CLOUD Act und geschäftliche E-Mails: reelle Risiken 2026

Am 23. März 2018 wird in Washington ein kurzes amerikanisches Gesetz verabschiedet, ohne separate parlamentarische Debatte, eingeschoben in einen Bundeshaushalt von 2 200 Seiten. In Europa nimmt niemand Notiz davon. Acht Jahre später regelt dieses Gesetz — der CLOUD Act — den amerikanischen Zugriff auf zig Milliarden europäischer E-Mails, die bei Anbietern nach US-Recht gehostet werden. Es wurde nie ausgesetzt. Kein europäischer Mechanismus hat es bis heute neutralisiert.

In der Zwischenzeit ist das geschäftliche E-Mail-Postfach zum lebendigen Archiv all dessen geworden, was ein Unternehmen an Sensiblem besitzt: Mandantenkorrespondenz, Verträge, Gesundheitsdaten, HR-Notizen, Vertriebsstrategien, Geschäftsgeheimnisse. Eine mittelgroße Anwaltskanzlei speichert nach unserer Feldrfahrung mehr als ein Jahrzehnt an Kommunikation, die dem Berufsgeheimnis unterliegt, manchmal auch zwei, wenn das Postfach dem Rechtsanwalt über die gesamte Karriere folgt. Ein Steuerberater bearbeitet täglich Finanzdaten und Steuererklärungen. Eine HR-Abteilung bewahrt in Anhängen Bewertungsbögen auf, die in einer anderen Rechtsordnung einen Tresor erfordern würden.

Dieser Artikel ist kein Plädoyer. Er ist eine juristische und operative Analyse des CLOUD Act, angewandt auf die geschäftliche E-Mail-Kommunikation im Jahr 2026 — was das Gesetz wirklich erlaubt, was es nicht erlaubt und die drei konkreten Hebel zum Schutz Ihres Postfachs. Er richtet sich an regulierte Berufsgruppen, Datenschutzbeauftragte, Finanzleiter und Geschäftsführer, die eine schwer zu vermeidende Frage entscheiden müssen: Kann man im Jahr 2026 seine geschäftliche Kommunikation noch einem Anbieter anvertrauen, der dem amerikanischen Recht unterliegt, ohne eine spezifische Folgenabschätzung durchzuführen?

1. Was ist der CLOUD Act, in einfacher Sprache

Der Ursprung: Microsoft v. United States (2013-2018)

Der CLOUD Act entsteht aus einem berühmten Rechtsstreit. Im Jahr 2013 ermittelt das FBI in einem Drogenhandelsfall und fordert Microsoft auf, die E-Mails eines Kontos herauszugeben, das in einem irischen Rechenzentrum des Unternehmens gehostet wird. Microsoft weigert sich und argumentiert, dass sich die amerikanische Rechtsprechung nicht physisch auf Irland erstrecke. Der Fall geht bis zum Obersten Gerichtshof. Der Prozess wird zum Symbol: kann amerikanisches Recht Daten erreichen, die außerhalb des US-Territoriums gespeichert sind?

Bevor der Oberste Gerichtshof entscheidet, verabschiedet der US-Kongress am 23. März 2018 den CLOUD Act, eingeschoben in den Consolidated Appropriations Act — einen Bundes-Omnibus-Haushalt. Technisch steht der Text in Division V des Consolidated Appropriations Act, 2018 (Pub. L. 115-141), gegliedert in die Sections 101 bis 106. Die Frage des Rechtsstreits wird gegenstandslos: der neue Text entscheidet ausdrücklich zugunsten des Zugriffs. Der CLOUD Act schafft keine neue Befugnis, er präzisiert und bestätigt eine Befugnis, die die amerikanische Verwaltung bereits geltend machte: die extraterritoriale Reichweite des amerikanischen Rechts auf Daten, die von amerikanischen Betreibern gehalten werden.

