{"id":1458,"date":"2026-11-03T12:10:03","date_gmt":"2026-11-03T11:10:03","guid":{"rendered":"https:\/\/www.g-lorenzen.de\/?p=1458"},"modified":"2026-11-03T12:10:04","modified_gmt":"2026-11-03T11:10:04","slug":"wie-haengen-das-us-cloud-act-und-art-48-dsgvo-genau-zusammen","status":"publish","type":"post","link":"https:\/\/www.g-lorenzen.de\/index.php\/2026\/11\/03\/wie-haengen-das-us-cloud-act-und-art-48-dsgvo-genau-zusammen\/","title":{"rendered":"Wie h\u00e4ngen das US CLOUD Act und Art. 48 DSGVO genau zusammen?"},"content":{"rendered":"\n

Der US CLOUD Act<\/strong> und Artikel 48 der DSGVO<\/strong> stehen in einem direkten rechtlichen Zielkonflikt bei internationalen Datentransfers und beh\u00f6rdlichen Zugriffen[1]<\/sup>[2]<\/sup>.<\/p>\n\n\n\n

\n\n\n\n

1. Das Grundproblem: Welches Prinzip gilt?<\/strong><\/h3>\n\n\n\n
    \n
  • Der US CLOUD Act (<\/strong> Jurisdiction-by-Ownership<\/strong> ):<\/strong> Der 2018 erlassene Clarifying Lawful Overseas Use of Data Act<\/em> erm\u00e4chtigt US-Beh\u00f6rden, von US-Unternehmen (und deren Tochtergesellschaften) die Herausgabe von elektronischen Daten zu verlangen \u2013 unabh\u00e4ngig davon, wo die Daten physisch gespeichert sind<\/strong>[3]<\/sup>. Entscheidend ist nicht der Serverstandort (z. B. ein Rechenzentrum in Frankfurt oder Amsterdam), sondern die rechtliche Beherrschung durch den US-Mutterkonzern[3]<\/sup>.<\/li>\n\n\n\n
  • Artikel 48 DSGVO (<\/strong> Rechtshilfevorbehalt<\/strong> ):<\/strong> Art. 48 DSGVO legt fest, dass Urteile oder Entscheidungen von Verwaltungsbeh\u00f6rden aus einem Drittland (wie den USA), die die Herausgabe personenbezogener Daten verlangen, in der EU grunds\u00e4tzlich nicht anerkannt werden<\/strong>. Eine Daten\u00fcbermittlung an eine ausl\u00e4ndische Beh\u00f6rde ist nach der DSGVO nur dann rechtm\u00e4\u00dfig, wenn sie auf einer wirksamen internationalen \u00dcbereinkunft<\/strong> beruht \u2013 etwa einem bilateralen Rechtshilfeabkommen (Mutual Legal Assistance Treaty \/ MLAT)[1]<\/sup>[2]<\/sup>.<\/li>\n<\/ul>\n\n\n\n
    \n\n\n\n

