Der Cloud Act hat ein europäisches Gegenstück, und kaum jemand redet darüber
Unter meinem letzten Beitrag zum US Cloud Act ist eine ausführliche Kommentardiskussion entstanden: Serverstandort schützt nicht, US-Behörden können auf Anordnung an Daten von US-Unternehmen kommen, unabhängig davon, wo diese physisch liegen. Ein Einwand kam dabei auf: Wenn man einfach auf einen EU-Anbieter wechselt, ist das Thema doch vom Tisch.
Ist es nicht. Ab dem 18. August 2026 wird die EU e-Evidence-Verordnung verbindlich, das direkte europäische Gegenstück zum Cloud Act. Kaum jemand außerhalb der Rechtsabteilungen hat davon bisher gehört.
Was die e-Evidence-Verordnung konkret regelt
Die Verordnung (EU) 2023/1543 ist am 18. August 2023 in Kraft getreten, mit einer dreijährigen Übergangsfrist. Ab dem 18. August 2026 gilt sie verbindlich in allen EU-Mitgliedstaaten außer Dänemark (das wegen seines Opt-outs im Bereich Justiz und Inneres nicht gebunden ist).
Sie führt zwei neue Instrumente ein:
- Europäische Herausgabeanordnung (European Production Order, EPOC): Eine Justizbehörde in einem Mitgliedstaat kann damit direkt bei einem Diensteanbieter in einem anderen Mitgliedstaat Daten anfordern.
- Europäische Sicherungsanordnung (European Preservation Order): Verpflichtet zur vorläufigen Sicherung von Daten, bis eine reguläre Anfrage folgt.
Der entscheidende Punkt: Die anfragende Behörde muss nicht mehr den langwierigen Weg der klassischen Rechtshilfe (Mutual Legal Assistance) über die Behörden des anderen Mitgliedstaats gehen. Sie wendet sich direkt an den Anbieter.
Die Fristen sind eng: 10 Tage im Regelfall, 8 Stunden in dringenden Fällen (etwa bei Gefahr im Verzug oder unmittelbar bevorstehenden Straftaten).
Jeder Anbieter, der Dienste in der EU anbietet, muss bis zum Stichtag entweder eine Niederlassung in einem Mitgliedstaat haben oder dort einen benannten gesetzlichen Vertreter, der Anordnungen entgegennehmen und beantworten kann.
Warum das die „wir sind EU-Anbieter“-Antwort nicht reichen lässt
Der naheliegende Reflex nach jeder Cloud-Act-Diskussion ist: dann eben ein europäisches Rechenzentrum, ein europäischer Anbieter, Problem gelöst. Die e-Evidence-Verordnung zeigt, warum dieser Reflex zu kurz greift.
Ein EU-ansässiger Anbieter ist gegenüber dem US Cloud Act tatsächlich klar im Vorteil, keine US-Muttergesellschaft heißt keine US-Zuständigkeit. Aber er ist damit nicht zugriffsfrei. Er ist gegenüber EPOCs aus anderen EU-Mitgliedstaaten genauso auskunftspflichtig, mit noch kürzeren Fristen als bei den meisten Cloud-Act-Verfahren üblich.
Das ist kein Grund, EU-native Anbieter schlechter zu bewerten als US-Hyperscaler, im Gegenteil, sie bleiben die konsequentere Antwort auf viele DSGVO-Fragen. Der Punkt ist ein anderer: Es gibt keine Cloud, die ganz ohne behördliche Zugriffsmöglichkeit ist, weder in den USA noch in der EU. Der Unterschied liegt nicht darin, ob überhaupt eine Behörde anfragen kann, sondern welche, mit welchem Instrument, und wie schnell.
Was das für dein eigenes Setup bedeutet
Für die meisten kleineren und mittleren Unternehmen ändert sich operativ zunächst wenig, die Verordnung richtet sich in erster Linie an Diensteanbieter (Hosting, Cloud, Kommunikationsdienste), nicht an deren Kunden. Trotzdem lohnen sich drei Fragen, gerade wenn eigene Kundendaten oder Endnutzerdaten über einen Drittanbieter laufen:
- Hat mein Anbieter eine benannte EU-Niederlassung oder einen gesetzlichen Vertreter für e-Evidence-Anordnungen? Das ist ab August 2026 Pflicht, aber nicht alle kleineren Anbieter werden zum Stichtag vollständig vorbereitet sein.
- Gibt es bei mir intern einen Prozess, falls eine Behörde (egal ob über Cloud Act oder e-Evidence) Daten anfragt? Eine 8-Stunden-Frist im Eilfall lässt sich nicht improvisieren, das muss vorher feststehen, wer intern zuständig ist und wie eskaliert wird.
- Bin ich technisch unabhängig davon, welche Behörde am Ende zuständig ist? Lokales Maskieren personenbezogener Daten, bevor sie überhaupt einen Drittanbieter erreichen, ist die einzige Absicherung, die unabhängig davon funktioniert, ob am Ende der Cloud Act, die e-Evidence-Verordnung oder ein drittes, noch nicht existierendes Instrument greift.
Eine ehrliche Einordnung zum Schluss: Die Verordnung ist gerade erst verbindlich geworden, es gibt noch keine gefestigte Praxis, wie Behörden und Gerichte damit tatsächlich umgehen. Wer heute eine abschließende Bewertung verspricht, verspricht mehr, als seriös einzuschätzen ist. Was sich aber schon jetzt sagen lässt: Wer sein Setup ausschließlich mit „wir nutzen ja einen EU-Anbieter“ begründet, hat die eine Hälfte der Frage beantwortet, nicht die ganze.
Warum ich darauf so genau schaue
Bei einem KI-Compliance-Audit prüfe ich mittlerweile nicht mehr nur, ob ein Anbieter DSGVO-konform ist, sondern auch, welche Behörde unter welchem Instrument theoretisch Zugriff verlangen könnte, und ob dafür ein dokumentierter Prozess existiert. Das gilt für US-Anbieter genauso wie für europäische, die e-Evidence-Verordnung macht diese Prüfung jetzt auch für rein europäische Setups relevant.
Wenn du wissen willst, wo genau in deiner eigenen n8n- oder Make-Infrastruktur solche Abhängigkeiten stecken:
