EU-Server, DSGVO-konformer Anbieter, Datenschutzerklärung geprüft — und trotzdem können US-Behörden auf Ihre Daten zugreifen. Möglich macht das der US CLOUD Act von 2018. Für KMU, die US-amerikanische SaaS-Tools nutzen, ist das ein reales Restrisiko, das bei der Toolauswahl bekannt sein sollte.
Kurze Antwort
Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) erlaubt US-Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen — unabhängig davon, auf welchem Server und in welchem Land diese Daten gespeichert sind. Das betrifft alle US-Anbieter: Microsoft, Google, Amazon, OpenAI und viele weitere. Ein EU-Rechenzentrum allein schützt nicht vor diesem Zugriff.
Definition
Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act, S. 2383, 115. US-Kongress) wurde 2018 verabschiedet. Er schafft klare Rechtsgrundlagen dafür, dass US-Strafverfolgungsbehörden und Geheimdienste Datenzugang von US-Unternehmen fordern können.
Das Kernprinzip: Wenn ein Unternehmen in den USA registriert ist, unterliegen alle Daten, die es kontrolliert, US-amerikanischem Recht — unabhängig vom physischen Speicherort. Microsoft kann unter bestimmten Voraussetzungen verpflichtet werden, auf Daten zuzugreifen oder diese herauszugeben, auch wenn sie in einem Frankfurter Rechenzentrum liegen.
Der CLOUD Act steht in direktem Spannungsverhältnis zur DSGVO: Die DSGVO verbietet Datenweitergabe ohne Rechtsgrundlage, der CLOUD Act schafft eine US-rechtliche Verpflichtung zur Weitergabe. Welches Recht Vorrang hat, ist in der Praxis rechtlich ungeklärt und hängt vom Einzelfall ab.
Der CLOUD Act sieht theoretisch einen Mechanismus vor, mit dem Unternehmen einen Behördenauftrag anfechten können, wenn er gegen EU-Recht verstößt. In der Praxis ist dieser Schutzmechanismus wenig erprobt.
Tabelle seitlich scrollen →
| Merkmal | EU-Datenschutz (DSGVO) | US-Behördenzugriff (CLOUD Act) |
|---|---|---|
| Wer regelt es? | EU-Recht | US-Bundesrecht |
| Schutz vor Weitergabe | Ja, ohne Rechtsgrundlage | Nein, bei Behördenanordnung |
| Serverstandort relevant? | Ja | Nein |
| Gilt für EU-Töchter von US-Firmen? | Ja | Ja (je nach Konzernstruktur) |
Beispiel aus der Praxis
Eine mittelständische Steuerberatungskanzlei nutzt Microsoft 365 für E-Mails und Dokumentenverwaltung. Alle Daten werden im Microsoft-Rechenzentrum Amsterdam gespeichert. Der Datenschutzbeauftragte hat den AVV geprüft, Standardvertragsklauseln (SCCs) sind vereinbart.
Im Rahmen einer US-Steuerstrafermittlung erhält Microsoft einen CLOUD-Act-Beschluss, der den Zugang zu bestimmten Daten verlangt. Microsoft kann unter diesen Voraussetzungen rechtlich verpflichtet sein, diesem Ersuchen nachzukommen — auch wenn die Daten in Amsterdam liegen. Die Kanzlei erfährt davon möglicherweise erst nachträglich.
Für die Kanzlei ist das ein Problem: Mandantendaten sind durch §203 StGB besonders geschützt. Eine unfreiwillige Weitergabe an US-Behörden kann rechtliche Konsequenzen haben, selbst wenn sie technisch durch Microsoft erfolgt.
