Kurz gefasst: Ein SaaS, das zwar „in Europa gehostet“, aber in den USA herausgegeben wird, bleibt dem CLOUD Act unterworfen. Das Schrems-II-Urteil hat das Privacy Shield für ungültig erklärt und Datentransfers verkompliziert. Für eine französische Kanzlei beschränkt sich die DSGVO-Konformität nicht mehr nur auf den Standort der Server — sie hängt auch von der Jurisdiktion des Anbieters ab. Hier ist eine praxisorientierte Analyse.
„Ihre Daten bleiben in Europa.“ Dies ist das Argument, das alle US-amerikanischen SaaS-Anbieter ihren europäischen Interessenten seit 2021 vorbringen. Und technisch gesehen ist es korrekt: Die Infrastruktur läuft auf AWS Frankfurt, Azure Dublin oder Google Belgium. Die Unwahrheit liegt nicht in der Aussage selbst, sondern in dem, was sie suggeriert. Denn die Lokalisierung der Server ist nur ein Teil der Gleichung. Der andere Teil ist die Jurisdiktion des Anbieters — und an diesem Punkt verliert das Argument an Gültigkeit.
Der CLOUD Act einfach erklärt
Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) wurde im März 2018 vom US-Kongress verabschiedet, infolge eines Rechtsstreits zwischen Microsoft und der US-Regierung bezüglich einer in Dublin gespeicherten E-Mail. Der Gesetzestext besagt: Jedes Unternehmen, das der US-amerikanischen Gerichtsbarkeit unterliegt — also jedes in den USA eingetragene Unternehmen, aber auch jede Tochtergesellschaft und allgemein jede Einheit mit wesentlichem Kontakt zum US-Territorium —, muss den US-Behörden auf rechtmäßige Anforderung hin die gespeicherten Daten herausgeben, unabhängig davon, wo diese gespeichert sind.
Konkret bedeutet das: Wenn Sie TaxDome nutzen, ein US-amerikanisches Unternehmen, und die US-Behörden Ihre Daten im Rahmen einer Untersuchung anfordern, muss TaxDome dieser Aufforderung nachkommen. Die Tatsache, dass sich Ihre Server in Frankfurt befinden, ändert daran nichts. Dass Ihre Kunden französische Unternehmen sind, ändert nichts. Auch die Tatsache, dass Sie selbst in Frankreich ansässig sind, ändert nichts.
Schrems II, die Entscheidung, die alles veränderte
Im Juli 2020 erklärte der Europäische Gerichtshof (EuGH) auf Klage des österreichischen Aktivisten Max Schrems das Privacy Shield für ungültig. Dies war das Rahmenabkommen, das bis dahin den Transfer personenbezogener Daten zwischen der Europäischen Union und den USA regelte. Der Grund: Das US-Recht, insbesondere der FISA Section 702 und die Executive Order 12333, ermöglicht eine staatliche Überwachung, die mit den europäischen Datenschutzstandards unvereinbar ist.
„Die Anforderungen des Rechts der Vereinigten Staaten, insbesondere bestimmte Programme, die es den Behörden dieses Staates ermöglichen, auf die aus der Union in diesen Staat übermittelten personenbezogenen Daten zu Zwecken der nationalen Sicherheit zuzugreifen, führen zu Beschränkungen des Schutzes personenbezogener Daten, die nicht so ausgestaltet sind, dass sie den Anforderungen entsprechen, die nach Unionsrecht im Wesentlichen den Anforderungen gleichwertig sind.“
EuGH, Urteil Schrems II, 16. Juli 2020, Rechtssache C-311/18
Schrems II hat Datentransfers in die USA nicht grundsätzlich verboten. Der Gerichtshof hat die Gültigkeit der Standardvertragsklauseln (SCC) aufrechterhalten, jedoch unter der Auflage, dass der europäische Verantwortliche das effektive Schutzniveau im Einzelfall bewertet. Im Klartext: Wenn Sie Daten an einen US-Auftragsverarbeiter übermitteln, müssen Sie eine Folgenabschätzung dokumentieren, bei Bedarf zusätzliche technische Maßnahmen ergreifen und dies im Falle einer Kontrolle nachweisen können.
