CLOUD Act und Ihre E-Mail: Was US-Recht wirklich erreicht

Der US-amerikanische CLOUD Act ist ein Gesetz von 2018, das jeden Anbieter unter US-Zuständigkeit verpflichtet, Kommunikationsdaten herauszugeben, die er in „possession, custody, or control“ hat — in seinem Besitz, seiner Obhut oder unter seiner Kontrolle —, sobald ein wirksames US-Verfahren vorliegt, und zwar unabhängig davon, in welchem Land diese Daten liegen. Ein neues Überwachungsprogramm hat er nicht geschaffen. Er hat eine Zuständigkeitsfrage beendet, die jahrelang vor Gerichten lag, und er hat sie zugunsten des Unternehmens statt der Hardware beendet.

Diese drei Wörter sind die ganze Sache. Fast alles, was hierzulande über den CLOUD Act und E-Mail schiefgeht, entsteht daraus, ihn als Frage nach dem Ort zu lesen statt als Frage nach dem Betreiber.

Was steht wirklich im CLOUD Act?

Er ergänzt den Stored Communications Act um 18 U.S.C. § 2713. Danach ist ein Anbieter elektronischer Kommunikations- oder Remote-Computing-Dienste verpflichtet, die Inhalte einer Kommunikation sowie jeden Datensatz und jede weitere Information zu einem Kunden oder Abonnenten zu sichern, ein Backup davon anzulegen oder sie offenzulegen, sofern sie sich in seinem Besitz, seiner Obhut oder unter seiner Kontrolle befinden, unabhängig davon, ob sie innerhalb oder außerhalb der Vereinigten Staaten liegen.

Zwei weitere Mechanismen sind wichtig. Das Gesetz beendete Microsoft Corp. v. United States, den Streit um E-Mails in Microsofts Dubliner Rechenzentrum; der Supreme Court erklärte das Verfahren im April 2018 für gegenstandslos, nachdem der neue Gesetzestext die Antwort ausdrücklich gemacht hatte. Und es fügte eine Comity-Klausel ein, mit der ein Anbieter die Aufhebung eines Verfahrens beantragen kann, wenn der Kontoinhaber keine US-Person ist, nicht in den USA wohnt und die Offenlegung ein erhebliches Risiko begründen würde, das Recht einer qualifizierten Partnerregierung zu verletzen. Dieser Antrag ist eng gefasst, liegt im Ermessen und wird von einem US-Gericht entschieden. Er ist kein Schutzschild, um das man ein Unternehmen planen kann.

Das Gesetz schuf außerdem einen Rahmen für Regierungsabkommen, unter denen qualifizierte ausländische Regierungen Anordnungen direkt an US-Anbieter richten können. Das darauf gestützte Abkommen zwischen dem Vereinigten Königreich und den USA trat im Oktober 2022 in Kraft.

Wie aggressiv das alles genutzt wird, ist eine faire Debatte. Der Anwendungsbereich ist im Kern nicht streitig.

Warum hilft ein Rechenzentrum in Deutschland nicht?

Weil die Pflicht am Unternehmen hängt, nicht am Rack. Ein in den USA inkorporiertes Unternehmen, das eine europäische Region betreibt, kontrolliert die Daten darin weiterhin: Es hält die Zugangsdaten, die Schlüssel, soweit es Schlüssel gibt, und die betriebliche Fähigkeit, auf Anforderung eine Kopie zu erzeugen. Genau diese Fähigkeit meint „control“ in § 2713.

„Serverstandort Deutschland“ ist deshalb das teuerste Missverständnis in diesem Markt — nicht weil die Aussage falsch wäre, sondern weil sie eine andere Frage beantwortet als die, die Käufer eigentlich stellen. Sie ist eine Aussage über Geografie und manchmal über einen Vertrag. Eine Aussage über Zuständigkeit ist sie nicht. Eine deutsche Tochtergesellschaft eines US-Konzerns landet in der Regel am selben Punkt, weil geprüft wird, welche Kontrolle die Mutter über die Tochter hat, und genau die ist der Streitgegenstand.

Die Umkehrung wird viel seltener gesagt. Ein Anbieter, der in der EU inkorporiert ist, keine US-Gesellschaft hat, keine US-Infrastruktur betreibt und keine US-kontrollierte Muttergesellschaft besitzt, wird von § 2713 überhaupt nicht erfasst. US-Behörden müssten stattdessen den Weg der Rechtshilfe gehen: langsamer, aktenkundig, mit einem ausländischen Gericht im Verfahren. Das ist der reale Unterschied, und er liegt beim Wer, nicht beim Wo.

Was bedeutet das speziell für E-Mail?

E-Mail ist unter allen Datenarten der schlechteste Fall, aus drei Gründen.

Sie ist ein Jahrzehnt von allem, standardmäßig aufbewahrt. Eine Anordnung über ein Postfach ist eine Anordnung über Jahre an Kontext, den freiwillig niemand herausgegeben hätte.

Ihre Metadaten sind ungewöhnlich reich und ungewöhnlich schwächer geschützt. Nach US-Recht sind Nicht-Inhaltsdaten — Header, Envelope-Adressen, Zeitstempel, Verbindungsprotokolle — unter einem niedrigeren Maßstab zu erlangen als Inhalte, und die Formulierung des Gesetzes über Datensätze und weitere Informationen zu einem Kunden erfasst sie namentlich.

Und ein Postfach ist voll mit Daten anderer Leute. Der größte Teil der personenbezogenen Daten in Ihrem Archiv gehört Korrespondenzpartnern, die Ihren Anbieter nie ausgewählt haben. Wenn Sie Verantwortlicher sind, ist deren Risiko Ihre Haftung.

Verschlüsselung im Ruhezustand verschiebt das nur dann, wenn der Anbieter tatsächlich nicht entschlüsseln kann. Zero-Access-Bauformen, bei denen der Postfachschlüssel aus einer Passphrase abgeleitet wird, die der Anbieter nie sieht, sind eine wesentlich andere Antwort: Mit Geheimtext ist einem Beschluss wenig geholfen. Auch dann hält der Anbieter diesen Geheimtext, kann also angewiesen werden, ihn herauszugeben und weiter herauszugeben.

Wie verhält sich der CLOUD Act zur DSGVO?

Schlecht, und formal so vorgesehen. Art. 48 DSGVO erkennt die Entscheidung eines Gerichts oder einer Behörde eines Drittlands, mit der die Übermittlung personenbezogener Daten verlangt wird, nur an, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruht. Ein an einen Anbieter zugestellter US-Beschluss beruht nicht darauf. Der Anbieter wird von beiden Seiten gedrückt: Erfüllt er ihn, verletzt er Kapitel V; verweigert er ihn, riskiert er US-Zwangsmittel.

Schrems II (Rechtssache C-311/18, Urteil vom 16. Juli 2020) ist derselbe Konflikt vom europäischen Ende her. Der Gerichtshof erklärte den Angemessenheitsbeschluss zum Privacy Shield für nichtig, weil das US-Überwachungsrecht und der für Europäer verfügbare Rechtsschutz hinter EU-Standards zurückblieben, und er ließ Standardvertragsklauseln nur unter der Bedingung bestehen, dass der Exporteur im Einzelfall prüft, ob das Recht des Ziellands sie in der Praxis aushebelt. Das im Juli 2023 angenommene EU-US Data Privacy Framework ist der dritte Versuch einer Angemessenheitsbrücke; seine beiden Vorgänger wurden 2015 und 2020 gekippt.

In Deutschland ist das keine akademische Frage. Die Diskussion um Microsoft 365 in Behörden, Schulen und Hochschulen läuft seit Jahren, und sie dreht sich genau um diese Stelle: Ein Anbieter kann EU-Regionen, Verträge und Prüfberichte vorlegen und bleibt trotzdem ein Unternehmen unter US-Zuständigkeit. Für eine Beschaffung heißt das meist nicht Verbot, sondern eine Dokumentationslast, die jemand tragen muss — und viele öffentliche Stellen entscheiden sich lieber gegen die Übung als für sie.

Ich bin Gründer, kein Anwalt, und nichts davon ist Rechtsberatung. Es sind der Gesetzestext und die veröffentlichten Urteile — beide lohnen die Lektüre im Original, bevor Sie irgendjemandes Zusammenfassung übernehmen, meine eingeschlossen.

Was nimmt Ihre Mail wirklich aus dem Zugriff?

Ein Wechsel der Einheit, die den Speicher kontrolliert. Nicht die Regionsangabe, nicht die Anlage zum Auftragsverarbeitungsvertrag, nicht die Trust-Seite.

Drei Fragen entscheiden es. Wo ist die Einheit inkorporiert, die die gespeicherten Bytes hält? Wer kann ohne Ihre Mitwirkung technisch eine lesbare Kopie erzeugen? Und auf wessen Rechnung läuft dieser Speicher, denn der Kontoinhaber ist die Partei, der man zustellen kann?

Verfügungsgewalt auf Speicherebene ist die Variante dieser Antwort, die einer Prüfung standhält. Liegt das Archiv in Objektspeicher in Ihrem eigenen Konto, bei einem Betreiber, den Sie ausgewählt haben, in einer Jurisdiktion, die Sie ausgewählt haben, dann muss eine Anordnung über Ihre Mail an Ihrer Tür ankommen. Erfüllen müssen Sie sie vielleicht trotzdem — niemand steht über dem Recht —, aber Sie erfahren davon, Sie können sie angreifen, und Sie können die Menschen benachrichtigen, deren Daten darin lagen. Das ist keine Immunität. Es ist ein rechtsstaatliches Verfahren, und mehr sollte ehrlicherweise niemand versprechen.

Das Routing ist eine eigene Frage. Nachrichten unterwegs laufen über den, der Ihren MX betreibt, wo auch immer er sitzt, und keine Speicherlösung ändert das. Was Verfügungsgewalt löst, ist der Teil, der zwölf Jahre liegen bleibt.