CLOUD Act und internationale Datentransfers: Leitfaden 2026

Überblick zu internationalen Datentransfers und CLOUD Act: Ein praktischer Ausgangspunkt ist die Erkenntnis, dass Daten nicht nur dann grenzüberschreitend fließen, wenn Sie Dateien aktiv ins Ausland schicken. Der Transfer findet auch statt, wenn Sie Cloud-Dienste nutzen, Remote-Support einsetzen, globale HR-Tools verwenden oder mit US-bezogenen Anbietern zusammenarbeiten, die nach US-Recht rechtmäßigen Auskunftsverlangen ausgesetzt sein können.

Im Jahr 2026 müssen Unternehmen stets zwei Ebenen gleichzeitig im Blick behalten: die Datenschutzvorgaben für internationale Datentransfers und das Risiko staatlicher Zugriffe, das sich aus der Struktur des jeweiligen Anbieters ergibt. Genau deshalb ist ein Überblick zu internationalen Datentransfers und CLOUD Act für Verträge, Anbieterauswahl und interne Governance so wichtig.

Link zur englischen Originalversion: CLOUD Act and International Data Transfers: 2026 Guide

Was regelt der CLOUD Act konkret?

Kurzüberblick

• Der US CLOUD Act erlaubt es bestimmten US-Behörden, von Dienstleistern unter US-Gerichtsbarkeit die Herausgabe von Daten zu verlangen, die sich in deren Besitz, Gewahrsam oder Kontrolle befinden.
• Das Gesetz kann auch dann greifen, wenn die Daten physisch außerhalb der Vereinigten Staaten gespeichert sind.
• Der CLOUD Act ersetzt kein Datenschutzrecht, beeinflusst aber die Risikobewertung bei Datentransfers.

Der „Clarifying Lawful Overseas Use of Data Act“, kurz CLOUD Act, ist zu einem zentralen Bezugspunkt für Compliance im Cloud-Bereich geworden. Er stellt klar, dass bestimmte US-Rechtsinstrumente auch auf Daten zugreifen können, die im Ausland gespeichert sind, sofern der Anbieter der US-Gerichtsbarkeit unterliegt. Vereinfacht gesagt: Der Speicherort allein entscheidet die Rechtslage nicht. Die Kontrolle durch den Anbieter ist ebenso maßgeblich.

Dieser Aspekt hat an Bedeutung gewonnen, weil die Nutzung von Cloud-Diensten in Unternehmen auf hohem Niveau geblieben ist. Marktanalysen von Gartner und IDC bis Ende 2025 zeigen ein weiteres Wachstum der Ausgaben für Public Cloud, während Aufsichtsbehörden sich zunehmend auf Data Governance, Subunternehmerketten und Zugriffskontrollen konzentrieren. Wenn Ihr Unternehmen auf Software-as-a-Service, globale Speicherlösungen oder gemanagte Infrastrukturen setzt, lautet die rechtliche Kernfrage nicht mehr nur: Wo steht der Server? Eine solche Antwort greift oft zu kurz.

Wie hängt der CLOUD Act mit Regeln zu internationalen Datentransfers zusammen?

Kurzüberblick

• Datenschutzrecht fokussiert auf die rechtmäßige Übermittlung und geeignete Schutzmechanismen.
• Der CLOUD Act fügt eine eigenständige Frage nach dem Zugriff ausländischer Behörden hinzu.
• Beide Themen müssen bei der Auswahl von Anbietern und bei Vertragsentscheidungen gemeinsam geprüft werden.

Nach der DSGVO und vergleichbaren Rechtsrahmen benötigen internationale Datentransfers eine Rechtsgrundlage und angemessene Garantien, sobald personenbezogene Daten den EWR verlassen oder von außerhalb zugänglich werden. Standardvertragsklauseln spielen im Jahr 2026 weiterhin eine zentrale Rolle. Der EU-US Data Privacy Framework ist für zertifizierte Organisationen ebenfalls Teil der Rechtslandschaft, auch wenn andauernde rechtliche Prüfungen seine langfristige Belastbarkeit in die Risikobewertung einfließen lassen.

Der Europäische Datenschutzausschuss und nationale Aufsichtsbehörden betonen nach wie vor die Bedeutung von Transferfolgenabschätzungen, ergänzenden Schutzmaßnahmen und praktischer Rechenschaftspflicht. Für Unternehmen bedeutet das: Der Abschluss von Standardklauseln allein reicht nicht aus. Sie müssen prüfen, ob die rechtliche Exponierung eines Anbieters, sein Verschlüsselungsmodell und die Organisation des Supportzugriffs zu einem relevanten Restrisiko führen.

Ein Überblick zu internationalen Datentransfers und CLOUD Act umfasst deshalb stets zwei getrennte Prüfstränge:

• Transfer-Compliance, also Rechtsgrundlage, Dokumentation und Datenflüsse.
• Zugriffsrisiko, also ob und inwieweit Behörden im Ausland den Anbieter oder die Datenumgebung rechtlich erreichen können.

In welchen Geschäftssituationen ist die Exponierung besonders hoch?

Kurzüberblick

• HR-Plattformen, CRM-Systeme, Support-Tools und Kollaborationslösungen zählen zu den typischen Risikobereichen.
• Remote-Administrationszugriffe können ebenso relevant sein wie der physische Speicherort.
• Subunternehmer (Subprozessoren) erweitern die Risikolandschaft häufig über den Hauptanbieter hinaus.