Was der Text wirklich erlaubt

Der CLOUD Act ändert zwei bestehende Gesetze — den Stored Communications Act (SCA) und den Electronic Communications Privacy Act (ECPA) — um zwei Punkte zu präzisieren. Erstens: ein Anbieter elektronischer Kommunikation, der der amerikanischen Rechtsprechung unterliegt, muss den Inhalt einer Kommunikation auf Anfrage einer zuständigen Behörde bewahren, sichern oder offenlegen, unabhängig vom physischen Speicherort der Daten. Zweitens: der Text sieht einen Mechanismus bilateraler Abkommen (Executive Agreements) vor, um qualifizierten ausländischen Regierungen zu erlauben, direkt Zugriffsanfragen an amerikanische Anbieter zu richten.

Was der Text nicht erlaubt

Es ist wesentlich, die Grenzen zu verstehen. Der CLOUD Act erlaubt keine generalisierte Wirtschaftsspionage. Er gilt nicht für alle Daten in allen Kontexten. Er verlangt einen verfahrensrechtlichen Rahmen: eine förmliche Anfrage einer zuständigen Behörde, im Rahmen einer strafrechtlichen oder nachrichtendienstlichen Ermittlung, mit dokumentierten Gründen. Anbieter können eine Anordnung anfechten, die offensichtlich das Recht eines Drittstaates verletzen würde. Schließlich ersetzt der Text nicht die internationale justizielle Zusammenarbeit: die bestehenden Rechtshilfeverträge bleiben in Kraft.

Das reale Risiko besteht in der Praxis nicht in einer Welle öffentlicher Anordnungen. Es ist strukturell: die bloße rechtliche Existenz dieser Zugangstür schafft eine Souveränitätsasymmetrie. Ein europäischer Datenschutzbeauftragter kann nicht mehr davon ausgehen, dass seine bei einem amerikanischen Betreiber gehosteten Daten für eine Drittbehörde unzugänglich sind.

2. Wer ist vom CLOUD Act betroffen?

Die juristische Definition des unterliegenden Anbieters

Der CLOUD Act zielt auf die „providers of electronic communication service" und die „providers of remote computing service" — das heißt, sehr weit gefasst, die Anbieter von Messaging, Cloud-Speicher, kollaborativen Plattformen und Cloud-KI. Das Anknüpfungskriterium ist doppelt: entweder das Unternehmen ist in den Vereinigten Staaten gegründet oder es ist wesentlich auf US-Gebiet präsent — operative Tochtergesellschaft, Büro, Mitarbeiter, wichtige Verträge.

Die ausländischen Tochtergesellschaften von US-Unternehmen

Das ist der kontraintuitivste Punkt für einen europäischen Leser. Eine französische, deutsche oder irische Tochtergesellschaft eines amerikanischen Konzerns bleibt rechtlich mit ihrer Muttergesellschaft verbunden. Eine an die Muttergesellschaft gerichtete CLOUD-Act-Anordnung kann Daten betreffen, die von der Tochtergesellschaft gehalten werden. Konkret: die großen US-Hyperscaler unterliegen dem CLOUD Act durch ihre europäischen Tochtergesellschaften. Das ist eine juristische Tatsache, die in die Folgenabschätzung einzubeziehen ist, ohne Werturteil über die Qualität ihrer Dienste.

Wie eine Anordnung konkret abläuft

Eine CLOUD-Act-Anordnung folgt einem präzisen Ablauf, der in Europa oft wenig bekannt ist. Die US-Behörde (typischerweise ein Bundesstaatsanwalt oder eine zivile Nachrichtendienstbehörde) erwirkt einen Beschluss bei einem Richter — die berühmte „probable cause" des 4. Zusatzartikels. Der Beschluss wird dann an den US-Sitz des betreffenden Anbieters gerichtet. Der Anbieter muss die Daten bewahren und sie dann innerhalb einer festgelegten Frist herausgeben (in der Regel einige Tage bis einige Wochen). Ein „Gag Order" kann die Benachrichtigung der betroffenen Person untersagen, manchmal über längere Zeiträume hinweg.

Zwei operative Punkte sind für einen europäischen Datenschutzbeauftragten wichtig. Erstens: die tatsächliche Frequenz von Anordnungen wird durch die halbjährlichen Transparenzberichte der großen Hyperscaler dokumentiert; diese Berichte gehen nicht präzise auf CLOUD Act ein, geben aber Größenordnungen an (Zehntausende Anfragen pro Jahr, mit wachsendem extraterritorialen Anteil). Zweitens: der Anbieter kann eine Anordnung, die offensichtlich das Recht eines Drittstaates verletzen würde, über ein „Comity"-Verfahren anfechten — juristisch verfügbar, aber in den Transparenzberichten wenig öffentlich dokumentiert.

