Inhaltsverzeichnis
Das Grundproblem: US-Cloud-Anbieter und der CLOUD Act
Google und Microsoft sind US-amerikanische Unternehmen. Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) verpflichtet sie, auf Anfrage US-amerikanischer Behörden Daten herauszugeben — auch dann, wenn diese Daten auf europäischen Servern gespeichert sind.
Das ist kein Konstruktionsfehler der DSGVO, sondern ein struktureller Widerspruch: Die DSGVO verbietet Datentransfers in Drittländer ohne angemessenes Datenschutzniveau, sofern keine Ausnahme greift. Der US-amerikanische Rechtsrahmen ermöglicht Zugriffe, die nach europäischem Recht unzulässig wären.
Das EU-US Data Privacy Framework von 2023 schafft theoretisch eine neue Rechtsgrundlage für Datentransfers. Praktisch ist es unter Datenschützern umstritten — und könnte vom EuGH erneut gekippt werden, wie es mit dem Privacy Shield und Safe Harbor geschehen ist.
Was das für Ihren Betrieb bedeutet
Das Risiko ist nicht abstrakt. Es ist konkret bewertbar — je nach Art der Daten, die Sie in der Cloud verarbeiten:
Unkritisch: Allgemeine Bürokommunikation
Interne Meetings, Projektplanung, allgemeiner E-Mail-Verkehr ohne personenbezogene Kundendaten — hier ist das Risiko gering, und Google Workspace oder Microsoft 365 lassen sich mit entsprechender AVV (Auftragsverarbeitungsvertrag) vertretbar nutzen.
Kritisch: Kundendaten und Sonderkategorien
Wenn Sie Kundendaten, Gesundheitsinformationen, Finanzdaten oder andere sensible personenbezogene Daten in Cloud-Diensten verarbeiten, wird es juristisch problematisch. Für Arztpraxen, Steuerberater, Rechtsanwälte und alle Branchen mit Berufsgeheimnis gilt: US-Cloud-Dienste sind hier mit erheblichem rechtlichem Risiko verbunden.
Relevant: Berufsgeheimnisträger
Rechtsanwälte, Ärzte, Steuerberater — für diese Berufsgruppen gilt das Berufsgeheimnis nach §§ 203 ff. StGB. Die Nutzung von Cloud-Diensten, bei denen Dritte theoretisch Zugriff haben können, kann den Straftatbestand der unbefugten Offenbarung von Geheimnissen erfüllen. Mehrere Aufsichtsbehörden und Berufsverbände haben entsprechende Warnungen herausgegeben.
Was wirklich DSGVO-konform ist
Wirklich unbedenklich sind Lösungen, bei denen Daten auf Servern verbleiben, die nicht US-amerikanischem Recht unterliegen — also in der Praxis: Self-hosted oder bei europäischen Anbietern ohne US-Mutterkoncern.
Self-hosted Nextcloud
Nextcloud auf eigenem Server oder einem deutschen Hosting-Anbieter ist der sauberste Weg: E-Mail, Kalender, Kontakte, Dateispeicher und kollaboratives Arbeiten an Dokumenten — alles auf Infrastruktur, die ausschließlich europäischem Recht unterliegt. Der Aufwand für Einrichtung und Betrieb ist höher, aber die Rechtssicherheit ist maximal.
Europäische Cloud-Anbieter
Anbieter wie Hetzner, IONOS oder Strato haben keine US-Muttergesellschaft und unterliegen daher nicht dem CLOUD Act. Für Unternehmen, die nicht selbst hosten wollen, sind das legitime Alternativen — solange der AVV korrekt abgeschlossen ist und die Daten tatsächlich in der EU verbleiben.
Was tun, wenn Sie bereits Google oder Microsoft nutzen?
Keine Panik und keine übereilten Entscheidungen. Folgendes hilft bei der Einschätzung:
- Welche Daten verarbeiten Sie in diesen Diensten? Klassifizieren Sie Ihre Daten nach Sensibilität.
- Haben Sie einen AVV mit Google/Microsoft abgeschlossen? Ohne AVV ist die Nutzung definitiv rechtswidrig.
- Welche Rechtsgrundlage nutzen Sie für die Datentransfers in die USA?
- Wie hoch ist das realistische Risiko für Ihr konkretes Unternehmen — Branche, Kundendatenarten, Aufsichtsbehörden?
Für die meisten KMU ohne sensible Kundendaten und mit korrekt abgeschlossenen AVVs ist das Risiko im Alltag überschaubar. Für Berufsgeheimnisträger und Unternehmen mit sensiblen Daten gilt: Prüfen Sie Alternativen.