CLOUD Act und EU-eEvidence VO im Vergleich

Unterschiede im Fokus

Kernunterschied 1: Jurisdiktionslogik – „Kontrolle“ vs. „Markt“

Der für mich wichtigste Unterschied ist die territoriale Anknüpfung: Der CLOUD Act knüpft an die Jurisdiktion der USA über den Provider an. Nach der inzwischen etablierten Lesart gilt er für alle Anbieter elektronischer Kommunikations‑ oder Remoteservices, die entweder in den USA ansässig sind oder dort eine „legal presence“ haben und damit US‑Gerichtsbarkeit unterliegen. Die Frage lautet: Steht der Provider oder die relevante Unternehmensgruppe unter US‑Kontrolle („possession, custody, or control“), nicht: Wo sitzt der Kunde oder wo steht der Server. Die Daten eines europäischen Unternehmens, das seine Mail‑Infrastruktur bei einem US‑Cloudanbieter mit Rechenzentren in Frankfurt hostet, können daher über CLOUD‑Act‑Anordnungen erfasst werden, ohne dass die EU hierauf Einfluss nehmen könnte.

Die eEvidence‑Verordnung knüpft dagegen primär an das Anbieten von Diensten im EU‑Markt an. Sie gilt für Provider, die Dienste „in der Union“ bereitstellen und entweder in einem Mitgliedstaat niedergelassen sind oder einen gesetzlichen Vertreter in der EU benennen. Der Zugriff erfolgt also über die Marktteilnahme im Binnenmarkt, nicht über globale Unternehmenskontrolle. Die Jurisdiktionsentscheidung ist: Welche Anbieter adressiert die EU über ihr Binnenmarktrecht, nicht: Wen kann sie weltweit zwingen. Dass der Speicherort der Daten keine Rolle spielt, ändert nichts daran, dass der Kreis der verpflichteten Provider enger gezogen ist als beim CLOUD Act.

Mit Blick auf Datensouveränität heißt das: Der CLOUD Act entfaltet eine global extraterritoriale Wirkung überall dort, wo US‑Kontrollstrukturen existieren; eEvidence wirkt „nur“ im Binnenmarkt und gegenüber jenen Akteuren, die den Marktzugang zur EU als Gegenleistung akzeptieren.

Kernunterschied 2: Verfahrensgarantien und Rechtsschutz

Auch auf der Eingriffsebene unterscheiden sich beide Instrumente deutlich: Beim CLOUD Act richtet sich die Eingriffsschwelle nach der Systematik des Stored Communications Act. Für Inhaltsdaten ist ein richterlicher Warrant erforderlich, für Verkehrsdaten genügt in der Regel eine court order mit abgesenkten Anforderungen, für Teilnehmerdaten reichen oft administrative subpoenas ohne gerichtliche Kontrolle. Benachrichtigungspflichten gegenüber Betroffenen sind begrenzt und können durch „gag orders“ weitgehend suspendiert werden; ein eigenständiger Rechtsschutz für Nicht‑US‑Bürger vor US‑Gerichten existiert faktisch nicht. Das einzige explizite Konfliktventil ist das sogenannte „comity“‑Verfahren, bei dem der Provider eine Anordnung anfechten kann, wenn sie mit ausländischem Recht kollidiert; entschieden wird aber durch US‑Gerichte nach US‑Maßstäben.

Die eEvidence‑Verordnung ist demgegenüber deutlich dichter mit Verfahrensgarantien versehen. Für Verkehrs‑ und Inhaltsdaten ist durchgängig eine richterliche oder gerichtliche Anordnung bzw. eine Validierung durch ein Gericht oder Untersuchungsrichter vorgesehen, für Teilnehmerdaten reicht – in Grenzen – auch eine staatsanwaltschaftliche Anordnung. Für die schwerwiegenderen Datenkategorien gelten zudem materielle Schwellen, etwa ein Mindesthöchststrafmaß von drei Jahren oder bestimmte Katalogstraftaten. Betroffene haben einen Anspruch auf Information über die Anordnung (mit der Möglichkeit zeitlicher Beschränkung) und einen effektiven Rechtsbehelf vor einem Gericht des Anordnungsstaats. Hinzu kommt – bei Verkehrs‑ und Inhaltsdaten – grundsätzlich eine Notifizierungspflicht gegenüber dem Vollstreckungsstaat, der die Möglichkeit hat, die Anordnung auf katalogisierte Ablehnungsgründe (Grundrechte, Privilegien, doppelte Strafbarkeit etc.) zu prüfen.