    2. Warum entsteht der direkte Konflikt?<\/strong><\/h3>\n\n\n\n
      \n
    1. Bypassing von Rechtshilfeabkommen (MLAT):<\/strong> Der CLOUD Act umgeht das klassische MLAT-Verfahren, bei dem sich US-Beh\u00f6rden an europ\u00e4ische Gerichte wenden m\u00fcssten[2]<\/sup>[9]<\/sup>. Stattdessen verpflichtet die US-Justiz den US-Anbieter direkt[2]<\/sup>[10]<\/sup>.<\/li>\n\n\n\n
    2. Fehlende Rechtsgrundlage nach DSGVO:<\/strong> Da zwischen der EU und den USA derzeit kein exekutives Abkommen unter dem CLOUD Act besteht, stellt eine alleinige Anordnung nach dem CLOUD Act aus Sicht der EU keine g\u00fcltige Rechtsgrundlage f\u00fcr eine Daten\u00fcbermittlung gem\u00e4\u00df Art. 48 DSGVO<\/strong> dar[2]<\/sup>[9]<\/sup>.<\/li>\n\n\n\n
    3. Die Zwickm\u00fchle (<\/strong> Conflict of Laws<\/strong> ):<\/strong><\/li>\n<\/ol>\n\n\n\n
        \n
      • Befolgt<\/strong> der US-Cloud-Anbieter (oder seine europ\u00e4ische Tochter) die US-Anordnung, verst\u00f6\u00dft er gegen die DSGVO, da eine rechtswidrige Drittland\u00fcbermittlung ohne zul\u00e4ssiges Instrument vorliegt[1]<\/sup>[2]<\/sup>.<\/li>\n\n\n\n
      • Verweigert<\/strong> der Anbieter die Herausgabe, riskiert er erhebliche Sanktionen nach US-Recht wegen Missachtung von Gerichtsentscheidungen[2]<\/sup>.<\/li>\n<\/ul>\n\n\n\n
          \n
        1. Geheimhaltungsanordnungen (<\/strong> Gag Orders<\/strong> ):<\/strong> US-Herausgabeanordnungen sind h\u00e4ufig mit Stillschweigen belegt[11]<\/sup>[12]<\/sup>. Der europ\u00e4ische Kunde (sowie die betroffenen Personen) erf\u00e4hrt in vielen F\u00e4llen nicht, dass seine Daten herausgegeben wurden, was zus\u00e4tzlich gegen die Transparenz- und Betroffenenrechte der DSGVO verst\u00f6\u00dft[1]<\/sup>[11]<\/sup>.<\/li>\n<\/ol>\n\n\n\n
          \n\n\n\n

          3. Keine L\u00f6sung durch das Data Privacy Framework (DPF)<\/strong><\/h3>\n\n\n\n

          Das EU-US Data Privacy Framework<\/em> (Angemessenheitsbeschluss der EU-Kommission) erleichtert zwar die allgemeine \u00dcbermittlung personenbezogener Daten f\u00fcr gesch\u00e4ftliche Zwecke an zertifizierte US-Empf\u00e4nger, l\u00f6st das Problem des CLOUD Acts jedoch nicht[13]<\/sup>[14]<\/sup>. Das DPF bildet keine Rechtsgrundlage f\u00fcr beh\u00f6rdliche Zwangszugriffe nach dem CLOUD Act<\/strong>[14]<\/sup>.<\/p>\n\n\n\n

          \n\n\n\n

          4. Was bedeutet das f\u00fcr Unternehmen in der Praxis?<\/strong><\/h3>\n\n\n\n

          Da Vertr\u00e4ge und Standardvertragsklauseln ein US-Gesetz nicht au\u00dfer Kraft setzen k\u00f6nnen, greifen zur Risikoreduktion vor allem technische und organisatorische Ma\u00dfnahmen:<\/p>\n\n\n\n

            \n
          • Kundenseitige Verschl\u00fcsselung (CMEK \/ BYOK):<\/strong> Wird der Dateninhalt so verschl\u00fcsselt, dass die Schl\u00fcssel ausschlie\u00dflich beim EU-Kunden verbleiben, kann der Cloud-Anbieter im Falle einer CLOUD-Act-Anordnung technisch nur unlesbaren Chiffretext bereitstellen[15]<\/sup>[16]<\/sup>.<\/li>\n\n\n\n
          • Europ\u00e4ische Alternativen f\u00fcr Hochschutzbedarf:<\/strong> F\u00fcr besonders sensible Daten oder Kernprozesse w\u00e4hlen viele Organisationen Anbieter ohne US-Konzernbezug, um das Zugriffsrisiko von vornherein auszuschlie\u00dfen[13]<\/sup>.<\/li>\n<\/ul>\n\n\n\n

            Welche Rolle spielt die EU Data Boundary genau?<\/h3>\n\n\n\n

            Die EU Data Boundary<\/strong> (sowie vergleichbare Initiativen anderer US-Hyperscaler) spielt eine wichtige technische Rolle f\u00fcr die Datenresidenz<\/strong>, bietet jedoch keinen vollst\u00e4ndigen rechtlichen Schutz<\/strong> vor extraterritorialen Zugriffen[1]<\/sup>[2]<\/sup>.<\/p>\n\n\n\n

