Warum „keine US-Cloud" mehr ist als ein Werbeversprechen
Der Serverstandort Frankfurt klingt beruhigend – entscheidend ist aber, wessen Recht für den Betreiber gilt. Eine nüchterne Einordnung von CLOUD Act, Schrems II und den Diensten, die im Hintergrund mitlaufen.
Ob Mandatsdaten einer Kanzlei, Mitgliederlisten eines Kulturvereins oder Terminanfragen einer Praxis: Sobald ein US-Cloud-Dienst im Spiel ist, stellt sich eine Frage, die mit Rechenzentrums-Standorten allein nicht zu beantworten ist – welchem Recht unterliegt der Betreiber?
CLOUD Act: Zugriff folgt dem Unternehmen, nicht dem Server
Der US-amerikanische CLOUD Act von 2018 verpflichtet US-Anbieter, Daten auf behördliche Anordnung herauszugeben – unabhängig davon, wo die Server stehen. Ein US-Konzern mit Rechenzentrum in Frankfurt bleibt ein US-Konzern; „Standort Deutschland" ändert an dieser Rechtslage nichts. Hinzu kommen Überwachungsbefugnisse wie FISA Section 702, die sich gezielt auf Nicht-US-Personen richten.
Schrems II: Warum das für die DSGVO zählt
An diesen Befugnissen scheiterte 2020 das Abkommen „Privacy Shield": Der Europäische Gerichtshof kippte es im Urteil „Schrems II" (C-311/18), weil US-Recht kein gleichwertiges Schutzniveau garantiert. Der Nachfolger „Data Privacy Framework" steht auf demselben wackligen Fundament und wird bereits angegriffen. Wer besonders geschützte Daten nach Art. 9 DSGVO verarbeitet, baut darauf ungern.
„Auch nicht im Hintergrund" – der übersehene Teil
Viele Angebote wirken europäisch und laden trotzdem US-Dienste nach: Google Fonts, Skripte von US-CDNs, Analyse-Werkzeuge, Captchas, Karten. Jeder dieser Aufrufe übermittelt mindestens die IP-Adresse der Besucher in die USA – das Landgericht München sprach dafür 2022 Schadensersatz zu. „Keine US-Cloud" ist nur belastbar, wenn es auch für Unterauftragnehmer und nachgeladene Ressourcen gilt. Anmerkung in eigener Sache: Meine Produkte laden nichts von fremden Servern nach – lokale Schriften, keine CDNs, keine Tracker; das prüfe ich je Seite.
Die Alternativen sind unspektakulär – und das ist gut
Die allermeisten Einrichtungen brauchen keinen Hyperscaler: Deutsche und europäische Hoster bieten Webhosting, Server und E-Mail unter EU-Recht, zu gewöhnlichen Preisen. Software, die ohne nachgeladene US-Dienste auskommt, macht die Drittlands-Frage schlicht gegenstandslos.
Kurz-Fazit
Die US-Cloud-Frage ist eine Frage der Rechtsordnung: Zugriff folgt dem Unternehmen, nicht dem Serverstandort – und zum Versprechen gehören auch die Dienste im Hintergrund. Wo Daten stattdessen gut liegen, zeigt Ihr Server, Ihre Daten.
Häufige Fragen
Ist AWS mit Rechenzentrum in Frankfurt nicht „Deutschland"?
Physisch ja, rechtlich nein: Der CLOUD Act bindet US-Unternehmen unabhängig vom Serverstandort.
Was ist mit Microsoft 365 und Google Workspace?
Dieselbe Rechtslage. Für besonders geschützte Daten (Gesundheit, Religion, Mandate) ist die Abwägung deutlich strenger als für Alltagskommunikation.
Woran erkenne ich versteckte US-Dienste auf einer Website?
Die Browser-Entwicklerwerkzeuge (Reiter „Netzwerk") zeigen jeden Aufruf an fremde Server; bequemer sind Prüfwerkzeuge wie webbkoll.dataskydd.net.
Stand: August 2026 · Dieser Beitrag informiert allgemein und ist keine Rechtsberatung.
Frage stellen — ich antworte immer persönlich.
Klingt nach Ihrem Thema?
Lassen Sie uns unverbindlich klären, wo bei Ihnen der größte Hebel liegt.