Typische Anwendungsfälle
- US-Cloud-Dienste: Microsoft 365, Google Workspace, AWS — EU-Rechenzentrum, aber US-Recht
- KI-Tools US-amerikanischer Anbieter: ChatGPT, Claude (Anthropic), Jasper und viele weitere
- Kommunikationstools: Slack, Zoom, Teams — alle US-Unternehmen
- CRM-Systeme: HubSpot, Salesforce mit EU-Datenresidenz-Option
- Kollaborationstools: Notion, Asana, Monday.com
- Übersetzungsdienste: DeepL (deutsch) vs. Google Translate (US)
- E-Mail-Provider: Google Workspace, Microsoft Outlook
DSGVO-Relevanz
Das Cloud-Act-Risiko ist eines der komplexesten Spannungsfelder zwischen US- und EU-Recht. Drei Punkte sind für KMU relevant:
Drittstaatentransfer: Selbst wenn Daten auf EU-Servern liegen, kann ein erzwungener Behördenzugriff als Drittstaatentransfer gewertet werden. Standardvertragsklauseln (SCCs) und das Data Privacy Framework (DPF) adressieren die datenschutzrechtliche Zulässigkeit von Datentransfers — sie beseitigen jedoch die grundsätzliche Zugriffsmöglichkeit nach US-Recht nicht.
Informationspflicht: Werden Daten tatsächlich an US-Behörden herausgegeben, müssten Sie als Verantwortlicher betroffene Personen grundsätzlich informieren. In der Praxis ist dies kaum umsetzbar, da Behördenanfragen oft mit Schweigepflichten verbunden sind.
Risikoabwägung: Die DSGVO verlangt keine Null-Risiko-Verarbeitung, sondern eine angemessene Risikoabwägung. Das Cloud-Act-Risiko ist für die meisten KMU gering — US-Behörden interessieren sich in der Regel nicht für Buchhaltungsdaten eines deutschen Handwerksbetriebs. Bei Mandantendaten, Patientendaten oder Finanzdaten ist die Bewertung eine andere.
Handlungsempfehlung für KMU: Für Standardanwendungen ohne besonders sensible Daten reicht die Kombination aus EU-Serverstandort, SCCs und DPF-Zertifizierung als angemessene Schutzmaßnahme. Bei hochsensiblen Daten — insbesondere in Branchen mit gesetzlicher Schweigepflicht — sollten Anbieter ohne US-Muttergesellschaft bevorzugt werden.
Cloud Act und Schrems II
Wer sich mit dem Cloud Act beschäftigt, stößt häufig auch auf den Begriff Schrems II — und das ist kein Zufall.
2020 kippte der Europäische Gerichtshof im sogenannten Schrems-II-Urteil das Privacy Shield, das damals als Grundlage für den Datentransfer zwischen EU und USA diente. Einer der zentralen Kritikpunkte: US-Geheimdienste können auf Daten von US-Unternehmen zugreifen — unabhängig vom Speicherort. Genau das ist das Kernproblem, das auch der CLOUD Act beschreibt.
Als Reaktion auf Schrems II und den anhaltenden Druck entstand 2023 das Data Privacy Framework (DPF) als Nachfolger des Privacy Shield. Es schafft eine neue rechtliche Grundlage für Datentransfers und verpflichtet US-Unternehmen zu mehr Transparenz und Rechtsschutzmöglichkeiten für EU-Bürger. Die grundsätzliche Möglichkeit des US-Behördenzugriffs per CLOUD Act bleibt davon jedoch unberührt.
Für die Praxis bedeutet das: DPF löst das datenschutzrechtliche Transferproblem, nicht das CLOUD-Act-Zugriffsrisiko. Wer beide Aspekte verstehen will, sollte beides separat prüfen.
