der Datenraum-Anbieter eigentlich gehört – solange die Software funktioniert und die Server in Europa stehen, schien das Thema erledigt. Genau an diesem Punkt setzt der Cloud Act an: Er ist ein US-Bundesgesetz aus dem Jahr 2018, das US-Cloud- und Softwareanbieter verpflichtet, US-Behörden auf Anordnung Zugriff auf gespeicherte Daten zu gewähren, unabhängig davon, in welchem Land diese Daten liegen.

Der Cloud Act, offiziell der Clarifying Lawful Overseas Use of Data Act, wird in deutschsprachigen Fachtexten oft als Cloud Act bezeichnet, um die Herkunft des Gesetzes von Anfang an klarzustellen. Für ein deutsches Unternehmen bedeutet das: Selbst wenn die Dokumente in einem Rechenzentrum in Frankfurt oder Dublin liegen, kann eine US-Behörde über den US Cloud Act Zugriff verlangen, sofern der Anbieter ein US-Unternehmen ist oder von einem US-Konzern kontrolliert wird. Relevant ist das vor allem für deutsche Unternehmen, die virtuelle Datenräume für M&A-Transaktionen, Due-Diligence-Prüfungen oder Finanzierungsrunden nutzen, und ebenso für Unternehmen im Finanzsektor, die Cloud Act und Datenschutz zugleich regulatorisch bewerten müssen.

Diese Konstruktion überrascht viele, weil sie der bisherigen Intuition widerspricht, dass der Serverstandort über das anwendbare Recht entscheidet. Beim Cloud Act ist das anders: Entscheidend ist nicht, wo die Daten liegen, sondern wer der Anbieter ist und welcher Rechtsordnung dieser unterliegt. Der folgende Beitrag ordnet die rechtlichen und technischen Folgen für deutsche Unternehmen und Datenräume ein, erklärt den Konflikt mit der DSGVO, die aktuelle Rechtslage und die Unsicherheiten ab 2026 und zeigt, worauf es bei Anbieterwahl, technischen Schutzmaßnahmen und regulatorischen Anforderungen in einzelnen Branchen ankommt. Gerade bei vertraulichen Geschäftsunterlagen verschärfen diese Fragen das Datenschutzrisiko erheblich – und damit die Entscheidung, welchem Anbieter sensible Daten überhaupt anvertraut werden sollten.

Wie der US Cloud Act technisch und rechtlich funktioniert

Der Cloud Act ergänzte 1986 erlassenes US-Recht, den Stored Communications Act, um eine zentrale Klarstellung: US-Behörden dürfen von Anbietern, die der US-Gerichtsbarkeit unterliegen, die Herausgabe von Daten verlangen, die sich in deren „Besitz, Verwahrung oder Kontrolle” befinden – ganz gleich, ob diese Daten in Seattle oder in Frankfurt am Main gespeichert sind.

Der unmittelbare Anlass für das Gesetz war ein jahrelanger Rechtsstreit zwischen Microsoft und dem US-Justizministerium, bekannt als United States v. Microsoft Corp. Die US-Bundespolizei FBI hatte im Rahmen einer Ermittlung E-Mail-Daten eines Kunden angefordert, die Microsoft auf einem Server in Dublin speicherte. Microsoft weigerte sich mit dem Argument, ein US-Durchsuchungsbefehl könne keine Wirkung außerhalb der USA entfalten. Der Fall zog sich durch mehrere Instanzen bis vor den Supreme Court – noch bevor dort eine Entscheidung fiel, verabschiedete der US-Kongress im März 2018 den Cloud Act und beendete den Streit auf gesetzgeberischem Weg: zugunsten der Position der Ermittlungsbehörden. Der Supreme Court erklärte den ursprünglichen Fall daraufhin für gegenstandslos, weil die neue Rechtslage die strittige Frage bereits eindeutig beantwortet hatte.

Ein weiteres Detail wird in Diskussionen oft übergangen: Solche Anordnungen können mit einer sogenannten Gag Order verbunden sein – einem gerichtlichen Schweigegebot, das es dem Anbieter untersagt, das betroffene Unternehmen über die Anfrage zu informieren. Ein deutsches Unternehmen erfährt in einem solchen Fall unter Umständen nie, dass seine Daten angefragt oder herausgegeben wurden.

