Was ist der Cloud Act?

Dies ist ein amerikanisches Gesetz von 2018, das es den Behörden der USA ermöglicht, von einem Anbieter, der ihrer Gerichtsbarkeit unterliegt, zu verlangen, dass er Daten offenlegt, die er besitzt oder kontrolliert, auch wenn diese außerhalb des amerikanischen Territoriums gehostet werden.

Meine Daten werden in Europa gehostet: bin ich vor dem Cloud Act geschützt?

Nicht unbedingt. Wenn der Anbieter oder sein Mutterunternehmen dem amerikanischen Recht unterliegt, kann der Cloud Act gelten, auch wenn die Daten physisch in Europa sind. Es ist die Rechtsordnung des Unternehmens, genauso wie der Standort, der zählt.

Sind der Cloud Act und die DSGVO kompatibel?

Sie geraten oft in Konflikt. Die Weitergabe personenbezogener Daten an eine ausländische Behörde ohne europäische Rechtsgrundlage kann gegen die DSGVO verstoßen, was einen Anbieter, der beiden Rechtssystemen unterliegt, in eine rechtlich unbequeme Position bringt.

Löst das Data Privacy Framework das Problem?

Es bietet einen Rahmen für EU-US-Transfers, bleibt aber fragil: Die beiden Mechanismen, die ihm vorausgingen, wurden von der europäischen Justiz für ungültig befunden. Die gesamte Konformität auf diesen einen Rahmen zu stützen, setzt ein Risiko aus, falls es erneut angefochten wird.

Wie kann ich dieses Risiko für meine elektronischen Signaturen reduzieren?

Indem Sie einen Anbieter wählen, dessen Hosting und Rechtsordnung europäisch sind, wie Certyneo, bleiben Ihre Dokumente, personenbezogenen Daten und Nachweise unter europäischem Recht und außer Reichweite des Cloud Act und der FISA 702.

Compliance

DSGVO gegen Cloud Act: die Risiken eines amerikanischen Anbieters

Die DSGVO schützt die personenbezogenen Daten von Europäern; das amerikanische Cloud Act ermöglicht es Behörden der Vereinigten Staaten, von einem Anbieter, der ihrem Recht unterliegt, zu verlangen, dass er Daten überträgt, unabhängig davon, wo diese gespeichert sind. Zwei Rechtssysteme treffen aufeinander, und die Wahl Ihres Signaturanbieters bestimmt, auf welcher Seite das Gleichgewicht kippt.

Aktualisiert am 20. Mai 2026

Rechtsrahmen

Der Gegensatz ist nicht theoretisch: er entsteht aus zwei Rechtssystemen, die jeweils Geltung über dieselben Daten beanspruchen. Das Verständnis dieser Texte ermöglicht es, die tatsächliche Exposition eines Anbieters zu bewerten, über die reine Frage des Hostings hinaus.

Um von der Theorie zur Praxis überzugehen, entdecken Sie die elektronische Signaturaktion Certyneo und ihr Angebot für Ihren Sektor — eIDAS-konform, ohne Installation.

DSGVO: Sie regelt streng die Verarbeitung personenbezogener Daten und erlaubt deren Übermittlung außerhalb der Union nur unter bestimmten Bedingungen. Die Übermittlung von Daten an eine ausländische Behörde ohne europäische Rechtsgrundlage kann einen Verstoß darstellen.
Cloud Act (2018): Dieses amerikanische Gesetz ermöglicht es Behörden der Vereinigten Staaten, einen Anbieter, der ihrer Gerichtsbarkeit unterliegt, zu zwingen, Daten auszuhändigen, die er hält oder kontrolliert, auch wenn diese außerhalb des amerikanischen Territoriums gehostet werden.
FISA 702: Diese Grundlage des amerikanischen Nachrichtendienstes autorisiert die Überwachung von Kommunikationen von nicht-amerikanischen Personen bei Anbietern, die dem amerikanischen Recht unterliegen, und schürt das Misstrauen in den tatsächlichen Schutz übermittelter Daten.
Data Privacy Framework: Dieses Rahmenwerk, das die Datenübermittlungen zwischen der EU und den USA regelt, soll Garantien bieten, bleibt aber rechtlich fragil — die beiden Mechanismen, die ihm vorausgingen (Safe Harbor, Privacy Shield), wurden von der europäischen Justiz für ungültig erklärt, was zu Vorsicht rät.

Garantien, die bei einem Dienstleister zu überprüfen sind

Gerichtsbarkeit des Unternehmens: Das Unternehmen, das den Dienst betreibt, und seine Muttergesellschaft unterliegen dem Recht eines EU-Mitgliedstaats, außerhalb der Reichweite des Cloud Act und der FISA 702.