Verwandte Begriffe
- Personenbezogene Daten: Was unter die DSGVO und potenziell den CLOUD Act fällt
- AVV (Auftragsverarbeitungsvertrag): Pflichtvertrag für Auftragsverarbeitung — erste Schutzmaßnahme beim Einsatz US-amerikanischer Tools
- DPF (Data Privacy Framework): Nachfolger des Privacy Shield, adressiert Transferzulässigkeit — nicht den Behördenzugriff selbst
- SCCs (Standardvertragsklauseln): Vertragswerk für rechtmäßige EU-US-Datentransfers — stärkerer Schutz als DPF allein
- TOM: Technische Maßnahmen zur Risikominimierung
- §203 StGB: Berufsgeheimnis — besonders relevant bei Cloud-Act-Risiko für Kanzleien und Arztpraxen
Häufige Missverständnisse
- „EU-Server bedeutet kein Cloud-Act-Risiko.“ Falsch. Der Serverstandort ist irrelevant, wenn das Unternehmen US-amerikanisch ist. Microsoft Frankfurt unterliegt genauso dem CLOUD Act wie Microsoft Seattle.
- „DPF-Zertifizierung beseitigt das Cloud-Act-Risiko.“ Nein. DPF adressiert die datenschutzrechtliche Zulässigkeit von Datentransfers, schützt aber nicht vor direkten Behördenzugriffen nach US-Recht. Beides sind separate Fragen.
- „Nur Großkonzerne sind betroffen.“ Grundsätzlich kann jede Datenmenge betroffen sein. Für die meisten KMU ist das praktische Risiko gering — bei Kanzleien, Arztpraxen oder Unternehmen mit Geschäftsgeheimnissen ist die Bewertung eine andere.
- „SCCs schützen vollständig vor Behördenzugriff.“ SCCs regeln die vertragliche Ebene zwischen Unternehmen. Gegen staatliche Behördenanfragen bieten sie keinen absoluten Schutz.
Häufig gestellte Fragen
Welche Anbieter sind konkret betroffen? Alle Unternehmen mit Hauptsitz oder wesentlichen Geschäftstätigkeiten in den USA: Microsoft, Google, Amazon (AWS), Meta, OpenAI, Salesforce, Slack, Zoom. Europäische Tochtergesellschaften können je nach Konzernstruktur ebenfalls betroffen sein.
Gibt es sichere Alternativen ohne Cloud-Act-Risiko? Reine EU-Anbieter ohne US-Muttergesellschaft und ohne relevante US-Konzernstruktur unterliegen dem CLOUD Act regelmäßig nicht. Für KI-Tools ist das Angebot solcher Anbieter noch begrenzt. Unsere Tooltests zeigen für jeden Anbieter, ob ein Cloud-Act-Risiko besteht.
Muss ich meine Kunden über das Cloud-Act-Risiko informieren? In der Datenschutzerklärung sollten Sie auf die Nutzung von US-Diensten und das damit verbundene Restrisiko hinweisen. Bei Berufsgeheimnisträgern wie Anwälten oder Steuerberatern ist eine Aufklärung der Mandanten empfehlenswert.
Ist das Cloud-Act-Risiko ein K.O.-Kriterium für ein KI-Tool? Das hängt vom Anwendungsfall ab. Für allgemeine Büroarbeit ohne besonders sensible Daten ist es ein kalkulierbares Restrisiko. Für Berufsgeheimnisträger oder Unternehmen mit hochsensiblen Daten sollte das Risiko in die Toolauswahl einfließen.
Was sagen deutsche Datenschutzbehörden konkret dazu? Einige Datenschutzbehörden haben auf das Spannungsverhältnis hingewiesen. Eine abschließende behördliche Positionierung zu konkreten US-SaaS-Produkten für alle Anwendungsfälle liegt jedoch nicht vor.
Fazit
Der Cloud Act ist kein Grund zur Panik, aber ein Grund zur Aufmerksamkeit. EU-Server schützen nicht vollständig, wenn der Anbieter ein US-Unternehmen ist. Für die meisten KMU reicht eine informierte Risikoabwägung — für Berufsgeheimnisträger sollte das Thema aktiv in die Toolauswahl einfließen. Welche Tools ein Cloud-Act-Risiko haben, zeigen unsere DSGVO-Bewertungen direkt auf der jeweiligen Tool-Seite.
