Auch genannt: US CLOUD Act, Clarifying Lawful Overseas Use of Data Act
Der CLOUD Act ist ein US-Bundesgesetz aus dem Jahr 2018, das US-Ermittlungsbehörden mit richterlicher Anordnung den Zugriff auf elektronische Daten erlaubt, die ein der US-Jurisdiktion unterliegender Anbieter kontrolliert – unabhängig davon, in welchem Land diese Daten tatsächlich gespeichert sind.
Ein Anbieter elektronischer Kommunikationsdienste kann Kundendaten auf Servern irgendwo auf der Welt speichern, etwa in Irland oder Deutschland. Vor 2018 war in einem konkreten Gerichtsverfahren umstritten, ob eine US-Behörde mit einem US-Durchsuchungsbefehl auch auf im Ausland gespeicherte Daten zugreifen darf. Der CLOUD Act beendet diese Unklarheit gesetzlich: Entscheidend ist nicht der Speicherort der Daten, sondern ob der Anbieter der US-Jurisdiktion unterliegt.
Der CLOUD Act ändert und ergänzt den Stored Communications Act und stellt klar, dass Anbieter elektronischer Kommunikationsdienste oder Remote-Computing-Dienste mit US-Jurisdiktion – etwa durch Hauptsitz oder geschäftliche Präsenz in den USA – auf Grundlage eines von einem US-Gericht ausgestellten Durchsuchungsbefehls gespeicherte Inhalte herausgeben müssen, auch wenn die Daten auf Servern außerhalb der USA liegen. Betroffene Anbieter können den Befehl gerichtlich anfechten, wenn er mit dem Recht oder wesentlichen Interessen eines anderen Staates kollidiert; ein Gericht nimmt dann eine umfassende Interessenabwägung vor. Daneben erlaubt das Gesetz der US-Regierung, mit ausgewählten Partnerstaaten bilaterale Exekutivabkommen zu schließen, die den Behörden beider Länder einen direkten, beschleunigten Zugriff auf elektronische Beweismittel ermöglichen – als Alternative zum klassischen, oft langwierigen Rechtshilfeverfahren.
Ein europäisches Unternehmen nutzt für seine Kommunikation einen Cloud-Dienst eines Anbieters mit Hauptsitz in den USA, dessen Server in einem Rechenzentrum in Frankfurt stehen. Eine US-Strafverfolgungsbehörde verlangt mit richterlichem Durchsuchungsbefehl die Herausgabe von E-Mail-Inhalten eines Nutzers. Nach dem CLOUD Act kann der Anbieter zur Herausgabe verpflichtet werden, obwohl die Daten ausschließlich auf europäischen Servern liegen.
US-Ermittlungsbehörden stützen sich auf den CLOUD Act, um bei Ermittlungen zu schweren Straftaten wie Terrorismus, sexueller Ausbeutung von Kindern oder Cyberkriminalität zügig Zugriff auf elektronische Beweismittel zu erhalten, die bei global tätigen Dienstanbietern mit US-Bezug liegen – unabhängig vom Speicherort. Für Partnerstaaten mit vergleichbaren Grundrechtsschutzstandards bildet er zugleich die Rechtsgrundlage für beschleunigte bilaterale Abkommen zum Datenzugriff, etwa das 2019 unterzeichnete Abkommen zwischen den USA und dem Vereinigten Königreich.
Entgegen seinem Namen richtet sich der CLOUD Act nicht speziell an Cloud-Infrastrukturanbieter, sondern allgemein an Anbieter elektronischer Kommunikations- und Remote-Computing-Dienste mit US-Bezug; „CLOUD" ist ein Akronym für „Clarifying Lawful Overseas Use of Data", kein Hinweis auf eine cloud-spezifische Regelung. Das Gesetz gewährt US-Behörden zudem keinen automatischen oder uneingeschränkten Zugriff: Erforderlich bleibt ein richterlicher Durchsuchungsbefehl auf Grundlage eines hinreichenden Tatverdachts, und betroffene Anbieter können die Herausgabe gerichtlich anfechten. In der EU ist zudem rechtlich umstritten, ob eine direkte Herausgabe an US-Behörden ohne ein völkerrechtliches Abkommen mit der Datenschutz-Grundverordnung vereinbar ist; der Europäische Datenschutzausschuss hält dies ohne ein solches Abkommen nur in engen Ausnahmefällen für zulässig.
Nicht zu verwechseln mit Cloud Computing: Cloud Computing bezeichnet ein technisches Modell zur bedarfsgerechten Bereitstellung von IT-Ressourcen über ein Netzwerk, der CLOUD Act ist dagegen ein US-Gesetz zum behördlichen Datenzugriff, das trotz des ähnlich klingenden Namens keine cloud-spezifische Regelung trifft. Ebenfalls abzugrenzen ist Datenschutz-Grundverordnung: Die Datenschutz-Grundverordnung ist EU-Recht und schützt personenbezogene Daten innerhalb ihres Anwendungsbereichs, der CLOUD Act ist US-Recht und regelt den Zugriff US-amerikanischer Behörden auf bei US-jurisdiktionsunterliegenden Anbietern gespeicherte Daten – beide Rechtsordnungen können bei grenzüberschreitenden Datenanfragen in Konflikt geraten.