Die Joint Ventures und der „Cloud de Confiance"

Seit 2021 strukturieren mehrere französische Initiativen Joint Ventures, um ein in Europa betriebenes Cloud-Angebot auf Basis lizenzierter amerikanischer Technologie anzubieten. Bleu (mitgegründet von Orange und Capgemini, Technologie Microsoft Azure) und S3ns (mitgegründet von Thales und Google Cloud) sind die sichtbarsten Beispiele. Die Idee: die operative Governance so strukturieren, dass der Dienst außerhalb des direkten Anwendungsbereichs des CLOUD Act platziert wird, während die Funktionalitäten der großen Hyperscaler genutzt werden.

Die endgültige Einstufung hängt von der SecNumCloud-Zertifizierung ab, die von der ANSSI (französische Cybersicherheitsagentur) ausgestellt wird und insbesondere die Immunität gegenüber außereuropäischen Gesetzen verlangt. In 2026 befinden sich mehrere Angebote im Qualifikationsprozess. Die juristische Debatte bezieht sich auf Software-Updates, Support-Kanäle und die Rolle der amerikanischen Entwicklungsteams: ebenso viele Punkte, an denen eine technische oder vertragliche Tür bestehen bleiben kann.

3. Der Konflikt DSGVO / CLOUD Act: Position EuGH und Datenschutzbehörden

Schrems II: das Urteil, das alles verändert hat

Am 16. Juli 2020 fällt der Gerichtshof der Europäischen Union das Schrems-II-Urteil (Rechtssache C-311/18). Die Entscheidung erklärt den Privacy Shield für ungültig, das bis dahin die EU-USA-Übermittlungen regelte. Der Hauptgrund: die amerikanischen Nachrichtendienstgesetze (darunter FISA 702 und Executive Order 12333) erlauben US-Behörden den Zugriff auf Daten europäischer Bürger, ohne dass diese über einen dem europäischen Recht gleichwertigen Rechtsweg verfügen. Anders ausgedrückt: das Datenschutzniveau in den Vereinigten Staaten wird als nicht dem europäischen Niveau gleichwertig beurteilt.

Dieses Urteil zitiert den CLOUD Act nicht ausdrücklich, aber es zeichnet dessen Kontext. Der CLOUD Act ist einer der juristischen Bausteine, die das amerikanische Zugriffsökosystem auf Daten ausmachen. Er macht konkret möglich, was Schrems II strukturell als problematisch beurteilt.

Das Data Privacy Framework (2023-2024)

Angesichts der Aufhebung des Privacy Shield verhandeln die amerikanische Verwaltung und die Europäische Kommission ein neues Abkommen, das im Juli 2023 unter dem Namen Data Privacy Framework (DPF) angenommen wird. Es beruht auf Zusagen der amerikanischen Regierung, insbesondere der Schaffung eines Datenschutz-Prüfungsgerichts (DPRC), um europäischen Bürgern zu erlauben, bestimmte Verarbeitungen anzufechten. Es ermöglicht „DPF-zertifizierten" amerikanischen Unternehmen, personenbezogene Daten aus Europa ohne zusätzliche Standardvertragsklauseln zu empfangen.

Das DPF ist juristisch fragil. Mehrere Klagen sind vor dem EuGH anhängig. Max Schrems, der Aktivist, der hinter den vorangegangenen Urteilen steht, hat ein quasi unvermeidliches „Schrems III" angekündigt. Der CLOUD Act bleibt in Kraft und erlaubt weiterhin extraterritoriale Anforderungen. Das DPF regelt die „normalen" Übermittlungen; es setzt die außerordentlichen Zugriffsmechanismen nicht aus.

Die Position der Datenschutzbehörden in 2026

Die europäischen Datenschutzbehörden fordern seit mehreren Jahren die Verantwortlichen auf, eine eigene Folgenabschätzung durchzuführen, statt das DPF als automatische Garantie zu betrachten. Für sensible Daten (Gesundheit, Berufsgeheimnis, Daten Minderjähriger) empfehlen die Behörden Wachsamkeit bei der Wahl von Anbietern, die außereuropäischen Rechtsprechungen unterliegen. Eine dokumentierte Folgenabschätzung wird heute für sensible Verarbeitungen außerhalb der EU erwartet.

