Rechtsnews 15.05.2026 Christian R.

EuGH C-797/23: US-Cloud-Dienste für Anwälte verboten?

EuGH-Urteil C-797/23 bedroht Cloud-Nutzung von Anwaltskanzleien

Das EuGH-Urteil C-797/23 hat im Juli 2025 eine Debatte ausgelöst, die Anwälte, Steuerberater, Ärzte und alle anderen Berufsgeheimnisträger in Deutschland unmittelbar betrifft: Dürfen Mandantendaten überhaupt noch in US-amerikanischen Cloud-Diensten wie Microsoft 365, Google Workspace oder Dropbox gespeichert werden? Die Antwort des Europäischen Gerichtshofs (EuGH) ist ernüchternd und zwingt Kanzleien zu einem grundlegenden Umdenken. Der vorliegende Artikel erklärt, was das Urteil bedeutet, warum der sogenannte CLOUD Act (Clarifying Lawful Overseas Use of Data Act) der entscheidende Risikofaktor ist, und welche konkreten Handlungspflichten sich aus Paragraf 43e der Bundesrechtsanwaltsordnung (BRAO) ergeben.

Was der EuGH in C-797/23 entschieden hat

Der EuGH hat in seinem Urteil C-797/23 klargestellt, dass die Übermittlung personenbezogener Daten an Drittländer wie die Vereinigten Staaten auch dann ein erhebliches datenschutzrechtliches Risiko darstellt, wenn auf dem Papier ein gültiger Übermittlungsmechanismus wie der EU-US Data Privacy Framework (DPF) existiert. Entscheidend ist die tatsächliche Zugriffswahrscheinlichkeit durch Behörden des Drittlandes. Das Gericht stellte klar, dass vertragliche Sicherungsmaßnahmen wie sogenannte Standardvertragsklauseln (Standard Contractual Clauses, SCC) nicht ausreichen, wenn das Empfängerland gesetzlich US-amerikanische Unternehmen dazu verpflichtet, Daten auf behördliches Verlangen herauszugeben. Genau das tut der CLOUD Act aus dem Jahr 2018: Er erlaubt US-Behörden, von in den USA ansässigen Unternehmen wie Microsoft oder Google den Zugriff auf Daten zu verlangen, unabhängig davon, wo diese Daten physisch gespeichert sind. Ein Server in Frankfurt schützt also nicht, wenn der Betreiber eine US-amerikanische Konzernmutter hat.

Für Berufsgeheimnisträger ist diese Erkenntnis besonders brisant. Das Anwaltsgeheimnis nach Paragraf 43a Absatz 2 BRAO sowie das ärztliche Schweigepflichtgeheimnis nach Paragraf 203 des Strafgesetzbuchs (StGB) schützen Mandanten- und Patientendaten mit höchster Priorität. Ein rechtswidriger Datenzugriff durch ausländische Behörden würde nicht nur die Vertrauensbeziehung zwischen Anwalt und Mandant unwiederbringlich beschädigen, sondern auch berufsrechtliche Konsequenzen bis hin zum Widerruf der Zulassung nach sich ziehen können.

Unsicher bei einer Rechtsfrage? Holen Sie sich jetzt eine schnelle Einschätzung – ab 29,99 €.

★★★★★ Seit 2004 Millionen beratene und zufriedene Kunden

Was passt zu Ihnen?

Wenn Sie lieber direkt sprechen möchten.

Telefonisch

Für alle, die direkt mit einem Anwalt sprechen möchten

Anruf innerhalb ca. 4 Stunden

ab 34,99 € *

15 / 30 / 45 Min wählbar
Persönlich & lösungsorientiert
Wenn Reden wichtig ist

Anwalt telefonisch anfragen

Ideal, wenn Sie sofort persönlich sprechen möchten.

Wenn Sie schnell und günstig eine erste Orientierung brauchen.

