Der CLOUD Act einfach erklärt – und was er für deine Daten heißt

Wenn es um Cloud-Dienste geht, taucht immer wieder ein Begriff auf: CLOUD Act. Klingt kompliziert, ist im Kern aber schnell erklärt. In diesem Artikel schauen wir uns an, was dahintersteckt – und warum sich viele kleine Betriebe, Kanzleien und Praxen für Lösungen interessieren, bei denen sie selbst bestimmen, wo ihre Daten liegen.

Was ist der CLOUD Act?

Der CLOUD Act ist ein US-Gesetz aus dem Jahr 2018. Die Abkürzung steht für „Clarifying Lawful Overseas Use of Data Act". Vereinfacht gesagt regelt er, unter welchen Bedingungen US-Behörden Daten bei Anbietern mit Sitz in den USA anfragen können – und zwar auch dann, wenn die Daten auf Servern außerhalb der USA gespeichert sind.

Das ist kein Geheimnis, sondern öffentlich bekannt. Die großen Anbieter gehen offen damit um und beschreiben in ihren Unterlagen, wie sie mit solchen Anfragen umgehen.

Warum ist das für Europa ein Thema?

In Europa gilt die DSGVO (Datenschutz-Grundverordnung). Sie regelt, wie personenbezogene Daten – also Namen, Adressen, E-Mails, Gesundheitsdaten – verarbeitet werden dürfen. Wenn Daten in Länder außerhalb der EU übermittelt werden können, braucht es dafür eine passende Grundlage.

Für die meisten Betriebe heißt das ganz praktisch: Man sollte wissen, welche Dienste man nutzt, wo die Daten liegen und was im Vertrag mit dem Anbieter steht. Das ist Teil einer guten Dokumentation, ganz ohne Drama.

Für wen ist das besonders interessant?

Grundsätzlich für alle, die mit personenbezogenen Daten arbeiten. Besonders achtsam sind oft:

• Kanzleien und Steuerbüros – wegen der Verschwiegenheit gegenüber Mandant:innen
• Arzt- und Therapiepraxen – wegen sensibler Gesundheitsdaten
• Vereine und kleine Betriebe – die einfach ein gutes Gefühl haben wollen

Wenn du unsicher bist, was für deine Situation gilt, sprich am besten mit deiner Datenschutzberatung oder einer Fachanwältin bzw. einem Fachanwalt. Ich kann dich bei der technischen Seite unterstützen, ersetze aber keine Rechtsberatung.

Eine einfache Alternative: Daten in Europa

Wer möchte, kann seine wichtigsten Dienste bei europäischen Anbietern oder auf einem eigenen Server betreiben. Mit Open Source geht das heute richtig gut:

Diese Programme laufen zum Beispiel bei Rechenzentren in Deutschland oder auf einem Gerät bei dir im Büro. Du weißt dann genau, wo deine Daten sind. Mehr Beispiele findest du unter Alternativen.

So gehst du entspannt vor

1. Überblick verschaffen: Welche Cloud-Dienste nutzt ihr eigentlich?
2. Wichtiges zuerst: Wo liegen die sensibelsten Daten?
3. Eine Sache testen: Zum Beispiel erst die Dateiablage auf Nextcloud umstellen.
4. Schritt für Schritt: Wenn es gut läuft, den nächsten Bereich angehen.

Kurz erklärt: ein paar Begriffe

• Personenbezogene Daten: Alle Informationen, die sich einer Person zuordnen lassen.
• Auftragsverarbeitung: Ein Dienstleister verarbeitet Daten in deinem Auftrag, zum Beispiel ein Cloud-Anbieter. Dafür schließt man einen Vertrag (AVV).
• Drittland: Ein Land außerhalb der EU bzw. des Europäischen Wirtschaftsraums.
• Rechenzentrumsstandort: Der Ort, an dem die Server physisch stehen.

Was du in deine Dokumentation schreiben kannst

Eine einfache Übersicht reicht oft schon. Zum Beispiel so:

Wenn Kund:innen oder Mandant:innen fragen, wo ihre Daten liegen, hast du die Antwort damit sofort parat. Und du siehst auf einen Blick, wo es sich vielleicht lohnt, eine Alternative auszuprobieren.

Häufige Fragen

Muss ich jetzt alle US-Dienste abschaffen? Nein. Es geht nicht um Verbote, sondern um eine bewusste Entscheidung. Viele Betriebe fangen mit dem Bereich an, in dem die sensibelsten Daten liegen.

Reicht es, ein Rechenzentrum in der EU zu wählen? Der Standort ist ein wichtiger Baustein. Ebenso wichtig sind der Vertrag, die Unterauftragnehmer und wer den Dienst betreibt. Bei Open Source auf einem eigenen oder europäischen Server hast du all das selbst in der Hand.

Fazit

Der CLOUD Act ist kein Grund zur Panik, aber ein guter Anlass, sich zu überlegen, wo die eigenen Daten liegen sollen. Open-Source-Lösungen in Europa sind eine praktische Möglichkeit, das selbst in der Hand zu haben. Wenn du dazu eine Beratung möchtest, schau bei Beratung vorbei.

Wenn du das auch ausprobieren magst, helf ich dir gern dabei – schreib mir einfach.