Microsoft hat mit „Copilot Flex-Routing“ für Microsoft 365 Copilot eine Funktion implementiert, die bei Auslastungsspitzen die Verarbeitung von Daten außerhalb der sogenannten „EU-Datengrenze“ ermöglicht. Die Funktion ist für in der EU registrierte MS 365 Mandanten, die nach dem 25.03.2026 erstellt wurden, automatisch aktiviert. Für andere in der EU registrierte Mandanten sollen Kunden ihre Einstellungen überprüfen. Die Verarbeitung außerhalb der „EU-Datengrenze“ erfolgt laut Microsoft in den USA, Kanada oder Australien.
Wegen der erheblichen Auswirkungen auf den Datenschutz ist das für uns Grund genug, sich nochmals mit den Zugriffsmöglichkeiten von US-Behörden auf Cloud-Daten aus und in der Europäischen Union auseinanderzusetzen. (Die Verarbeitung personenbezogener Daten in Kanada und Australien ist ein Thema für sich, auf das wir heute nicht eingehen.)
Nach einem ausführlichen Gutachten der Universität zu Köln vom 21.03.2025 stehen US-Behörden die folgenden Mittel zur Verfügung:
Auf welche Rechtsgrundlage stützen US-Behörden den Datenzugriff?
Die rechtliche Grundlage für den Zugriff von amerikanischen Sicherheits- und Strafverfolgungsbehörden auf Daten sind
der Foreign Intelligence Surveillance Act (FISA),
der Stored Communications Act (SCA), der durch den Clarifying Lawful Overseas Use of Data Act (CLOUD Act) ergänzt wurde, und
die Executive Order 12333, die es US-Geheimdiensten erlaubt, ausländische Server zu hacken – hierauf wird im Folgenden nicht weiter eingegangen.
Welche Zugriffsrechte haben Behörden innerhalb der USA?
Section 502 FISA ermächtigt das FBI, Unterlagen von bestimmten, eng definierten Unternehmen, herauszuverlangen. Cloud-Anbieter dürften nach den Definitionen in Sections 501, 101 FISA nicht von dieser Herausgabepflicht umfasst sein.
Section 702 FISA ermächtigt US-Behörden, Nicht-US-Bürger, die sich außerhalb des US-Staatsgebiets aufhalten, zum Zweck der nationalen Sicherheit und Terrorismusabwehr zu überwachen.
Unter anderem Cloud Computing Dienstleister und Betreiber von Data Centern müssen demnach geheimdienstrelevante Informationen über die oben genannten Personen nach einem mehrschrittigen Verfahren herausgeben.
Das Verfahren in Stichpunkten:
-
Der US-Generalbundesanwalt/Justizminister und der Direktor der Nachrichtendienste der USA erlassen nach freiem Ermessen ein Zertifikat – Geltungsdauer maximal 1 Jahr. Dieses Zertifikat enthält
-
Kategorien geheimdienstrelevanter Informationen aus dem Ausland,
-
Vorgaben zum Verfahren und dem Gegenstand der Untersuchung (Zweck dieser Vorgaben: Schutz personenbezogener Daten von US-Bürgern).
-
Der Inhalt des Zertifikats ist also pauschal und für alle denkbaren Anwendungsfälle formuliert.
-
Der Foreign Intelligence Surveillance Court (FISC) – ein Bundesgericht, an dessen Sitzungen ausschließlich die Regierung teilnimmt – prüft die Vereinbarkeit des Zertifikats mit dem FISA und dem 4. Zusatzartikel zur US-Verfassung (Vorgaben zum Schutz personenbezogener Daten von US-Bürgern). Die Prüfung erfolgt unter Ausschluss der Öfffentlichkeit.
-
Nach der Freigabe durch den FISC können der Generalbundesanwalt und der Direktor der Nachrichtendienste die Überwachung und Herausgabeverpflichtung nach FISA autorisieren.
