Was der US CLOUD Act für EU-Kunden bedeutet

Ja. Der US CLOUD Act (2018) erlaubt US-Strafverfolgungsbehörden, US-basierte Dienstanbieter zur Herausgabe von Daten zu verpflichten, die sie kontrollieren — unabhängig davon, wo diese gespeichert sind. Ein US-Mutterunternehmen mit EU-Kundendaten in Frankfurt bleibt einem US-Beschluss ausgesetzt. EU-Datenresidenz ist wichtig, aber allein kein vollständiger CLOUD-Act-Schutz.

Practical considerations

• Der CLOUD Act knüpft an US-Unternehmen und ihre kontrollierten Einheiten an — nicht nur an den physischen Speicherort der Daten
• EU-Kunden sollten die Konzernstruktur eines Anbieters prüfen: Hauptsitz, Muttergesellschaft und Kontrollrechte, nicht nur Datenresidenz-Zusagen
• Die stärkste Konfiguration gegen CLOUD-Act-Zugriff ist: EU-Kunde, EU-Anbieter, EU-Hosting und keine US-Kontrollstruktur
• Schrems II (EuGH C-311/18) behandelt Transfers in die USA; direkter US-behördlicher Zugriff ist ein verwandtes, aber eigenes Risiko