Wie real dieses Szenario ist, zeigen Microsofts eigene, halbjährlich veröffentlichte Transparenzberichte: Allein in der zweiten Jahreshälfte 2025 erhielt Microsoft in den USA 5.587 rechtliche Anfragen von Strafverfolgungsbehörden zu Kundendaten. In 115 dieser Fälle betrafen die Anordnungen ausdrücklich Inhaltsdaten, die außerhalb der USA gespeichert waren. Bei Anfragen zu Firmenkundendaten – für Unternehmen also die relevantere Kategorie – wies Microsoft im selben Zeitraum 51 Prozent der weltweit eingegangenen 190 Anfragen zurück, zog sie zurück oder lieferte keine Daten. Das zeigt zwei Dinge zugleich: Das Risiko ist nicht rein theoretisch, aber auch kein Automatismus, bei dem jede Anfrage zwangsläufig zur Datenherausgabe führt.

Wer konkret unter den Cloud Act und US Behörden fällt

Der Gesetzestext knüpft nicht an die Staatsangehörigkeit der betroffenen Person an, sondern an die Reichweite der US-Gerichtsbarkeit über den Anbieter. In der Praxis lassen sich drei Konstellationen unterscheiden. Erstens: Unternehmen mit Sitz in den USA unterliegen dem Cloud Act uneingeschränkt, unabhängig davon, wo sie ihre Server betreiben. Zweitens: Tochtergesellschaften eines US-Konzerns mit Sitz in der EU fallen ebenfalls darunter, weil die Muttergesellschaft faktisch die Kontrolle über die Daten der Tochter ausüben kann – der Cloud Act stellt ausdrücklich auf „Besitz, Verwahrung oder Kontrolle” ab, nicht auf die formale Konzernstruktur. Drittens: Unternehmen ohne jeden gesellschaftsrechtlichen oder operativen Bezug zu den USA fallen grundsätzlich nicht darunter – wobei US-Gerichte im Einzelfall auch bei ausländischen Unternehmen mit ausreichendem Geschäftsbezug zu den USA (etwa eigenen US-Niederlassungen oder US-Vertragspartnern) über ihre Zuständigkeit entscheiden können. Für die Praxis ist deshalb weniger die theoretische Reichweite des Gesetzes entscheidend als die schlichte Frage: Gehört der Anbieter, direkt oder über seine Konzernmutter, zu einem US-Unternehmen?

Weniger bekannt ist, dass der Cloud Act auch eine Gegenrichtung vorsieht: Er erlaubt es der US-Regierung, mit ausgewählten Staaten bilaterale Exekutivabkommen zu schließen, die es wiederum diesen Staaten erlauben, direkt bei US-Anbietern Daten anzufragen, ohne den klassischen, langsameren Weg über Rechtshilfeabkommen zu gehen. Ein solches Abkommen besteht seit 2019 mit dem Vereinigten Königreich, seit 2021 mit Australien. Ein vergleichbares Abkommen zwischen der EU und den USA existiert bislang nicht – Verhandlungen dazu laufen seit Jahren, ohne dass ein Abschluss absehbar wäre. Für deutsche und europäische Unternehmen bedeutet das im Moment vor allem: Der Cloud Act wirkt derzeit überwiegend in eine Richtung, nämlich vom US-Anbieter zur US-Behörde, ohne dass ein vergleichbar schneller Zugriffsweg in die Gegenrichtung existiert.

Der Konflikt mit der Datenschutz Grundverordnung (DSGVO)

Die DSGVO verbietet grundsätzlich die Übermittlung personenbezogener Daten in Länder außerhalb der EU, sofern kein angemessenes Schutzniveau besteht oder keine geeigneten Garantien vorliegen. Der Cloud Act steht dazu in einem strukturellen Spannungsverhältnis: Er verpflichtet US-Anbieter zur Herausgabe von Daten, ohne dass die betroffene Person oder das betroffene Unternehmen dem zustimmen oder dagegen vorgehen könnte – ein Vorgang, der mit den Grundprinzipien der DSGVO kaum vereinbar ist.

