Cloud Act — Die Doktrin der drei Wörter
Traduzione assistita da macchina — per precisione giuridica consultare la versione tedesca di riferimento.
Cloud Act — Doktrin der drei Wörter und Konsequenz für Schweizer Cloud-Kunden
In tre frasi
Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) von 2018 verpflichtet US-fornitore zur Herausgabe von Daten in ihrem «possession, custody, or control» — unabhängig vom physischen Speicherort. US-Strafverfolgung erhält damit de jure accesso diretto auf Daten in Schweizer Rechenzentren von Microsoft, AWS, Google. Der CLOUD Act ist Strafverfolgungs-Instrument; nachrichtendienstliche Zugriffe laufen über FISA 702.
Meccanica
18 U.S.C. § 2713 stellt klar: Provider müssen Daten herausgeben, sofern sie diese in «possession, custody, or control» haben. Die physische Lokalisierung ist rechtlich unerheblich. US-Gerichte unterstellen, dass der US-Mutterkonzern faktische Kontrolle über Daten europäischer Tochtergesellschaften ausübt.
Title II ermöglicht bilaterale Executive Agreements mit «qualifying countries» — bisher nur mit dem Vereinigten Königreich (10/2022) und Australien. Mit EU/Schweiz existieren keine Abkommen.
Conseguenze per la Svizzera
dati svizzeri in Microsoft 365, AWS, Google Cloud, Salesforce, ServiceNow unterliegen dem CLOUD Act. «EU-Region» oder «Daten bleiben in della Svizzera» schliesst US-autoritàzugriff nach US-Recht nicht aus. Schweizer Provider ohne US-Nexus (Infomaniak, Hostpoint, Cyon, Nine.ch) sind nicht betroffen.
Conclusione logica
Die Behauptung einer technischen «Datensovranoität» bei US-Hyperscaler-Diensten ist rechtlich nicht haltbar. Customer-Key kann den Risikobereich verkleinern, nicht eliminieren.
Implicazioni legislative
Nota: I punti seguenti sono raccomandazioni dalla bozza LFSD (sezione 6) — non diritto in vigore, ma proposte per una futura legislazione svizzera.
La bozza LFSD (Art. 9-14) sarebbe für sensible Datenklassen die trattamento bei fornitoren unter CLOUD-Act-Reichweite verbieten.