Das Trans-Atlantic Data Privacy Framework von 2023: Noch nicht das Ende der Geschichte
Im Juli 2023 verabschiedete die Europäische Kommission einen neuen Angemessenheitsbeschluss für die USA, der auf dem Trans-Atlantic Data Privacy Framework basiert. Diese Vereinbarung führt neue Garantien auf US-amerikanischer Seite ein und ermöglicht theoretisch einfachere Datentransfers an zertifizierte Organisationen. Dies stellt für viele europäische Unternehmen eine operative Erleichterung dar.
Der Rahmen bleibt jedoch fragil. Max Schrems hat bereits angekündigt, dieses neue Abkommen anzufechten, so wie er es 2015 für Safe Harbor und 2020 für das Privacy Shield getan hat. Die Wahrscheinlichkeit, dass in den kommenden Jahren eine neue Schrems-III-Entscheidung ergeht, ist nicht zu vernachlässigen. Wenn Sie heute Ihre Compliance auf der Annahme aufbauen, dass das TDPF zehn Jahre Bestand haben wird, setzen Sie sich einem strukturellen Risiko aus.
Was sich für eine französische Kanzlei im Jahr 2026 ändert
Konkret ergeben sich für jede Kanzlei, die ein SaaS eines US-amerikanischen Anbieters nutzt, mehrere Fragen. Die erste lautet, ob die verarbeiteten Daten personenbezogene Daten im Sinne der RGPD sind: Für Anwaltskanzleien, Wirtschaftsprüfer, Steuerberater oder Versicherungsmakler lautet die Antwort fast immer Ja. Die zweite Frage ist, ob der Anbieter eine Folgenabschätzung nach dem Schrems-II-Urteil dokumentiert hat: Dies sollte in seinem aktualisierten DPA geschehen sein. Die dritte Frage ist, ob Sie als Verantwortlicher für die Datenverarbeitung Ihre eigene Folgenabschätzung vorgenommen haben: Dies ist selten der Fall.
Im Falle einer Kontrolle durch die CNIL wird genau diese dritte Analyse eingefordert. Der DPA des SaaS-Anbieters reicht nicht aus – er dokumentiert die Compliance des Auftragsverarbeiters, nicht Ihre eigene. Sie müssen nachweisen können, dass Sie das Transferrisiko bewertet, die notwendigen technischen Maßnahmen identifiziert und eine begründete Entscheidung protokolliert haben.
Die Standard Contractual Clauses reichen nicht mehr aus
Die Standard Contractual Clauses (SCC), die 2021 von der Europäischen Kommission aktualisiert wurden, sind das wichtigste vertragliche Instrument zur Regelung von Datentransfers außerhalb der Europäischen Union. Sie decken die Verpflichtungen des Verantwortlichen sowie des Auftragsverarbeiters ab. Viele Unternehmen glauben, eine bloße Unterzeichnung reiche aus, um die Compliance zu gewährleisten. Dies ist eine Fehlinterpretation.
Das Schrems-II-Urteil hat explizit festgestellt, dass SCC allein nicht ausreichen: Es muss zusätzlich bewertet werden, ob das Empfängerland einen tatsächlich gleichwertigen Schutz bietet, und falls nicht, müssen ergänzende Maßnahmen ergriffen werden. Für die USA hat der Europäische Datenschutzausschuss Empfehlungen veröffentlicht, die diese Maßnahmen auflisten: Ende-zu-Ende-Verschlüsselung unter Kontrolle des Absenders, Pseudonymisierung, Aufteilung von Datentransfers usw. Die Umsetzung dieser technischen Maßnahmen bei einer schlüsselfertigen US-SaaS-Lösung ist zwar technisch möglich, aber operativ komplex.
Prüfen, ob ein Softwareanbieter wirklich europäisch ist
Das ist nicht immer leicht festzustellen. Hier einige Grundregeln. Erstens: Prüfen Sie das Impressum. Ist das Unternehmen, das den Dienst anbietet, im Handelsregister eines europäischen Landes eingetragen? Zweitens: Prüfen Sie die Kontrollstruktur. Ist der letztendliche Anteilseigner europäisch? Ein französisches Unternehmen, das vollständig im Besitz eines US-Fonds ist, kann rechtlich weiterhin unter US-Einfluss stehen. Drittens: Prüfen Sie die Bilanz. Wenn der Anbieter seinen wesentlichen Umsatz in den USA erzielt und dort seine tatsächliche Geschäftsleitung hat, könnten die US-Behörden einen substanziellen Anknüpfungspunkt haben.