Besonders konkret wird dieser Konflikt in Artikel 48 der DSGVO. Die Vorschrift stellt klar, dass ein Urteil eines Gerichts oder eine Entscheidung einer Verwaltungsbehörde eines Drittlands, die von einem Verantwortlichen die Übermittlung personenbezogener Daten verlangt, in der EU nur dann anerkannt oder vollstreckt werden darf, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruht. Eine direkte Anordnung nach dem Cloud Act erfüllt diese Voraussetzung in aller Regel nicht – sie läuft am eigentlich vorgesehenen Weg über Rechtshilfeabkommen (den sogenannten Mutual Legal Assistance Treaties, kurz MLAT) bewusst vorbei, was genau der Kritikpunkt vieler europäischer Datenschutzbehörden am Cloud Act ist.

Der Europäische Datenschutzausschuss (EDPB) hat diese Problematik nach dem Schrems-II-Urteil in seinen Empfehlungen 01/2020 zu ergänzenden Maßnahmen bei Datenübermittlungen aufgegriffen und Unternehmen aufgefordert, im Einzelfall zu prüfen, ob der jeweilige Empfänger in einem Drittland tatsächlich in der Lage ist, den europäischen Schutzstandard einzuhalten – gerade dann, wenn wie beim Cloud Act eine gesetzliche Herausgabepflicht besteht, die der Anbieter selbst nicht abwenden kann. Diese Prüfpflicht trifft formal jedes Unternehmen, das personenbezogene Daten an einen Auftragsverarbeiter mit US-Bezug übermittelt – in der Praxis wird sie jedoch häufig erst dann ernst genommen, wenn eine Transaktion mit entsprechend hohem Risiko ansteht.

Für Unternehmen, die einen virtuellen Datenraum für M&A-Transaktionen, Due-Diligence-Prüfungen oder Finanzierungsrunden nutzen, ist das keine akademische Frage: In einem Datenraum liegen genau die Dokumente, an denen sowohl Wettbewerber als auch ausländische Behörden Interesse haben könnten – Bilanzen, Verträge, Bewertungsunterlagen.

2026: Warum die rechtliche Lage gerade wieder unsicherer wird

Die Beziehung zwischen europäischem Datenschutzrecht und US-Recht ist seit Jahren ein Auf und Ab. 2020 kippte der Europäische Gerichtshof im Schrems-II-Urteil das damalige Privacy-Shield-Abkommen, weil es keinen ausreichenden Schutz vor US-Überwachung bot. 2023 folgte mit dem EU-US Data Privacy Framework ein neuer Angemessenheitsbeschluss der EU-Kommission, der Datentransfers in die USA wieder auf eine rechtssichere Basis stellen sollte – vorausgesetzt, der empfangende US-Anbieter hat sich zertifiziert.

Am 29. Juni 2026 hat der US Supreme Court in der Sache Trump v. Slaughter mit 6 zu 3 Stimmen entschieden, dass Mitglieder der Federal Trade Commission (FTC) künftig vom Präsidenten ohne Angabe von Gründen entlassen werden können. Das Gericht kippte damit einen fast 90 Jahre alten Präzedenzfall (Humphrey’s Executor v. United States aus dem Jahr 1935) und stärkte die direkte Kontrolle des Präsidenten über eigentlich unabhängige Behörden. Was zunächst wie eine rein US-interne Frage der Gewaltenteilung klingt, hat eine direkte Verbindung zum Datenschutz: Die FTC ist die Behörde, deren Durchsetzungspraxis mit dafür sorgt, dass sich US-Unternehmen an ihre Zusagen im Rahmen des EU-US Data Privacy Framework halten. Verliert die FTC ihre Unabhängigkeit von der jeweiligen Regierung, wird genau dieses Argument angreifbar, auf dem der Angemessenheitsbeschluss der EU-Kommission beruht. Laut einem Bericht von Tech Times hat die österreichische Datenschutzorganisation noyb um Max Schrems bereits angekündigt, das Data Privacy Framework auf dieser Grundlage rechtlich infrage zu stellen.

Das bedeutet nicht, dass das Data Privacy Framework damit bereits ungültig wäre – noch ist nichts entschieden. Es bedeutet aber, dass die rechtliche Grundlage, auf der viele europäische Unternehmen ihre Datenübermittlung in die USA stützen, 2026 spürbar wackliger geworden ist, als sie es noch 2024 war.

