Ist Ihr KI-Anbieter in Reichweite des US CLOUD Act?

Sieben Fragen dazu, wem Ihr Technologie-Stack gehört. Etwa zwei Minuten. Keine E-Mail-Adresse, kein Tracking, Ihre Antworten bleiben in Ihrem Browser.

2018 erließen die Vereinigten Staaten den CLOUD Act. Er verpflichtet jeden Anbieter, der der US-Gerichtsbarkeit unterliegt, Daten in seinem “Besitz, seiner Obhut oder unter seiner Kontrolle” zu sichern und offenzulegen, und zwar “unabhängig davon, ob sich diese Kommunikation, Aufzeichnung oder sonstige Information innerhalb oder außerhalb der Vereinigten Staaten befindet” (18 U.S.C. § 2713). Im Klartext: Wenn das Unternehmen vor einem US-Gericht gezwungen werden kann, entscheidet der Standort der Server die Frage nicht. Datenresidenz ist eine Frage der Geografie. Beim CLOUD Act geht es darum, was sie über Sie behalten.

Das ist keine theoretische Auslegung des Gesetzes. Auf die Frage vor einem Untersuchungsausschuss des französischen Senats am 10. Juni 2025, ob er garantieren könne, dass die Daten französischer Bürger niemals ohne Zustimmung der französischen Behörden an die US-Behörden übermittelt würden, antwortete der Direktor für öffentliche und rechtliche Angelegenheiten von Microsoft Frankreich unter Eid: nein, er könne es nicht garantieren, und fügte hinzu, dass es nie vorgekommen sei. Beide Hälften dieser Antwort verdienen es, ernst genommen zu werden. Bei diesem Prüfer geht es um die erste Hälfte: ob der rechtliche Weg zu Ihren Daten überhaupt existiert.

Beantworten Sie die folgenden Fragen zu dem KI- oder Cloud-Dienst, den Ihre Praxis tatsächlich nutzt, einschließlich einer etwaigen inoffiziellen ChatGPT-Gewohnheit, falls das die ehrliche Antwort ist. Wenn Sie eine Antwort nicht kennen, sagen Sie es. Nichtwissen ist ein Befund für sich, und das Ergebnis sagt Ihnen genau, welche Fragen Sie Ihrem Anbieter schriftlich stellen sollten.

Allgemeine Informationen, keine Rechtsberatung. Dieser Prüfer gibt öffentliche Quellen mit Stand Juni 2026 und die von Ihnen gegebenen Antworten wieder, die wir nicht überprüfen können. Er beurteilt weder die Rechtmäßigkeit Ihrer aktuellen Vereinbarungen noch Ihre Position nach der DSGVO oder irgendeinen konkreten Vertrag, und ein Urteil hier ersetzt nicht die eigene DSFA Ihrer Praxis. Für Entscheidungen über Ihre Datenschutzpflichten wenden Sie sich an Ihren Datenschutzbeauftragten oder einen Anwalt.
JavaScript ist aus, diese Seite funktioniert trotzdem als Arbeitsblatt. Beantworten Sie die sieben Fragen auf Papier und lesen Sie dann das Urteil, auf das die Regeln verweisen. Die Regeln: Wenn Ihre Antwort auf Frage 1 oder 2 ja lautet, ist Ihr Urteil In direkter Reichweite. Andernfalls, wenn Ihre Antwort auf Frage 3, 4 oder 5 ja lautet, ist Ihr Urteil In Reichweite über die Lieferkette. Andernfalls, wenn eine der Fragen 1-5 “nicht sicher” lautet, ist Ihr Urteil Gefährdung unbekannt. Nur fünf feste “nein”-Antworten ergeben Außerhalb direkter Reichweite. Die Fragen 6 und 7 ändern das Urteil nie; sie sagen Ihnen, welche Folgeschreiben Sie senden sollten. Alle vier Urteile sind unten vollständig abgedruckt.
1. Ist die oberste Muttergesellschaft Ihres KI-Anbieters in den Vereinigten Staaten eingetragen?

Verfolgen Sie die Eigentumskette bis nach oben. OpenAI (ChatGPT), Microsoft (Copilot), Google (Gemini) und Anthropic (Claude) sind alle US-Unternehmen. Eine britische Tochtergesellschaft, ein britisches Büro oder eine “.uk”-Domain ändert nichts daran, wo die Muttergesellschaft einem Gericht Rede und Antwort steht.

2. Ist Ihr Vertrag für den Dienst mit einer US-Einheit geschlossen oder unterliegt er dem Recht eines US-Bundesstaates?

Prüfen Sie den Unterschriftenblock und die Klausel zum “anwendbaren Recht” in den Nutzungsbedingungen. Viele in Großbritannien verkaufte KI-Dienste schließen Verträge von den USA aus oder nach dem Recht Kaliforniens oder Delawares.

3. Hat Ihr Anbieter irgendeine US-Unternehmenspräsenz, eine Muttergesellschaft, einen beherrschenden US-Investor, eine Tochtergesellschaft, Niederlassung oder ein Büro in den Vereinigten Staaten?