Pennylane, Yousign, Doctrine und Tiime sind französische Softwareanbieter im wahrsten Sinne des Wortes: französische Gesellschaft, mehrheitlich europäische Anteilseigner, französische Geschäftsführung. Clio hingegen ist kanadisch — nah an der Europäischen Union, aber nicht europäisch, und unterliegt einem anderen Rechtssystem als dem unseren. TaxDome, SmartVault und HoneyBook sind amerikanisch. Diese Unterschiede zu kennen bedeutet, sich nicht länger mit dem Argument „gehostet in Europa“ zufriedenzugeben.
Wie Client Vault auf dieses strukturelle Risiko reagiert
Client Vault wird von einer französischen Gesellschaft mit französischer Geschäftsführung und europäischer Kapitalbeteiligung herausgegeben. Der Code wird auf dem Server Ihrer Wahl installiert — in der Praxis also bei einem französischen Hosting-Anbieter: OVH, Scaleway, Infomaniak, o2switch oder Ihrer eigenen Infrastruktur. Zu keinem Zeitpunkt verlassen Ihre Daten den Bereich, den Sie kontrollieren. US-Behörden haben keine Kontaktpunkte, um Druck auszuüben: weder auf den Anbieter, noch auf das Hosting-Unternehmen, noch auf die Infrastruktur.
Diese Architektur macht einen Großteil der Folgenabschätzung nach Schrems II obsolet: Es gibt keinen Datentransfer außerhalb der Europäischen Union, der analysiert werden müsste. Dies ist eine administrative Vereinfachung, die bei einer Prüfung durch die CNIL einen echten wirtschaftlichen Wert hat: Ihre DSGVO-Dokumentation ist schlanker, solider und besser verteidigbar.
Für WordPress-Agenturen ist dies zudem ein direktes Verkaufsargument. Viele Ihrer professionellen Kunden wissen nicht, dass die Nutzung eines US-SaaS-Anbieters ihnen zusätzliche DSGVO-Pflichten auferlegt. Ihnen das Risiko zu erklären und einen souveränen Weg anzubieten, der dieses Risiko ausschließt, ist eine Mehrwertdienstleistung, die Sie klar positionieren können.
Ehrliche Grenzen
Diese Überlegung lässt sich nicht auf alle Tools anwenden. Bei nicht geschäftskritischen Tools — Slack für die interne Kommunikation, Notion für Team-Notizen, Trello für leichtes Projektmanagement — fällt die Kalkulation anders aus. Das Risiko einer Datenübermittlung besteht zwar, doch die Sensibilität der Daten ist geringer. Jedes amerikanische SaaS-Tool für sämtliche Anwendungsbereiche zu verbieten, ist eine überzogene Reaktion, die sich operativ nicht halten lässt.
Für geschäftskritische Daten hingegen — Fallakten, Patientenberichte, Kundenverträge, Finanzdaten — verdient das Risiko eine echte Analyse. Genau in diesem Bereich ergibt der souveräne Weg erst richtig Sinn.
Lernen wir uns kennen
Wenn Sie für die Datenverarbeitung verantwortlich sind oder als DPO tätig sind und die Compliance nach dem Schrems-II-Urteil ein Thema für Sie ist, lassen Sie uns per Video-Call austauschen. Zwanzig bis dreißig Minuten, um Ihre Exposition gegenüber dem Cloud Act zu kartieren und zu prüfen, wie ein souveräner Weg Ihre Folgenabschätzung vereinfachen kann.
Häufig gestellte Fragen
Was ist der Cloud Act und wer ist davon betroffen?
Ein amerikanisches Gesetz aus dem Jahr 2018, das es den US-Behörden ermöglicht, Daten anzufordern, die von einem Unternehmen in ihrem Zuständigkeitsbereich gehalten werden, unabhängig vom Standort der Server. Jedes Unternehmen, das ein amerikanisches SaaS-Tool nutzt, fällt unter diesen Geltungsbereich.
Ist ein in Europa gehostetes SaaS-Tool automatisch DSGVO-konform?
Nein. Die Lokalisierung der Server ist nur eines von vielen Kriterien. Die Gerichtsbarkeit des Anbieters, der DPA, die Folgenabschätzung nach dem Schrems-II-Urteil sowie ergänzende technische Maßnahmen sind ebenso entscheidend.
