Die Cloud Act gibt den USA weitreichende Möglichkeiten, im Ausland gespeicherte Daten einzusehen.

Mit dem Cloud Act sichern sich die US-Behörden den Zugriff auf die sensiblen Schülerdaten der in den USA ansässigen Tech-Giganten. Und dieser zielt auch auf die Cloud-Riesen Microsoft, Google und Apple, die im Schweizer Bildungssystem mitmischen wollen.

Die Cloud Act ergänzt die Stored Communications Act (SCA). Das Gesetz wurde eingeführt, da US-Behörden in verschiedenen Fällen Probleme hatten, an im Ausland gespeicherte Daten zu gelangen. So war es Cloud- Service-Providern bis vor Verabschiedung des Gesetzes möglich, sich darauf zu berufen, dass ein entsprechender Durchsuchungsbeschluss nur in den USA Geltung habe.

Die Cloud Act regelt einerseits den Zugriff von US-Behörden auf Daten, die bei Cloud-Service-Providern mit US-Bezug liegen, und zwar unabhängig vom Standort der Server. Andererseits schafft sie einen Rechtsrahmen für die Lösung von Gesetzeskonflikten. Sie animiert die USA und ermutigt gleichzeitig ausländische Regierungen dazu, bilaterale Rechtshilfeabkommen über grenzüberschreitende Ermittlungsersuchen abzuschliessen – sogenannte «executive agreements».

Ein (Schweizer) Cloud-Service-Provider muss sich heute bei Erhalt einer Cloud- Act-«subpoena» (Herausgabeverfügung) oder eines «warrant» (Durchsuchungsbefehl) überlegen, ob er «lieber » Schweizer Gesetze (wie etwa das Datenschutzgesetz oder die sogenannten «blocking statutes» im Strafgesetzbuch) oder die Cloud Act verletzen möchte. Die Nichtbefolgung einer US-Herausgabeanordnung kann strafrechtliche und möglicherweise wirtschaftliche Konsequenzen für einen Cloud-Service- Provider in den USA haben.

In einem Interview mit den Zeitungen von CH Media relativierte ein Microsoft-Manager Anfang Jahr die Bedeutung des Cloud Act: Dieser komme erst bei einem Verdacht auf kriminelle Machenschaften zum Einsatz, es werde nicht wahllos nach Daten gefischt. Microsoft mache sich aber dafür stark, dass die Schweiz ein Abkommen mit den USA abschliesse, das grundsätzlich regelt, in welchen Fällen US-amerikanisches oder Schweizer Recht Vorrang hat. Einen solchen Vertrag haben auch Schweizer Parlamentarier angeregt; der Bundesrat hat versprochen, das Anliegen zu prüfen.

Mit dem US Cloud Act von 2018 hat die amerikanische Regierung jede Form von Datenschutz aufgehoben. Sie hat sich den vollständigen Zugriff auf alle Nutzer- und Systemdaten gesichert, die mit US-Software erzeugt werden, unabhängig vom Serverstandort oder von in anderen Ländern geltenden Gesetzen. Problematisch ist, dass weder Hochschulen als Vertragspartner dieser Unternehmen noch Nutzer Einfluss darauf haben, ob, wo und welche Daten gespeichert werden und wer Zugriff auf sie hat. Das widerspricht der Europäischen Datenschutzgrundverordnung, die besagt, dass Nutzer zustimmen müssen, bevor ihre personenbezogenen Daten verarbeitet werden.