Der CLOUD Act bindet Anbieter, die “der US-Gerichtsbarkeit unterliegen”, und ob ein Nicht-US-Unternehmen dazu zählt, ist eine faktenabhängige Frage seiner Verbindungen zu den Vereinigten Staaten. Ein Unternehmen, das ausschließlich außerhalb der USA tätig ist, unterliegt nicht der persönlichen US-Gerichtsbarkeit; ein Unternehmen mit erheblicher US-Präsenz möglicherweise schon. Wenn Sie Frage 1 mit ja beantwortet haben, antworten Sie auch hier mit ja.

4. Verarbeiten US-eigene Auftragsverarbeiter Ihre Inhalte, zum Beispiel das Modell hinter dem Dienst (OpenAI, Anthropic, Google) oder die Hosting-Plattform (AWS, Microsoft Azure, Google Cloud)?

Fragen Sie nach der Liste der Auftragsverarbeiter; ein Anbieter, der personenbezogene Daten nach Artikel 28 der DSGVO verarbeitet, sollte eine vorlegen können. Viele als britische KI vermarktete Produkte sind eine Oberfläche über einer US-Modell-API oder einer Big-Tech-Cloud, und der Auftragsverarbeiter ist der Ort, an den Ihr Text tatsächlich geht.

5. Wird die Hardware, auf der das KI-Modell läuft, von einem US-Unternehmen besessen oder betrieben, wo auch immer sie physisch steht?

“UK-Region” bedeutet in der Regel ein US-eigenes Rechenzentrumsnetz, das sich zufällig in Großbritannien befindet, Azure UK South, AWS London und Google Cloud London sind alles Beispiele. Das Gebäude steht in England; der Betreiber nicht. Die rechtliche Frage folgt dem Betreiber, nicht der Postleitzahl.

6. Veröffentlicht Ihr Anbieter schriftlich, wem die Inferenz-Hardware gehört und wo Ihre Inhalte verarbeitet werden?

Suchen Sie nach einer Sicherheits- oder Auftragsverarbeiter-Seite mit Firmennamen und Daten darauf, nicht nach Slogans. “In Großbritannien ansässig” und “souverän” sind Marketingwörter; die Eigentümerschaft und der Standort der Maschinen sind Fakten, und Fakten lassen sich klar benennen.

7. Hat Ihr Anbieter Ihnen schriftlich bestätigt, dass kein Unternehmen in seiner Eigentums- oder Verarbeitungskette gezwungen werden kann, Ihre Daten nach US-Recht offenzulegen?

Ein Anbieter, der wirklich außerhalb der US-Gerichtsbarkeit steht, kann das in einem Satz auf Briefpapier festhalten. Ein Anbieter innerhalb davon schickt Ihnen stattdessen meist einen Absatz über Verschlüsselung. Der Unterschied ist aufschlussreich.

In direkter Reichweite.

Nach Ihren Antworten unterliegt das Unternehmen, mit dem Sie einen Vertrag schließen, oder seine Muttergesellschaft, der US-Gerichtsbarkeit. Nach 18 U.S.C. § 2713 muss ein Anbieter, der der US-Gerichtsbarkeit unterliegt, Daten in seinem “Besitz, seiner Obhut oder unter seiner Kontrolle... unabhängig davon, ob” diese Daten “innerhalb oder außerhalb der Vereinigten Staaten befindlich sind” offenlegen. Die britische Datenresidenz schließt diesen Weg nicht; sie bestimmt, wo Ihre Daten liegen, nicht, wer gezwungen werden kann, sie herauszugeben. Um ebenso klar zu sein, was dieses Urteil nicht ist: Es ist kein Befund, dass auf Ihre Daten zugegriffen wurde, dass ein Zugriff wahrscheinlich ist oder dass die Nutzung dieses Anbieters rechtswidrig ist. US-Behörden benötigen eine qualifizierende rechtliche Anordnung, Anordnungen können angefochten werden, und der Microsoft-Manager, der dem französischen Senat sagte, er könne die Nichtoffenlegung nicht garantieren, sagte auch, es sei nie passiert. Der Befund ist enger und nützlicher als Alarm: Der rechtliche Weg existiert, Ihr Vertrag und Ihre Hosting-Region beseitigen ihn nicht, und Ihre DSFA sollte das mit diesen Worten sagen, statt sich auf “UK-Hosting” zu verlassen, um eine Frage zu beantworten, die es nicht beantworten kann.

Was als Nächstes zu tun ist

In Reichweite über die Lieferkette.

