Der CLOUD Act und europäischer Quellcode
Zuletzt aktualisiert: 2026-07-22Lesezeit ca. 4 Min.
Der US CLOUD Act erfasst bestimmte Kommunikations- und Remote-Computing-Dienste sowie Daten in deren Besitz, Verwahrung oder Kontrolle unabhängig vom Speicherort. Das ist keine universelle Jurisdiktionsregel. Anbieter- und Dienstumfang, Datenfluss, Kontrolle, Verschlüsselung, EU-rechtliche Konflikte und Restrisiko brauchen eine Einzelfallprüfung. Keine Rechtsberatung.
Kurz: Fragt zuerst, wer den Dienst führt, wer Zugriff hat und wohin Daten fließen. Der Ort einer Datei ist nur ein Fakt. Auch Art und Macht des Dienstes zählen. Ein lokaler Lauf kann Wege ändern, gibt aber keinen Schutz vor jedem rechtlichen Zugriff.
Erfasst für jeden Dienst den Betreiber, den Vertrag, den Ort der Daten und die Person mit Zugriff. Trennt diese Fakten von der Frage, welches Recht gilt. Prüft auch Schlüssel, Logs und Support-Zugriff. Holt für den echten Fall Rat ein. Die Seite gibt dafür nur ein Raster, kein Rechtsurteil.
Inhalt
Der Mechanismus, ohne Mythologie
Rechts- und Quellenstand: 22. Juli 2026. Dieser Artikel beschreibt die Rechtslandschaft zur Orientierung - er ist keine Rechtsberatung; die Bewertung für euer Setup gehört zu eurem Justiziariat.
Der Gesetzestext ist enger als der Slogan. Nach 18 U.S.C. §2713muss ein erfasster elektronischer Kommunikations- oder Remote-Computing-Dienst Chapter-121-Pflichten für erfasste Kundenkommunikation und Unterlagen in Besitz, Verwahrung oder Kontrolle unabhängig vom Speicherort erfüllen. Ob Unternehmen, Dienst, Repo oder Anfrage darunter fallen, ist eine Rechtsfrage. Diese Seite behauptet keine Häufigkeit und kein pauschales Ergebnis.
Wo KI-Coding-Tools ins Bild kommen
Jeder Cloud-KI-Coding-Dienst fügt einen Anbieter hinzu, der Teile eures Codes hält oder verarbeitet - Prompts, Kontext, teils einen vollständigen Index, wie in Was KI-Tools alles mitlesen kartiert. Für die Jurisdiktions-Analyse heißt das: Die Frage ist nicht nur „wo liegt unser Git-Remote?“, sondern „welche Anbieter, unter welchem Recht, können über die KI-Toolchain auf Code zugreifen?“ Die BSI/ANSSI-Datenfluss-Brille gilt unverändert - die Toolchain ist Teil der Souveränitäts-Oberfläche.
Seit September 2025 setzt der EU Data Act gilt. Artikel 32 behandelt angemessene technische, organisatorische und rechtliche Maßnahmen, wenn Drittstaatenzugriff auf in der Union gehaltene nicht personenbezogene Daten mit Unions- oder Mitgliedstaatenrecht kollidieren würde. Das ist eine getrennte EU-Pflicht mit eigenem Umfang, keine automatische Antwort zur Anbieterjurisdiktion und keine Garantie gegen rechtmäßigen Zugriff.
Die drei architektonischen Antworten
| Aufbau | Was sie ändert | Ehrliche Grenzen |
|---|---|---|
| EU-Jurisdiktions-Anbieter | Verändert Anbieter-, Dienst-, Vertrags- und Kontrolltatsachen | Eigentum, verbundene Unternehmen, Rechtsverfahren und tatsächliche Kontrolle bleiben zu prüfen |
| Kundengehaltene Schlüssel | Kann Anbieterzugriff auf Klartext in bestimmten Datenzuständen senken | Schlüssel, Metadaten, Endpunkte und Laufzeit-Klartext bleiben im Bedrohungsmodell |
| Lokale Verarbeitung | Kann einen Remote-Dienst aus einem Verarbeitungsschritt entfernen | Entfernt Endpunkt-, Transfer-, Operator-, Lieferanten- oder Jurisdiktionsrisiken anderswo nicht |
Die mittlere Zeile trägt die KI-spezifische Nuance: Kundengehaltene Schlüssel schützen Daten in Ruhe und unterwegs - aber ein Cloud-Modell, das über euren Code nachdenken soll, braucht ihn beim Anbieter entschlüsselt. Für KI-gestützte Arbeit am sensibelsten Code ist die realistische strenge Option die dritte Zeile - die Setup-Ökonomie steht in Lokales LLM fürs Code-Review, die allgemeine Aufbau in Lokale KI-Code-Prüfung.
Was das nicht rechtfertigt
Weder Anbieterhauptsitz noch Rechenzentrumsregion erledigen die Analyse. Leitet aus Local-first, On-Premises, Self-hosting oder Kundenschlüsseln keine Immunität ab; leitet aus einer US-Verbindung ebenso wenig sicheren Zugriff ab. Dokumentiert Jurisdiktion, Anbieter- und Dienstkontrolle, Datenort und -fluss, Verschlüsselungszustände, rechtmäßigen Zugriff und Restrisiko.