Um den vollständigen DSGVO-Rahmen für E-Mail-KI zu vertiefen, konsultieren Sie unseren vollständigen DSGVO-Leitfaden, der die DSB-Checkliste und die Behandlung von CLOUD-Act-Übermittlungen aus Sicht des Verantwortlichen detailliert.

4. Was ein geschäftliches E-Mail-Postfach wirklich enthält und warum es sensibel ist

Der Inhalt geschäftlicher E-Mail-Kommunikation in 2026

Ein geschäftliches Postfach enthält weit mehr als den Text der Nachrichten. Es bildet eine außerordentlich reiche Datenbank: Identitäten der Korrespondenten, Kommunikationskalender, Anhänge, Organisationsstrukturen, in Akten eingenommene Positionen, persönliche Vorlieben, beiläufige medizinische oder familiäre Informationen. Für eine durchschnittliche Führungskraft umfasst das E-Mail-Archiv von zehn Jahren Zehntausende bis Hunderttausende Nachrichten (Größenordnung, die wir bei Nutzern beobachten, die uns beim Onboarding ihre Historie anvertrauen) — ein Volumen, das gekreuzt eine feine Karte der Organisation, ihrer Beziehungen und ihrer Schwachstellen rekonstruieren lässt.

Personenbezogene Daten im Sinne der DSGVO

Die DSGVO (Artikel 4) definiert die personenbezogene Daten als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen". Eine geschäftliche E-Mail, die an Klaus Müller, Finanzleiter bei Kunde X, gerichtet ist und den Betreff „Ihre Kündigung wegen schwerer Verfehlung" enthält, ist eine Verarbeitung personenbezogener Daten im Sinne der DSGVO. Artikel 9 regelt die besonderen Kategorien: Gesundheit, politische Meinungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung. Ein HR-Anhang mit einem Bewertungsbogen, der einen Mitarbeiter beurteilt, fällt potenziell in den Anwendungsbereich von Artikel 9.

Sektorale Berufsgeheimnisse

Über die DSGVO hinaus unterliegen mehrere Berufe spezifischen Verpflichtungen des Berufsgeheimnisses:

Jede dieser Verpflichtungen zwingt den Berufsträger, die Vertraulichkeit der in Ausübung seiner Tätigkeit erhaltenen Informationen zu gewährleisten. Die Wahl der zur Verarbeitung dieser Informationen verwendeten digitalen Werkzeuge engagiert die berufliche Verantwortung des Praktikers. Eine Kanzlei, die einen dem CLOUD Act unterliegenden Anbieter ohne vorherige Folgenabschätzung nutzt, setzt ihre berufsrechtliche Verantwortung — und in bestimmten Fällen ihre strafrechtliche Verantwortung — aus.

5. Anwendungsfall 1 — Anwaltskanzlei

Die Anwaltsverschwiegenheit

§ 43a BRAO und § 203 StGB schützen die Korrespondenz zwischen einem Anwalt und seinem Mandanten. Dieses Geheimnis ist absolut, allgemein und zeitlich unbegrenzt. Es umfasst schriftliche Kommunikation, einschließlich E-Mails. Ein nicht autorisierter Zugriff auf diese Korrespondenz verletzt die Anwaltsverschwiegenheit — und beraubt den Mandanten des Schutzes, auf den er in einem späteren Verfahren Anspruch hat.

Position der Anwaltskammern

Die Bundesrechtsanwaltskammer (BRAK) und der Deutsche Anwaltverein (DAV) kommunizieren seit mehreren Jahren über die zu wahrende Wachsamkeit bei der Wahl digitaler Werkzeuge. Die Empfehlungen laden dazu ein, die Risikoanalyse zu dokumentieren, Lösungen zu bevorzugen, deren Infrastruktur und Governance in Europa bleiben, und speziell die Exposition gegenüber außereuropäischen Gesetzen zu bewerten. Ein Anwalt, der sein Postfach einem dem CLOUD Act unterliegenden Anbieter anvertraut, muss diese Wahl und die getroffenen Ausgleichsmaßnahmen rechtfertigen können.