Passende Tooltests
Weiterführende Begriffe
- SCCs (Standardvertragsklauseln)
- DPF (Data Privacy Framework)
- AVV (Auftragsverarbeitungsvertrag)
- §203 StGB
Weiterführende Artikel
Der Digital Omnibus verschiebt Hochrisiko-Fristen, nicht die DSFA-Pflicht nach Art. 35 DSGVO: was das für KI-Tools im KMU bedeutet.
Was Anonymisierungssoftware technisch leistet, wo Pseudonymisierung nicht reicht und wann Unternehmen einen AVV brauchen.
Wann § 87 BetrVG bei KI-Projekten greift und wie eine Betriebsvereinbarung den Rollout absichert.
Die Bundesnetzagentur übernimmt 2026 die zentrale KI-Aufsicht in Deutschland – ein Überblick über Meldepflichten, Fristen und die Verschiebung durch den Digital Omnibus.
Was KMU zu AVV, KI-Training und Serverstandorten von CapCut wissen müssen, bevor Firmenvideos hochgeladen werden.
Warum eine EU-Region bei US-Anbietern das Risiko senkt, aber nicht beseitigt, und was KMU praktisch tun können.
Was Tools bei der Datenschutz-Folgenabschätzung leisten, wo Automatisierung endet und was für Freelancer und KMU reicht.
Ein Praxisleitfaden zu § 203 StGB, AVV, TOMs und konkreten KI-Tools für Kanzleien im DACH-Raum.
Die vier Risikoklassen des EU AI Act einfach erklärt – und welche Einstufung typische KMU-KI-Tools wie ChatGPT, Copilot oder Synthesia in der Praxis betrifft.
Das EU-US Data Privacy Framework ist rechtlich angreifbar – diese 8 Prüfpunkte schützen KMU beim KI-Tool-Einkauf trotzdem ab.
Ein Überblick über KI-Assistenten und HR-Plattformen für Bewerbermanagement, Mitarbeiterkommunikation und Personalverwaltung – mit den rechtlichen Grenzen nach §26 BDSG und Art. 22 DSGVO.
AVV, TOMs, KI-Training und Cloud Act: die vier Prüfpunkte vor jedem KI-Vertrag im Überblick.
Eine strukturierte Checkliste zu AVV, Serverstandort, Trainingsnutzung und Zertifizierungen vor dem KI-Vertragsabschluss.
GoBD-Pflichten, AVV und DSGVO-Scores: Lexware Office, sevDesk und KI-Newcomer im Vergleich.
Was Einzelhändler bei Rechtsgrundlage, AVV, Kennzeichnungspflicht und Haftung für KI-Chatbots beachten müssen.
Wo KI im Salon wirklich Zeit spart – und welche Datenschutz-Pflichten bei Kundenfotos und Hautdaten gelten.
Cloud-API, EU-Hosting oder Self-Hosting: Was KMU 2026 für KI-Infrastruktur wirklich einplanen müssen.
Welche KI-Tools sich für Angebote, Buchhaltung und Kundenkommunikation im Dachdeckerbetrieb eignen – und worauf beim Datenschutz zu achten ist.
Buchhaltung, Kundenkommunikation und Dokumentation mit KI – und worauf SHK-Betriebe beim Datenschutz achten müssen.
Vergleich von MeetGeek, Microsoft 365 Copilot, Otter AI, Fireflies.ai, Notta, Krisp.ai und tl;dv nach DSGVO-Score, Preis und Einsatzzweck
Ein Überblick über DSGVO-Anforderungen, Einwilligungspflichten und geeignete Tools beim Einsatz von KI mit Kindern und Jugendlichen in der Nachhilfe.
Drei sinnvolle Tool-Kombinationen für Selbstständige — mit DSGVO-Check und konkreten Empfehlungen.
Entwurf, BIM und Datenschutz im Überblick — von Visualisierung bis Schweigepflicht.
