Was der CLOUD Act für europäische Unternehmen bedeutet

Atlassian umfasst inzwischen über 200 Milliarden Objekte und Verknüpfungen aus Jira, Confluence und weiteren Tools, gezählt über alle Kund:innen hinweg. Dahinter steckt der sogenannte Teamwork Graph, der Atlassians KI mit Kontext versorgt. Die Zahl veröffentlichte das Unternehmen im August 2026.

Hinter diesen Verknüpfungen steckt der Arbeitsalltag von Unternehmen wie Ihrem: die Anforderung für das nächste Release, der Incident-Bericht von letzter Woche, der Vertragsentwurf, der noch nicht unterschrieben ist.

Viele europäische Unternehmen speichern diese Informationen in Rechenzentren in Frankfurt. Bei der Einführung war das oft die entscheidende Frage: Wo liegen unsere Daten? Doch der Speicherort ist nur die halbe Antwort. Genauso wichtig ist, wer rechtlich darauf zugreifen kann.

Die Antwort darauf gibt der CLOUD Act. Das US-Gesetz von 2018 erlaubt US-Behörden, unter bestimmten Voraussetzungen Daten bei Unternehmen unter US-Recht anzufordern, auch wenn diese Daten in Frankfurt liegen. Atlassian ist seit 2022 ein US-Unternehmen und gab laut seinem Transparenzbericht 2025 in 13 Fällen Nutzerinhalte an US-Behörden heraus. Im Jahr davor waren es 3.

Das Risiko trägt dabei Ihr Unternehmen. Die DSGVO verlangt, dass Sie nachweisen können, wie personenbezogene Daten verarbeitet werden, wer sie erhält und wohin sie übermittelt werden. Spätestens bei einer Prüfung durch Datenschutz, Revision oder Aufsicht brauchen Sie darauf eine Antwort, und „Unsere Daten liegen in Frankfurt“ reicht dafür nicht.

Das Thema geht weit über Atlassian hinaus. Was der CLOUD Act regelt, welche Anbieter er erreicht und wie Sie Ihren Software-Stack in vier Schritten prüfen, lesen Sie im Folgenden.

Key takeaways

1. Der CLOUD Act folgt dem Anbieter, nicht dem Serverstandort

   Unterliegt der Anbieter US-Recht, ändert ein Rechenzentrum in Frankfurt daran nichts.

   
   

2. Ein Firmensitz in Europa allein reicht nicht aus

   Auch europäische Anbieter können über ihre Konzernstruktur, ihr US-Geschäft oder technische Dienstleister:innen betroffen sein.

   
   

3. Die DSGVO löst diesen Konflikt nicht automatisch

   Sie bringt Anbieter in einen Konflikt zwischen zwei Rechtsordnungen, schützt Ihre Daten aber nicht vor dem Zugriff.

   
   

4. Entscheidend ist, welche Daten in einem Tool liegen

   Vier Fragen helfen bei der Einschätzung: Welche Daten? Wer steht hinter dem Anbieter? Wer betreibt die Infrastruktur? Wer kontrolliert die Schlüssel?

Was ist der CLOUD Act?

Der US CLOUD Act ist ein Bundesgesetz der Vereinigten Staaten aus dem Jahr 2018. Es stellt klar, dass US-Behörden unter bestimmten rechtlichen Voraussetzungen Daten von Kommunikations- und Cloud-Anbietern verlangen können, die US-Recht unterliegen. Entscheidend ist nicht, wo die Daten gespeichert sind, sondern ob der Anbieter über sie verfügen kann. Für Inhalte wie E-Mails oder Dokumente braucht es in der Regel einen richterlichen Beschluss, für bestimmte Konto- und Verbindungsdaten können andere Anordnungen ausreichen.

Hintergrund ist ein Streit zwischen Microsoft und US-Ermittlungsbehörden, die 2013 Zugriff auf E-Mails verlangten, die Microsoft in Irland gespeichert hatte. Bevor der Supreme Court entscheiden konnte, schuf der Kongress im März 2018 mit dem CLOUD Act eine gesetzliche Klarstellung.

Zwei Punkte werden in Erklärungen des US CLOUD Act häufig übersehen.