Berufsrechtliches Risiko und Kammer-Lösungen

Das berufsrechtliche Risiko ist nicht hypothetisch. Die charakterisierte Verletzung des Berufsgeheimnisses kann zu Verfahren vor dem Anwaltsgericht führen — unabhängig davon, ob ein tatsächlicher Zugriff stattgefunden hat oder nicht. Es ist die vorsätzliche Gefährdung des Geheimnisses, die den Verstoß ausmacht. In Deutschland existiert das besondere elektronische Anwaltspostfach (beA) für die Kommunikation mit Gerichten und Behörden, verschlüsselt und in Deutschland gehostet. In Frankreich haben die Kammern e-Mail-avocat-Dienste entwickelt, um eine souveräne Alternative anzubieten, die von der Berufsgruppe kontrolliert wird. Diese Dienste bieten verschlüsselte, in Europa gehostete E-Mail-Kommunikation mit einer Governance, die von europäischen Instanzen betrieben wird.

Ein besonderer Fall verdient Aufmerksamkeit: die angelsächsischen e-Discovery-Verfahren. Wenn ein internationaler Rechtsstreit eine US-Partei einbezieht, sieht das Verfahren die zwangsweise Herausgabe relevanter E-Mails vor. Steht die Korrespondenz eines europäischen Anwalts im Anwendungsbereich und wird sie bei einem dem US-Recht unterliegenden Anbieter gehostet, kann die Herausgabe vom amerikanischen Richter angeordnet werden — ohne dass der europäische Richter eingreift. Für Kanzleien, die in internationalen Streitsachen tätig sind, ist dies ein strategischer Wachsamkeitspunkt.

6. Anwendungsfall 2 — Steuerberatungskanzlei

Das Berufsgeheimnis des Steuerberaters

§ 57 StBerG und § 203 StGB auferlegen Steuerberatern ein dem des Anwalts gleichwertiges Berufsgeheimnis. Es umfasst die in Ausübung des Mandats erhaltenen Informationen: Steuererklärungen, Buchhaltungsdaten, Kommunikation über Liquidität, Vergütungselemente der Geschäftsführer, strategische Entscheidungen der Mandanten. Die Sanktion des Verstoßes kombiniert eine berufsrechtliche Sanktion (Steuerberaterkammer) und eine strafrechtliche Sanktion (§ 203 StGB, bis zu einem Jahr Freiheitsstrafe oder Geldstrafe).

Steuerdaten, Bilanzen und sensible Anhänge

Die Besonderheit des Berufs: die Kommunikation mit den Mandanten erfolgt über Anhänge. Ein am Jahresende per E-Mail übermittelter Datenexport ist eine flache Datei, die die Gesamtheit der Buchungen des Jahres enthält — ein Dokument von absoluter Sensibilität. Eine Steuerbilanz, die an eine E-Mail zum Geschäftsjahresabschluss angehängt ist, offenbart die finanzielle Gesundheit eines Unternehmens, seine Steuerpositionen, gegebenenfalls seine Rechtsstreitigkeiten. Multipliziert mit dem aktiven Mandantenportfolio einer Kanzlei (übliche Schätzung: einige hundert aktive Akten mit saisonalem Höhepunkt in der Abschlussphase) wird das Volumen sensibler Daten, die im Postfach gehostet werden, beträchtlich.

Position der Steuerberaterkammer und empfohlene Praktiken

Die Steuerberaterkammer erinnert seit mehreren Jahren an die Verantwortung des Berufsträgers bei der Wahl digitaler Werkzeuge. Die praktischen Empfehlungen umfassen: Dokumentation der Data-Governance der Kanzlei, Durchführung einer vorherigen Folgenabschätzung bei jedem Wechsel eines Kommunikationswerkzeugs, Information der Mandanten über die verwendeten Dienstleister, Bevorzugung, wenn möglich, souveräner Lösungen für die sensibelsten Daten. Eine Kanzlei, die ein Postfach unter außereuropäischer Rechtsprechung ohne dokumentierte Folgenabschätzung nutzt, ist nicht in der Illegalität — aber sie muss ihre Entscheidung gegenüber einer eventuellen berufsrechtlichen Kontrolle rechtfertigen können.

