Warum der CLOUD Act Ihre Wahl von BaaS verändert

BaaS-Vergleiche basieren im Allgemeinen auf vier Achsen: Preis pro Nutzung, Funktionsumfang, einfache Migration und Entwicklererfahrung. Der Funktionsumfang umfasst Authentifizierungs-, Datenbank-, Echtzeit-, Speicher- und Edge-Funktionen. Das sind legitime Kriterien. Keine der vier Antworten beantwortet eine einfache Frage: Wer kann legal auf Ihre Daten zugreifen und unter welcher Autorität?

Der CLOUD Act – Clarifying Lawful Overseas Use of Data Act – wurde im März 2018 in den Vereinigten Staaten erlassen. Es ermächtigt die Bundesbehörden, jeden Anbieter mit einer legalen Präsenz auf amerikanischem Boden zur Herausgabe der von ihm gespeicherten Daten zu zwingen, auch wenn diese im Ausland gespeichert sind (18 U.S.C. § 2713). Der Text reagiert direkt auf einen Streit, bei dem Microsoft sich weigerte, auf einem Server in Dublin gespeicherte Daten an das FBI zu übermitteln. Der Kongress entschied per Gesetz, anstatt auf die Entscheidung des Obersten Gerichtshofs zu warten, und befasste sich dann mit dem Fall.

Diese Frage taucht in fast keinem öffentlichen Vergleichsraster auf, auch nicht auf Websites Dritter, die sich auf BaaS konzentrieren. Der Grund ist struktureller Natur: Eine Vergleichsseite listet Funktionen auf, die überprüft werden können – Vorhandensein eines SDK, kostenloses Kontingent, GraphQL-Unterstützung. Der Gerichtsstand eines Unternehmens ist keine in einem Administrationsbereich aktivierbare Funktionalität und passt daher nicht in das übliche Tabellenformat. Das macht es nicht weniger entscheidend.

Die Einzelheiten des Textes, seine Verknüpfung mit der DSGVO und eine vollständige Checkliste zur Lieferantenüberprüfung finden Sie in unserem Leitfaden DSGVO-konformes und EU-souveränes Backend. Dieser Abschnitt beschränkt sich auf das, was sich bei einem BaaS-Vergleich tatsächlich ändert.

Die Prüfung einer europäischen Hosting-Region in einem Verwaltungspanel reicht nicht aus, um über den Geltungsbereich des CLOUD Act hinauszugehen. Das Gesetz gilt für das Unternehmen, das den Dienst betreibt, nicht für den physischen Standort des Servers – zwei Informationen, die auf der Preisseite eines Anbieters fast nie unterschieden werden.

Supabase, Inc. ist das Unternehmen, das in seiner eigenen Datenschutzrichtlinie als Datenverantwortlicher identifiziert wird, wobei die Websites hauptsächlich in den Vereinigten Staaten gehostet werden. Firebase ist ein Produkt von Google LLC, einer Tochtergesellschaft von Alphabet Inc., einem Unternehmen nach amerikanischem Recht. AWS Amplify ist standardmäßig vertraglich an Amazon Web Services, Inc. mit Sitz im US-Bundesstaat Washingtongebunden. Alle drei bieten eine EU-Hosting-Region an. Die drei bleiben als Auftraggeber Gesellschaften nach amerikanischem Recht.

Hierbei handelt es sich nicht um eine Beurteilung ihrer technischen Qualität, sondern um eine Beobachtung der rechtlichen Struktur des Unternehmens, das den Vertrag mit Ihnen unterzeichnet. Ein hervorragendes Produkt kann rechtlich geschützt bleiben; die beiden Auswertungen sind unabhängig voneinander.

Der CLOUD Act verdient nicht in allen Projekten das gleiche Gewicht. Ein Solo-MVP ohne identifizierten europäischen Benutzer und ohne Gesundheits- oder Personaldaten kann dieses Kriterium vernünftigerweise als zweitrangig gegenüber Preis und Entwicklungsgeschwindigkeit betrachten.

Der Wechsel erfolgt, sobald ein Signal erscheint: ein an der Entscheidung beteiligter DSB oder Anwalt, sensible Daten im Sinne von Artikel 9 DSGVO – Gesundheit, Biometrie, Meinungen. Die Bestätigung erfolgt durch einen öffentlichen Auftraggeber oder durch einen öffentlichen EU-Auftrag, der eine ausdrückliche Souveränitätsgarantie erfordert. An dieser Stelle sollte der rechtliche Test vor dem Preisvergleich geprüft werden – nicht erst, nachdem Sie sich bereits für einen technischen Favoriten entschieden haben.