Was als Nächstes passieren könnte

Drei Entwicklungen sind für die kommenden Monate relevant. Erstens könnte noyb tatsächlich Klage gegen das Data Privacy Framework einreichen, was – ähnlich wie bei Schrems I und Schrems II zuvor – am Ende erneut vor dem Europäischen Gerichtshof landen könnte. Ein solches Verfahren würde sich über Jahre hinziehen, das Risiko einer erneuten Invalidierung wäre für diese Zeit aber ein Dauerthema für jedes Unternehmen mit US-Datentransfers. Zweitens wird im US-Kongress mit dem sogenannten SECURE Data Act ein Vorschlag für ein umfassenderes Bundesdatenschutzgesetz diskutiert, das der FTC nach dem Machtverlust an Unabhängigkeit neue, klarer definierte Befugnisse geben soll – ob und wann ein solches Gesetz kommt, ist offen. Drittens gewinnt parallel die europäische Debatte um digitale Souveränität an Fahrt: Initiativen wie GAIA-X verfolgen das Ziel, europäische Cloud-Infrastruktur unabhängiger von US-Anbietern zu machen, auch wenn der praktische Fortschritt bislang langsamer verläuft als die politische Debatte darüber.

Was das konkret für die Wahl eines Datenraums und gespeicherte Daten bedeutet

Für die Praxis lässt sich die Kernfrage auf einen Punkt reduzieren: Wer ist der rechtliche Eigentümer des Datenraum-Anbieters – und in welcher Rechtsordnung kann dieser zur Herausgabe von Daten gezwungen werden? Der Serverstandort allein beantwortet diese Frage nicht, auch wenn er in der Werbung vieler Anbieter so dargestellt wird. Ein Rechenzentrum in Frankfurt schützt nicht vor dem Cloud Act, wenn der Betreiber ein US-Konzern ist; deutsche Anbieter ohne US-Konzernbezug bieten hier im Regelfall zusätzlichen Schutz.

Für das Maschinenbauunternehmen aus dem Eingangsbeispiel hätte das bedeutet, bereits bei der Auswahl des Datenraums vor der eigentlichen Verkaufsvorbereitung zu klären, wem die eingesetzte Plattform gehört – nicht erst, wenn der US-Investor konkrete Fragen zur Datensicherheit stellt und Antworten unter Zeitdruck nachgereicht werden müssen. In der Praxis lässt sich das mit wenigen konkreten Fragen an den Anbieter vorab klären: Wer ist die oberste Konzernmutter, und in welchem Land ist sie eingetragen? Sieht der Auftragsverarbeitungsvertrag eine Benachrichtigungspflicht bei behördlichen Anfragen vor, soweit rechtlich zulässig? Stellt der Anbieter transparente Informationen über Datenstandorte bereit? Und wird im Vertrag ausdrücklich geregelt, welches Recht bei einem Konflikt zwischen Anordnungen Dritter und den DSGVO-Pflichten des Anbieters Vorrang hat? Anbieter, die auf diese drei Fragen keine klare, schriftliche Antwort geben können oder wollen, sollten bei Mandaten mit vertraulichen Unterlagen kritisch hinterfragt werden.

Konkret heißt das für die Anbieterauswahl: Ein europäischer oder Schweizer Konzernsitz, europäisches Hosting und ein Auftragsverarbeitungsvertrag, der Datenübermittlungen in Drittstaaten ausdrücklich ausschließt oder klar regelt, sind die drei Punkte, die sich vor Vertragsabschluss überprüfen lassen. Bei der Bewertung der Cloud-Anbieter kommt es außerdem darauf an, wo die Rechenzentren betrieben werden und ob diese Zuordnung sauber dokumentiert ist – nicht erst, wenn eine Transaktion bereits läuft und der Datenraum unter Zeitdruck aufgesetzt werden muss.

Wer sich zusätzlich fragt, wie sich diese Kriterien in eine umfassendere Anbieterprüfung einordnen, findet in unserem Beitrag zu DSGVO-konformen Cloud-Lösungen eine Checkliste für die Vertragsprüfung, und in unserem Artikel zu NIS2 und virtuellen Datenräumen eine Einordnung, wie sich Cloud-Act-Risiken in ein umfassenderes Sicherheits- und Compliance-Konzept einfügen.

