--- id: CP-374 slug: cloud-act-fisa-702-datensouveranitaet lang: de title: Cloud Act, FISA und Datensouveränität description: US-Gesetze können Zugriff auf in Europa gespeicherte Daten eröffnen. Was die DSGVO sagt, was der EU-US-Rahmen ändert, dazu SecNumCloud. canonical_url: https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet/ markdown_url: https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Cloud Act, FISA und Datensouveränität“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-039 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet/ fr: https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees/ en: https://startbrain.io/cyberpedia/en/articles/cloud-act-fisa-702-data-sovereignty/ es: https://startbrain.io/cyberpedia/es/articles/cloud-act-fisa-702-soberania-datos/ sources: - "n": 1 title: "Cloud computing : état de la menace informatique" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf published: "2025-02-19" accessed: "2026-11-03" - "n": 2 title: Le devoir de souveraineté numérique publisher: Sénat url: https://www.senat.fr/rap/r19-007-1/r19-007-13.html published: "2019-10-01" accessed: "2026-11-03" - "n": 3 title: CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 accessed: "2026-11-03" - "n": 4 title: EU-US data transfers publisher: Commission européenne url: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en accessed: "2026-11-03" - "n": 5 title: "Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles" publisher: CNIL url: https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres published: "2024-07-19" accessed: "2026-11-03" --- # Cloud Act, FISA und Datensouveränität Wenn ein Unternehmen seine Dateien, Nachrichten oder Software einem Cloud-Dienst anvertraut, wählt es damit auch, oft unbemerkt, das Recht, dem diese Daten unterliegen. Das CERT-FR, das der ANSSI zugeordnet ist, hält fest, dass manche Hosting-Anbieter Rechtsvorschriften wie dem amerikanischen Cloud Act und dem FISA unterliegen. Diese erlauben den Behörden dieser Länder den Zugriff auf in der Cloud gespeicherte Daten, auch außerhalb ihres Staatsgebiets [1]. Im Bericht des französischen Senats heißt es im französischen Original: „les géants américains sont tenus à l'application des régimes de sanctions extraterritoriales ou des règles d'accès aux preuves électroniques (comme le Cloud Act)“ [2]. Diese Seite erklärt, was das für Beschäftigte und für die Geschäftsleitung bedeutet. ## In 30 Sekunden - Wo es vorkommt: in jedem Cloud-Dienst (Speicher, Messaging-Dienste, Online-Büroanwendungen) eines Anbieters, der einem außereuropäischen Recht unterliegt, auch wenn die Server in Europa stehen [1]. - Was das Recht vorsieht: Die DSGVO erkennt die Entscheidung einer Behörde eines Drittlands, die Daten verlangt, nur an, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen [3]. - Was Frankreich anbietet: Version 3.2 des Referenzrahmens SecNumCloud der ANSSI enthält Schutzanforderungen gegenüber diesen Gesetzen [1]. - Der Reflex: Bevor Sie Daten in einem Cloud-Werkzeug ablegen, prüfen Sie, ob es vom Unternehmen bereitgestellt oder freigegeben ist, und fragen Sie die IT-Abteilung oder den Datenschutzbeauftragten, welche Daten dort abgelegt werden dürfen. ## Direkte Fragen ### Sind in Europa gespeicherte Daten vor amerikanischen Gesetzen sicher? Nicht unbedingt. Laut CERT-FR erlauben diese Gesetze den amerikanischen Behörden den Zugriff auf in der Cloud gespeicherte Daten, auch außerhalb ihres Staatsgebiets [1]. Die CNIL spricht von einem Risiko für Daten, die ein Unternehmen speichert, das außereuropäischem Recht