1. Gegenwehr ist nur eingeschränkt möglich

   Einen besonderen Rechtsweg gegen eine Anordnung haben Anbieter nur bei Daten aus Ländern, mit denen die USA ein Abkommen geschlossen haben. Solche Abkommen gibt es bisher (Stand Oktober 2026) nur mit Großbritannien und Australien, die Verhandlungen mit der EU gelten als festgefahren. Für Daten aus der EU oder der Schweiz bleibt eine Abwägung durch das US-Gericht, mit offenem Ausgang.

   
   

2. Verschlüsselung kann den Unterschied machen

   Der CLOUD Act schafft laut US-Justizministerium keine neue Befugnis, Anbieter zur Entschlüsselung zu zwingen (White Paper). Hat ein Anbieter keinen Zugriff auf die Schlüssel, kann er Inhalte nicht im Klartext herausgeben. Bestimmte Metadaten bleiben aber zugänglich. Wer die Schlüssel kontrolliert, ist deshalb eine der wichtigsten Fragen der ganzen Prüfung.

Wen der CLOUD Act erreicht

Entscheidend ist nicht, wo ein Anbieter sitzt oder seine Daten speichert, sondern ob er der US-Gerichtsbarkeit unterliegt. Drei Konstellationen sind besonders relevant.

1. US-Konzerne und ihre europäischen Töchter: Eine deutsche GmbH wird nicht unabhängig von US-Recht, nur weil sie in Deutschland registriert ist. Gehört sie zu einem US-Konzern, bleibt der Zugriff über die Muttergesellschaft möglich. Das gilt auch für die im Januar 2026 gestartete AWS European Sovereign Cloud, die als souveräne Cloud von deutschen Gesellschaften mit europäischer Leitung betrieben wird, aber weiterhin zum Amazon-Konzern gehört. Worauf Sie bei solchen Angeboten achten sollten, erklärt unser Beitrag über Sovereignty Washing.

   
   

2. Europäische Anbieter mit Geschäft in den USA: Laut US-Justizministerium können auch ausländische Unternehmen unter US-Recht fallen, wenn sie ausreichende geschäftliche Verbindungen in die USA haben, etwa durch gezielte Werbung, aktive Kundenakquise oder die tatsächliche Nutzung durch Kund:innen in den USA. Wie weit das reicht, ist allerdings umstritten. Der Wissenschaftliche Dienst des Bundestags hält fest, dass die Frage insbesondere aus völkerrechtlicher Sicht nicht abschließend geklärt ist. Ein Beispiel ist monday.com: Das Unternehmen sitzt in Israel, betreibt laut seinem Börsenprospekt aber seit 2016 eine Tochtergesellschaft in den USA.

   
   

3. Europäische Anbieter auf US-Infrastruktur: Ein Softwareanbieter kann vollständig in Europa ansässig sein und seine Anwendung trotzdem auf AWS, Microsoft Azure oder Google Cloud betreiben. Dann können sich US-Behörden unter Umständen direkt an den Infrastrukturbetreiber wenden. Neben der Eigentümerstruktur zählt deshalb immer auch, wer die Infrastruktur betreibt.

CLOUD Act und DSGVO: Wenn zwei Rechtsordnungen aufeinandertreffen

Die DSGVO setzt der Herausgabe klare Grenzen. Nach Artikel 48 werden Anordnungen von Behörden aus Drittstaaten grundsätzlich nur anerkannt, wenn sie auf einem internationalen Abkommen beruhen, etwa einem Rechtshilfevertrag. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben schon 2019 festgehalten, dass eine CLOUD-Act-Anordnung allein in der Regel keine ausreichende Grundlage nach der DSGVO ist.

Ein Anbieter kann damit zwischen zwei Rechtsordnungen geraten. Folgt er der US-Anordnung, riskiert er einen Verstoß gegen europäisches Recht. Weigert er sich, drohen ihm Konsequenzen in den USA. Die DSGVO setzt der Herausgabe also Grenzen, garantiert aber nicht, dass Ihre Daten vor einem Zugriff geschützt bleiben.