            Die konkrete Rolle und Wirkungsweise l\u00e4sst sich anhand folgender Kernaspekte zusammenfassen:<\/p>\n\n\n\n

            1. Zusage zur regionalen Datenhaltung (Datenresidenz)<\/strong><\/h3>\n\n\n\n

            Mit der EU Data Boundary sichern Anbieter zu, dass Kundeninhalte und personenbezogene Daten vorrangig in Rechenzentren innerhalb der Europ\u00e4ischen Union bzw. des EWR gespeichert und verarbeitet werden[2]<\/sup>[3]<\/sup>. Dies vereinfacht die prim\u00e4re Risikobewertung nach der DSGVO und reduziert unn\u00f6tige grenz\u00fcberschreitende Routine-Datenfl\u00fcsse[4]<\/sup>[5]<\/sup>.<\/p>\n\n\n\n

            2. Die Grenze der Schutzwirkung: \u201eJurisdiction-by-Ownership\u201c vs. \u201eLocation\u201c<\/strong><\/h3>\n\n\n\n

            Die physische Speicherung in einer EU-Region hebt die Anwendbarkeit ausl\u00e4ndischer Gesetze wie des US CLOUD Acts<\/strong> nicht auf[2]<\/sup>[6]<\/sup>. F\u00fcr den CLOUD Act ist nicht der physische Serverstandort entscheidend (Jurisdiction-by-Location<\/em>), sondern die rechtliche Beherrschung durch den US-Mutterkonzern (Jurisdiction-by-Ownership<\/em>)[2]<\/sup>. Wenn eine US-Beh\u00f6rde eine rechtm\u00e4\u00dfige Herausgabeanordnung erl\u00e4sst, ist der US-Mutterkonzern verpflichtet, auf die Daten zuzugreifen \u2013 selbst wenn diese in europ\u00e4ischen Rechenzentren liegen[2]<\/sup>.<\/p>\n\n\n\n

            3. Technische Schutzschichten und Restrisiken<\/strong><\/h3>\n\n\n\n

            Obwohl die EU Data Boundary das juristische Grundproblem des CLOUD Acts nicht l\u00f6st[2]<\/sup>[10]<\/sup>, bringt sie wertvolle technische Schutzmechanismen mit sich[2]<\/sup>:<\/p>\n\n\n\n

              \n
            • Erweiterte Verschl\u00fcsselungsoptionen:<\/strong> Sie erm\u00f6glicht den effektiven Einsatz von kundenkontrollierter Verschl\u00fcsselung (Customer-Managed Encryption Keys \/ CMEK<\/em> oder Bring Your Own Key<\/em>)[11]<\/sup>[12]<\/sup>. Wenn der Schl\u00fcssel ausschlie\u00dflich beim Kunden verbleibt, kann der Anbieter im Falle einer Herausgabeanordnung technisch nur unlesbaren Chiffretext bereitstellen[11]<\/sup>[12]<\/sup>.<\/li>\n\n\n\n
            • Support- und Administrationsschranken:<\/strong> Durch Funktionen wie Customer Lockbox<\/em> k\u00f6nnen Support- und Wartungszugriffe aus Drittstaaten eingeschr\u00e4nkt und steuerbar gemacht werden[13]<\/sup>.<\/li>\n\n\n\n
            • Verbleibendes Restrisiko bei Telemetrie & Support:<\/strong> Die EU Data Boundary stellt keine vollst\u00e4ndig isolierte \u201eEU-only Cloud\u201c dar[4]<\/sup>. Bei globalen Sicherheitsmonitoren, Telemetrie-\/Diagnosedaten oder international angefordertem Support k\u00f6nnen weiterhin begrenzte Metadaten oder Zugriffe \u00fcber die Regionsgrenzen hinaus anfallen[14]<\/sup>.<\/li>\n<\/ul>\n\n\n\n