unterliegt, etwa Hosting-Anbieter, deren Muttergesellschaft in den Vereinigten Staaten sitzt [5]. ### Kann der Anbieter seinen Kunden vorwarnen? Das CERT-FR beschreibt Gesetze, die Hosting-Anbieter verpflichten, die Daten ihrer Kunden an die eigenen Behörden weiterzugeben, ohne Rechtsbehelf und ohne die Kunden zu informieren [1]. ### Genügt Verschlüsselung? Nein, so das CERT-FR. Sie bietet keinen angemessenen Schutz, wenn die Schlüssel ebenfalls in der Cloud liegen. Das ist in der Regel der Fall, wenn die verschlüsselten Daten in der Cloud verarbeitet und nicht nur gespeichert werden [1]. ### Was sagt die DSGVO? Artikel 48 schließt die automatische Anerkennung einer ausländischen Entscheidung aus: Sie kann nur anerkannt oder vollstreckbar werden, wenn sie auf einer geltenden internationalen Übereinkunft zwischen dem ersuchenden Land und der Union oder einem Mitgliedstaat beruht [3]. ### Sind die Vereinigten Staaten ein Land mit „angemessenem“ Schutzniveau? Für Unternehmen, die am Data Privacy Framework teilnehmen, ja. Die Europäische Kommission hat ihren Angemessenheitsbeschluss an einem 10. Juli angenommen, und personenbezogene Daten dürfen frei aus der EU an diese Unternehmen fließen [4]. Die CNIL datiert diesen Beschluss auf den 10. Juli 2023 [5]. ## Was sich für Beschäftigte ändert Beschäftigte müssen nicht beurteilen, welches Recht gilt: Ihre Aufgabe ist es, die vom Unternehmen gewählten Werkzeuge nicht zu umgehen. Ein privater oder kostenloser Cloud-Dienst, den jemand für ein Arbeitsdokument nutzt, entzieht sich der Wahl des Hosting-Anbieters, der Klassifizierung der Daten und dem Vertrag, den die Geschäftsleitung möglicherweise ausgehandelt hat. Das CERT-FR erinnert zudem daran, dass die Kunden von Cloud-Diensten in der Cloud erhebliche Verantwortung bei der Verwaltung von Daten und Identitäten tragen [1]. Wer eine Datei teilt oder ein Dokument hochlädt, handelt mit Daten des Unternehmens. Daraus folgen zwei Gewohnheiten: die bereitgestellten oder freigegebenen Werkzeuge nutzen und der IT-Abteilung eine nicht freigegebene Cloud-Nutzung melden; nachfragen, bevor große Datenbestände mit Gesundheitsdaten, Daten über Straftaten oder Daten Minderjähriger dort abgelegt werden, die die CNIL zu den sensiblen Daten zählt [5]. ## Was sich für die Geschäftsleitung ändert Die Wahl des Hosting-Anbieters wird ebenso zu einer Rechtsentscheidung wie zu einer technischen. Das CERT-FR schreibt, es sei unerlässlich, diese Risiken im Einzelfall zu bewerten [1]. Für die sensibelsten Verarbeitungen empfiehlt die CNIL, einen Anbieter zu wählen, der ausschließlich europäischem Recht unterliegt und das angemessene Schutzniveau bietet [5]. Das CERT-FR nennt ein zweites Risiko. Ein Dienst eines ausländischen Anbieters kann Exportbeschränkungen oder Sanktionen unterliegen, die sich im Lauf der Zeit ändern können, was die Verfügbarkeit von Daten und Anwendungen betrifft [1]. ## Was der Text sagt Kapitel V der DSGVO regelt die Übermittlung personenbezogener Daten in Drittländer. Artikel 44 legt den Grundsatz fest: Eine Übermittlung findet nur statt, wenn die Bedingungen des Kapitels eingehalten werden, damit das durch die Verordnung gewährleistete Schutzniveau nicht untergraben wird [3]. Das Kapitel sieht mehrere Wege vor. Der Angemessenheitsbeschluss der Kommission erfordert keine besondere Genehmigung (Artikel 45) [3]. Fehlt er, sind geeignete Garantien möglich, insbesondere verbindliche interne Datenschutzvorschriften oder Standarddatenschutzklauseln (Artikel 46) [3]. Für besondere Situationen gibt es Ausnahmen, etwa die ausdrückliche Einwilligung