Cloud Act — Die Doktrin der drei Wörter
Cloud Act — Doktrin der drei Wörter und Konsequenz für Schweizer Cloud-Kunden
In drei Sätzen verstanden
Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) von 2018 verpflichtet US-Anbieter zur Herausgabe von Daten in ihrem «possession, custody, or control» — unabhängig vom physischen Speicherort. US-Strafverfolgung erhält damit de jure Direktzugriff auf Daten in Schweizer Rechenzentren von Microsoft, AWS, Google. Der CLOUD Act ist Strafverfolgungs-Instrument; nachrichtendienstliche Zugriffe laufen über FISA 702.
Mechanik
18 U.S.C. § 2713 stellt klar: Provider müssen Daten herausgeben, sofern sie diese in «possession, custody, or control» haben. Die physische Lokalisierung ist rechtlich unerheblich. US-Gerichte unterstellen, dass der US-Mutterkonzern faktische Kontrolle über Daten europäischer Tochtergesellschaften ausübt.
Title II ermöglicht bilaterale Executive Agreements mit «qualifying countries» — bisher nur mit dem Vereinigten Königreich (10/2022) und Australien. Mit EU/Schweiz existieren keine Abkommen.
Was das für die Schweiz bedeutet
Schweizer Daten in Microsoft 365, AWS, Google Cloud, Salesforce, ServiceNow unterliegen dem CLOUD Act. «EU-Region» oder «Daten bleiben in der Schweiz» schliesst US-Behördenzugriff nach US-Recht nicht aus. Schweizer Provider ohne US-Nexus (Infomaniak, Hostpoint, Cyon, Nine.ch) sind nicht betroffen.
Logische Schlussfolgerung
Die Behauptung einer technischen «Datensouveränität» bei US-Hyperscaler-Diensten ist rechtlich nicht haltbar. Customer-Key kann den Risikobereich verkleinern, nicht eliminieren.
Was sich daraus für die Gesetzgebung ergibt
Hinweis: Die folgenden Punkte sind Empfehlungen aus dem BGDS-Entwurf (Sektion 6) — kein geltendes Recht, sondern Vorschläge für eine künftige Schweizer Gesetzgebung.
Der BGDS-Vorschlag (Art. 9-14) würde für sensible Datenklassen die Verarbeitung bei Anbietern unter CLOUD-Act-Reichweite verbieten.