Ein Überblick, welche KI-Tools sich für Verwaltung und Organisation in Arztpraxen eignen – und wo §203 StGB und Art. 9 DSGVO zusätzliche Prüfung verlangen.
Bedarfsprognose, Personalplanung und Rezeptideen mit KI – plus DSGVO-Einordnung für Handwerksbetriebe
Ein DSGVO-orientierter Überblick über KI-Tools für Kundenanalyse, Buchhaltung und Warenwirtschaft im Einzelhandel.
Ein Überblick zu KI-Bildbearbeitung, Lizenzfragen und Datenschutz für Fotografen und Kreative im DACH-Raum.
Zwischen Multi-LLM-Plattformen mit §203-Vereinbarung und allgemeinen Chat-Tools: Was Kanzleien vor dem KI-Einsatz prüfen sollten.
DSGVO-Scores von 1,5 bis 8,0: welche KI-Tools sich für Rechnungen, Angebote und Kundenverwaltung im Garten- und Landschaftsbau eignen.
Von der Angebotserstellung bis zur Mähroboter-Flotte: Wo KI im GaLaBau-Betrieb sinnvoll ist und worauf DSGVO-rechtlich zu achten ist
Ein Überblick über KI-Tools für Gästekommunikation, Marketing und Backoffice in Gastro und Hotellerie mit DSGVO-Einordnung.
KI-Tools für Reservierung, Gästekommunikation, Bewertungsmanagement und dynamische Preise im Vergleich
Von Angebotstexten über Übersetzung bis Lastenheftanalyse: Workflows, DSGVO-Scores und Praxisregeln für Ingenieurbüros im DACH-Raum.
KI-Tourenplanung spart Speditionen Zeit — worauf es bei Standortdaten, AVV und Mitbestimmung ankommt.
Ein DSGVO-Vergleich von US-KI-Tools und europäischen Alternativen für Steuerberater, Kanzleien und KMU im DACH-Raum.
Terminplanung, Patientenakte und Art. 9 DSGVO im Überblick für Zahnarztpraxen
Lead-Scoring ist Profiling, bleibt aber meist erlaubt, wenn Rechtsgrundlage, Informationspflicht und UWG-Vorgaben bei der Akquise eingehalten werden.
Warum KI-Tools unter NIS2 zur Lieferkette zählen und worauf DACH-KMU bei der Auswahl jetzt achten müssen
Warum ein deutscher oder europäischer Serverstandort allein noch keine Datenschutzgarantie ist.
Warum die Prüfung nicht beim Hauptvertrag endet, sondern bei der ganzen Kette dahinter beginnt.
DeepL Pro, Microsoft 365 Copilot und On-Premise-Alternativen im Vergleich – warum Web-Chatbots für Mandantendaten ausscheiden.
Cloud Act, AVV und Serverstandort im Vergleich zwischen US-Anbietern und europäischen Alternativen.
Canva AI (DSGVO-Score 7,0/10) im Vergleich zu Adobe Firefly für KMU ohne eigenes Design-Team.
ChatGPT (DSGVO-Score 5,0/10) schlägt DeepSeek (1,5/10) bei Datenschutz und deutschem Steuerrecht deutlich.
DeepSeek (Hosted) ist aus DSGVO-Sicht für Unternehmen mit personenbezogenen Daten nicht geeignet – wir zeigen die Risiken und empfehlen Alternativen mit DSGVO-Score.
Dext erreicht im DSGVO-Test einen Score von 7,5/10 – der Vergleich mit den deutschen Alternativen sevDesk und FastBill zeigt, wo die Unterschiede liegen.
Direktvergleich: DocuSign (USA) vs. Skribble (Schweiz) – Preise, Funktionen und DSGVO-Einordnung für DACH-Unternehmen, noch ohne finalen Score in unserer Tool-DB.
Der Cloud and AI Development Act definiert vier verbindliche Cloud-Souveränitätsstufen — als Antwort auf den US CLOUD Act und Schrems II.