Auf Grundlage des Zertifikats können Telekommunikationsanbieter (TK-Anbieter) angewiesen werden, Informationen und Daten über Nutzer herauszugeben, ohne dass eine weitere gerichtliche Überprüfung im Einzelfall, ein gerichtlicher Beschluss oder eine gesonderte Beschlagnahmeanordnung notwendig ist.
TK-Anbieter können den FISC anrufen und sich gegen die Anweisung wehren. Entscheidet der FISC zu Gunsten der Behörde, macht sich der TK-Anbieter strafbar, wenn er die Anweisung nicht befolgt.
TK-Anbieter sind nicht nur Anbieter von Telekommunikationsleistungen, sondern alle Anbieter von Diensten, die Zugang zu Geräten haben, die zur Übertragung oder Speicherung drahtgebundener oder elektronischer Kommunikation verwendet werden oder verwendet werden können. Das sind letztlich alle Dienstleister, die in ihren Unternehmen Smartphones, Computer und W-LAN-Router verwenden. Der Anwendungsbereich ist also uferlos und umfasst sogar den Friseursalon mit Kunden-W-LAN. Dass Cloud-Computing-Dienste jedenfalls umfasst sind, ist offensichtlich.
Sections 2701 – 2713 SCA ermächtigen US-Behörden, von elektronischen Kommunikationsdiensten und Remote-Computing-Diensten Daten herauszuverlangen, insbesondere
-
den Inhalt
-
elektronischer Kommunikation und
-
von in Clouds gespeicherten Dokumenten, sowie
-
-
nicht-inhaltliche Informationen (z. B. Nutzerdaten, Übermittlungsdaten).
Grundsätzlich bedarf dieses Herausgabeverlangen einer richterlichen Anordnung. Hinsichtlich Daten, die nicht über 180 Tage gespeichert sind, ist ein Durchsuchungsbeschluss erforderlich. Die Herausgabe von Daten, die länger gespeichert sind, können auch auf Grundlage einer behördlichen Vorladung oder eines sonstigen Gerichtsbeschlusses angeordnet werden. Es besteht insoweit jedoch die Ausnahme, dass das FBI behördliche Anordnungen ohne richterliche Vorprüfung erlassen kann, die nur einer eingeschränkten nachträglichen gerichtlichen Überprüfbarkeit unterliegen – dies betrifft Telefonteilnehmerdaten, Rechnungsdaten und andere elektronische Transaktionsdaten, jedoch nicht die Kommunikationsinhalte selbst.
Dürfen betroffene Anbieter vorbeugende Maßnahmen gegen die Herausgabe von Daten ergreifen?
Sich technisch selbst aus den Daten auszuschließen, indem die Daten verschlüsselt und nur durch Dritte, z. B. Kunden, entschlüsselt werden können, ändert nichts an der Pflicht zur Herausgabe. Eine Verschlüsselung und damit die Verhinderung der Herausgabe kann für die verpflichteten Anbieter zu Geldbußen und Haftstrafen führen.
Welche Daten können erfasst werden?
Kurz gesagt: alle Arten von Daten können von US-Behörden angefordert werden.
Die Überwachung und Herausgabeanordnung muss sich auf geheimdienstrelevante Informationen aus dem Ausland beziehen. Was zunächst nach einem engen Anwendungsbereich klingt, wird durch die gesetzliche Definition der „geheimdienstrelevanten Informationen“ größtmöglich ausgeweitet. Demnach umfasst der Begriff konkret u. a. Bedrohungen aus Krieg, Terrorismus und Spionage, jedoch auch sonstige Informationen zu einem fremden Staat oder Staatsgebiet, die „mit der nationalen Verteidigung oder Sicherheit oder mit der Führung der auswärtigen Angelegenheiten der USA in Zusammenhang stehen“. Mit dieser Auffangregelung lässt sich letztlich ein Grund für die Überwachung und Herausgabe jeder denkbaren Information begründen – welche Information steht schon nicht potentiell in Zusammenhang mit auswärtigen Angelegenheiten der USA?