Was hat sich durch Schrems II in der Praxis geändert?
Das EuGH-Urteil von 2020 hat den Privacy Shield für ungültig erklärt und eine fallbezogene Folgenabschätzung für jede Datenübermittlung außerhalb der EU vorgeschrieben. Die SCC reichen allein nicht mehr aus: Es ist eine begründete Entscheidung zu dokumentieren und gegebenenfalls sind technische Maßnahmen zu ergänzen.
Ist meine Kanzlei dem Risiko des CLOUD Act ausgesetzt?
Ja, sobald Sie ein SaaS-Tool nutzen, dessen Anbieter unter US-amerikanische Gerichtsbarkeit fällt und das personenbezogene Kundendaten verarbeitet. Das Risiko ist proportional zur Sensibilität der verarbeiteten Daten.
Sind die Standard Contractual Clauses ausreichend?
Schrems II hat explizit festgestellt, dass dies für sich allein genommen nicht der Fall ist. Es bedarf einer Bewertung des tatsächlichen Schutzniveaus und gegebenenfalls ergänzender Maßnahmen. Der Europäische Datenschutzausschuss hat hierzu detaillierte Empfehlungen veröffentlicht.
Was tun, wenn mein SaaS-Anbieter eine US-Anordnung erhält?
Der Anbieter ist nach US-Recht zur Erfüllung verpflichtet. Sie werden in der Regel benachrichtigt, wenn das Verfahren dies zulässt, jedoch nicht immer. Der beste Schutz bleibt die strukturelle Vermeidung: Vertrauen Sie keine kritischen Daten einem exponierten Anbieter an.
Wie lässt sich prüfen, ob ein Anbieter wirklich europäisch ist?
Prüfen Sie die rechtlichen Hinweise (Sitz der Gesellschaft), die Eigentümerstruktur (endgültige wirtschaftliche Eigentümer) und die tatsächliche Geschäftsführung. Eine französische Gesellschaft, die sich im Besitz eines amerikanischen Fonds befindet, kann im Sinne des CLOUD Act weiterhin unter amerikanischem Einfluss stehen.
{„@context“:“https://schema.org“,“@type“:“Article“,“headline“:“CLOUD Act vs RGPD : où sont vraiment vos données client“,“author“:{„@type“:“Person“,“name“:“Dragan Stamenkovic“},“datePublished“:“2026-05-10″,“dateModified“:“2026-05-10″,“publisher“:{„@type“:“Organization“,“name“:“Client Vault“},“mainEntityOfPage“:“https://clientvault.pro/blog/rgpd-cloud-act-donnees-client“}{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[ {„@type“:“Question“,“name“:“Qu’est-ce que le CLOUD Act et qui est concerné ?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Loi américaine de 2018 permettant aux autorités américaines de réquisitionner les données détenues par toute entreprise relevant de leur juridiction.“}}, {„@type“:“Question“,“name“:“Un SaaS hébergé en Europe est-il forcément RGPD-compliant ?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Non. La juridiction de l’éditeur, le DPA et l’analyse d’impact post-Schrems II comptent autant que la localisation.“}}, {„@type“:“Question“,“name“:“Qu’a changé Schrems II en pratique ?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Invalidation du Privacy Shield, analyse d’impact obligatoire au cas par cas pour tout transfert hors UE.“}}, {„@type“:“Question“,“name“:“Mon cabinet est-il à risque CLOUD Act ?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Oui dès lors qu’il utilise un SaaS américain pour traiter des données personnelles. Risque proportionnel à la sensibilité.“}}, {„@type“:“Question“,“name“:“Les Standard Contractual Clauses suffisent-elles ?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Non en elles-mêmes selon Schrems II. Il faut évaluation du niveau de protection effectif et mesures supplémentaires.“}}, {„@type“:“Question“,“name“:“Que faire si mon SaaS reçoit une injonction américaine ?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“L’éditeur s’exécute selon le droit US. Notification pas garantie. Meilleure protection : éviter de confier les données critiques à un éditeur exposé.“}}, {„@type“:“Question“,“name“:“Comment vérifier si un éditeur est vraiment européen ?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Examiner mentions légales, chaîne de contrôle actionnarial et direction effective.“}} ]}
