Whistleblower.

US-Anbieter können per US-Anordnung verpflichtet werden, gespeicherte Daten an US-Behörden herauszugeben – unabhängig davon, wo der Server steht. Maßgeblich ist die Verfügungsgewalt des Unternehmens („possession, custody, or control“), nicht der Standort der Daten. Auch Sonderverträge und „souveräne“ Cloud-Angebote ändern daran nichts: Der Chefjustiziar von Microsoft Frankreich bestätigte im Juni 2025 unter Eid vor dem französischen Senat, dass eine Herausgabe europäischer Daten nicht ausgeschlossen werden kann.

Während der CLOUD Act den Anbieter zur Herausgabe verpflichtet, braucht die Executive Order 12333 nicht einmal das: Der Präsidialerlass – kein vom Kongress beschlossenes Gesetz, jederzeit vom Präsidenten allein änderbar – ist seit 45 Jahren ununterbrochen in Kraft und bis heute die Hauptgrundlage der NSA-Auslandsüberwachung: Datenerhebung außerhalb der USA ohne richterliche Anordnung, ohne parlamentarische Kontrolle, ohne Mitwirkung der Anbieter. Die Snowden-Dokumente zeigten 2013 die Praxis (Programm „MUSCULAR“: NSA und GCHQ zapften die privaten Glasfaserleitungen zwischen den Rechenzentren von Google und Yahoo an – ohne Wissen der Unternehmen). Gelöst wurde seither nichts: Eine Studie des EU-Parlaments (2021) hält die Kombination aus EO 12333, FISA 702 und CLOUD Act für fundamental unvereinbar mit der DSGVO – und eine aktuelle Analyse von 2026 bestätigt: Der Erlass ist weiterhin ein zentrales Instrument der Massenüberwachung.

Die Unfallversicherungsanstalt Suva wollte Personendaten in die Microsoft-365-Cloud auslagern – mit Rechenzentren in der Schweiz, betreut von einer Schweizer Firma, Vertrag mit Microsoft Irland. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) stellte trotzdem fest: Wegen des US CLOUD Act sei ein Zugriff auf die in der Schweiz stehenden Microsoft-Rechenzentren möglich; die Auslagerung sei deshalb als grenzüberschreitende Bekanntgabe in einen Staat ohne angemessenes Datenschutzniveau zu werten – und er riet der Suva zur Neubeurteilung. Ein Microsoft-Rechenzentrum in der Schweiz ist rechtlich keine Schweizer Lösung. Entscheidend ist, wem der Server gehört – nicht, wo er steht.

Das revidierte Schweizer Datenschutzgesetz erlaubt die Bekanntgabe von Personendaten ins Ausland nur bei angemessenem Schutzniveau oder mit zusätzlichen Garantien (Art. 16 f. nDSG). Wer diese Pflichten vorsätzlich verletzt, riskiert eine Busse bis CHF 250’000 – und die trifft die verantwortliche natürliche Person persönlich, nicht die Firma (Art. 61 nDSG). Seit 2024 anerkennt der Bundesrat zwar das Swiss‑U.S. Data Privacy Framework für zertifizierte US-Anbieter – an CLOUD Act und Executive Order 12333 ändert das nichts, und es steht unter demselben Vorbehalt wie seine zwei gekippten Vorgänger Safe Harbor und Privacy Shield.

Der Europäische Datenschutzausschuss – das gemeinsame Gremium aller EU-Datenschutzbehörden – positionierte sich am 10. Juli 2019 im Einvernehmen mit dem Europäischen Datenschutzbeauftragten gegenüber dem LIBE-Ausschuss des EU-Parlaments: Eine US-Herausgabeanordnung nach dem CLOUD Act ist für sich genommen keine zulässige Rechtsgrundlage für die Übermittlung personenbezogener Daten (Art. 48 DSGVO). Das ist keine Anwaltsmeinung, sondern die offizielle Haltung der europäischen Datenschutzaufsicht.

Der Europäische Gerichtshof kippte das Datenabkommen „Privacy Shield“: In den USA herrscht wegen der Überwachungsgesetze (u. a. Section 702 FISA, Executive Order 12333) und fehlender Rechtsschutzmöglichkeiten kein mit Europa vergleichbares Datenschutzniveau. Entscheidend: Auch Standardvertragsklauseln tragen nicht, wenn das Recht des Ziellandes ihre Wirksamkeit untergräbt – Verträge binden keine drittstaatlichen Behörden. Das höchste EU-Gericht selbst entkräftet damit das Sondervertrags-Argument.

Nach dem Schrems-II-Urteil zog die Schweiz eigenständig nach: Der EDÖB stellte am 8. September 2020 – gestützt auf Schweizer Recht, nicht auf EU-Recht – fest, dass die USA kein angemessenes Datenschutzniveau im Sinne des DSG bieten, und strich den Verweis „angemessener Schutz unter bestimmten Bedingungen“ aus seiner Staatenliste. Damit galt auch für Schweizer Unternehmen: Datentransfers in die USA nur noch mit zusätzlichen Garantien – deren Wirksamkeit gegenüber US-Behördenzugriffen der EDÖB selbst als begrenzt einstufte.

