Zum Inhalt springen
Kanroo
AnmeldenKostenlos starten

EU-Hosting vs. EU-Unternehmen: Was der CLOUD Act bedeutet

Die EU-Region eines US-Anbieters bleibt ein US-Anbieter. Was der CLOUD Act erfasst, was EU-Recht sagt und acht Fragen an jeden Anbieter.

Von Veröffentlicht 8 Min. Lesezeit
Auf dieser Seite

Keine Rechtsberatung. Dieser Beitrag erklärt die Rechtslage in einfachen Worten. Für Deinen Einzelfall frag eine Anwältin oder einen Anwalt.

Viele Software-Anbieter bieten inzwischen eine „EU-Region“ an. Deine Daten bleiben in Frankfurt, Paris oder Dublin. Das ist nützlich, beantwortet aber nur eine Frage: Wo stehen die Festplatten? Offen bleibt die Frage, die am meisten zählt, sobald eine ausländische Regierung Deine Daten verlangt: Welchem Recht muss der Anbieter gehorchen?

Drei oft verwechselte Begriffe

  • Speicherort. Das Rechenzentrum, in dem Deine Daten liegen.
  • Verarbeitungsort. Wo die Daten gelesen, geändert und gesichert werden. Dazu gehört auch der Fernzugriff durch Support- oder Betriebspersonal aus anderen Ländern.
  • Rechtshoheit. Welcher Staat dem Unternehmen, das die Daten kontrolliert, über seine Gerichte Anordnungen erteilen kann. Sie folgt dem Unternehmen, nicht dem Server.

Ein Server in Deutschland kann einem Unternehmen gehören, das US-Gerichten gehorchen muss. Genau darum geht es beim CLOUD Act.

Was der CLOUD Act sagt

Die USA haben den CLOUD Act im März 2018 verabschiedet. Er ergänzte das US-Recht um einen kurzen Abschnitt: 18 U.S.C. § 2713. Ein Anbieter von Online-Kommunikations- oder Speicherdiensten muss Daten herausgeben, die sich in seiner „possession, custody, or control“ befinden, also in seinem Besitz, Gewahrsam oder unter seiner Kontrolle. Das gilt unabhängig davon, ob die Daten in den USA oder anderswo gespeichert sind.

Für einen US-Anbieter ändert die EU-Region also nichts. Erlässt ein US-Gericht eine wirksame Anordnung, muss der Anbieter ihr folgen, egal wo die Daten liegen.

Wer gilt als Anbieter unter US-Rechtshoheit? Darauf hat das US-Justizministerium (DOJ) 2019 geantwortet. Die Rechtshoheit „is not limited to U.S. corporations, U.S. headquartered companies, or companies owned by U.S. persons.“ Sie ist also nicht auf US-Unternehmen, Unternehmen mit Hauptsitz in den USA oder Unternehmen in US-Besitz beschränkt. Auch ein ausländisches Unternehmen kann erfasst sein, wenn es „sufficient contacts“ (ausreichende Verbindungen) zu den USA hat, zum Beispiel wenn es aktiv US-Kunden bedient. Das DOJ nennt diese Prüfung „highly fact-dependent“: Sie hängt stark vom Einzelfall ab. Außerdem betont das DOJ: Der CLOUD Act hat die US-Rechtshoheit nicht auf neue Unternehmen ausgedehnt. Er hat nur klargestellt, was erfasste Unternehmen herausgeben müssen.

Kurz gesagt:

  • Ein US-Unternehmen ist klar erfasst.
  • Ein EU-Unternehmen mit US-Mutterkonzern kann über die Muttergesellschaft erfasst sein.
  • Ein EU-Unternehmen mit echtem US-Geschäft kann erfasst sein.
  • Ein EU-Unternehmen ohne Verbindungen in die USA ist für US-Gerichte nur sehr schwer erreichbar.

Kann ein Anbieter ablehnen?

Teilweise. Ein Anbieter kann ein US-Gericht bitten, eine Anordnung aufzuheben, wenn sie mit ausländischem Recht kollidiert. Den formalen Weg dafür bietet der CLOUD Act aber nur Ländern mit einem Abkommen nach diesem Gesetz. Das sind heute das Vereinigte Königreich und Australien. Die EU und die USA verhandeln seit 2019 über ein solches Abkommen. Bis Oktober 2026 haben wir kein unterzeichnetes Abkommen gefunden. US-Gerichte können ausländische Interessen trotzdem abwägen („comity“, die Rücksichtnahme zwischen Staaten), aber das liegt in ihrem Ermessen.