der betroffenen Person (Artikel 49) [3]. Artikel 48 behandelt den konkreten Fall einer ausländischen Anordnung: Die Entscheidung eines Gerichts oder einer Verwaltungsbehörde eines Drittlands, die eine Übermittlung oder Offenlegung von Daten verlangt, kann nur anerkannt oder vollstreckbar werden, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen [3]. Auf amerikanischer Seite erläutert die Kommission, dass dem Angemessenheitsbeschluss eine Executive Order des Präsidenten vom 7. Oktober und eine Verordnung des US-Justizministers vorausgingen. Diese Texte führten verbindliche Garantien ein, um auf das Urteil Schrems II des Gerichtshofs der Europäischen Union vom Juli 2020 zu antworten: Der Zugriff der Nachrichtendienste wird auf das Notwendige und Verhältnismäßige begrenzt, und es gibt einen unabhängigen Rechtsbehelfsmechanismus für Beschwerden von Europäern [4]. Diese Garantien gelten für alle Übermittlungen an amerikanische Unternehmen, unabhängig vom verwendeten Übermittlungsinstrument [4]. Auf französischer Seite enthält Version 3.2 des Referenzrahmens SecNumCloud der ANSSI Schutzanforderungen gegenüber der Anwendung dieser extraterritorialen Gesetze [1]. Die CNIL stellt klar, dass diese Zertifizierung einen Schutz vor Zugriffen ausländischer Behörden ermöglicht [5]. ## Stand der Umsetzung Der Angemessenheitsbeschluss zum Data Privacy Framework ist angenommen und gilt für teilnehmende amerikanische Unternehmen [4]. Die DSGVO sieht eine regelmäßige Überprüfung eines Angemessenheitsbeschlusses mindestens alle vier Jahre vor, und die Kommission kann ihn aufheben, ändern oder aussetzen, wenn das Schutzniveau nicht mehr angemessen ist [3]. Die europäische Zertifizierung EUCS war im Juli 2024 noch ein Entwurf. Zu diesem Zeitpunkt stellte die CNIL fest, dass der von der ENISA geleitete Entwurf es nicht mehr erlaubte, sicherzustellen, dass der Hosting-Anbieter keiner außereuropäischen Gesetzgebung unterliegt, selbst auf den höchsten Stufen und selbst auf freiwilliger Basis [5]. Sie forderte, Kriterien der Immunität gegenüber außereuropäischen Gesetzen wieder aufzunehmen, angelehnt an SecNumCloud [5]. Diese Frage sollte neu erörtert werden, sobald die neue Europäische Kommission gebildet ist [5]. In Frankreich sieht das von der CNIL genannte Gesetz vom 21. Mai, das sogenannte SREN-Gesetz, vor, dass der Cloud-Dienst bei Daten von besonderer Sensibilität für den Staat Sicherheits- und Datenschutzkriterien umsetzen muss, um jeden Zugriff durch Behörden von Drittstaaten zu verhindern, der nach dem Recht der Union oder eines Mitgliedstaats nicht zulässig ist [5]. Die Doktrin „Cloud au centre“ verlangt ihrerseits von den Behörden, sicherzustellen, dass in der Cloud gehostete Daten „d'une sensibilité particulière“ keinen außereuropäischen Gesetzen unterliegen [5]. ## Quellen 1. CERT-FR (ANSSI), „Cloud computing : état de la menace informatique“, 19. Februar 2025. https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf (abgerufen am 3. November 2026) 2. Sénat, „Le devoir de souveraineté numérique“, 1. Oktober 2019. https://www.senat.fr/rap/r19-007-1/r19-007-13.html (abgerufen am 3. November 2026) 3. CNIL, „CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales“. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 (abgerufen am 3. November 2026) 4. Commission européenne, „EU-US data transfers“. https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en (abgerufen am 3. November 2026) 5. CNIL, „Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles“, 19. Juli 2024. https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.