              Fazit f\u00fcr die Praxis<\/strong><\/h3>\n\n\n\n

              Die EU Data Boundary ist ein n\u00fctzlicher Baustein in einem modernen Sicherheits- und Vertragskonzept<\/strong>, aber kein automatischer \u201ePersilschein\u201c[4]<\/sup>[5]<\/sup>. Unternehmen d\u00fcrfen sie nicht mit einer vollst\u00e4ndigen Befreiung von Drittlandrisiken verwechseln, sondern m\u00fcssen bei hochschutzbed\u00fcrftigen Daten zus\u00e4tzlich auf starke kundenkontrollierte Verschl\u00fcsselung (CMEK)<\/strong> setzen oder f\u00fcr kritische Kernprozesse reine EU-Anbieter ohne US-Konzernbezug evaluieren[5]<\/sup><\/p>\n\n\n\n

              <\/p>\n\n\n\n

              Quellenverzeichnis<\/strong><\/h3>\n\n\n\n
                \n
              1. Dr. Datenschutz \/ intersoft consulting:<\/strong> DPIA des niederl\u00e4ndischen Justizministeriums zur Google Cloud<\/em> (Oktober 2026)[7]<\/sup>.<\/li>\n\n\n\n
              2. Privacy Company:<\/strong> DPIA on the use of Google Cloud Platform (GCP)<\/em> & Dutch Government Consults Data Protection Authority on Privacy Risks of Google Workspace Enterprise<\/em> (Juni 2026 \/ Feb. 2021)[11]<\/sup>.<\/li>\n\n\n\n
              3. Woelke IT-Solution GmbH:<\/strong> EU-Region reicht nicht mehr: Diese Cloud-Fallen \u00fcbersehen viele<\/em> (Mai 2026)[5]<\/sup>.<\/li>\n\n\n\n
              4. Netherlands Court of Audit (Algemene Rekenkamer):<\/strong> Dutch central government in the cloud \u2013 Dark clouds are looming<\/em> (Januar 2025)[1]<\/sup>.<\/li>\n\n\n\n
              5. iBestuur:<\/strong> Publieke sector mag Google Cloud gebruiken<\/em> (Juli 2026)[9]<\/sup>.<\/li>\n\n\n\n
              6. Cloud.nl Editorial Team:<\/strong> The CLOUD Act and your data: What Dutch businesses need to know<\/em> (M\u00e4rz 2026)[13]<\/sup>.<\/li>\n\n\n\n
              7. Google Cloud Blog (Marc Crandall, Joost Smit):<\/strong> Google Cloud confirmed to offer a safer choice for EU public sector organizations with Dutch DPIA approval<\/em> (Juli 2026)[8]<\/sup>.<\/li>\n\n\n\n
              8. Ministerie van Justitie en Veiligheid (D. Ye\u015filg\u00f6z-Zegerius):<\/strong> Kamerstuk 26643, nr. 859 \u2013 Brief van de Minister van Justitie en Veiligheid<\/em> (Mai 2022)[45]<\/sup>.<\/li>\n\n\n\n
              9. Xcademia:<\/strong> Google Cloud Wins Dutch DPIA Approval for EU Public Sector<\/em> (Juli 2026)[14]<\/sup>[69]<\/sup>.<\/li>\n\n\n\n
              10. University of Glasgow (G. Elena, C. W. Johnson):<\/strong> Factors Influencing Risk Acceptance of Cloud Computing Services in the UK Government<\/em> (IJCCSA, 2015)[3]<\/sup>.<\/li>\n<\/ol>\n","protected":false},"excerpt":{"rendered":"

                Der US CLOUD Act und Artikel 48 der DSGVO stehen in einem direkten rechtlichen Zielkonflikt…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[],"class_list":["post-1458","post","type-post","status-publish","format-standard","hentry","category-it-audit"],"_links":{"self":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1458","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/comments?post=1458"}],"version-history":[{"count":1,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1458\/revisions"}],"predecessor-version":[{"id":1459,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1458\/revisions\/1459"}],"wp:attachment":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/media?parent=1458"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/categories?post=1458"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/tags?post=1458"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}