✦ Empfohlen

KI-Ersteinschätzung zur Rechtsfrage

⚡ Antwort in ca. 2 Minuten ⚡

ab 29,99 € *

Ideal für erste, rechtliche Orientierung

PDF-Antwort in 5 klaren Kapiteln
Rechtliche Einordnung & nächste Schritte
Optional: Doku-Check & Anwaltstelefon

KI-Ersteinschätzung starten →

✓ Keine Wartezeit · ✓ Keine versteckten Kosten · ✓ Sofort online starten

★★★★★ 4,8 / 5 Sterne

Geprüft gem.
EU AI-Act

Der schnellste Weg zu einer ersten Einschätzung.

Wenn Sie eine schriftliche Antwort wünschen.

Schriftlich

Für komplexere Fälle mit anwaltlicher Ausarbeitung

Antwort in ca. 1 Werktag

99,99 € *

Schriftliche anwaltliche Ausarbeitung
Upload eines Dokuments möglich
Eine Rückfrage inklusive

Schriftliche Antwort erhalten

Für Fälle, bei denen Sie eine ausführliche Antwort benötigen.

*alle Preise inkl. MwSt. · LexBot® ist als Marke geschützt und beim Deutschen Patent- und Markenamt (DPMA) registriert.

Der CLOUD Act als dauerhaftes strukturelles Problem

Der CLOUD Act ist kein vorübergehendes Problem, das durch politische Abkommen gelöst werden könnte. Er ist US-Bundesgesetz und verpflichtet alle amerikanischen Cloud-Anbieter, auf richterlichen Beschluss oder eine entsprechende Anordnung des Justizministeriums (Department of Justice) Datenzugriffe zu gewähren. Selbst wenn Microsoft oder Google vertragliche Zusicherungen machen, dass Daten in der EU bleiben, können diese Zusicherungen gegen US-Recht nicht durchgesetzt werden. Der Konflikt zwischen europäischem Datenschutz und US-amerikanischem Behördenrecht ist damit strukturell und nicht durch vertragliche Klauseln aufzulösen.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hatte bereits vor dem EuGH-Urteil mehrfach darauf hingewiesen, dass der EU-US Data Privacy Framework keine vollständige Lösung für dieses strukturelle Problem bietet. Nun hat der EuGH diese Einschätzung höchstrichterlich bestätigt und damit eine klare Linie gezogen. Für Anwaltskanzleien bedeutet das: Wer weiterhin auf Microsoft 365 oder ähnliche US-Dienste setzt, handelt möglicherweise berufsrechtswidrig und nimmt bewusst das Risiko eines Datenschutzverstoßes nach der Datenschutz-Grundverordnung (DSGVO) in Kauf.

Paragraf 43e BRAO und die Pflichten der Anwaltschaft

Paragraf 43e BRAO, der durch das Gesetz zur Neuregelung des Berufsrechts der anwaltlichen und steuerberatenden Berufsausübungsgesellschaften (GesRG) im Jahr 2022 eingeführt wurde, regelt die Nutzung von Dienstleistungen Dritter durch Rechtsanwältinnen und Rechtsanwälte. Er verlangt ausdrücklich, dass der Rechtsanwalt sicherstellt, dass Dritte, denen er Aufgaben überträgt, die Verschwiegenheitspflicht in gleicher Weise wahren wie der Anwalt selbst. Ein externer Cloud-Anbieter, der aufgrund des CLOUD Act gezwungen werden kann, Daten an US-Behörden herauszugeben, erfüllt diese Anforderung strukturell nicht. Die Bundesrechtsanwaltskammer (BRAK) und regionale Rechtsanwaltskammern haben zwar bislang keine abschließende offizielle Stellungnahme zum Urteil C-797/23 veröffentlicht, doch Fachkreise gehen übereinstimmend davon aus, dass die Konsequenzen erheblich sind.

