US Cloud Act: Was er für KI in Europa bedeutet

Was regelt der US Cloud Act?

Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) ist seit März 2018 in Kraft. Sein Kern steht in 18 U.S.C. § 2713: Anbieter von Kommunikations- und Rechendiensten müssen Daten, die sie besitzen, verwahren oder kontrollieren, auf Anordnung herausgeben, unabhängig davon, ob die Daten in den USA oder im Ausland liegen. Es geht um Ermittlungen von Strafverfolgungsbehörden mit gerichtlicher Anordnung oder vergleichbaren Verfahren.

Der Cloud Act erlaubt außerdem Abkommen mit anderen Staaten, die gegenseitigen Zugriff auf elektronische Beweismittel regeln. Solche Abkommen hat die US-Regierung mit dem Vereinigten Königreich (2019) und Australien (2021) unterzeichnet. Mit der EU wird seit 2019 verhandelt, die Gespräche wurden 2023 wieder aufgenommen; ein Abkommen lag bei Redaktionsschluss nach unserer Recherche nicht vor.

Wen betrifft der Cloud Act?

Anbieter	Cloud Act anwendbar?
US-Unternehmen mit Rechenzentrum in den USA	ja
US-Unternehmen mit Rechenzentrum in der EU	ja, wenn es die Daten kontrolliert
Europäische Tochter eines US-Konzerns	in der Regel ja, wenn der Konzern Zugriff auf die Daten hat
Europäisches Unternehmen ohne US-Bezug	nein
Europäisches Unternehmen, das ein Modell oder Rechenzentrum eines US-Anbieters nutzt	für die Daten beim US-Anbieter ja

Für KI ist die letzte Zeile wichtig. Viele KI-Angebote europäischer Firmen schicken Anfragen an Modelle, die bei US-Konzernen laufen, auch in deren europäischen Rechenzentren. Dann ist der Anbieter, mit dem Sie den Vertrag haben, europäisch, die Verarbeitung im Modell aber nicht.

Wie verhält sich der Cloud Act zur DSGVO?

Art. 48 DSGVO legt fest: Urteile und Entscheidungen von Behörden eines Drittlands, die eine Übermittlung personenbezogener Daten verlangen, werden nur anerkannt, wenn sie auf einer internationalen Übereinkunft beruhen, etwa einem Rechtshilfeabkommen. Eine Anordnung nach dem Cloud Act ist eine solche Übereinkunft nicht. Ein Anbieter kann deshalb zwischen zwei Rechtsordnungen geraten: US-Recht verlangt die Herausgabe, die DSGVO erlaubt sie nicht ohne Weiteres.

Das EU-US Data Privacy Framework ändert daran nichts Grundsätzliches. Der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 erlaubt Übermittlungen an zertifizierte US-Unternehmen und stützt sich auf neue Schutzmechanismen der USA, vor allem gegenüber Geheimdiensten. Das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen (Rechtssache T-553/23); das Rechtsmittel beim Gerichtshof (C-703/25 P) war bei Redaktionsschluss anhängig.

Wie prüfen Sie einen KI-Anbieter auf den Cloud Act?

• Eigentümer: Wem gehört der Anbieter? Hat er eine Muttergesellschaft oder einen Mehrheitseigner in den USA?
• KI-Modell: Wo und bei wem läuft das Modell, das Ihre Anfragen verarbeitet? Das steht in der Liste der Unterauftragsverarbeiter.
• Weitere Dienste: Hosting, Sicherung, Websuche, Übersetzung: Auch diese Dienstleister gehören in die Prüfung.
• Vertrag: Wie geht der Anbieter mit Herausgabeverlangen um? Informiert er Sie, soweit erlaubt? Wehrt er sich gegen unberechtigte Anordnungen?
• Daten: Für Gesundheits-, Sozial- und Berufsgeheimnisdaten ist das Risiko eines Zugriffs anders zu bewerten als für öffentliche Texte. Bei Berufsgeheimnissen siehe § 203 StGB und KI.

Wie geht das mit basebox?

basebox ist ein deutsches Unternehmen und unterliegt dem US Cloud Act nicht. Beim Server läuft das KI-Modell auf Hardware nur für Sie, bei Ihnen auf Wunsch ohne Internetverbindung. In der Cloud läuft das KI-Modell auf unseren Servern im Rechenzentrum München-Ost. Anders ist es bei Modellen von US-Anbietern: Für sie gilt der Cloud Act auch in europäischen Rechenzentren.

• App mit externem Modell: Sie ist optional und läuft bei Google Vertex in Frankfurt. Weil Google ein US-Unternehmen ist, gilt für diese App der Cloud Act. Ihr Administrator gibt sie nur für ausgewählte Gruppen frei; ob Sie sie nutzen und für welche Daten, entscheiden Sie mit Ihrem Datenschutzbeauftragten (Vergleich).
• Startumgebung: Wer sich über die Website registriert, startet in einer gemeinsamen Startumgebung bei Hetzner in Nürnberg. Die KI-Modelle kommen dort von Google Vertex in Frankfurt, der Cloud Act gilt also auch dort. Für Gesundheitsdaten und andere besondere Kategorien empfiehlt basebox die eigene Umgebung in der Cloud oder den Server (Startumgebung).
• Behördenanfragen: basebox gibt Daten nur heraus, wenn eine behördliche oder gerichtliche Anordnung dazu verpflichtet, und informiert Sie vorher, soweit das im Einzelfall zulässig und möglich ist. Beim Server ohne Betriebsauftrag hat basebox keinen Zugriff auf Ihre Daten.

Keine Rechtsberatung: Dieser Artikel gibt einen Überblick über den US Cloud Act und sein Verhältnis zum europäischen Datenschutzrecht. Die Rechtslage ist im Fluss: Das Rechtsmittel gegen das Data Privacy Framework und die Verhandlungen über ein EU-US-Abkommen zu elektronischen Beweismitteln laufen. Maßgeblich sind Ihr Datenschutzbeauftragter und die vereinbarten Verträge. Stand der Recherche: 11. Oktober 2026.