Dieser Text wurde (ganz oder teilweise) mithilfe von KI erstellt.
Stand: 20.10.2026
Bei Cloud-Diensten ist der Standort des Rechenzentrums nur ein Teil der Datenschutzfrage. Ebenso wichtig sind die Kontrolle über den Anbieter und die Zugriffsrechte anderer Staaten. Der CADA-Vorschlag vom 3. Juni 2026 will die europäische Eigenständigkeit bei solchen Diensten stärken. Seine geplanten Anforderungen dürfen jedoch nicht mit einer bereits garantierten Lösung aller Datenschutzprobleme gleichgesetzt werden.
Datenschutz und Datensouveränität unterscheiden
Datenschutz schützt Menschen beim Umgang mit ihren personenbezogenen Daten. Dazu zählen beispielsweise Namen, Kontaktdaten oder Informationen über die Nutzung eines Dienstes. Datensouveränität beschreibt hier die Möglichkeit, die Verarbeitung und die dazu benötigte Technik wirksam zu kontrollieren. Beide Ziele hängen zusammen, decken sich aber nicht vollständig.
Auch ein europäischer Anbieter muss für eine konkrete Verarbeitung die geltenden Datenschutzanforderungen erfüllen. Ein günstiger Unternehmenssitz ersetzt insbesondere weder eine Rechtsgrundlage noch angemessene Sicherheitsmaßnahmen.
Vier geplante Vertrauensstufen
CADA sieht vier Union Assurance Levels, kurz UAL, vor. Diese Vertrauensstufen sollen vor allem die Auswahl von Cloud-Diensten für öffentliche Stellen strukturieren. Je nach Risiko steigen die Anforderungen an Standort, Organisation und Unabhängigkeit.
UAL 1 soll grundsätzlich auch Metadaten und Telemetriedaten in der EU halten. Der Entwurf nennt allerdings eine Ausnahme, wenn die öffentliche Stelle ausdrücklich etwas anderes verlangt. Höhere Stufen verlangen zusätzliche Schutzmaßnahmen gegen unzulässige Drittstaateneinflüsse.
Für die besondere Anerkennung bestimmter Drittstaaten bei UAL 3 ist ein einschlägiger DSGVO-Angemessenheitsbeschluss nur eine von mehreren Voraussetzungen. Er allein führt nicht zur Anerkennung. Grundlage sind Artikel 18 und die Anhänge des Vorschlags.
Warum Metadaten wichtig sind
Metadaten beschreiben Vorgänge, etwa wer wann auf einen Dienst zugegriffen hat. Telemetriedaten sind automatisch übermittelte Informationen zum Betrieb eines Systems. Auch solche Angaben können Rückschlüsse auf Personen und Arbeitsabläufe ermöglichen.
Bei einer Cloud-Prüfung wäre es deshalb zu kurz gedacht, nur den Speicherort der hochgeladenen Dokumente zu betrachten. Zugriffsprotokolle und Diagnoseinformationen gehören ebenfalls in die Bestandsaufnahme.
Kein automatisches Ende des Konflikts mit ausländischen Behörden
CADA kann die gesetzlichen Befugnisse eines anderen Staates nicht einfach aufheben. Der Vorschlag soll Risiken durch Anforderungen an Anbieter und Dienste verringern. Die Formulierung, er löse den Konflikt zwischen DSGVO und US CLOUD Act, wäre daher zu weitgehend.
Der Europäische Datenschutzausschuss erläutert zu Artikel 48 DSGVO, dass ausländische Behördenentscheidungen in Europa nicht automatisch anerkannt oder vollstreckt werden können. Eine Übermittlung personenbezogener Daten muss die einschlägigen DSGVO-Voraussetzungen erfüllen. Die Frage, ob ein konkretes Ersuchen rechtmäßig bedient werden darf, bleibt prüfungsbedürftig.
Ein Beispiel aus einer Bildungseinrichtung
Eine Bildungseinrichtung möchte Teilnehmerdaten in einer Cloud verwalten. Ein sinnvoller Prüfauftrag wäre: Wo liegen die Daten und Protokolle? Welche Unterauftragnehmer arbeiten mit? Wer besitzt administrative Zugriffsrechte? Wie werden Löschung, Export und ein Anbieterwechsel umgesetzt?
Das Beispiel ist eine praktische Einordnung. Eine künftige CADA-Einstufung könnte Informationen zur Auswahl beitragen, würde die Prüfung des eigenen Verarbeitungsvorgangs aber nicht ersetzen.
Fazit
CADA verbindet die Diskussion über Cloud-Nutzung stärker mit Fragen der Kontrolle und Abhängigkeit. Für Verantwortliche bleibt entscheidend, Standort, tatsächliche Zugriffsmöglichkeiten und Datenschutzanforderungen gemeinsam zu betrachten. Ein europäisches Etikett allein ist kein Nachweis für eine rechtmäßige Verarbeitung.
Quellen
1. Vorschlag für den Cloud and AI Development Act (CADA), COM(2026) 502. Europäische Kommission. 03.06.2026. Abruf: 20.10.2026.
https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada
2. Cloud and AI Development Act, Verordnungsvorschlag mit Anhängen, COM(2026) 502. Europäische Kommission / EUR-Lex. 03.06.2026. Abruf: 20.10.2026.
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52026PC0502
3. Cloud and AI Development Act. Europäische Kommission. Aktualisierung 03.06.2026. Abruf: 20.10.2026.
https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act
4. Datenschutz-Grundverordnung, insbesondere Artikel 5, 6, 28, 32 und 44 bis 48. Europäisches Parlament und Rat der Europäischen Union. 27.04.2016. Abruf: 20.10.2026.
https://eur-lex.europa.eu/eli/reg/2016/679
5. Guidelines 02/2024 on Article 48 GDPR, finale Fassung. Europäischer Datenschutzausschuss. 05.06.2025. Abruf: 20.10.2026.
https://www.edpb.europa.eu/documents/guideline/guidelines-022024-on-article-48-gdpr_en
6. The EU Cloud and AI Development Act in Depth. Paul Maynard, Dita Charanzová, Jadzia Pierce, Fredericka Argent und Wolfgang Maschek, Covington / Global Policy Watch. 16.06.2026. Abruf: 20.10.2026.
https://www.globalpolicywatch.com/2026/06/the-eu-cloud-and-ai-development-act-in-depth/