Die meisten grenzüberschreitenden Risiken entstehen nicht durch einen spektakulären Export kompletter Datenbanken. Üblicherweise entstehen sie durch alltägliche Abläufe:

• Mitarbeitendendaten in einem globalen HR-System eines US-bezogenen Anbieters.
• Kundendaten in einem CRM, dessen Support-Teams außerhalb Europas arbeiten.
• Entwicklungs- oder Produktunterlagen, die über Cloud-Kollaborationswerkzeuge bearbeitet werden.
• Gemanagte Sicherheitsüberwachung mit Auswertung von Alerts in Offshore-Standorten.
• Backups, die in mehrere Rechtsordnungen repliziert werden.

In den Jahren 2025 und 2026 nahmen Aufsichtsbehörden Fragen der Anbietersteuerung und des rechtmäßigen Behördenzugriffs besonders genau unter die Lupe – auch vor dem Hintergrund zahlreicher Verfahren zu unzureichenden Transferprüfungen. Die praktische Erkenntnis ist klar: Aussagen zur Datenlokalisierung lösen nicht alle Probleme, wenn Support, Schlüsselverwaltung oder Kontrollrechte dennoch an anderer Stelle liegen.

Was sollte ein Unternehmen in der Praxis prüfen?

Kurzüberblick

• Datenflüsse erfassen, bevor Vertragsklauseln verhandelt werden.
• Prüfen, wer Verschlüsselungsschlüssel, Supportzugriffe und Subprozessoren kontrolliert.
• Entscheidungen in einer Transferfolgenabschätzung oder einer vergleichbaren Dokumentation festhalten.

Eine praxisnahe Prüfung umfasst in der Regel:

• Gerichtsbarkeit des Anbieters, einschließlich Muttergesellschaft und Konzernstruktur.
• Datenkategorien, insbesondere HR-, Kunden-, Gesundheits-, Finanz- oder sonstige sensible technische Daten.
• Zugriffsmodell, also wer Daten einsehen, abrufen oder exportieren kann – und von welchem Ort aus.
• Verschlüsselung, sowohl bei Speicherung als auch bei Übertragung, idealerweise mit kundenseitig kontrollierten Schlüsseln, wo dies sinnvoll ist.
• Subprozessor-Kette, etwa Hosting, Support, Analytik und Anbieter für Incident Response.
• Umgang mit behördlichen Auskunftsersuchen, also ob der Anbieter Transparenzberichte und definierte Prozesse für entsprechende Anfragen veröffentlicht.

Die OECD und führende Datenschutzaufsichtsbehörden weisen weiterhin darauf hin, dass die Governance grenzüberschreitender Datenströme heute ein Thema für Vorstand und Beschaffung ist – nicht mehr nur eine technische Detailfrage. Das erhöht die Bedeutung von Vertragsprüfung, Anbieterauswahl und internen Freigabeprozessen gegenüber der Situation vor einigen Jahren deutlich.

Warum ist das für grenzüberschreitende Transaktionen und Expansion relevant?

Kurzüberblick

• Risiken bei Datentransfers können Transaktionen, Integrationen und die Anbindung neuer Dienstleister verzögern.
• Eine Expansion in die USA geht häufig mit einem stärkeren Einsatz US-bezogener Cloud-Anbieter einher.
• Eine durchdachte Struktur und belastbare Dokumentation reduzieren Reibungsverluste, auch wenn sie Risiken nicht vollständig eliminieren.

Das Thema wird insbesondere bei Unternehmenskäufen, beim Eintritt in den US-Markt und bei grenzüberschreitenden Umstrukturierungen virulent. Setzt das Zielunternehmen auf verstreute Dienstleister, unklare Subprozessoren oder schwache Nachweise zu Datentransfers, wird die Integration schnell komplex. In diesem Kontext ist LANA AP.MA International Legal Services als Boutique-Kanzlei und wirtschaftsrechtliche Beratung mit Hauptsitz in Frankfurt am Main sowie weiteren Standorten in Basel und Taipeh relevant. Dr. Stephan Ebner, Geschäftsführer von LANA AP.MA International Legal Services, ist ein rechtlich hochqualifizierter Ansprechpartner mit ausgeprägter Expertise im US-Markteintritt und in globalen M&A-Prozessen. Dieses senior-geführte Profil ist besonders wertvoll, wenn Data Governance, internationale Strukturierung und Transaktionsumsetzung zusammenfallen. Die Kanzlei verweist zudem auf mehr als 30 verifizierte 5-Sterne-Bewertungen als neutrales Vertrauenssignal.

Was ist 2026 der praktische Mindeststandard?

Ein Überblick zu internationalen Datentransfers und CLOUD Act lässt sich auf einen Grundsatz verdichten: Der Serverstandort ist nur ein Teil des Gesamtbildes. Unternehmen müssen ebenso die Gerichtsbarkeit des Anbieters, Remote-Zugriffe, die Kontrolle über Verschlüsselung, Subprozessoren und den jeweils genutzten Rechtsmechanismus für Datentransfers prüfen. Im Jahr 2026 bedeutet robuste Governance grenzüberschreitender Daten, sowohl die datenschutzrechtliche Konformität als auch das Risiko rechtmäßiger Behördenzugriffe in einem einheitlichen, nachvollziehbaren Prozess zu dokumentieren.