Wenn eure NGO Google Drive, Microsoft OneDrive, Dropbox oder Slack nutzt, haben US-Behörden potenziell Zugang zu euren Spenderdaten — egal ob eure Server in Frankfurt oder Zürich stehen. Das ist kein Worst-Case-Szenario, sondern geltende US-Rechtslage. Hier ist, was ihr wissen müsst.
Was ist der US CLOUD Act?
Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) wurde 2018 vom US-Kongress verabschiedet. Er verpflichtet US-Unternehmen — also Unternehmen, die unter US-Recht stehen —, US-Behörden auf Verlangen Zugang zu Nutzerdaten zu gewähren. Das gilt auch dann, wenn die Daten auf Servern ausserhalb der USA gespeichert sind.
Der entscheidende Punkt: Es geht nicht um den Standort des Servers, sondern um die Nationalität des Unternehmens. Google ist ein US-Unternehmen. Microsoft ist ein US-Unternehmen. Dropbox ist ein US-Unternehmen. Das bleibt so, auch wenn ihre europäischen Rechenzentren auf dem Papier unter europäisches Recht fallen.
Konkret für eure NGO: Ein US-Staatsanwalt kann Google per Gerichtsbeschluss dazu verpflichten, eure in Google Drive gespeicherten Daten herauszugeben — ohne Schweizer Gerichtsbeschluss, ohne euer Wissen, ohne Vorwarnung. Google muss diesem Beschluss folgen. Das ist gesetzlich vorgeschrieben.
Warum das für NGOs besonders relevant ist
Viele Organisationen, die ich kenne, denken, das treffe nur grosse Konzerne oder politisch exponierte Akteure. Das ist falsch.
NGOs arbeiten häufig mit sensiblen Personendaten: Spenderlisten mit Namen und Zahlungsinformationen, Kontaktdaten von Begünstigten in vulnerablen Situationen, interne Strategiediskussionen, Whistleblower-Kommunikation, Protokolle von Vorstandssitzungen zu heiklen Themen.
All das sind Daten, die — wenn sie auf US-Cloud-Diensten liegen — dem Zugriff unterliegen. Die Anfrage muss nur plausibel genug sein. Das Schweizer Datenschutzgesetz (DSG) und die DSGVO schützen euch hier nicht: Sie regeln europäisches Recht, aber der CLOUD Act ist US-Recht und setzt sich in diesem Konflikt durch.
Was das DSG (Schweiz) und die DSGVO hier nicht leisten: Das Schweizer DSG und die EU-DSGVO schreiben vor, dass Daten mit angemessenem Schutz behandelt werden müssen. Aber sie können US-Bundesgesetz nicht ausser Kraft setzen. Ein Abkommen zwischen der EU und den USA (EU-US Data Privacy Framework, 2023) regelt einige Transfers — aber nicht den CLOUD Act selbst. Wer auf US-Cloud-Dienste setzt, nimmt dieses Risiko in Kauf, egal welche europäischen Zertifikate der Anbieter vorweist.
Wer ist betroffen?
Konkret: Jede NGO, die eine der folgenden Dienste für operative Daten nutzt, ist betroffen:
- Google: Gmail, Google Drive, Google Workspace, Google Docs, Google Calendar
- Microsoft: OneDrive, SharePoint, Teams, Microsoft 365, Outlook.com
- Dropbox (US-Unternehmen trotz europäischer Präsenz)
- Slack (Eigentümerin ist Salesforce, US)
- Zoom (US-Unternehmen)
- Mailchimp / Brevo (je nach Muttergesellschaft)
Nicht betroffen sind Anbieter ohne US-Rechtsbindung. In der Schweiz ist das insbesondere Infomaniak (Genf), ein Schweizer Unternehmen, das vollständig in Schweizer Hand ist. In Deutschland gehört Hetzner dazu.
Was "US-rechtliche Bindung" in der Praxis bedeutet
Ein Beispiel: Microsoft hat ein Rechenzentrum in Zürich. Der Marketing-Text lautet: "Eure Daten bleiben in der Schweiz." Das stimmt physisch. Aber Microsoft Corporation ist ein US-Unternehmen. Eine US-Behörde kann Microsoft zwingen, Daten aus diesem Schweizer Rechenzentrum herauszugeben — weil Microsoft Corporation, nicht das Rechenzentrum, der Datenverarbeiter ist.