Ihr Anbieter mag durchaus britisch oder EU-eigen sein, aber nach Ihren Antworten durchlaufen Ihre Inhalte US-eigene Hände, eine Modell-API, eine Cloud-Plattform oder Hardware, die von einem US-Unternehmen betrieben wird. Der CLOUD Act bindet Anbieter, die der US-Gerichtsbarkeit unterliegen, und die Frage für Ihre Daten wird an jedes Glied gestellt, das Besitz, Obhut oder Kontrolle darüber hat, nicht an das Logo auf der Rechnung. Ein britisches Unternehmen, das ein US-Modell weiterverkauft, hat den Vertrag verschoben; es hat nicht die Gerichtsbarkeit verschoben. Wie bei jedem Urteil auf dieser Seite ist dies kein Befund, dass auf irgendetwas zugegriffen wurde. Es ist ein Befund, dass der Weg ein Glied weiter unten in der Kette existiert, genau dort, wo eine DSFA ihn am leichtesten übersieht.

Was als Nächstes zu tun ist

Gefährdung unbekannt, was selbst ein Befund ist.

Sie konnten eine oder mehrere der Fragen nicht beantworten, die bestimmen, ob ein US-Rechtsweg zu Ihren Daten existiert. Das ist keine Kritik. Die meisten dieser Informationen sind wirklich schwer zu finden, und manche Anbieter bevorzugen es so. Aber es bedeutet, dass die aktuelle Position Ihrer Praxis “Gefährdung unbestimmt” ist, und eine DSFA, die zu einer so grundlegenden Frage schweigt, ist unvollständig statt beruhigend. Die nützliche Nachricht ist, dass jede Lücke auf dieser Seite mit einem kurzen Schreiben geschlossen werden kann, und die Schnelligkeit und Direktheit eines Anbieters bei der Beantwortung wird Ihnen fast so viel sagen wie die Antworten selbst.

Was als Nächstes zu tun ist

Außerhalb direkter Reichweite, nach Ihren Antworten.

Nach dem, was Sie uns mitgeteilt haben, ist kein Unternehmen in Ihrer KI-Lieferkette US-eigen, US-vertraglich gebunden oder läuft auf US-betriebener Hardware. Wenn das zutrifft, hat der CLOUD Act keinen direkten Weg zu Ihren Daten: Das Gesetz bindet Anbieter, die der US-Gerichtsbarkeit unterliegen, und nach Ihren Antworten gibt es keine in der Kette. Zwei ehrliche Vorbehalte gehören daneben. Erstens kann diese Seite Ihre Antworten nicht überprüfen, nur die schriftliche Bestätigung Ihres Anbieters kann das, und wenn Sie noch keine haben, ist das der nächste Schritt. Zweitens bedeutet “außerhalb des CLOUD Act” nicht “jenseits allen Rechtsverfahrens”: US-Behörden können im Vereinigten Königreich gehaltene Daten weiterhin über britische Gerichte, durch Rechtshilfe oder nach dem seit Oktober 2022 geltenden Datenzugangsabkommen zwischen dem Vereinigten Königreich und den USA anfordern, und britische Behörden haben eigene Befugnisse. Der Unterschied ist, dass diese Wege durch britisches Recht und britische Aufsicht verlaufen, was genau der Grund ist, warum es sich lohnte, was sie über Sie behalten, und nicht den Serverstandort, überhaupt zu prüfen.

Was als Nächstes zu tun ist

Quellen

Häufig gestellte Fragen

Was ist der US CLOUD Act?

Der CLOUD Act ist ein US-Gesetz von 2018 (18 U.S.C. § 2713), das jeden Anbieter, der der US-Gerichtsbarkeit unterliegt, verpflichtet, Daten in seinem Besitz, seiner Obhut oder unter seiner Kontrolle bei rechtmäßiger Anordnung offenzulegen, unabhängig davon, ob diese Daten innerhalb oder außerhalb der Vereinigten Staaten gespeichert sind.

Schützt die britische Datenresidenz meine Daten vor dem US CLOUD Act?

Nein. Bei der Datenresidenz geht es darum, wo die Server stehen; beim CLOUD Act darum, wer gezwungen werden kann. Ein US-eigenes Unternehmen, das Ihre Daten in einer britischen Region hält, hält sie dennoch in Reichweite einer US-Anordnung. Residenz ist Geografie; Gerichtsbarkeit ist das Recht, dem es untersteht.

Woran erkenne ich, ob mein KI-Werkzeug dem CLOUD Act ausgesetzt ist?

Beantworten Sie sieben Fragen dazu, wem Ihr KI-Anbieter gehört und wo er Ihre Daten verarbeitet. Dieser kostenlose Prüfer berechnet das Ergebnis in Ihrem Browser, keine E-Mail-Adresse, kein Tracking, und gibt Ihnen einen Link, den Sie mit Ihrem DSB teilen können.

Beunruhigt von Ihrem Ergebnis? Holen Sie sich das einseitige CLOUD-Act-Briefing.

Ein verständliches Briefing, das Sie an Ihren DSB weiterleiten können, plus wie eine britische Alternative die Gefährdung beseitigt. Kostenlos.

Briefing holen, kostenlos →

Keine E-Mail, keine Anmeldung. Laden Sie es direkt von unserer Ressourcenseite herunter, und wir behalten nichts.