US CLOUD Act und DSGVO: Warum ein EU-Rechenzentrum allein nicht reicht

Der Satz, der beruhigen soll

Es ist der Moment, in dem im Verkaufsgespräch die Anspannung nachlässt: „Keine Sorge, unsere Daten liegen in Frankfurt." Damit gilt das Thema Datenschutz oft als erledigt – Serverstandort Deutschland, Haken dran.

Der Satz ist nicht falsch. Er ist nur unvollständig. Und mit generativer KI wird aus dieser Unvollständigkeit ein echtes Risiko, weil Sie einem Assistenten nicht mehr nur Dateien anvertrauen, sondern Vertragsinhalte, Kalkulationen und Bewerbungsunterlagen.

Was der CLOUD Act tatsächlich regelt

Der Clarifying Lawful Overseas Use of Data Act stammt von 2018. Er stellt klar, dass US-Unternehmen Daten an US-Behörden herausgeben müssen, wenn sie Besitz oder Kontrolle darüber haben – unabhängig davon, in welchem Land die Server stehen.

Entscheidend ist damit nicht die Geografie, sondern die Konzernzugehörigkeit. Eine deutsche GmbH, die Tochter eines US-Konzerns ist, fällt in diesen Bereich. Das Rechenzentrum in Frankfurt ändert daran nichts.

Das heißt ausdrücklich nicht, dass ständig Behörden mitlesen. Es heißt: Es existiert ein Zugriffsweg, über den Sie als Kunde keine Kontrolle haben und von dem Sie im Zweifel nicht einmal erfahren.

Warum die DSGVO daraus ein Problem macht

Die DSGVO verlangt bei jeder Weitergabe personenbezogener Daten in ein Drittland eine tragfähige Rechtsgrundlage. Genau daran ist 2020 das Privacy Shield vor dem Europäischen Gerichtshof gescheitert. Seit 2023 gibt es mit dem EU-US Data Privacy Framework einen neuen Angemessenheitsbeschluss – der rechtlich weiterhin umstritten ist und schon einmal Gegenstand von Klagen war.

Für Sie als Betrieb bedeutet das vor allem eines: Sie können sich nicht darauf verlassen, dass die Rechtslage in drei Jahren noch dieselbe ist. Wer heute einen zentralen Prozess auf einen Anbieter aufbaut, dessen Rechtsgrundlage an einem Gerichtsurteil hängt, trägt ein Planungsrisiko – kein akutes, aber ein reales.

Was das für Ihren Betrieb praktisch heißt

Die falsche Konsequenz wäre, jetzt alles umzustellen. Die richtige ist, nach Datenkategorien zu unterscheiden:

• Unkritisch: Ein Entwurf für einen Social-Media-Beitrag, eine Übersetzung aus einer Broschüre. Hier zählt der Nutzen, das Risiko ist gering.
• Heikel: Angebote mit Kalkulation, interne Auswertungen, Korrespondenz mit Kunden. Hier lohnt der zweite Blick auf den Vertrag.
• Kritisch: Bewerbungsunterlagen, Personalakten, Gesundheitsdaten, Konstruktionszeichnungen. Hier sind europäische oder selbst betriebene Lösungen die ruhigere Wahl.

Die meisten Betriebe, mit denen ich spreche, haben diese Unterscheidung nie getroffen. Genau daraus entstehen die Fehlentscheidungen – in beide Richtungen: Manche schicken Personaldaten durch einen kostenlosen Chatbot, andere blockieren aus Vorsicht auch das harmlose Übersetzen.

Vier Fragen an jeden Anbieter

Diese vier Fragen klären mehr als jedes Datenschutz-Siegel. Stellen Sie sie schriftlich:

• Werden meine Eingaben zum Training Ihrer Modelle verwendet – und steht das im Vertrag, nicht nur im Marketing?
• Wer kann technisch auf meine Daten zugreifen, und in welchem Rechtsraum sitzt dieses Unternehmen?
• Wer hält die Verschlüsselungsschlüssel – Sie oder der Anbieter?
• Wie bekomme ich meine Daten wieder heraus, wenn ich kündige – in welchem Format und in welcher Frist?

Wer auf die erste Frage ausweicht oder auf eine allgemeine Datenschutzseite verweist, hat die Antwort schon gegeben.

Das Fazit

Der Serverstandort ist ein Kriterium von mehreren, nicht der Freibrief. Prüfen Sie, welche Daten überhaupt in KI-Systeme sollen, und wählen Sie erst danach das Werkzeug. Für viele Aufgaben gibt es inzwischen europäische Alternativen, die diese Frage gar nicht erst aufwerfen – eine Übersicht finden Sie im Verzeichnis europäischer KI-Lösungen, die größeren Zusammenhänge auf der Seite Digitale Souveränität.

Und wenn Sie nicht sicher sind, wo Ihr Betrieb gerade steht: Der kostenlose KI-Check sortiert in wenigen Minuten, welche Themen bei Ihnen zuerst dran sind.

Dieser Beitrag ordnet die Rechtslage für die Praxis ein und ersetzt keine Rechtsberatung. Ob eine konkrete Verarbeitung zulässig ist, hängt von Ihren Daten, Ihren Verträgen und Ihrer Dokumentation ab.