Was ist der US Cloud Act und betrifft er deutsche Unternehmen?

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) erlaubt US-Behörden, Daten von US-Unternehmen anzufordern – unabhängig davon, wo die Daten gespeichert sind. Wenn ein deutsches KMU Microsoft 365, Google Workspace, AWS oder Salesforce nutzt, können US-Behörden auf diese Daten zugreifen – auch wenn die Server in Frankfurt stehen. Das betrifft alle Unternehmen, die US-Cloud-Dienste nutzen.

Welche Strafen drohen bei DSGVO-Verstößen durch US-Cloud-Nutzung?

Bei Verstößen gegen Artikel 48 DSGVO (unzulässige Datenübermittlung an Drittländer) drohen Bußgelder bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes. Die Datenschutzbehörden haben die Durchsetzung verschärft – mehrere europäische Unternehmen wurden bereits wegen der Nutzung von US-Cloud-Diensten sanktioniert.

Schützt die EU-US Data Privacy Framework (DPF) vor dem Cloud Act?

Nein, das DPF löst den Grundkonflikt nicht. Es regelt Datentransfers für zertifizierte US-Unternehmen, aber der Cloud Act gilt unabhängig vom DPF. Ein Gutachten der Universität Köln bestätigt: US-Überwachungsgesetze wie Cloud Act und FISA 702 haben Vorrang vor allen vertraglichen Datenschutz-Zusicherungen. Datenschutzexperte Max Schrems hat bereits eine Klage angekündigt (Schrems III).

Welche Cloud-Alternativen sind für deutsche KMU sicher?

Sichere Alternativen sind: Hetzner Cloud (deutsches Unternehmen, Rechenzentren in Nürnberg und Falkenstein), T Cloud Public (Deutsche Telekom, ehemals Open Telekom Cloud, BSI C5), STACKIT (Schwarz/Lidl-Gruppe). Für Collaboration: Nextcloud (Stuttgart), Open-Xchange (Nürnberg). Für Virtualisierung: Proxmox VE (Open Source, selbst-gehostet). Alle diese Anbieter unterliegen ausschließlich deutschem und EU-Recht.

Compliance

US Cloud Act vs. DSGVO: Warum KMU jetzt handeln müssen [2026]

US Cloud Act und FISA 702 vs. DSGVO: Warum deutsche KMU ihre Cloud-Strategie jetzt überdenken müssen. Rechtslage, Risiken und 5 konkrete Maßnahmen 2026.

7. Februar 2026•9 Min. Lesezeit•CCX Consulting

Über den Autor: David Lesnik

Gründer CCX Consulting · BAFA-Berater (ID: 225325) · IT-Berater

David Lesnik berät seit 2016 mittelständische Unternehmen und kommunale Einrichtungen in der Region Erlangen-Nürnberg zu IT-Services, Prozessautomatisierung, KI-Integration und EU AI Act Compliance. Als BAFA-registrierter Berater unterstützt er KMU bei der Beantragung von Fördermitteln (Berater-ID 225325).

Mehr über David Lesnik →LinkedIn-Profil

Ist Ihre Cloud sicher?

Wir unterstützen Sie bei der Umsetzung – kostenlos und unverbindlich.

Kostenlose Erstberatung