Oft wird an dieser Stelle auf das EU-US Data Privacy Framework verwiesen, das das Gericht der EU im September 2025 bestätigt hat (ein Rechtsmittel läuft noch). Es regelt aber, wann personenbezogene Daten für kommerzielle Zwecke in die USA übermittelt werden dürfen, und nicht, wann eine US-Behörde per CLOUD-Act-Anordnung Daten verlangen kann. Das sind zwei verschiedene Fragen.

CLOUD Act, FISA 702 und E-Evidence: drei unterschiedliche Rechtsgrundlagen

Der CLOUD Act ist nur einer von mehreren Wegen, auf denen Behörden an Daten kommen.

FISA 702 regelt die Überwachung von Nicht-US-Personen außerhalb der USA durch US-Geheimdienste. Dafür braucht es weder einen richterlichen Beschluss im Einzelfall noch einen konkreten Tatverdacht, und die Anbieter dürfen über Anordnungen nicht sprechen. Für vertrauliche Unternehmenskommunikation kann FISA 702 deshalb sogar relevanter sein als der CLOUD Act. Die Vorschrift ist am 12. Juni 2026 ausgelaufen, bereits erteilte Genehmigungen gelten nach verbreiteter Auffassung aber bis März 2027 weiter. Über eine Verlängerung hatte der Kongress bis Oktober 2026 nicht entschieden.

E-Evidence: Seit dem 18. August 2026 gilt die E-Evidence-Verordnung der EU. Mit ihr können Justizbehörden elektronische Beweismittel direkt bei Anbietern in anderen Mitgliedstaaten anfordern. Die Grundidee der E-Evidence-Verordnung ähnelt dem CLOUD Act. Der Unterschied liegt im Rechtsrahmen: Es gelten europäische Verfahrensregeln und Grundrechtsstandards.

Die übersehene Ebene: Ihr Tool-Stack

Wenn über den CLOUD Act gesprochen wird, geht es meist um Infrastruktur: AWS, Microsoft Azure, Google Cloud. Ein großer Teil des Unternehmenswissens liegt aber eine Ebene höher, in den Tools, mit denen Teams jeden Tag arbeiten. Hinter vielen davon stehen US-Unternehmen:

• Jira und Confluence: Atlassian Corporation, seit 2022 in Delaware

• Slack: gehört zu Salesforce

• GitHub: gehört zu Microsoft

• Miro: RealtimeBoard Inc., mit kalifornischem Recht und Gerichtsstand San Francisco

• Notion: Notion Labs, Inc.

• Asana: Asana, Inc., Delaware

• monday.com: israelisches Unternehmen mit einer US-Tochtergesellschaft

Das heißt nicht, dass diese Produkte unsicher oder schlecht sind. Es heißt, dass ihre Konzernstruktur in die Risikobewertung gehört.

Dazu kommt, dass ein europäischer Speicherort nicht immer alle Daten umfasst. Atlassian bietet an, bestimmte Produktdaten in einer gewählten Region zu speichern. Nutzerkonten, Protokoll- und Analysedaten oder Daten während der Übertragung können aber auch außerhalb dieser Region gespeichert oder verarbeitet werden. Bei Projektmanagement-Tools ist das wichtig, denn oft stehen schon im Ticket-Titel Kundennamen, technische Details oder interne Projektnamen.

Die kantonalen Datenschutzbehörden der Schweiz ziehen daraus eine klare Konsequenz. Im November 2025 empfahl die Vereinigung privatim öffentlichen Organen, besonders schützenswerte oder geheimhaltungspflichtige Personendaten grundsätzlich nicht in SaaS-Lösungen großer internationaler Anbieter auszulagern, wenn diese auf die unverschlüsselten Daten zugreifen können. Microsoft 365 nannte sie ausdrücklich.

Die Daten bestimmen die Dringlichkeit

Nicht bei jedem Tooling ist der Umzug gleich dringend. Eine Jira-Instanz, in der das Marketing die nächste Messe plant, hat ein anderes Risikoprofil als eine, in der die Entwicklungsabteilung Konstruktionsdaten oder Quellcode verwaltet. Welche Daten in einem Tooling liegen, entscheidet deshalb, wie schnell Sie handeln sollten.

