AWS, GCP, Azure in der EU: geschützt vor dem CLOUD Act?

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) ermächtigt US-Bundesbehörden, Daten anzufordern, die einem ihrer Gerichtsbarkeit unterliegenden Unternehmen gehören oder von diesem kontrolliert werden, unabhängig davon, wo die Daten physisch gespeichert sind. Das Gesetz zielt auf das Unternehmen ab, nicht auf das Land des Rechenzentrums.

Eine europäische Tochtergesellschaft eines amerikanischen Konzerns bleibt letztlich unter der Kapitalkontrolle ihrer Muttergesellschaft. Es ist dieser Kontrolllink, der die theoretische Offenlegung auslöst, nicht die Adresse des in der Konsole ausgewählten Datencenters.

Die Einzelheiten des Textes und seine Verknüpfung mit der DSGVO werden in unserem Leitfaden DSGVO-konformes und EU-souveränes Backendbehandelt, und die genaue Auswirkung der Nationalität eines Lieferanten in unserem Artikel Nationalität des Lieferanten und CLOUD Act Exposure. Dieser Abschnitt beschränkt sich auf das, was die drei hier untersuchten Hyperscaler auszeichnet.

AWS betreibt mehrere Regionen in der Europäischen Union, darunter Irland (eu-west-1), Frankfurt (eu-central-1) und Paris (eu-west-3). Jedes erfüllt die Anforderungen an die Datenlatenz und den Standort, ohne dass die juristische Person, die den Vertrag unterzeichnet, geändert wird.

Ende 2023 kündigte AWS dieEuropean Sovereign Cloudan, eine eigenständige Infrastruktur, die für eine EU-basierte operative Governance konzipiert ist: Personal und operative Entscheidungsfindung sind in Europa angesiedelt, wobei die erste Region in Brandenburg, Deutschland, geplant ist. Das Programm reagiert direkt auf die Anforderungen öffentlicher Auftraggeber und regulierter Sektoren.

Durch diese operative Steuerung ändert sich die Aktionärsstruktur nicht. Die European Sovereign Cloud bleibt ein Angebot von Amazon Web Services, Inc., einer Tochtergesellschaft von Amazon.com Inc., einem Unternehmen nach amerikanischem Recht. Die CLOUD-Act-Exposition ist unabhängig von der behaupteten operativen Unabhängigkeit mit dieser Kontrollverbindung verbunden.

Google Cloud offers European regions in Brussels (europe-west1), Frankfurt (europe-west3), and several other cities across the continent. Its approach to sovereignty is based less on a distinct legal entity than on technical controls applied at thedata level.

Zwei konkrete Mechanismen veranschaulichen diesen Ansatz. Durch die clientseitige Verschlüsselung wird sichergestellt, dass Daten verschlüsselt werden, bevor sie die Google-Infrastruktur erreichen, ohne dass Google über die Schlüssel verfügt. Schlüsselzugriffsbegründungen zeigen dem Kunden jede Anfrage auf Zugriff auf seine Daten, einschließlich einer behördlichen Anfrage, bevor dieser nachgekommen wird.

Google Cloud hat auch lokale Partnerschaften wie das S3NS-Joint-Venture mit Thales in Frankreich aufgebaut, um ein vertrauenswürdiges Cloud-Angebot anzubieten, das anhand nationaler Sicherheitsmaßstäbe bewertet wird. Die zugrunde liegende Infrastruktur wird jedoch weiterhin von Google LLC betrieben, einer Tochtergesellschaft von Alphabet Inc., einem Unternehmen nach amerikanischem Recht: Es gilt der gleiche Kapitalkontrolllink.

Microsoft Azure bietet viele europäische Regionen: Frankreich-Mitte, Deutschland-West-Mitte, Westeuropa (Niederlande) und Nordeuropa (Irland). Die Wahl einer Azure-EU-Region erfüllt in erster Linie die Anforderungen an Latenz und vertragliche Datenresidenz.