Geheimdienste: eigene Gesetze

Der CLOUD Act betrifft Strafverfahren, mit Richter und Durchsuchungsbeschluss. US-Geheimdienste stützen sich auf andere Gesetze.

  • FISA Section 702 erlaubt US-Behörden, Nicht-US-Personen im Ausland ins Visier zu nehmen. Das geschieht über Anordnungen an Anbieter elektronischer Kommunikationsdienste. 2020 stellte der Gerichtshof der EU fest: Es fehlen angemessene Grenzen und Rechtsschutz für Menschen in der EU. Stand Oktober 2026: Im Juni 2026 hat der Kongress die gesetzliche Grundlage von Section 702 auslaufen lassen. Laut den meisten Quellen läuft das Programm dank gerichtlicher Genehmigungen vom März 2026 noch bis März 2027. Bis Mitte Oktober 2026 ist keine Verlängerung in Kraft getreten.
  • Executive Order 12333 regelt die Informationsbeschaffung außerhalb der USA, zum Beispiel an Netzwerkkabeln. Dafür ist keine Mitwirkung eines Anbieters nötig. Ein EU-Anbieter ändert daran also nichts. Was dagegen hilft: Verschlüsselung bei der Übertragung.

Die Sicht der EU

Das EU-Recht sieht es genau umgekehrt. Artikel 48 DSGVO sagt: Eine ausländische Gerichtsentscheidung, die die Herausgabe personenbezogener Daten verlangt, darf nur anerkannt werden, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen. Ein US-Anbieter in der EU kann also zwischen zwei Gesetzen stehen, die Gegensätzliches verlangen. Diesen Konflikt trägt der Anbieter, nicht Du. Deine Daten liegen aber mittendrin.

Im Urteil Schrems II (Rechtssache C-311/18, Juli 2020) hat der Gerichtshof der EU das Privacy Shield gekippt, das frühere Abkommen für Datenübermittlungen zwischen EU und USA. Der Grund war das US-Überwachungsrecht.

Sein Nachfolger, das EU-US Data Privacy Framework, gilt seit Juli 2023 und ist heute wirksam. Im September 2025 hat das Gericht der EU eine Klage des französischen Abgeordneten Philippe Latombe abgewiesen. Er hat dagegen Rechtsmittel beim Gerichtshof eingelegt (Rechtssache C-703/25 P), über das noch nicht entschieden ist. Einige Fragen sind offen. Dem US-Aufsichtsgremium, auf das sich das Framework stützt, fehlt seit Januar 2025 die Beschlussfähigkeit. Die Rechtsgrundlage von Section 702 ist im Juni 2026 ausgelaufen. Das macht das Framework nicht ungültig. Es sind aber Gründe, es im Blick zu behalten.

Die Frage nach dem CLOUD Act beantwortet das Framework ohnehin nicht. Es regelt Übermittlungen in die USA. Der CLOUD Act regelt, was ein Anbieter unter US-Kontrolle herausgeben muss, egal wo die Daten liegen.

Was die Aufsicht zu EU-Töchtern sagt

Der Europäische Datenschutzausschuss (EDSA) beschreibt genau diesen Fall: Ein EU-Unternehmen gehört zu einem Konzern außerhalb der EU und ist „subject to third country legislation with extraterritorial effect“, unterliegt also dem Recht eines Drittstaats, das über dessen Grenzen hinaus wirkt. Gibt dieses Unternehmen auf eine ausländische Anfrage hin Daten heraus, ist das nach EU-Recht eine Übermittlung. Das muss der Kunde prüfen, bevor er den Anbieter beauftragt.

Die deutschen Aufsichtsbehörden sahen es im Januar 2023 in der Datenschutzkonferenz (DSK) genauso. Das Risiko allein ist noch keine Übermittlung. Es kann aber die Zuverlässigkeit eines Anbieters infrage stellen. Dann sind „an die Sorgfalt der Zuverlässigkeitsprüfung im Sinne von Artikel 28 Absatz 1 DSGVO besonders hohe Anforderungen zu stellen“.

Im Juni 2025 fragte der französische Senat einen Direktor von Microsoft France unter Eid, ob er garantieren könne, dass Daten französischer Bürger nie ohne französische Zustimmung an US-Behörden gehen. Seine Antwort: «Non, je ne peux pas le garantir» („Nein, das kann ich nicht garantieren“). Er fügte hinzu, das sei bisher nie vorgekommen. Die Antwort beschreibt die Rechtslage jedes Anbieters unter US-Rechtshoheit, nicht das Versagen eines einzelnen Unternehmens.