Grob lassen sich drei Bereiche unterscheiden:

• Personenbezogene Daten von Kund:innen oder Mitarbeitenden fallen unter die DSGVO. Sie verlangt Schutzmaßnahmen, die dem Risiko entsprechen; für Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten gelten strengere Regeln.

• Vertrauliches Unternehmenswissen wie Quellcode, Konstruktionspläne oder Kalkulationen ist oft besonders wertvoll, auch ohne Personenbezug. Es ist genauso dringend.

• Alltägliche Arbeitsinformationen wie Aufgabenlisten oder Terminpläne sind für sich genommen weniger kritisch und können später folgen.

Vertrauliches Unternehmenswissen wird am häufigsten unterschätzt, denn ohne Personenbezug greift die DSGVO nicht. Seit September 2025 verpflichtet zwar der EU Data Act Anbieter von Datenverarbeitungsdiensten, Maßnahmen gegen Zugriffe von Drittstaatsbehörden auf nicht-personenbezogene Daten in der EU zu treffen, wenn diese gegen EU- oder nationales Recht verstoßen würden.

Für die Messeplanung mag ein Rechenzentrum in Frankfurt noch eine Weile reichen. Auf Dauer lassen sich die drei Bereiche in einem Tooling aber kaum sauber trennen: Der Kundenname steht im Ticket-Titel, der Code-Ausschnitt im Kommentar, die Kalkulation im Anhang. Am sichersten ist es deshalb, alle Projektdaten zu einem Anbieter zu bringen, der nicht dem US-Recht unterliegt. Die Art der Daten entscheidet, womit Sie anfangen. Wie Sie diese Reihenfolge planen, zeigt unser Framework für die Migration zu souveränen Alternativen.

So prüfen Sie Ihren Tool-Stack in vier Schritten

Ob ein Tool vom CLOUD Act betroffen sein könnte, erkennen Sie nicht am Serverstandort. Vier Schritte verschaffen Ihnen einen ersten Überblick.

1. Welche Daten liegen im Tool? Prüfen Sie, welche Daten tatsächlich im Tool gespeichert werden. Dazu gehören nicht nur Dokumente und Anhänge, sondern auch Ticket-Titel, Kommentare und Metadaten. Ein Blick in echte Projekte zeigt oft mehr als jede Produktbeschreibung.

2. Wer steht hinter dem Anbieter? Schauen Sie genauer hin, mit wem Sie den Vertrag abschliessen und welche Unternehmensstruktur dahintersteht. Gibt es eine US-Muttergesellschaft, eine US-Tochter oder bedeutende Geschäftsaktivitäten in den USA? Ein Blick ins Impressum, in die Verträge, ins Handelsregister und in Geschäftsberichte schafft Klarheit.

3. Wer betreibt die Infrastruktur? Prüfen Sie, welche externen Dienstleister an der Verarbeitung Ihrer Daten beteiligt sind. Dazu gehören beispielsweise Anbieter für Cloud-Infrastruktur, E-Mail-Versand, Analysefunktionen oder KI-Modelle. Die Liste der Unterauftragsverarbeiter zeigt, wer tatsächlich Zugriff auf Ihre Daten haben kann.

Hier lohnt sich ein genauer Blick: Auch wenn ein Anbieter seinen Sitz in Europa hat und dort hostet, können einzelne Funktionen über US-Dienstleister laufen. Das gilt ebenso für selbst betriebene Systeme. Wer beispielsweise Jira On-Premise nutzt, setzt häufig zusätzliche Apps aus dem Atlassian Marketplace ein. Diese können wiederum externe Dienste einbinden, etwa für Lizenzprüfungen, Analysen oder KI-Funktionen.

4. Wer kontrolliert die Schlüssel, und wie einfach ist ein Wechsel? Prüfen Sie, wer Ihre Daten entschlüsseln kann: ausschliesslich Ihr Unternehmen oder auch der Anbieter? Ebenso wichtig ist die Frage, ob Sie Ihre Daten jederzeit vollständig und in offenen Formaten exportieren können. Denn zur Datensouveränität gehört nicht nur die Kontrolle über Ihre Daten, sondern auch die Freiheit, den Anbieter jederzeit wechseln zu können.