7. Anwendungsfall 3 — Gesundheitswesen und sensible HR

Gesundheitsdaten und Hosting-Verpflichtungen

Gesundheitsdaten unterliegen einem verstärkten Regime: Artikel 9 der DSGVO (besondere Kategorie), spezifische Vorschriften zum Hosting bei einem zertifizierten Anbieter (in Frankreich HDS-Zertifizierung nach Artikel L.1111-8 und R.1111-9 ff. CSP, in Deutschland KBV-Zertifikate und Anforderungen aus § 75c SGB V für Praxen). Ein Postfach, das für den Austausch von Arztbriefen, Rezepten und Untersuchungsberichten genutzt wird, sollte theoretisch von einem zertifizierten Hoster betrieben werden. Nur wenige Massenmarkt-Postfächer sind es direkt — und das CLOUD-Act-Thema überlagert sich mit der Zertifizierungsfrage, wenn der zertifizierte Hoster eine Tochtergesellschaft eines US-Konzerns ist.

Der französische HDS-Rahmen unterscheidet sechs zertifizierbare Aktivitäten (Bereitstellung und Wartung der physischen Infrastruktur, Bereitstellung des Betriebssystems, Bereitstellung und Administration von Softwareplattformen, Infrastrukturmanagement, ausgelagerte Sicherung, Administration und Betrieb des Informationssystems). Ein geschäftliches Postfach, das einen medizinischen Bericht empfängt, fällt je nach Konfiguration in mehrere dieser Aktivitäten: der Anbieter muss dann den gesamten verarbeiteten Umfang abdecken. Die aktuelle Liste der zertifizierten Hoster wird von der Agence du Numérique en Santé (esante.gouv.fr) veröffentlicht — für Deutschland liefert das BSI-C5-Referenzsystem eine vergleichbare Prüfstruktur.

Entscheidender Punkt: eine HDS- oder C5-Zertifizierung sagt nichts über die Exposition gegenüber dem CLOUD Act aus. Ein Hoster kann zertifiziert sein und über seine Muttergesellschaft oder seine Infrastruktur-Subunternehmer weiterhin dem US-Recht unterliegen. Beide Kriterien — Zertifizierungs-Konformität und Immunität gegenüber außereuropäischen Gesetzen — müssen getrennt geprüft werden. Ein Arzt, der regelmäßig Facharztberichte per E-Mail erhält, sollte diese doppelte Prüfung dokumentieren, insbesondere in regulierten Bereichen (medizinische Biologie, Bildgebung, Telemedizin).

Sensible HR-Dokumente als Anhang

Die HR-Abteilung eines mittelgroßen Unternehmens bearbeitet jede Woche Dokumente, die aus ihrem Kontext gerissen erhebliche Risiken darstellen: Jahresgesprächsbögen, disziplinarische Verfahren, Arbeitsverträge mit Vergütungsklauseln, Aufhebungsverträge, Krankmeldungen. Diese Dokumente laufen fast immer per E-Mail, oft als Anhang. Die Vertraulichkeit beruht auf dem Vertrauen in das verwendete Postfach. Ein nicht autorisierter Zugriff auf diese Anhänge schafft ein direktes juristisches Risiko für das Unternehmen (DSGVO, Arbeitsrecht, Geschäftsgeheimnis) und ein menschliches Risiko für die betroffenen Personen.

HR-Systeme und spezifische Zertifizierungen

Große Unternehmen lagern die HR-Verwaltung oft an HR-Informationssysteme (HRIS) aus. Einige HRIS-Anbieter sind nach sektoralen Standards zertifiziert oder bieten dediziertes europäisches Hosting an. Aber sobald ein HR-Manager einen Anhang per Standard-E-Mail erhält, gilt der Schutz des HRIS nicht mehr für den E-Mail-Fluss. Die Kohärenz der gesamten Kette — HRIS + Postfach + Anhang — wird zu einem eigenständigen Audit-Punkt.

8. Anwendungsfall 4 — Berufe mit spezifischen Verpflichtungen

Notare: Errichtung von Urkunden und Verwahrung

Der Notar ist Träger öffentlichen Amtes. Er empfängt und bewahrt öffentliche Urkunden auf, die bis zum Beweis der Fälschung volle Beweiskraft haben. Die Vorbereitungskommunikation mit den Klienten (Urkundenentwürfe, Vermögenselemente, Familieninformationen) unterliegt § 18 BNotO und § 203 StGB. Die Bundesnotarkammer hat dedizierte Berufswerkzeuge entwickelt, die einen gesicherten und souveränen Kommunikationsrahmen bieten. Die Nutzung eines Standard-Postfachs für Vorbereitungskommunikation setzt den Notar denselben Problematiken aus wie den Anwalt.

Ärzte und freiberufliche Gesundheitsberufe

Über die Hosting-Anforderungen hinaus verfügen deutsche Ärzte über die Telematikinfrastruktur (TI) und den KIM-Dienst (Kommunikation im Medizinwesen), betrieben unter der Aufsicht der gematik. Dieses System bietet einen souveränen Rahmen für die dem ärztlichen Berufsgeheimnis unterliegende Kommunikation. In der Praxis läuft ein bedeutender Teil der medizinischen Kommunikation noch über Standard-Postfächer — eine geduldete Praxis, deren rechtliche Sicherheit jedoch begrenzt ist.

Verteidigung, KRITIS und Staatssouveränität

Kritische Infrastrukturen (KRITIS, im Sinne des BSIG und der NIS-2-Richtlinie), Verteidigungsindustrielle und Einrichtungen, die dem BSI-Gesetz unterliegen, sind von verstärkten Regeln betroffen. Für diese Einheiten ist die Nutzung von dem CLOUD Act unterliegenden Postfächern für klassifizierte oder strategische Daten ausdrücklich geregelt oder gar untersagt. Das BSI-Referenzsystem C5 (Cloud Computing Compliance Criteria Catalogue) und das französische SecNumCloud spielen die Rolle von Referenzzertifizierungen für diese Nutzungen.

Die NIS-2-Richtlinie (EU-Richtlinie 2022/2555), in Frankreich durch das Gesetz Nr. 2025-391 vom 30. April 2025 umgesetzt und in Deutschland durch das NIS2-Umsetzungsgesetz, erweitert den Kreis der wesentlichen und wichtigen Einrichtungen: Gesundheit, Finanzdienstleistungen, Verkehr, Energie, öffentliche Verwaltung. Viele KMU und Mid-Caps, die von NIS 1 nicht betroffen waren, fallen jetzt darunter. Für diese Einheiten wird die Frage der E-Mail-Werkzeugwahl zu einem obligatorischen Prüfobjekt — die nationalen Aufsichtsbehörden (BSI in Deutschland, ANSSI in Frankreich) können Rechenschaft über die gesamte Kette verlangen.

Die Verbindung zum CLOUD Act ist direkt: eine NIS-2-Einheit, die ihr Postfach bei einem dem US-Recht unterliegenden Anbieter hostet, muss nachweisen können, dass diese Exposition analysiert und in Kenntnis der Sachlage akzeptiert wurde, mit angemessenen Ausgleichsmaßnahmen. Das Fehlen einer dokumentierten Analyse wird 2026 zu einem wiederkehrenden Prüfpunkt.

9. Die 3 Hebel zum Schutz vor dem CLOUD Act

Angesichts dieser juristischen Architektur sind drei Hebel mobilisierbar. Keiner löst die Frage allein; kombiniert reduzieren sie die Exposition erheblich. Sie werden nachstehend in der Reihenfolge ihrer Wirksamkeit detailliert.

Vergleichende Synthese der 3 Hebel

Die drei Hebel schließen sich nicht aus — sie ergänzen sich. Die folgende Tabelle positioniert jeden Hebel nach vier operativen Kriterien: juristische Wirksamkeit, Umstellungskosten, Reversibilität (Leichtigkeit einer Kehrtwende, wenn die Analyse überarbeitet werden muss) und Anpassungsaufwand für die Endnutzer.

In der Praxis empfohlene Kombination: Hebel 1 auf der KI-Schicht (Wahl eines souveränen Anbieters), Hebel 3 auf den sensibelsten Akten (Kompartmentierung + Ende-zu-Ende-Verschlüsselung), Hebel 2 überall als Nachvollziehbarkeitsnetz. Dieser dreistufige Ansatz produziert eine Folgenabschätzung, die vor einer Berufsordnung, einem Datenschutzbeauftragten oder einem Mandanten, dem Compliance wichtig ist, verteidigbar ist.

10. Der Ansatz von Neston

Neston ist ein französischer Anbieter mit Sitz in Frankreich, der nicht von einem amerikanischen Konzern gehalten wird — eine Struktur, die den Herausgeber direkt außerhalb des Anwendungsbereichs des CLOUD Act platziert, mit einer optionalen Mistral-EU-Einstellung, um die KI-Schicht auf ein in der Europäischen Union gehostetes Modell zu leiten. Wichtiger Transparenzhinweis: das darunterliegende Postfach (Outlook, Gmail) bleibt der Rechtsprechung seines Anbieters unterworfen. Unser Werkzeug fügt eine souveräne KI-Schicht über Ihrem bestehenden Postfach hinzu; es ersetzt nicht die strategische Wahl des Postfach-Anbieters selbst. Eine vollständige Kette außerhalb des CLOUD Act setzt daher die Kombination dieser souveränen KI-Schicht mit einem souveränen Postfach voraus (beA, SecNumCloud-qualifiziertes Angebot oder gleichwertige europäische Lösung).

Um die weiteren Kriterien für die Wahl eines KI-E-Mail-Assistenten zu verstehen, konsultieren Sie unseren Artikel zu den Kriterien für die Wahl eines KI-E-Mail-Assistenten. Für unsere Produktposition zur Souveränität siehe unser Manifest zur Souveränität.

11. Häufig gestellte Fragen (FAQ)

Zusammenfassung: die wichtigsten Punkte

• Der CLOUD Act, verabschiedet am 23. März 2018, erlaubt den extraterritorialen Zugriff auf Daten, die von einem dem US-Recht unterliegenden Anbieter gehalten werden, unabhängig vom Hosting-Land
• Die physische Lokalisierung ändert nichts an der geltenden Rechtsprechung — es zählt die juristische Person des Anbieters
• Die DSGVO neutralisiert den CLOUD Act nicht — das Schrems-II-Urteil (2020) hat den ungelösten Konflikt festgestellt
• Die regulierten Berufsgruppen (Anwälte, Steuerberater, Ärzte, Notare) tragen eine verstärkte Verantwortung bei der Wahl der Werkzeuge
• 3 Schutzhebel: technisch (EU-Anbieter/EU-Infrastruktur/EU-KI), vertraglich (solide DPA), organisatorisch (Verschlüsselung + Kompartmentierung)
• Die großen US-Hyperscaler unterliegen dem CLOUD Act — das ist eine juristische Tatsache, die in die Folgenabschätzung einzubeziehen ist, ohne Werturteil über die Qualität ihrer Dienste
• Eine dokumentierte Folgenabschätzung wird heute von den Datenschutzbehörden für sensible Verarbeitungen außerhalb der EU erwartet
• Zertifizierungen wie BSI C5 in Deutschland und SecNumCloud in Frankreich bleiben die besten Indikatoren für Immunität gegenüber außereuropäischen Gesetzen

Der CLOUD Act ist kein Grund zur Panik — er ist ein juristischer Parameter, der in die Werkzeugentscheidung einzubeziehen ist. In 2026 kann keine Organisation, die sensible Daten verarbeitet, auf eine spezifische Folgenabschätzung verzichten. Die richtige Frage ist nicht mehr „darf ich diesen Anbieter nutzen": sie ist „welches Expositionsniveau bin ich bereit zu akzeptieren, für welche Datenart, mit welchen dokumentierten Ausgleichsmaßnahmen".

📚 Weiterlesen

• KI und E-Mail in 2026: der vollständige DSGVO-Leitfaden
• Europäisches Hosting eines KI-E-Mail-Assistenten: die 4 Konfigurationen
• Neston-Manifest: unsere Position zur Souveränität
• Geschäftliche E-Mails mit KI verfassen — Vollständiger Leitfaden
• Datenschutzrichtlinie Neston
• Simulator: wie viel können Sie pro Jahr sparen?

Artikel veröffentlicht am 24. August 2026 · Aktualisiert am 25. August 2026 · Lesezeit: 18 Minuten · ≈ 4 900 Wörter