Gamma erstellt Pitch-Decks aus dem Prompt in unter einer Minute, Beautiful.ai punktet mit erzwungener Design-Konsistenz (DSGVO-Score Gamma 5,0/10, Beautiful.ai 6,5/10).
Gemini (DSGVO-Score 6,5/10) und Claude (DSGVO-Score 6,0/10) im direkten Vergleich für Freelancer, KMU und Steuerberater im DACH-Raum.
GetResponse (DSGVO-Score 7,5/10) trifft auf ActiveCampaign (DSGVO-Score 5,5/10) im direkten Vergleich für KMU-Marketing-Automatisierung.
DeepL Write (DSGVO-Score 7,0/10) schlägt Grammarly (DSGVO-Score 6,5/10) für deutschsprachige Unternehmenstexte klar.
Von Buchhaltung bis Texterstellung: 12 KI-Tools im DSGVO-Score-Vergleich für Freelancer in Deutschland.
ChatGPT, Claude, Gemini und DeepSeek im kostenlosen Basis-Vergleich — mit DSGVO-Einordnung für den ersten risikoarmen Test.
n8n (DSGVO-Score 8,0/10) vs. Make (7,0/10) vs. Zapier (kein DB-Score, US-Unternehmen) im Direktvergleich für DACH-KMU.
Microsoft 365 Copilot (DSGVO-Score 8,0/10) und Google Workspace mit Gemini (DSGVO-Score 6,5/10) im direkten Vergleich für DACH-KMU: Preise, Funktionen und Datenschutz.
ElevenLabs (DSGVO-Score 7,0/10) und Murf AI (DSGVO-Score 6,5/10) im direkten Funktions- und Datenschutzvergleich für DACH-Selbstständige.
Otter.ai (DSGVO-Score 7,0/10) vs. MeetGeek (DSGVO-Score 8,0/10) im direkten Vergleich für DACH-Unternehmen mit Personenbezug in Meetings.
Perplexity Pro (DSGVO-Score 4,0/10) belegt Antworten mit Quellen, ChatGPT Plus (5,0/10) bietet mehr Funktionen. Beide Scores gelten nur für Datenschutz.
HubSpot AI (DSGVO-Score 7,0/10) vs. Salesforce Einstein AI (noch kein eigener Score) im Vergleich für DACH-KMU.
Semrush (DSGVO-Score 6,5/10) vs. Sistrix (EU-Hosting, noch kein eigener Score) im DACH-Vergleich für SEO-Tools.
Surfer SEO (DSGVO 6,0) vs. SE Ranking (DSGVO 6,5): Keyword-Analyse, Content-Optimierung und Datenschutz im Vergleich für Agenturen, Freelancer und KMU.
Windsurf heißt seit Juni 2026 Devin Desktop; im DSGVO-Vergleich liegt GitHub Copilot (Schnell-Einschätzung 7,5/10) vor Devin Desktop (Schnell-Einschätzung 7,0/10) und Cursor (5,5/10).
Direktvergleich zweier US-KI-Support-Tools inkl. Workflow-Alternativen: Beide ohne vollständigen DSGVO-Score in unserer Datenbank, tendenziell unterschiedliche Datenschutz-Ausgangslage bei EU-Datenresidenz.
Mit Gamma in 30 Minuten aus Stichpunkten professionelle Kundenpräsentationen erstellen — Anleitung inkl. Datenschutz-Hinweisen.
Datenschutzerklärung für die Website mit KI-Tools wie ChatGPT oder Claude in 60–90 Minuten vorbereiten: Pflichtangaben nach Art. 13 DSGVO strukturiert sammeln.
DSGVO-Checkliste für KI-Tools im KMU: 7 Prüfpunkte von Serverstandort bis Löschfristen — in 60 Minuten strukturiert durchgehen.
RAG-Chatbot für interne Dokumente aufbauen: Anleitung von der Datenauswahl über den Datenschutz bis zum Rollout eines KI-Wissensassistenten im Unternehmen.