Diese vier Fragen ersetzen keine rechtliche Prüfung, zeigen aber, wo sich eine genauere Analyse lohnt.

Für Banken, Versicherungen und andere Finanzunternehmen kommt die DORA-Verordnung hinzu. Sie verlangt seit Januar 2025 unter anderem ein Register der Verträge mit IKT-Dienstleistern und Ausstiegsstrategien für kritische oder wichtige Funktionen. Wer diese Angaben ohnehin dokumentiert, kann die rechtliche Zuständigkeit jedes Anbieters gleich als eigene Spalte mitführen.

Der berechtigte Einwand: Wie groß ist das Risiko tatsächlich?

Schnell entsteht der Eindruck, US-Behörden könnten jederzeit auf alle Unternehmensdaten zugreifen. Ganz so einfach ist es jedoch nicht. Microsoft hat im zweiten Halbjahr 2025 Inhalte von drei Unternehmenskunden, deren Daten außerhalb der USA lagen, an US-Behörden herausgegeben, einer davon aus der EU oder EFTA. AWS gibt an, seit Beginn der Erfassung 2020 keine außerhalb der USA gespeicherten Inhalte von Unternehmens- oder Behördenkunden herausgegeben zu haben (AWS). Und das Oberlandesgericht Karlsruhe entschied 2022, dass die Zugehörigkeit zu einem US-Konzern allein kein Grund ist, einen Anbieter von einer öffentlichen Ausschreibung auszuschließen (Zusammenfassung bei Haufe).

Diese Statistiken sagen allerdings wenig darüber, was im Einzelfall auf dem Spiel steht. Schon eine einzige Herausgabe von Kundendaten oder Quellcode kann für ein Unternehmen schwer wiegen. Und ob eine Anordnung kommt und ob Ihr Anbieter die Daten herausgibt, liegt nicht in Ihrer Hand.

Auf die heutigen Zahlen sollten Sie sich zudem nicht verlassen. Die Anbieter erheben sie selbst, und nachrichtendienstliche Zugriffe zeigen Transparenzberichte nur eingeschränkt. Außerdem können die Fälle schnell zunehmen. Atlassian ist dafür ein Beispiel: Seine Zahlen vom Anfang dieses Beitrags zeigen, dass Herausgabeanordnungen längst auch Tools für die tägliche Projektarbeit betreffen. Auch die Rechtslage ist in Bewegung. FISA 702 ist im Juni 2026 ausgelaufen, wie es weitergeht, entscheidet der US-Kongress. Und regulierte Unternehmen müssen auch geringe Risiken bewerten und dokumentieren. Das ist schwierig bei einem Risiko, das Sie weder sehen noch beeinflussen können.

Dazu kommt, dass viele Unternehmen ohnehin vor einer Entscheidung stehen, etwa weil ein Vertrag ausläuft oder ein Anbieter sein Produkt umbaut. Bei Atlassian zum Beispiel laufen am 28. März 2029 die Data-Center-Lizenzen für Jira und Confluence aus, die Instanzen sind dann nur noch lesbar. Als Weg sieht Atlassian vor allem die eigene Cloud vor. Wenn Sie ohnehin wechseln müssen, ist das der richtige Moment für einen Anbieter außerhalb der US-Gerichtsbarkeit.

Wo sovara steht

sovara ist eine europäische Plattform für Projekt- und Wissensarbeit, also für das, wofür heute oft Jira und Confluence im Einsatz sind. Vertragspartner ist die rready AG mit Sitz in Zürich, ohne US-Muttergesellschaft und ohne Niederlassung in den USA. Damit unterliegt rready nicht dem CLOUD Act. Betreiben Sie sovara on-premises oder auf europäischer Infrastruktur, steht auch in der Hosting-Kette kein US-Unternehmen. Läuft sovara auf AWS oder Google Cloud, gehört der Hyperscaler wie bei jedem anderen Tool mit in die Prüfung. Ihre Daten exportieren Sie jederzeit in offenen Formaten, und KI können Sie selbst anbinden oder ganz abschalten.

Details zu Sitz, Hosting und Zertifizierungen finden Sie im Sovereignty Trust Center, den Funktionsvergleich im Vergleich sovara und Jira/Confluence und unsere Definition von Datensouveränität im Grundlagenbeitrag.

Was Sie jetzt tun können

Bei der Einführung einer Software ist die Frage nach dem Serverstandort meist schnell geklärt. Schwieriger ist die Frage, wer auf die Daten zugreifen kann. Dafür müssen Sie nicht Ihren ganzen Stack auf einmal infrage stellen:

1. Überblick verschaffen: Listen Sie die Tools auf, in denen Ihre Teams Projektwissen speichern, inklusive Marketplace-Apps und angebundener Dienste.

2. Daten ansehen: Prüfen Sie anhand echter Tickets, Dokumente und Kommentare, ob dort Alltägliches, personenbezogene Daten oder vertrauliches Unternehmenswissen liegen.

3. Kritische Tools genauer prüfen: Klären Sie für Tools mit sensiblen Daten, wer hinter dem Anbieter steht, wer die Infrastruktur betreibt und wer die Schlüssel kontrolliert.

4. Regelmäßig wiederholen: Anbieter werden übernommen, verlegen ihren Sitz wie Atlassian 2022 oder ergänzen KI-Funktionen wie Atlassian Rovo. Spätestens bei jeder Vertragsverlängerung lohnt sich ein neuer Blick.

Das Ziel ist nicht, US-Software grundsätzlich zu meiden. Es geht darum, bewusst zu entscheiden, welche Daten Sie welchem Anbieter anvertrauen.

Wenn Jira und Confluence dabei auffallen, finden Sie in unserem Beitrag einen Vergleich europäischer Alternativen. Und wenn Sie wegen des Data-Center-Endes ohnehin vor einer Entscheidung stehen, hilft unser Framework zur Migrations-Entscheidung 2029.

FAQ

Schützt ein Rechenzentrum in Deutschland vor dem CLOUD Act?

Nicht automatisch. Entscheidend ist, welchem Recht der Anbieter und seine Dienstleister unterliegen. Der Serverstandort allein bietet keinen vollständigen Schutz.

Gilt die DSGVO auch für US-Unternehmen?

Ja, etwa wenn sie gezielt Dienste für Personen in der EU anbieten. Die DSGVO hebt US-Recht aber nicht auf, deshalb können für Anbieter widersprüchliche Pflichten entstehen.

Was ist der Unterschied zwischen CLOUD Act, Patriot Act und FISA 702?

Der Patriot Act von 2001 erweiterte nach den Anschlägen vom 11. September die Überwachungsbefugnisse der USA, einige Bestimmungen sind inzwischen ausgelaufen. FISA 702 ermöglicht US-Geheimdiensten die Überwachung von Nicht-US-Personen außerhalb der USA (zum aktuellen Stand siehe oben). Der CLOUD Act regelt die Herausgabe von Daten in Strafverfahren, für Inhalte grundsätzlich mit richterlichem Beschluss.

Ist Jira vom CLOUD Act betroffen?

Jira Cloud ja: Atlassian ist seit 2022 ein US-Unternehmen und unterliegt damit dem US CLOUD Act. Bei Jira Data Center betreiben Sie die Infrastruktur selbst, doch am 28. März 2029 laufen die Lizenzen aus.

Hilft Verschlüsselung gegen den CLOUD Act?

Ja, wenn der Anbieter keinen Zugriff auf die Schlüssel hat. Dann kann er Inhalte nicht im Klartext herausgeben. Bestimmte Metadaten bleiben aber zugänglich.

Gilt der CLOUD Act auch für Schweizer Anbieter?

Ein Sitz in der Schweiz schließt ihn nicht automatisch aus. Wie bei EU-Anbietern kommt es auf US-Tochtergesellschaften, US-Geschäft oder US-Dienstleister an. Für den Datenschutz gilt: Die Schweiz hat einen Angemessenheitsbeschluss der EU-Kommission, personenbezogene Daten können also ohne zusätzliche Garantien aus der EU dorthin übertragen werden.