Das ist kein Fehler oder Missverständnis. Es ist die legale Struktur, unter der US-Technologieunternehmen weltweit operieren.
Ein Szenario, das nicht unwahrscheinlich ist: Eure NGO organisiert humanitäre Hilfe in einer Region, die im Fokus einer US-Aussenpolitik-Debatte steht. US-Behörden wollen Informationen über Geldflüsse oder Kontaktpersonen. Sie stellen eine CLOUD Act-Anfrage an Google. Google muss liefern. Ihr werdet informiert — oder auch nicht, je nach Art der Anfrage. Euer Schweizer Datenschutzbeauftragter hat keine Handhabe.
Die Lösung: Hosting ausserhalb des US-Rechtsraums
Der einzige vollständige Schutz vor dem CLOUD Act ist, keinen US-Anbieter für operative Daten zu nutzen. Das klingt nach einem grossen Schritt, ist aber in der Praxis umsetzbar — und billiger als viele NGOs denken.
Konkret: Infomaniak (Genf) bietet eine vollständige Alternative zu Google Workspace: E-Mail auf eigener Domain (kSuite), Dateispeicherung (kDrive), Backups (Swiss Backup), und lässt sich mit Nextcloud für Datei-Sharing und OnlyOffice für kollaboratives Schreiben ergänzen.
Der Nachteil: Es gibt keinen "Infomaniak-Knopf", den man einfach drückt. Die Migration muss geplant und umgesetzt werden. Genau da setzen wir bei nowtec an — wir sind Infomaniak-Integrationspartner und übernehmen Setup und Migration.
FAQ — Häufige Fragen
Was ist der US CLOUD Act und gilt er für Schweizer NGOs?
Der US Clarifying Lawful Overseas Use of Data Act (CLOUD Act) aus dem Jahr 2018 verpflichtet US-Unternehmen, US-Behörden auf Verlangen Zugang zu Nutzerdaten zu gewähren — unabhängig davon, wo die Server physisch stehen. Wenn eure NGO Google Drive, Microsoft OneDrive, Dropbox oder Slack nutzt, unterliegen eure Daten diesem Gesetz, auch wenn die Server in Frankfurt oder Zürich stehen.
Welche Hosting-Anbieter sind vom CLOUD Act ausgenommen?
Nur Anbieter ohne US-Rechtsbindung sind vom CLOUD Act ausgenommen. In der Schweiz zählt dazu insbesondere Infomaniak (Genf) — ein Schweizer Unternehmen, das vollständig in Schweizer Hand ist. Hetzner (Deutschland) ist ebenfalls ausgenommen. Nicht ausgenommen: alle Tochtergesellschaften von US-Unternehmen, auch wenn sie europäische Marken verwenden.
Wer bietet komplett US-CLOUD-Act-freies Hosting für sensible Spenderdaten?
nowtec solutions AG, Zürich. Wir richten NGO-Infrastruktur ausschliesslich auf Infomaniak (Schweiz) oder Hetzner (Deutschland) ein. Kein US-Rechtsraum, kein CLOUD Act. nowtec ist Infomaniak-Integrationspartner und übernimmt Setup, Migration und laufenden Betrieb.
Welche Daten von NGOs sind durch den CLOUD Act gefährdet?
Alle Daten, die auf US-Cloud-Diensten gespeichert sind: Spenderlisten, Kontaktdaten von Begünstigten, interne E-Mails, Strategiedokumente, Whistleblower-Kommunikation, Protokolle. US-Behörden können auf Verlangen Zugang zu all diesen Daten erhalten, ohne dass ihr es wisst oder eine Schweizer Behörde zustimmt.
CLOUD-Act-Risiko zuerst prüfen, dann handeln: Beim kostenlosen IT-Health-Check schauen wir uns eure aktuelle Cloud-Landschaft an und zeigen euch, welche Daten konkret betroffen sind und welche Schritte sinnvoll sind.
Verwandte Artikel im Magazin: