US CLOUD Act

Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) wurde am 23. März 2018 als Teil des Consolidated Appropriations Act verabschiedet. Sein Kern ist die Einfügung von 18 U.S.C. § 2713 in den Stored Communications Act: Anbieter elektronischer Kommunikations- oder Remote-Computing-Dienste müssen Inhalts- und Bestandsdaten auf eine Anordnung nach 18 U.S.C. §§ 2703 ff. hin auch dann herausgeben, wenn die Daten außerhalb der Vereinigten Staaten gespeichert sind. Maßgeblich ist allein, ob der Anbieter die Daten in seiner "possession, custody, or control" hat. Anlass war der Rechtsstreit United States v. Microsoft Corp. um E-Mails auf irischen Servern, den der Supreme Court nach Inkrafttreten des Gesetzes im April 2018 für erledigt erklärte. Der räumliche Anwendungsbereich knüpft damit an die Kontrolle über die Daten an, nicht an den Speicherort - weshalb auch europäische Tochtergesellschaften US-amerikanischer Konzerne erfasst sein können, soweit die Muttergesellschaft tatsächlich Zugriff hat.

Aus europäischer Sicht kollidiert dieser Herausgabeanspruch mit Art. 48 DSGVO. Danach dürfen Urteile oder Entscheidungen einer Behörde eines Drittlands, die eine Übermittlung personenbezogener Daten verlangen, nur anerkannt und vollstreckt werden, wenn sie auf einer internationalen Übereinkunft - typischerweise einem Rechtshilfeabkommen - beruhen; unberührt bleiben die übrigen Gründe des Kapitels V. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben in ihrer gemeinsamen Antwort an den LIBE-Ausschuss vom 10. Juli 2019 klargestellt, dass eine CLOUD-Act-Anordnung für sich genommen keine Rechtsgrundlage für eine Übermittlung schafft. Ohne Rechtshilfeabkommen bliebe allenfalls eine Ausnahme nach Art. 49 DSGVO, die eng auszulegen und für wiederkehrende Massenanfragen ungeeignet ist; das öffentliche Interesse im Sinne von Art. 49 Abs. 1 lit. d DSGVO muss zudem im Unionsrecht oder im Recht eines Mitgliedstaats anerkannt sein und nicht nur im Drittland. Hinzu kommt, dass die Herausgabe zugleich eine Verarbeitung ohne Rechtsgrundlage nach Art. 6 DSGVO und - beim Auftragsverarbeiter - einen Verstoß gegen die Weisungsbindung aus Art. 28 und Art. 29 DSGVO darstellen kann.

Der Konflikt ist bis heute nicht abschließend gelöst. Der CLOUD Act sieht in 18 U.S.C. § 2523 Executive Agreements mit qualifizierten Partnerstaaten vor; solche Abkommen bestehen mit dem Vereinigten Königreich und mit Australien, während die 2019 aufgenommenen Verhandlungen zwischen der EU und den USA über ein Abkommen zum elektronischen Beweismittelzugriff bislang nicht abgeschlossen sind. Die im Gesetz vorgesehene Möglichkeit, eine Anordnung wegen entgegenstehenden ausländischen Rechts anzufechten, setzt in ihrer gesetzlichen Ausprägung ein solches Abkommen voraus, sodass europäische Betroffene praktisch auf allgemeine Comity-Erwägungen der US-Gerichte verwiesen sind. Auf EU-Seite schafft die E-Evidence-Verordnung (EU) 2023/1543 einen eigenen Rahmen für grenzüberschreitende Herausgabeanordnungen, der ab dem 18. August 2026 gilt. Weder der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework noch die Executive Order 14086 lösen die Frage, denn beide betreffen den nachrichtendienstlichen Zugriff und nicht die strafverfolgungsrechtliche Herausgabe. Verantwortliche sollten das Risiko daher im Transfer-Impact-Assessment bewerten und über Vertragsgestaltung, Verschlüsselung mit eigener Schlüsselhoheit, Datenminimierung oder europäische Alternativen begrenzen.