Europäisches Hosting: Dokumente, personenbezogene Daten und Audit-Logs werden in der EU gespeichert, ohne Replikation in die USA oder ein anderes Drittland.

Kontrollierte Subunternehmer: Hosting-Anbieter und technische Dienstleister führen keine neue Abhängigkeit von einem dem amerikanischen Recht unterliegenden Akteur ein.

Keine standardmäßigen Übermittlungen: Es finden keine systematischen Datenübermittlungen außerhalb der EU statt; falls vorhanden, basieren diese auf einer dokumentierten Rechtsgrundlage, nicht allein auf dem Data Privacy Framework.

Datenzugriffspolitik: Der Dienstleister legt dar, wie er eine Anfrage einer ausländischen Behörde bearbeiten würde und welche Garantien Ihre Daten schützen.

Überprüfbare Nachweise: Der Ort der Datenverarbeitung und die Subunternehmer-Kette sind dokumentiert und geltend zu machen, nicht nur in einem Verkaufsargument behauptet.

Eine souveräne Lösung wählen

1
Die Exposition gegenüber fremdem Recht erkennen
Prüfen Sie für jedes Werkzeug, das Ihre Signaturen verarbeitet, ob der Dienstleister, seine Muttergesellschaft oder seine Subunternehmer unter eine Gerichtsbarkeit mit extraterritorialer Reichweite wie das amerikanische Recht fallen.
2
Hosting und Datenflüsse überprüfen
Bestätigen Sie, dass die Daten in der EU verbleiben und dass keine systematischen Übermittlungen in ein Drittland, insbesondere in die USA, stattfinden.
3
Die Rechtsgrundlagen für Übermittlungen bewerten
Falls eine Übermittlung erfolgt, prüfen Sie, worauf sie basiert, und behalten Sie die historische Fragilität der EU-US-Rahmenwerke im Hinterkopf, bevor Sie sich darauf verlassen.
4
Eine europäische Alternative bevorzugen
Wählen Sie bei gleicher Bedeutung einen Dienstleister, dessen Hosting und Gerichtsbarkeit europäisch sind, um Ihre Daten außerhalb der Reichweite des Cloud Act und der FISA 702 zu platzieren.

Häufig gestellte Fragen

Was ist der Cloud Act?: Dies ist ein amerikanisches Gesetz von 2018, das es den Behörden der USA ermöglicht, von einem Anbieter, der ihrer Gerichtsbarkeit unterliegt, zu verlangen, dass er Daten offenlegt, die er besitzt oder kontrolliert, auch wenn diese außerhalb des amerikanischen Territoriums gehostet werden.
Meine Daten werden in Europa gehostet: bin ich vor dem Cloud Act geschützt?: Nicht unbedingt. Wenn der Anbieter oder sein Mutterunternehmen dem amerikanischen Recht unterliegt, kann der Cloud Act gelten, auch wenn die Daten physisch in Europa sind. Es ist die Rechtsordnung des Unternehmens, genauso wie der Standort, der zählt.
Sind der Cloud Act und die DSGVO kompatibel?: Sie geraten oft in Konflikt. Die Weitergabe personenbezogener Daten an eine ausländische Behörde ohne europäische Rechtsgrundlage kann gegen die DSGVO verstoßen, was einen Anbieter, der beiden Rechtssystemen unterliegt, in eine rechtlich unbequeme Position bringt.
Löst das Data Privacy Framework das Problem?: Es bietet einen Rahmen für EU-US-Transfers, bleibt aber fragil: Die beiden Mechanismen, die ihm vorausgingen, wurden von der europäischen Justiz für ungültig befunden. Die gesamte Konformität auf diesen einen Rahmen zu stützen, setzt ein Risiko aus, falls es erneut angefochten wird.
Wie kann ich dieses Risiko für meine elektronischen Signaturen reduzieren?: Indem Sie einen Anbieter wählen, dessen Hosting und Rechtsordnung europäisch sind, wie Certyneo, bleiben Ihre Dokumente, personenbezogenen Daten und Nachweise unter europäischem Recht und außer Reichweite des Cloud Act und der FISA 702.

→ Leitfaden zur elektronischen Signatur · → Sicherheit & Compliance · → Die eIDAS-Verordnung verstehen · → Die Zahlen der digitalen Souveränität

Halten Sie Ihre Daten unter europäischem Recht

Mit einer elektronischen Signatur, die in der Union gehostet und in Europa betrieben wird, bringen Sie Ihre Dokumente außer Reichweite von extraterritorialen Gesetzen.

Certyneo-Gemeinschaft

Eine Frage zur elektronischen Signatur?

Treten Sie der Certyneo-Gemeinschaft bei: Stellen Sie Fragen, teilen Sie Antworten und tauschen Sie sich mit Tausenden von Benutzern und unserem Team aus.