Technische Maßnahmen jenseits der Anbieterwahl

Die Wahl eines Anbieters ohne US-Mutterkonzern ist die wirksamste, aber nicht die einzige Möglichkeit, das eigene Risiko zu begrenzen. Wer aus vertraglichen oder praktischen Gründen dennoch mit einem US-nahen Anbieter arbeitet, sollte auf zusätzliche technische Absicherung und Sicherheit achten. Bei einer clientseitigen Verschlüsselung mit eigenem Schlüsselmanagement, häufig als Bring Your Own Key bezeichnet, verschlüsselt das Unternehmen die Dokumente bereits vor dem Hochladen mit einem Schlüssel, den ausschließlich der eigene Rechtsträger kontrolliert, und unterstützt damit dokumentierte technische Standards. Selbst wenn ein Anbieter zur Datenherausgabe verpflichtet wird, kann er in diesem Fall nur verschlüsselte, für die anfragende Behörde unlesbare Daten übergeben – ihm fehlt schlicht der Schlüssel. Ergänzend hilft eine konsequente Datenminimierung im Datenraum selbst: Nicht jedes Dokument, das theoretisch relevant sein könnte, muss von Beginn an vollständig hochgeladen werden, wenn eine gestaffelte Freigabe je nach Verhandlungsfortschritt möglich ist. Beide Maßnahmen ersetzen keine sorgfältige Anbieterauswahl, reduzieren aber die tatsächlich exponierte Datenmenge und unterstützen die sichere Nutzung von Cloud-Diensten, falls es doch zu einer Anfrage kommt.

Regulierte Branchen: Wenn die Cloud-Act-Prüfung Pflicht wird

Für Unternehmen aus dem Finanzsektor ist die Frage nach dem Cloud Act längst keine freiwillige Fleißaufgabe mehr, sondern Teil der aufsichtsrechtlichen Vorgaben zum IT-Outsourcing. In Deutschland verlangen die Bankaufsichtlichen Anforderungen an die IT (BAIT) der BaFin von Banken eine dokumentierte Risikoanalyse für jeden ausgelagerten IT-Dienst, in die auch eingesetzte IT-Dienstleister einzubeziehen sind, wozu bei Auslandsbezug auch eine Bewertung des Zugriffsrisikos durch ausländische Behörden unter Berücksichtigung einschlägiger Datenschutzgesetze zählt. In der Schweiz stellt das FINMA-Rundschreiben 18/3 zu Outsourcing vergleichbare Anforderungen an Banken und Vermögensverwalter. Ein Datenraum-Anbieter, der bei einer M&A-Transaktion im Finanzsektor eingesetzt wird, kann deshalb schnell selbst zum Gegenstand einer aufsichtsrechtlichen Prüfung werden – ein Grund mehr, die Cloud-Act-Frage nicht erst zu stellen, wenn die Aufsichtsbehörde danach fragt, sondern ihre Auswirkungen im Lichte der Datenschutzgrundverordnung vorab zu bewerten.

Am Ende bleibt der Cloud Act für die meisten Unternehmen kein Grund für Panik, aber ein guter Grund für eine einmalige, gründliche Prüfung der eigenen Anbieterlandschaft. Wer weiß, wem sein Datenraum-Anbieter gehört und wie der Vertrag im Fall einer behördlichen Anfrage reagiert, verschiebt eine unangenehme Überraschung mitten in einer laufenden Transaktion auf einen Zeitpunkt, an dem sie sich in aller Ruhe klären lässt – nämlich vorher.

Die Frage stellt sich dabei längst nicht mehr nur bei klassischen M&A-Prozessen. Auch bei laufender Vorstands- und Aufsichtsratskommunikation, bei der über Jahre hinweg strategische Unterlagen, Sitzungsprotokolle und Compliance-Berichte in einem geschlossenen System liegen, summiert sich das Risiko mit der Zeit: Ein einzelner Datenraum für eine einmalige Transaktion existiert oft nur wenige Wochen, ein Board-Portal dagegen häufig über Jahre – und damit auch die Angriffsfläche für eine spätere behördliche Anfrage.

Beste Datenräume ohne US-Mutterkonzern:

Kein US-Mutterkonzern Zum Profil

Häufig gestellte Fragen zum Cloud Act