Datenhoheit ist kein Vertragsproblem, sondern ein Standortproblem

„Unsere Daten liegen in Frankfurt“ ist der häufigste Satz in Datenschutzdiskussionen über Cloud-Dienste. Er ist zutreffend und beantwortet die Frage nicht, die eigentlich gestellt wird. Denn maßgeblich ist nicht, wo die Platten stehen, sondern welchem Recht der Anbieter unterliegt.

Der Widerspruch, den man nicht auflösen kann

Der US CLOUD Act von 2018 verpflichtet Anbieter, die US-Recht unterliegen, zur Herausgabe von Daten in ihrem Besitz oder unter ihrer Kontrolle – unabhängig davon, wo die Daten gespeichert sind. Eine Tochtergesellschaft in Europa mit Rechenzentrum in Europa ändert daran nichts, solange die Muttergesellschaft dem Gesetz unterliegt.

Art. 48 DSGVO sagt das Gegenteil. Eine Anordnung eines Gerichts aus einem Drittland ist nur dann eine zulässige Grundlage für eine Übermittlung, wenn sie auf einem internationalen Abkommen beruht – etwa einem Rechtshilfeabkommen. Der CLOUD Act umgeht Rechtshilfeabkommen ausdrücklich.

Damit steht ein Anbieter zwischen zwei Rechtsordnungen: nach US-Recht zur Herausgabe verpflichtet, nach EU-Recht zur Verweigerung. Dieser Konflikt lässt sich vertraglich nicht auflösen, weil ein Vertrag ein Gesetz nicht aufhebt.

Ein Auftragsverarbeitungsvertrag regelt, was der Anbieter tun darf. Er regelt nicht, was ein Gericht ihm befehlen kann.

Was das praktisch bedeutet – und was nicht

Zwei Übertreibungen sind hier verbreitet, in beide Richtungen. Die eine: US-Behörden lesen routinemäßig Unternehmensdaten aus europäischen Rechenzentren. Dafür gibt es keine Belege, und die Zahl der Anordnungen ist im Verhältnis zur Zahl der Kunden gering.

Die andere: der Konflikt sei theoretisch und praktisch irrelevant. Das trifft die Situation ebenfalls nicht, denn für die Freigabe eines Projekts zählt nicht die Wahrscheinlichkeit, sondern die Frage, ob ein Restrisiko dokumentiert und verantwortet werden kann. Genau daran scheitern Vorhaben.

Was die Marktzahlen sagen

Der Bitkom Cloud Report 2026 – repräsentative Befragung von 603 Unternehmen ab 20 Beschäftigten – zeigt, dass das kein Randthema ist:

Die aussagekräftigste Zeile ist der Abstand zwischen 71 und 8 Prozent. Eine große Mehrheit nutzt etwas, das sie nicht bevorzugt. Das ist kein Ausdruck von Zufriedenheit, sondern von fehlenden Alternativen mit vergleichbarem Funktionsumfang.

Der Unterschied zwischen Standortkontrolle und Vertragskonstrukt

Wenn ein Warehouse in der eigenen Infrastruktur läuft, verschiebt sich die Frage. Es gibt keinen Anbieter, der Besitz oder Kontrolle über die Daten hat, und damit keinen Adressaten für eine Herausgabeanordnung außerhalb des eigenen Rechtsraums. Der Zugriff ist nicht durch einen Vertrag begrenzt, sondern durch Technik und Zuständigkeit.

Das ist kein Werbeargument, sondern eine Feststellung über die Struktur. Es hat einen Preis: Betrieb, Personal, Verantwortung für Sicherheit und Verfügbarkeit liegen dann im Haus. Wer diesen Preis nicht zahlen will oder kann, hat gute Gründe für einen Dienstleister – sollte dann aber das Restrisiko benennen statt es wegzuvertraglichen.

Die Prüffrage, die weiterhilft

In Freigabediskussionen hat sich für mich eine Frage als nützlich erwiesen: Welche Instanz kann die Herausgabe dieser Daten anordnen, ohne dass unser Haus davon erfährt? Bei eigener Infrastruktur ist die Antwort: eine deutsche Behörde mit einem Beschluss, den wir zugestellt bekommen. Bei einem Anbieter unter Drittlandsrecht ist die Antwort länger.

Die Frage ist deshalb hilfreich, weil sie ohne Prozentzahlen und ohne Rechtsstreit beantwortbar ist. Sie beschreibt, wer die Verfügungsgewalt hat – und das ist der Kern von Datenhoheit.