Acht Fragen an jeden Anbieter

  1. Welches Unternehmen unterschreibt den Vertrag, und in welchem Land ist es eingetragen?
  2. Wem gehört dieses Unternehmen? Gibt es eine Muttergesellschaft außerhalb der EU?
  3. Hat das Unternehmen oder sein Konzern Büros, Personal oder Rechenzentren in den USA?
  4. Kann Personal außerhalb der EU auf Kundendaten zugreifen, zum Beispiel für den Support?
  5. Welche Unterauftragsverarbeiter verarbeiten Deine Daten, und wo sind sie eingetragen?
  6. Hat der Anbieter Anfragen ausländischer Behörden erhalten? Veröffentlicht er einen Transparenzbericht?
  7. Wehrt er sich gegen unrechtmäßige Anfragen und informiert Dich darüber, soweit das Gesetz es erlaubt?
  8. Welche Daten gehen trotzdem an Unternehmen außerhalb der EU, zum Beispiel für Abrechnung oder E-Mail-Versand?

Ein guter Anbieter beantwortet diese Fragen schriftlich. Der erste Blick gilt dem Auftragsverarbeitungsvertrag und seiner Liste der Unterauftragsverarbeiter.

So beantwortet Kanroo die Fragen

Wir entwickeln Kanroo, wir sind also nicht neutral. Hier steht, was Du nachprüfen kannst, und wo.

  1. Vertrag: TECHPOINT, ein deutsches Unternehmen. Das Impressum sagt, wer dahintersteht.
  2. Inhaltsdaten: Boards, Wikis und Dateien werden nur von zwei EU-Unternehmen gespeichert und verarbeitet. Die netcup GmbH (Karlsruhe, Deutschland) betreibt unsere Server in Nürnberg. Die Scaleway SAS (Paris, Frankreich) speichert Dateien in Amsterdam und versendet unsere E-Mails aus Paris. Die Liste der Unterauftragsverarbeiter stammt aus unserem Auftragsverarbeitungsvertrag.
  3. Eigentümer: netcup gehört zur österreichischen Anexia-Gruppe. Scaleway gehört zur französischen iliad-Gruppe. Keines der beiden hat eine US-Muttergesellschaft.
  4. Abrechnung: Bezahlte Pläne verkauft die Polar Software, Inc., ein US-Unternehmen, als Merchant of Record (Polar verkauft in eigenem Namen). Polar erhält Abrechnungsdaten: die E-Mail-Adresse des Inhabers und eine interne Nutzer-ID, eine Rechnungs-E-Mail-Adresse, falls der Inhaber eine angibt, den Namen der Organisation, eine interne Organisations-ID, den Plan und die Zahl der Plätze. Nach einer Übertragung der Inhaberschaft erhält Polar auch den Namen des neuen Inhabers. Deine Zahlungsdaten gibst Du direkt bei Polar ein. Polar erhält nie Boards, Wikis oder Dateien. Bei kostenlosen Plänen geht nichts an Polar. Die Tabelle weitere Beteiligte nennt alle anderen.
  5. E-Mail: Wir versenden E-Mails aus Paris. Nach der Zustellung speichert sie Dein Mail-Anbieter, wo auch immer er sitzt.
  6. Deine eigenen Server: Der Kern von Kanroo ist Open Source (AGPL-3.0). Wenn Du volle Kontrolle brauchst, hoste den Kern selbst, ohne Plan-Limits. Außerdem kannst Du jederzeit ein Board exportieren, als JSON oder CSV.

Unsere Sicherheitsmaßnahmen und die Kurzfassung dieser Antwort stehen auf der Seite Sicherheit. Wenn Du Tools vergleichst: Unser Beitrag zu Trello-Alternativen aus der EU stellt sechs Kanban-Tools dieselben Fragen.

EU-Hosting ist ein guter Anfang, ein EU-Unternehmen ein besserer. Deine eigene Prüfung ersetzt beides nicht. Wir halten diesen Beitrag aktuell.

Zuletzt geprüft: 16. Oktober 2026.

Quellen

Alle Seiten wurden am 16. Oktober 2026 aufgerufen.

Hat Dir dieser Artikel gefallen?

Probier es selbst aus.

Kanroo Cloud hat jede Funktion in jedem Plan. Teste es mit einem echten Projekt und entscheide dann.

Kostenlos startenPreise ansehen