Das Bundesamt für Justiz analysierte die Auswirkungen des US CLOUD Act auf die Schweiz: Der Bericht prüft die Rechtmässigkeit von Datenbekanntgaben aufgrund von US-Herausgabeanordnungen nach Schweizer Recht – entlang der Persönlichkeitsverletzung (Art. 13 DSG / Art. 27 nDSG) und der Regeln zur Auslandsbekanntgabe (Art. 6 DSG / Art. 16 f. nDSG) – und diskutiert, welche Schutzstandards ein Abkommen mit den USA enthalten müsste. Ein offizielles Bundesdokument: Der Konflikt zwischen CLOUD Act und Schweizer Datenschutzrecht ist auf höchster Ebene anerkannt.

US-Anbieter mit Europageschäft stehen bei einer CLOUD-Act-Anordnung vor der Wahl: Daten nicht herausgeben und gegen US-Recht verstoßen – oder herausgeben und gegen EU-Recht verstoßen. Letzteres fällt in den erhöhten Bußgeldrahmen der DSGVO: bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Diese Zwickmühle ist keine Theorie, sondern der dokumentierte Normalzustand des transatlantischen Cloud-Geschäfts – aufgelöst ist sie bis heute nicht.

Nach der Analyse des Wissenschaftlichen Dienstes des Deutschen Bundestags kommt es beim CLOUD Act nicht auf den Serverstandort an, sondern auf die Verfügungsgewalt – die Herausgabepflicht trifft damit in der Regel auch europäische Tochtergesellschaften von US-Konzernen. Ein „EU-Rechenzentrum“ eines US-Anbieters ist damit rechtlich kein Schutz: Verträge, Zertifikate und Standort-Zusagen ändern an der Verfügungsgewalt des Mutterkonzerns nichts.

Die irische Datenschutzkommission verhängte gegen Meta die höchste DSGVO-Strafe der Geschichte: 1,2 Milliarden Euro – wegen illegaler Datenübermittlungen in die USA auf Basis von Standardvertragsklauseln. Zusätzlich wurde Meta verpflichtet, die betroffenen Daten in die EU zurückzuholen. Für jedes Unternehmen übersetzt: Das Risiko trägt der Verantwortliche, der US-Cloud-Dienste nutzt – nicht nur der Anbieter selbst.

Am 9. Juli 2026 hat das EU-Parlament die sogenannte „Chatkontrolle 1.0“ im Eilverfahren verabschiedet – nachdem es dieselbe Verlängerung im März noch abgelehnt hatte. Anbieter wie Meta, Google oder Microsoft dürfen damit bis 2028 private, unverschlüsselte Kommunikation von rund 450 Millionen EU-Bürgern automatisiert durchsuchen. Parallel wird im Trilog über die verpflichtende Nachfolgeregelung („Chatkontrolle 2.0“, CSA-Verordnung) verhandelt – sie ist noch nicht beschlossen.

Die Windows-Funktion Recall fotografiert fortlaufend den Bildschirm und macht die Aufnahmen per KI durchsuchbar. Nach massiver Kritik von Sicherheitsforschern wurde der Start verschoben und überarbeitet; seit dem Juli-2025-Update ist Recall auch in Deutschland verfügbar. Ein Test des IT-Magazins The Register zeigte laut PC-WELT: Die Filter für sensible Daten arbeiten unzuverlässig – erfasst wurden Kontostände, in einem Fall Kreditkartendaten sowie Screenshots einer Datei mit Passwörtern.

Laut Bericht von heise/c’t stufte Microsofts automatischer Inhaltescanner harmlose Familienfotos (Neffe beim Baden am Strand), die automatisch zu OneDrive hochgeladen wurden, als Missbrauchsmaterial ein und meldete sie den Behörden. Das Konto wurde ohne Vorwarnung gesperrt: kein Zugriff mehr auf E-Mails, Kontakte, Kalender und die Authenticator-Schlüssel; die BitLocker-Wiederherstellungsschlüssel lagen im Onlinekonto – die lokalen Daten waren verloren. Den Grund erfuhr der Betroffene erst über ein Jahr später durch eine polizeiliche Vorladung. Das Verfahren wurde eingestellt – das Konto blieb dauerhaft gesperrt.

Die britische Regierung forderte von Apple eine Hintertür in die Ende-zu-Ende-Verschlüsselung der iCloud („Advanced Data Protection“). Apple baute keine Hintertür ein – zog aber stattdessen die Verschlüsselung in Großbritannien komplett zurück: Neue Nutzer können sie nicht mehr aktivieren, bestehende mussten sie deaktivieren, um iCloud weiter zu nutzen. Betroffen sind unter anderem Backups, Fotos, Dokumente, Notizen und Nachrichten. Ein Staat fordert, ein Konzern reagiert – die Nutzer haben keine Wahl.

2021 kündigte Apple an, Fotos direkt auf den Geräten der Nutzer zu scannen und mit einer Missbrauchs-Datenbank abzugleichen – noch vor dem Upload in die iCloud. Nach weltweiten Protesten von Wissenschaft, Zivilgesellschaft und Sicherheitsforschern gab Apple das Vorhaben Ende 2022 auf. Bereits 2019 hatte ein ehemaliger Mitarbeiter dem Guardian berichtet, im Rahmen der Siri-Qualitätskontrolle Hunderte privater Gespräche mitgehört zu haben – teils aufgezeichnet, ohne dass Siri überhaupt aktiviert worden war.