Wo Reality Graph ansetzt
Reality Graph kann local-first betrieben werden und festhalten, welche Dateien, Dienste und Prüfungen an einem Run beteiligt waren; die eigene Darstellung, was übertragen wird und wohin, benennt die Ausnahmen, statt zu behaupten, es gebe keine. Das unterstützt eine Datenfluss- und Kontrollanalyse; es bestimmt keine Jurisdiktion, verhindert keinen rechtmäßigen Zugriff und macht keine Aufbau CLOUD-Act-sicher. Seine Prüfberichte bewahren auftragsbezogene Belege, keine Rechtsfolgerung. Rechtliche Abwägung und Geschäftsfreigabe bleiben bei Justiziariat und Operator.
Diese Analyse gibt euch
- Den Anbieter-Kontrolle-Mechanismus, präzise formuliert
- Die gesetzlichen Grenzen zu Anbieter, Dienst, Daten, Kontrolle und Speicherort
- Die Rolle des Data Act seit September 2025, beschrieben
- Drei Aufbauten, passend zur Code-Sensibilität
Sie gibt euch nicht
- Rechtsberatung oder ein Risiko-Urteil für euer Setup
- Einen Grund, US-Anbieter pauschal zu verbannen
- Die Behauptung, irgendeine Aufbau sei „CLOUD-Act-sicher“
- Einen Ersatz für die Klassifizierung eurer eigenen Repos
Wenn diese Grenzen zu eurem Team passen:
FAQ
- Welche rechtlichen Risiken birgt Cloud-basiertes Code-Review für EU-Firmen?
- Trennt Jurisdiktion, erfassten Anbieter und Dienst, Datenfluss, Besitz, Verwahrung oder Kontrolle sowie vertragliche Vertraulichkeit. 18 U.S.C. §2713 betrifft erfasste Austausch und Unterlagen bei bestimmten Kommunikations- oder Remote-Computing-Diensten; die Norm ist keine Pauschalregel für jeden Anbieter oder Quellcode-Workload. Die Anwendbarkeit erfordert eine Einzelfallprüfung.
- Schützt ein EU-Rechenzentrum vor dem CLOUD Act?
- Der Speicherort ist ein Faktor, aber keine vollständige Antwort. §2713 nennt erfasste Daten in Besitz, Verwahrung oder Kontrolle eines erfassten Anbieters unabhängig vom Speicherort. Anbieteridentität, Dienstumfang, tatsächliche Kontrolle, angeforderte Daten und Konflikte mit EU-Recht bleiben relevant und gehören gemeinsam geprüft.
- Belegt dieser Artikel, wie häufig Quellcode angefordert wird?
- Nein. Er behauptet keine Vorfallshäufigkeit; auch das Ausbleiben eines öffentlichen Treffers beweist nicht, dass nie eine Anfrage erfolgte. Belastbar ist: Dienst, Daten, Kontrollpfad, Szenario rechtmäßigen Zugriffs und Restrisiko abbilden und die Anwendbarkeit rechtlich prüfen lassen.
- Fällt Quellcode hier überhaupt unter die DSGVO?
- Das hängt von Inhalt und Kontext ab. Repos können Kennungen, Logs, Fixtures, Tickets, Zugangsdaten oder andere relevante Informationen enthalten. Zusätzlich können Geschäftsgeheimnis- und Vertragspflichten greifen. Klassifiziert die tatsächlichen Daten statt der Dateiendung; dieser Artikel ist keine Rechtsberatung.
- Was hat der EU Data Act geändert?
- Die Verordnung (EU) 2023/2854 gilt seit 12. September 2025. Artikel 32 verlangt von Datenverarbeitungsdiensten angemessene technische, organisatorische und rechtliche Maßnahmen gegen Drittstaatenzugriff auf in der Union gehaltene nicht personenbezogene Daten, wenn der Zugriff mit Unions- oder Mitgliedstaatenrecht kollidieren würde. Umfang und Ausnahmen zählen; die Norm entscheidet eine CLOUD-Act-Frage nicht allein.
- Was sind die architektonischen Antworten?
- Anbieterwahl, kundengesteuerte Verschlüsselung und lokale Verarbeitung können Anbieterbeziehung, lesbare Datenzustände und Datenfluss verändern. Keine Variante garantiert Immunität vor rechtmäßigem Zugriff. Eigentum, Dienstdesign, Schlüssel, Metadaten, Endpunkte, Transfers und operativer Zugriff hinterlassen Restrisiken.
Weiterlesen
Quellen
- 18 U.S.C. §2713 - Anbieter, Unterlagen, Besitz/Verwahrung/Kontrolle und Speicherortregel (US Code; geprüft 22. Juli 2026)
- Verordnung (EU) 2023/2854, Artikel 32 - Drittstaatenzugriff auf nicht personenbezogene Daten; anwendbar seit 12. September 2025 (EUR-Lex)
- Gemeinsame EDPB-EDPS-Antwort zum CLOUD Act und EU-Datenschutzrahmen (12. Juli 2019; Einschätzung, kein Urteil)
- BSI/ANSSI - Empfehlungen zu KI-Programmierassistenten: Datenflüsse zu Anbietern (2024)