Betroffen sind nicht nur gespeicherte Daten, sondern auch Daten, die sich in der Übermittlung befinden. Es kommt also nicht darauf an, ob Daten langfristig gespeichert oder nur zur kurzzeitigen Verarbeitung an einen in den USA befindlichen Server übermittelt werden.
Wie wirkt sich das US-Recht auf Unternehmen in der EU aus?
Für die Herausgabepflicht von Informationen nach Section 702 FISA ist nicht relevant, an welchem Ort sich die Niederlassung eines Unternehmens befindet, sondern der Ort, an dem die Daten gespeichert bzw. verarbeitet werden. Liegen die Server in den USA, ist der Anwendungsbereich der Vorschrift eröffnet.
Wenn also EU-Tochterunternehmen der US-amerikanischen Hyperscaler Daten an Server in den USA senden (siehe auch Flex-Routing), so fallen diese Daten unter das Regime der Section 702 FISA.
Ob durch eine Herausgabe der Daten US-ausländisches Recht verletzt wird, ist nach Section 702 FISA ausdrücklich unerheblich.
Aufgrund dieser weiten Zugriffsrechte wurde zuletzt das Privacy Shield Abkommen zwischen der EU und den USA vom EuGH für rechtswidrig befunden. Es ist wohl nur eine Frage der Zeit, bis das aktuell geltende Data Privacy Framework ein ähnliches Ende nimmt – zwar hat das Gericht der Europäischen Union im September 2025 das aktuelle Abkommen für rechtmäßig befunden, der Kläger, Philippe Latombe – Abgeordneter der französischen Nationalversammlung – hat jedoch angekündigt hiergegen Rechtsmittel beim EuGH einzulegen.
Durch den CLOUD Act wurde Section 2713 SCA eingeführt, welche die Vorschriften des SCA auch für Tochtergesellschaften von US-Unternehmen außerhalb der USA für anwendbar erklärt. Ein Widerspruch gegen den insoweit notwendigen Durchsuchungsbeschluss (s.o.) ist grundsätzlich möglich, jedoch nur, wenn das Recht eines „qualifizierten“ Staates verletzt sein könnte. Ein Staat ist qualifiziert, wenn er ein entsprechendes Abkommen mit den USA hat – dies ist bei den EU-Staaten nicht der Fall.
Für EU-Unternehmen besteht somit keinerlei Rechtsschutzmöglichkeiten gegen Aufforderungen zur Herausgabe von Informationen durch US-Behörden.
Europäische Unternehmen, die Niederlassungen in den USA haben, laufen Gefahr, den unmittelbaren Herausgabepflichten zu unterliegen. Dies kann unter Umständen durch die Gründung und Niederlassung einer Tochtergesellschaft in den USA umgangen werden. Insoweit ist jedoch eine genaue Prüfung des Einzelfalls erforderlich.
Was ist zu tun?
Unternehmen und öffentliche Stellen sollten hinsichtlich beschaffter Cloud-Services, die in Rechenzentren in den USA betrieben werden, die Weiterentwicklung des EU-Angemessenheitsbeschlusses aufgrund des Data Privacy Framework genau im Auge behalten. Auch hinsichtlich Cloud-Services, für die Server innerhalb der EU genutzt werden, sollte überprüft werden, ob die Voraussetzungen für den Zugriff durch US-Behörden nach den oben beschriebenen Vorschriften grundsätzlich gegeben sind. Von US-Anbietern erklärte EU-Datengrenzen bieten hiergegen keinen Schutz und werden nach Belieben aufgeweicht, wie die Einführung von Copilot Flex Routing zeigt.
Das Gutachten der Universität zu Köln wurde nach einer Anfrage von FragDenStaat.de veröffentlicht.
Haben Sie Fragen zum Datenschutz bezüglich Ihrer KI- und sonstigen Cloud-Anbieter?
Wir unterstützen Sie gerne bei Ihrer Datenschutz-Compliance. Kontaktieren Sie uns per E-Mail an info@legit-kanzlei.de.