Seit 2021 führt Microsoft schrittweise eine Verpflichtung namens EU Data Boundaryein: Daten, die von seinen wichtigsten Cloud-Diensten Azure, Microsoft 365, Dynamics 365 und Power Platform verarbeitet werden, werden innerhalb des europäischen Umkreises gespeichert und verarbeitet. Das erklärte Ziel besteht darin, überflüssig gewordene Transfers außerhalb der EU zu reduzieren und nicht darin, eine von der Microsoft Corporation getrennte juristische Person zu schaffen.

Microsoft veröffentlicht außerdem einen Transparenzbericht, der den Umfang der eingegangenen Regierungsanfragen und den Anteil, auf den das Unternehmen reagiert hat, detailliert beschreibt. Diese Transparenz dokumentiert die tatsächliche Gefährdung, ohne sie zu beseitigen: Die Microsoft Corporation bleibt ein Unternehmen nach amerikanischem Recht, unabhängig davon, wo die Daten gespeichert sind.

Drei Faktensäulen, eine Konstante: Die Nationalität der Betreibergesellschaft ändert sich von einem Hyperscaler zum anderen nicht, unabhängig von der Ernsthaftigkeit des damit verbundenen Souveränitätsprogramms.

Die drei Zeilen in der Spalte „Nationalität“ sind identisch. Genau das dokumentiert dieser Vergleich: Ein Souveränitätsprogramm verändert diese Spalte nicht.

Diese drei Programme verbessern reale Dinge: Datenresidenz, Transparenz des Zugriffs, Reduzierung nicht mehr notwendiger Übermittlungen außerhalb der EU und für AWS die operative Governance, die durch in Europa ansässige Mitarbeiter sichergestellt wird. Das sind messbare Fortschritte, keine leeren Ankündigungseffekte.

Keines der drei Verfahren ändert jedoch die Verbindung der Aktionärskontrolle zwischen der europäischen Tochtergesellschaft oder Division und ihrer amerikanischen Muttergesellschaft. Ein an die Muttergesellschaft gerichteter Antrag, zu dessen Befriedigung diese ihre Tochtergesellschaft zwingen kann, bleibt juristisch unabhängig von der dargelegten operativen Unabhängigkeit durchsetzbar.

Vier Fragen, die Sie stellen sollten, bevor Sie ein Hyperscaler-Souveränitätsprogramm für ein sensibles Projekt als ausreichend erachten.

1. Ist der von Ihnen unterzeichnete Vertrag mit der Einheit des Souveränitätsprogramms verbunden oder bleibt er mit der Standard-US-Einheit des Lieferanten verbunden?
2. Deckt das Programm genau die von Ihnen genutzten Dienste ab (Computer, Speicher, verwaltete Datenbank) oder nur einen Teil des Katalogs?
3. Dokumentiert der Anbieter öffentlich seine Position zum CLOUD Act, nicht nur zur DSGVO?
4. Gibt es eine Vertragsklausel zur Bearbeitung behördlicher Anfragen: Benachrichtigung, Streit, Transparenz?

Ein strukturell anderer Ansatz besteht darin, einen Lieferanten zu wählen, dessen Muttergesellschaft selbst der EU-Gerichtsbarkeit unterliegt, wodurch die Kontrollbindung an ein amerikanisches Unternehmen aufgehoben und nicht reguliert wird.

Dies ist der Fall bei Aurabase SAS, einem Unternehmen französischen Rechts, dessen geprüfte Produktionsinfrastruktur in Deutschland und Finnland tätig ist. Die Souveränität der EU hängt von diesen beiden kumulativen Bedingungen ab: der Unterbringung und der Betreibergesellschaft, und nicht nur von einer der beiden. Die technischen und rechtlichen Details dieses Vergleichs mit einem vergleichbaren Lieferanten werden in Aurabase vs. Supabaseund der vollständige Compliance-Status im dem Aurabase Compliance Centerbehandelt.