Seit dem 12. September 2025 verpflichtet Art. 32 der Verordnung (EU) 2023/2854, der Datenverordnung (Data Act), jeden Cloud-Anbieter, den Herausgabebefehl einer Drittstaatenbehörde ohne völkerrechtliche Grundlage nicht anzuerkennen. Das kannten Rechtsabteilungen bisher nur aus Art. 48 DSGVO, und dort nur für personenbezogene Daten. Art. 32 dehnt dieselbe Sperre auf nicht-personenbezogene Daten aus und schliesst die Lücke, durch die Konstruktionsdateien, Finanzzahlen und Maschinentelemetrie bisher fielen.

Der Lehrbuchfall heisst CLOUD Act: 18 U.S.C. § 2713 zwingt einen US-Anbieter zur Herausgabe von Daten in seinem Gewahrsam, gleichgültig ob sie in den USA oder ausserhalb liegen. Ein US-Gericht befiehlt dem amerikanischen Anbieter also die Herausgabe von Daten, die dieser in seiner Frankfurter Region hält. Für den personenbezogenen Teil griff schon bisher Art. 48; der weitaus grössere nicht-personenbezogene Rest blieb ungeschützt.

Der Zuschnitt von Art. 48 — und was danebenlag

Art. 48 DSGVO ist knapp. Ein Urteil eines Drittstaatengerichts oder die Entscheidung einer Drittstaatenbehörde, die von einem Verantwortlichen oder Auftragsverarbeiter die Übermittlung oder Offenlegung personenbezogener Daten verlangt, darf «nur dann anerkannt oder vollstreckbar werden, wenn sie auf eine … internationale Übereinkunft wie etwa ein Rechtshilfeabkommen … gestützt» ist. Die Norm sperrt den direkten Behördenweg und verweist auf den Amtshilfekanal. Ihr Anwendungsbereich endet am Wort «personenbezogener».

Was danebenlag, ist in einem Industrieunternehmen die Masse: Sensordaten aus der Produktion, aggregierte Telemetrie, anonymisierte Datensätze, Konstruktions- und Quellcode, Preis- und Lieferantenkonditionen, das Zahlenwerk einer Transaktion. Solange dieser Bestand keinen Personenbezug nach Art. 4 Ziff. 1 DSGVO aufweist, war er von Art. 48 nicht erfasst. Wer ihn herausverlangte, traf auf keine unionsrechtliche Anerkennungssperre — nur auf das, was der Cloud-Vertrag zufällig vorsah.

Art. 32 kopiert den Satz und ändert zwei Wörter

Absatz 2 von Art. 32 liest sich wie Art. 48 mit ausgetauschten Substantiven. Eine Entscheidung oder ein Urteil eines Drittstaatengerichts und jede Entscheidung einer Drittstaatenverwaltungsbehörde, die von einem Anbieter die Übermittlung oder den Zugang zu in der Union gehaltenen nicht-personenbezogenen Daten verlangt, wird nur dann anerkannt oder vollstreckbar, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruht. Der Gesetzgeber hat die Formel aus Art. 48 übernommen und «personenbezogene Daten» durch «nicht-personenbezogene Daten», «Verantwortlicher oder Auftragsverarbeiter» durch «Anbieter von Datenverarbeitungsdiensten» ersetzt. Es entsteht eine zweite Anerkennungssperre: gleiche Mechanik, komplementärer Anwendungsbereich.

In der Kanzleiliteratur wird Art. 32 meist als Transferbeschränkung nach dem Muster von Kapitel V DSGVO eingeordnet und als «protektionistisch» kritisiert. Der nähere Verwandte ist aber Art. 48. Art. 32 Abs. 2 regelt die Anerkennung eines fremden Befehls, nicht die Ausfuhr von Daten — dieselbe Funktion, die Art. 48 für Personendaten erfüllt.

Absatz 1 geht weiter, als Art. 48 je ging. Er verlangt vom Anbieter «alle geeigneten technischen, organisatorischen und rechtlichen Massnahmen, einschliesslich vertraglicher Vereinbarungen», um den Behördenzugriff zu verhindern, wo er mit Unionsrecht oder dem Recht eines Mitgliedstaats kollidiert. Art. 48 wartet, bis der Befehl eintrifft, und verweigert dann die Anerkennung. Art. 32 Abs. 1 verlangt, dass der Anbieter den Zugriff schon im Vorfeld baulich und vertraglich erschwert. Das ist keine Anerkennungsregel mehr, sondern eine Gestaltungspflicht.


Warum «zurückweisen» zu kurz greift

Wer Art. 32 auf «kein Abkommen, keine Herausgabe» verkürzt, liest Absatz 3 nicht zu Ende. Fehlt ein Rechtshilfeabkommen, ist der Zugriff nicht automatisch gesperrt. Er ist erlaubt, aber nur unter drei Bedingungen, die zusammen einen rechtsstaatlichen Filter bilden: Das Drittstaatensystem muss Begründung, Verhältnismässigkeit und einen hinreichend bestimmten Bezug des Befehls verlangen (lit. a); der begründete Einwand des Anbieters muss von einem Gericht des Drittstaats überprüfbar sein (lit. b); und dieses Gericht muss befugt sein, die nach Unionsrecht geschützten Interessen des Anbieters zu berücksichtigen (lit. c). Erst wenn alle drei erfüllt sind, darf der Anbieter liefern — und dann nach Absatz 4 nur die minimal zulässige Datenmenge.

