Dein Steuerberater sitzt in Kassel. Deine Buchhaltung vielleicht in Virginia.

Was der CLOUD Act tatsächlich regelt

Der Clarifying Lawful Overseas Use of Data Act stammt von 2018 und beantwortet eine Frage, die vorher jahrelang vor Gerichten hing: Muss ein US-Unternehmen Daten herausgeben, die es im Ausland speichert? Die Antwort des Gesetzes lautet ja. Entscheidend ist nicht, wo der Server steht, sondern wer die Kontrolle über die Daten hat.

Damit fällt ein Argument weg, das in der Cloud-Werbung häufig auftaucht: „Rechenzentrum in Deutschland“ allein löst das Problem nicht, wenn der Anbieter oder seine Muttergesellschaft amerikanischem Recht unterliegt. Ein deutsches Rechenzentrum eines deutschen Anbieters ist etwas anderes als ein deutsches Rechenzentrum eines US-Konzerns.

Was das für einen deutschen Betrieb bedeutet

Für die allermeisten Betriebe: praktisch wenig. Es gibt keine bekannten Fälle, in denen US-Behörden auf die Buchhaltung eines deutschen Handwerksbetriebs zugegriffen hätten. Der CLOUD Act zielt auf Strafverfolgung, nicht auf Wirtschaftsspionage bei Kleinunternehmen.

Relevanter wird es bei besonderen Berufsgeheimnissen: Ärzte, Anwälte, Steuerberater, Notare und Psychotherapeuten unterliegen § 203 StGB. Wer dort Mandantendaten in eine Cloud gibt, die einem Herausgabeverlangen nach fremdem Recht unterliegen kann, hat ein Abwägungsproblem – und zwar unabhängig davon, wie wahrscheinlich der Zugriff ist.

Ebenfalls betroffen: Betriebe mit sensiblem Know-how, Zulieferer der Rüstungs- oder Halbleiterindustrie, Forschungseinrichtungen. Dort ist die Frage nicht „wie wahrscheinlich“, sondern „was passiert im unwahrscheinlichen Fall“.

Der Zusammenhang mit der DSGVO

Eine Herausgabe nach dem CLOUD Act ist aus europäischer Sicht ein Datentransfer in ein Drittland. Die DSGVO regelt das in den Artikeln 44 bis 49 und verlangt dafür eine Rechtsgrundlage. Seit Juli 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss der EU-Kommission – er ist die dritte Lösung nach Safe Harbor und Privacy Shield, die beide vom Europäischen Gerichtshof gekippt wurden.

Ob das Framework hält, wird sich zeigen. Die beiden Vorgänger hielten sechs und fünf Jahre. Wer heute eine Entscheidung für zehn Jahre trifft, sollte diese Vorgeschichte kennen – nicht, weil ein Scheitern sicher wäre, sondern weil das Risiko einer erneuten Kippung in die Rechnung gehört.

Was daraus nicht folgt

Nicht folgt daraus, dass Cloud unsicher wäre. Ein großer Cloud-Anbieter betreibt in aller Regel eine bessere Absicherung, als ein Handwerksbetrieb sie je aufbauen könnte: Redundanz, Verschlüsselung, Angriffserkennung, ein Team, das nachts wach ist. Wer die Wahl zwischen einer gepflegten Cloud und einem ungesicherten Büro-PC ohne Backup hat, fährt mit der Cloud besser.

Nicht folgt daraus, dass man US-Anbieter meiden müsste. Es folgt nur, dass die Frage „wer kann rechtlich auf meine Daten zugreifen“ eine eigene Antwort verdient – getrennt von der Frage „wie gut sind sie technisch geschützt“.

Die dritte Möglichkeit

Zwischen „alles in die Cloud“ und „gar keine Cloud“ liegt der Weg, den PilotOS geht: Die Daten liegen als Datei auf der eigenen Hardware, und das Programm läuft dort auch. Internet braucht es für das, was ohne Internet nicht geht – die Übermittlung an ELSTER, den Bankabruf, Updates. Die Buchhaltung selbst funktioniert ohne.

Damit stellt sich die CLOUD-Act-Frage für den Datenbestand gar nicht: Es gibt keinen Anbieter, der herausgeben könnte, was er nicht hat. Der Preis dafür ist ebenso ehrlich zu nennen – die Sicherung liegt bei dir, und Zusammenarbeit über mehrere Standorte ist aufwändiger. Was davon schwerer wiegt, hängt vom Betrieb ab und nicht von einer Weltanschauung. Die Abwägung im Einzelnen.