In Ihrem Cloud-Vertrag steht, dass Ihre Daten in der EU liegen. Frankfurt, Amsterdam, Dublin, suchen Sie sich eine Region aus. Für einen US-Anbieter ist das Land nicht die Frage, auf die es ankommt.
Was im CLOUD Act tatsächlich steht
Der CLOUD Act ist ein US-Gesetz von 2018. Im Klartext: Ein Unternehmen, das amerikanischem Recht unterliegt, kann verpflichtet werden, Ihre Dateien herauszugeben. In welchem Land diese Dateien liegen, ändert daran nichts. Das Gesetz erfasst alles, was sich in „Besitz, Gewahrsam oder Kontrolle“ dieses Unternehmens befindet. Eine EU-Region ändert, wie schnell Ihre Suchanfragen laufen. Sie ändert nicht, wer verpflichtet werden kann, die Dateien zu öffnen.
Genau dafür wurde das Gesetz geschrieben. Es beendete den alten Streit darüber, ob im Ausland gespeicherte Dateien außer Reichweite sind.
Das Eingeständnis unter Eid
Jahrelang antworteten Anbieter mit Beruhigung. Herausgaben seien selten, Souveränitätsklauseln schützten Sie. Im Juni 2025 stellte der französische Senat Microsoft France dann eine direkte Frage. Können Sie zusichern, dass Daten französischer Bürger niemals ohne französische Zustimmung an US-Behörden gehen?
Unter Eid: Eine solche Zusage lasse sich nicht geben.
Das ist kein Skandal um einen einzelnen Anbieter. Jeder Anbieter unter US-Recht müsste genauso antworten.
Aber wir haben doch ein souveränes EU-Angebot
Souveräne Cloud-Produkte gibt es wirklich, und sie senken echtes Risiko. Eigenes Personal vor Ort, Support innerhalb der EU, Zusagen zum täglichen Umgang mit den Daten. Nichts davon schreibt ein US-Gesetz um. Solange ein US-Unternehmen die Maschinen kontrolliert, bleibt die Frage offen.
Für die meiste Arbeit ist dieses Risiko vertretbar. Marketingdateien, öffentliche Dokumentation, Daten, die Sie jederzeit neu erzeugen könnten. Der CLOUD Act ist kein Grund, Ihre Website umzuziehen.
Wo es aufhört, vertretbar zu sein
Die Rechnung dreht sich, sobald die Dokumente das Geschäft sind.
- Angebotspreise und Margen. Die Kalkulation eines Bauunternehmens ist das Unternehmen. Kein kaufmännischer Geschäftsführer unterschreibt „eine ausländische Behörde kann den Zugriff erzwingen“.
- Mandantenakten unter Verschwiegenheitspflicht. Eine Kanzlei muss ihren Mandanten sagen können, dass geschützte Unterlagen außerhalb der Reichweite eines Drittstaats liegen. Auf einer US-Cloud kann sie das nicht.
- Lieferantenkonditionen und Rahmenverträge. Eine über ein Jahrzehnt verhandelte Rabattstruktur sollte nicht auf Maschinen liegen, deren Betreiber zur Öffnung verpflichtet werden kann.
Europa drückt von der anderen Seite. Schrems II ist das Urteil, das Sie zwingt, jede Übermittlung personenbezogener Daten aus der EU zu prüfen. Dateien an einen US-Anbieter zu geben ist genau diese Übermittlung, und Ihr Datenschutzbeauftragter muss sie schriftlich begründen.
Der kürzeste Ausweg
Es gibt zwei ehrliche Wege, die Frage zu schließen.
Der erste ist der juristische. Folgenabschätzungen, zusätzliche Garantien, Verschlüsselung mit den Schlüsseln in Ihrer Hand, eine erneute Prüfung bei jeder Bewegung in der Rechtsprechung. Ernsthafte Unternehmen gehen diesen Weg. Er kostet Geld, er ist nie ganz fertig, und das Risiko erreicht nie null.
Der zweite ist, die Dokumente in Ihrem Gebäude zu halten. Dateien, die Ihr Gebäude nie verlassen, überqueren keine Grenze. Es gibt nichts zu prüfen, weil es keine Übermittlung gibt.
Das ist der Gedanke hinter Perimeter. Ein Gerät in Ihrem Serverraum. Es liest Ihre eigenen Dokumente und antwortet mit der Seite, aus der die Antwort stammt. Es spricht nie mit dem Internet. Für manche Dokumente trägt nur eine Antwort: niemand außerhalb Ihrer Mauern.
Ihre IT-Leitung kann nachprüfen, wie es gebaut ist. Das Sicherheitsdossier ist genau dafür geschrieben.