US CLOUD Act und Schweizer KMU: Die Souveränitätsfrage

Was regelt der US CLOUD Act konkret?

Der 2018 erlassene Clarifying Lawful Overseas Use of Data Act verpflichtet Anbieter, die der US-Jurisdiktion unterstehen, gespeicherte Daten auf Anordnung US-amerikanischer Behörden herauszugeben, unabhängig davon, in welchem Land die Server stehen.

Das Gesetz unterscheidet zwei Wirkungsbereiche. Der erste Teil erweitert bestehende Anordnungen nach dem Electronic Communications Privacy Act so, dass diese auch Daten erfassen, die ausserhalb der USA gespeichert sind, sofern der Anbieter selbst der US-Jurisdiktion unterliegt. Der zweite Teil schafft die rechtliche Grundlage für bilaterale Abkommen zwischen den USA und anderen Staaten, mit denen der Datenaustausch bei Strafverfahren geregelt werden kann.

Das US-Justizministerium beschreibt den Zweck des Gesetzes damit, dass ausländischen Partnerbehörden ein schnellerer Zugang zu elektronischen Beweismitteln ermöglicht werden soll, weil das bisherige Verfahren der Rechtshilfe als zu langsam gilt. Ein eigenes Abkommen zwischen der Schweiz und den USA, das dieses Verfahren verbindlich regeln würde, besteht bislang nicht.

Schützt ein Rechenzentrum in der Schweiz automatisch vor US-Zugriff?

Nein: Auch wenn Microsoft, Google oder AWS Daten physisch in einem Schweizer Rechenzentrum speichern, bleiben die Konzerne selbst US-Unternehmen und unterstehen damit weiterhin dem CLOUD Act.

Viele Schweizer Unternehmen gehen davon aus, ihre Daten seien geschützt, sobald diese in einer Schweizer Region der grossen Hyperscaler liegen. Diese Annahme ist juristisch nicht haltbar, weil der Anwendungsbereich des CLOUD Act am Anbieter ansetzt und nicht am Standort der Server.

Für regulierte Branchen mit besonders schützenswerten Daten bedeutet das, den Unterschied zwischen physischem Speicherort und rechtlicher Kontrolle explizit im eigenen Risikomanagement zu berücksichtigen. Wer beurteilen will, was eine souveräne Cloud tatsächlich auszeichnet, muss deshalb auch die Konzernstruktur und den Sitz des Anbieters einbeziehen, nicht nur die Adresse des Rechenzentrums.

Wie beurteilte der EDÖB den Fall Suva und Microsoft 365?

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hielt in seiner Stellungnahme zur Auslagerung von Suva-Daten in Microsoft 365 fest, dass ein Zugriff über den CLOUD Act auf in der Schweiz gespeicherte Daten möglich sei, selbst wenn Microsoft vertraglich zusichert, die Daten nur in der Schweiz zu verarbeiten.

Der EDÖB stufte die geplante Datenauslagerung deshalb als grenzüberschreitende Bekanntgabe im Sinne des Datenschutzgesetzes ein und verwies zusätzlich auf den Status der USA als Staat ohne ein aus Schweizer Sicht angemessenes Datenschutzniveau. Die Suva stellte dieses Risiko in ihrer eigenen Analyse dagegen als höchst unwahrscheinlich dar.

Die Suva argumentierte zudem, dass sie den Vertrag nicht direkt mit dem US-Konzern, sondern mit der irischen Microsoft Operations Ltd. geschlossen habe, während die Rechenzentren von einer Schweizer Firma im Auftrag von Microsoft betrieben würden. Der Fall zeigt, dass selbst sorgfältig geprüfte Vertragskonstruktionen die grundsätzliche Reichweite des CLOUD Act nicht vollständig auflösen.

Ist die Nutzung von US-Cloud-Diensten in der Schweiz deshalb rechtswidrig?

Nein: Laut einer Einschätzung der Anwälte David Rosenthal und David Vasella in der Netzwoche verbietet das Schweizer Datenschutzgesetz die Nutzung von Cloud-Diensten US-amerikanischer Anbieter nicht grundsätzlich.

Massgeblich ist gemäss dieser Einschätzung, dass für besonders schützenswerte Daten möglichst eine Speicherung in der Schweiz gewählt und mit dem Anbieter ein Auftragsbearbeitungsvertrag abgeschlossen wird, der auch das Schweizer Datenschutzgesetz und nicht nur die EU-Datenschutzgrundverordnung abdeckt. Wer prüfen will, welche Anforderungen an Cloud-Compliance in der Schweiz konkret gelten, findet dort die einzelnen Prüfpunkte im Überblick.

Ein zwischenstaatliches Abkommen, das den CLOUD-Act-Zugriff zwischen der Schweiz und den USA verbindlich und mit eigenen Verfahrensgarantien regeln würde, existiert bislang nicht. Ein Bericht des Bundesamts für Justiz aus dem Jahr 2021 kam zum Schluss, dass ein solches Abkommen der Genehmigung durch die Bundesversammlung bedürfte, weil es sich um ein sogenanntes Executive Agreement mit erheblicher Tragweite handelt.

Was können Schweizer KMU konkret unternehmen?

Der erste Schritt ist eine Bestandsaufnahme, welche Geschäftsdaten bei welchem Anbieter liegen und welchem Recht dieser Anbieter unterliegt.

Für die meisten alltäglichen Kollaborationswerkzeuge ist das Risiko eines tatsächlichen CLOUD-Act-Zugriffs überschaubar, weil ein solcher Zugriff ein konkretes US-Strafverfahren voraussetzt. So musste Amazon im ersten Halbjahr 2021 in keinem einzigen bekannten Fall Daten ausserhalb der USA herausgeben.

Ein grösseres praktisches Risiko liegt oft nicht im CLOUD Act selbst, sondern darin, dass Unternehmen sämtliche Geschäftsdaten ausschliesslich in einer einzigen US-Cloud ablegen, ohne unabhängiges Backup ausserhalb dieser Umgebung. Wird ein Konto gesperrt oder ändert ein Anbieter seine Strategie, ist der Zugriff im Ernstfall weg, ganz unabhängig von behördlichen Anfragen.

n'cloud.swiss AG empfiehlt Geschäftsführenden, besonders schützenswerte Daten wie Personal- oder Kundendaten gezielt zu identifizieren und für diese Kategorie eine Infrastruktur mit klar geregeltem Rechtsraum zu wählen. Wer verstehen will, welche Kriterien digitale Datensouveränität für Schweizer Unternehmen erfüllen muss, findet dort die Grundlage für diese Entscheidung.

Der pragmatische erste Schritt ist eine einfache Liste aller genutzten Cloud-Dienste mit Angabe von Anbieter, Rechtsraum und Datenkategorie, die von der Geschäftsleitung innerhalb eines Quartals erstellt und danach jährlich aktualisiert wird. Erkennbar wird der Erfolg daran, dass für jede Datenkategorie eine bewusste, dokumentierte Entscheidung vorliegt, statt einer zufälligen Verteilung über mehrere Anbieter.