Absatz 3 gibt dem Anbieter zusätzlich ein Konsultationsrecht: Betrifft das Ersuchen die nationale Sicherheit, kann er die zuständige nationale Stelle des Mitgliedstaats um Einschätzung bitten, bevor er antwortet. Das European Data Innovation Board (EDIB) ist beauftragt, Leitlinien zur Anwendung dieses Filters zu erarbeiten — bislang ohne festen Termin.

Damit verschiebt sich die eigentliche Frage. Sie lautet nicht, ob ein CLOUD-Act-Befehl ein Rechtshilfeabkommen hat — hat er meist nicht. Sie lautet, ob das US-Verfahren die drei Bedingungen von Absatz 3 erfüllt, insbesondere lit. c: ob ein US-Gericht befugt ist, das Unionsinteresse des Anbieters an der Nichtherausgabe zu gewichten. Diese Prüfung liegt beim Anbieter, nicht beim Kunden. Und Absatz 5 verlangt, dass der Anbieter die Kundin vor der Herausgabe informiert, es sei denn, das Ersuchen dient der Strafverfolgung und die Vertraulichkeit ist dafür nötig.

Für Schweizer Häuser hängt alles am Speicherort

Die Schweiz hat die Datenverordnung nicht übernommen. Ein Schweizer Unternehmen erfasst Art. 32 nur über zwei Hebel: über die extraterritoriale Reichweite nach Art. 1 Abs. 3, die jeden Datenverarbeitungsdienst mit Kunden in der Union bindet, und über den Ort, an dem die Daten liegen. Denn geschützt sind allein nicht-personenbezogene Daten, die in der Union gehalten werden. Liegt der Datensatz einer Schweizer Gruppe in einer EU-Region, greift die Sperre; liegt er in einem Zürcher Rechenzentrum, greift sie nicht.

Damit entscheidet der Speicherort über das anwendbare Sperrregime. In der EU-Region steht der Schild des Art. 32; im Schweizer Rechenzentrum bleibt es beim bewährten, anders gebauten Schutz — Art. 271 StGB verbietet die direkte Lieferung an eine fremde Behörde als Hoheitsakt, und der Vertrag trägt den Rest. Diesen Weg über Amts- statt Direkthilfe haben wir für Bankkundendaten an anderer Stelle nachgezeichnet. Doch Art. 271 schützt die schweizerische Gebietshoheit, nicht den Datensatz des Kunden, und er bindet die EU-Tochter eines US-Anbieters nicht. Art. 32 bindet sie.


Was steht dazu im Cloud-Vertrag?

Die Gestaltungspflicht aus Absatz 1 wird im Cloud-Vertrag eingelöst — oder nirgends. Ein Anbieter, der geeignete vertragliche Massnahmen schuldet, muss sie zusagen. Drei Klauseln sind in jedem EU-Cloud-Vertrag zu prüfen. Erstens die Behördenzugriffsklausel: Verpflichtet sich der Anbieter, den Befehl ohne Abkommen nach Absatz 2 nicht anzuerkennen, den Filter des Absatzes 3 anzuwenden, den Kunden nach Absatz 5 zu informieren und nach Absatz 4 auf die Mindestmenge zu beschränken? Zweitens die Region: Weil der Schild an den in der Union gehaltenen Daten hängt, ist die vertragliche Regionswahl neuerdings eine Rechtsfrage, nicht bloss eine Frage von Latenz und Preis. Drittens der Anwendungsbereich: Deckt die Klausel auch nicht-personenbezogene Daten, oder wiederholt sie nur die alten DSGVO-Transfergarantien?

Für M&A wird die Lücke greifbar. Ein virtueller Datenraum auf einer US-Cloud enthält überwiegend nicht-personenbezogenes Material: Finanzzahlen, Verträge, IP, Quellcode, Lieferantenkonditionen. Vor dem 12. September 2025 fand ein CLOUD-Act-Befehl für diesen Teil keinen unionsrechtlichen Riegel. Seit Art. 32 ist auch er gesperrt — vorausgesetzt, der Raum liegt in einer EU-Region und die Anbieterbedingungen rufen das Verfahren des Art. 32 überhaupt auf. Wo die Grenze zwischen personenbezogen und nicht verläuft, ist im Datenraum selbst umstritten; der relative Ansatz aus C-413/23 P entscheidet, welcher Teil unter Art. 48 und welcher unter Art. 32 fällt.

Was feststeht, was offen ist

Fest steht der Mechanismus. Seit dem 12. September 2025 wird ein Drittstaatenbefehl über nicht-personenbezogene, in der Union gehaltene Daten nach Art. 32 Abs. 2 ohne Rechtshilfeabkommen nicht anerkannt, und der Anbieter trägt nach Absatz 1 eine vorgelagerte Verhinderungspflicht. Fest steht auch der Schweizer Sonderweg: Der Schild greift an der EU-Region, nicht am Schweizer Sitz.

Offen ist, ob die Hintertür des Absatzes 3 einem CLOUD-Act-Befehl je offensteht — ob also ein US-Gericht im Sinne von lit. c befugt ist, das unionsrechtlich geschützte Interesse des Anbieters an der Nichtherausgabe zu gewichten. Ebenso ungeklärt ist die Durchsetzung: Art. 40 überlässt die Sanktionen den Mitgliedstaaten. Beides entscheidet sich nicht am Text, sondern am ersten Fall, in dem ein Anbieter die Herausgabe unter Art. 32 verweigert und eine Behörde oder ein Gericht die Verweigerung überprüft. Bis dahin gilt die eine Handlung, die schon heute zählt: für jeden EU-Cloud-Vertrag die Behördenzugriffsklausel gegen die fünf Absätze von Art. 32 lesen — und die Region so wählen, dass der Schild überhaupt ansetzt.