Dies ist der typische Wendepunkt für einen KMU-ETI-CTO, der zwischen internem Build, Supabase Cloud, AWS Amplify und einer souveränen Lösung entscheidet. Der Auslöser ist nicht die Größe des Unternehmens, sondern die Art der verarbeiteten Daten und das Vorhandensein eines Ansprechpartners, der gegenüber einem Kunden oder einer Regulierungsbehörde Rechenschaft ablegen muss.

Konkret wird das Kriterium zu drei verschiedenen Zeitpunkten eines BaaS-Kaufzyklus überprüft. Vor der engeren Auswahl dient es als binärer Filter für bereits als sensibel identifizierte Projekte. Im Rahmen der technischen Due Diligence wird es Dokument für Dokument zusammen mit der DPA und der Sicherheitsrichtlinie überprüft. Vor der Unterzeichnung wird es zu einer Vertragsklausel – und nicht nur zu einer mündlichen Antwort eines Demoverkäufers.

Eine nützliche Klausel, die es in dieser Phase zu verhandeln gilt: das Recht, ohne Strafe zu kündigen, wenn sich die Aktionärsstruktur des Lieferanten ändert. Eine Übernahme durch ein amerikanisches Unternehmen verändert die Antwort auf die Rechtsfrage, auch wenn die Infrastruktur am nächsten Tag technisch identisch bleibt.

Hier ist das Raster, das zu einem bestehenden BaaS-Vergleich hinzugefügt werden kann, geordnet nach Intensität der Exposition und nicht alphabetisch nach Anbieter.

Fügen Sie dieses Raster als eine weitere Spalte in Ihrer vorhandenen Vergleichstabelle hinzu, nicht als separates Dokument. Es muss sichtbar bleiben, wenn Sie sich zwischen zwei technisch nahestehenden Favoriten entscheiden.

Für eine erste Überprüfung ist keine Rechtsberatung erforderlich. Zwei öffentliche Dokumente reichen aus, um einen potenziellen Lieferanten zu finden: seine Vertraulichkeitsrichtlinie und die dem Vertrag beigefügten allgemeinen Bedingungen.

1. Suchen Sie in der Datenschutzrichtlinie nach „Datenverantwortlicher“ oder „Datenverantwortlicher“ – das ist die tatsächliche juristische Person, nicht der auf der Website angezeigte Markenname.
2. Suchen Sie in den Allgemeinen Geschäftsbedingungen nach der Klausel zum anwendbaren Recht – sie gibt die Gerichtsbarkeit an, unter der der Vertrag und oft auch das Unternehmen tätig sind.
3. Prüfen Sie, ob für Ihre Region eine separate EU-Einheit existiert (z. B. eine irische Tochtergesellschaft) – und ob sich dadurch die Antwort auf die vorherige Frage oder nur die Rechnungsadresse ändert.

Dies ist die Methode zur Überprüfung der in diesem Artikel genannten Fakten: Supabase, Inc. Datenschutzrichtlinie, AWS-Geschäftsbedingungen, Google-Datenschutzrichtlinie. Drei öffentliche Dokumente, für deren Ansicht kein Geschäftskonto erforderlich ist.

Das CLOUD-Act-Kriterium befreit Sie nicht von der Beurteilung des weiteren Vergleichs. Migrationskosten, Reife des Ökosystems, tatsächliche Qualität des RLS und die Entwicklererfahrung bleiben entscheidende Faktoren für die Geschwindigkeit eines Teams. Ein staatlicher EU-Anbieter mit einem unausgereiften SDK bleibt für viele Projekte eine schlechte Wahl.

Es gibt auch ein Timing-Argument, das sich speziell auf die Wahl eines BaaS bezieht: Je tiefer ein Team einen Anbieter integriert – Schema, Richtlinien, Edge-Funktionen, Webhooks –, desto teurer ist eine anschließende Migration. Ein nach sechs Monaten Produktion festgestelltes Rechtskriterium wird dringend und mit ungünstigen Kräfteverhältnissen behandelt. Dasselbe Kriterium, das vor der Unterzeichnung bewertet wird, kostet nur die Zeit, zwei öffentliche Dokumente zu lesen.