Aus grundrechtlicher Perspektive mag man die eEvidence‑VO gleichwohl kritisch sehen, etwa wegen des Wohnsitzkriteriums, der teilweisen „Privatisierung“ von Rechtshilfe durch direkte Provideradressierung und der engen Fristen. Und da bin ich noch nicht bei den handwerklichen Mängeln im Gesetzestext. Doch im direkten Vergleich mit dem CLOUD Act ist das Niveau an Transparenz, ex ante Kontrolle und Rechtsbehelfsmöglichkeiten halt klar höher.

Kernunterschied 3: Daten‑ und Staatensouveränität

Datensouveränität bedeutet letzten Endes zu fragen, wer faktisch und rechtlich kontrolliert, wer wann worauf zugreifen darf. Hier ist der CLOUD Act strukturell problematischer für europäische Akteure.

Der CLOUD Act verschiebt die Hoheitsfrage klar zugunsten der USA: Wo immer US‑Recht Jurisdiktion über einen Provider beansprucht, kann dieser zur Herausgabe von Daten verpflichtet werden, auch wenn diese Daten aus Sicht eines anderen Staates „auf seinem Territorium“ liegen oder dessen Bürger betreffen. Die EU‑Datenschutzbehörden haben in einer gemeinsamen Stellungnahme ausdrücklich darauf hingewiesen, dass CLOUD‑Act‑Anordnungen gegenüber in der EU gespeicherten personenbezogenen Daten regelmäßig im Widerspruch zu Art. 48 DSGVO stehen, der unmittelbare Anordnungen ausländischer Behörden ohne völkerrechtliche Grundlage untersagt. Dies führt dazu, dass europäische Organisationen, die auf US‑Cloudanbieter setzen, faktisch einen Teil ihrer Datensouveränität abgeben: Weder sie selbst noch europäische Gerichte können effektiv verhindern, dass US‑Behörden auf deren Daten zugreifen.

Die eEvidence‑Verordnung verschiebt Souveränität ebenfalls, aber innerhalb des europäischen Mehrebenensystems. Sie stärkt die Durchgriffsmöglichkeiten des Anordnungsstaats gegenüber Providern in anderen Mitgliedstaaten und reduziert die Rolle der Behörden des Providerstaats; der Vollstreckungsstaat behält aber zumindest bei Verkehrs‑ und Inhaltsdaten ein Mitspracherecht über die Notifizierungsschiene. Aus Sicht der Mitgliedstaaten mag dies ein Souveränitätsverlust sein, aus Sicht der EU‑Ebene handelt es sich um eine Stärkung der unionsrechtlichen Kompetenz; jedenfalls bleibt die Entscheidung „im Haus EU“ und unterliegt der Grundrechtecharta sowie der EMRK. Im Ergebnis handelt es sich um eine interne Neujustierung, nicht um eine einseitige Durchbrechung europäischer Standards von außen.

Hinzu kommt, dass die eEvidence‑VO Konflikte mit Drittstaatenrecht – insbesondere US‑Blocking‑Normen – in Art. 17 über ein formelles Konfliktlösungsverfahren adressiert, bei dem ein Gericht des Anordnungsstaats eine Abwägung zwischen den Interessen vornimmt. Man kann dieses Modell aus dogmatischer oder praktischer Sicht kritisieren; es bleibt aber in einer rechtsstaatlichen Logik wechselseitiger Abwägung. Beim CLOUD Act bleibt dem Drittstaat de facto nur die Möglichkeit politisch‑diplomatischer Reaktion – justiziell ist er außen vor.