Hinzu kommt das besondere elektronische Anwaltspostfach (beA). Das beA wird von der BRAK betrieben und gilt technisch als sicherer Kommunikationskanal. Kritiker weisen jedoch darauf hin, dass auch das beA auf Infrastrukturen aufsetzt, die nicht vollständig unter europäischer rechtlicher Kontrolle stehen. Die Diskussion darüber, welche Teile der beA-Infrastruktur als datenschutzrechtlich unbedenklich eingestuft werden können, ist nach dem EuGH-Urteil neu entbrannt. Bislang galt das beA als weitgehend sicher, weil die BRAK als öffentlich-rechtliche Körperschaft deutschen Rechts als verantwortliche Stelle fungiert. Dennoch empfehlen Experten, die technischen und vertraglichen Details sorgfältig zu prüfen.

Praktische Tipps für Anwaltskanzleien und andere Berufsgeheimnisträger

Für Kanzleien und andere Berufsgeheimnisträger ergibt sich aus dem EuGH-Urteil C-797/23 unmittelbarer Handlungsbedarf. Die folgenden Schritte helfen dabei, das rechtliche Risiko zu minimieren und die eigene Compliance-Situation zu verbessern:

1. Bestandsaufnahme aller genutzten Cloud-Dienste: Kanzleien sollten sofort prüfen, welche digitalen Werkzeuge und Cloud-Dienste eingesetzt werden und ob diese von US-amerikanischen Muttergesellschaften betrieben werden. Dazu gehören nicht nur offensichtliche Dienste wie Microsoft 365, sondern auch Videokonferenzlösungen wie Zoom oder Teams, E-Mail-Dienste, Dokumentenmanagementsysteme und Kanzleisoftware mit Cloud-Anbindung.

2. Wechsel zu europäischen Alternativen prüfen: Anbieter wie Nextcloud (Deutschland), Tresorit (Schweiz und EU) oder Open-Xchange bieten Alternativen, die unter europäischer Jurisdiktion betrieben werden. Ob diese im Einzelfall ausreichen, muss anhand der konkreten Vertrags- und Infrastrukturdokumentation beurteilt werden.

3. Beratung durch einen auf Datenschutzrecht spezialisierten Rechtsanwalt: Da die Bewertung im Einzelfall komplex ist, empfiehlt sich die Einholung rechtlicher Beratung, insbesondere wenn die Kanzlei in besonders sensiblen Rechtsgebieten wie Strafrecht, Familienrecht oder Wirtschaftsstrafrecht tätig ist.

4. Dokumentation der Risikoabwägung: Die DSGVO verlangt eine dokumentierte Datenschutz-Folgenabschätzung (DSFA) für besonders risikobehaftete Verarbeitungen. Nach dem EuGH-Urteil dürfte der Einsatz von US-Cloud-Diensten für Berufsgeheimnisträger in die Pflicht zur DSFA fallen.

5. Mandantenhinweis und Einwilligung: Wer US-Cloud-Dienste vorläufig weiterbetreibt, sollte Mandanten ausdrücklich informieren und idealerweise eine informierte Einwilligung einholen. Dies entbindet zwar nicht von berufsrechtlichen Pflichten, kann aber im Haftungsfall entlastend wirken.

Vergleichstabelle: Cloud-Dienste und datenschutzrechtliches Risiko für Kanzleien

Anbieter / Dienst	Mutterland	CLOUD Act Risiko	Empfehlung nach C-797/23
Microsoft 365	USA	Hoch	Kritische Prüfung, DSFA erforderlich
Google Workspace	USA	Hoch	Kritische Prüfung, DSFA erforderlich
Zoom	USA	Hoch	Alternative suchen oder DSFA erstellen
Nextcloud (selbst gehostet)	Deutschland	Sehr gering	Empfehlenswert, Konfiguration prüfen
Tresorit	Schweiz / EU	Gering	Empfehlenswert für Kanzleien
beA (BRAK)	Deutschland	Gering (aber im Detail zu prüfen)	Weiterhin nutzbar, Infrastruktur dokumentieren

Konsequenzen bei Verstößen und Haftungsrisiken

Wer als Rechtsanwalt oder Steuerberater gegen die Verschwiegenheitspflicht verstößt, riskiert nach Paragraf 43a Absatz 2 BRAO und Paragraf 203 StGB nicht nur berufsrechtliche Sanktionen durch die Rechtsanwaltskammer, sondern auch strafrechtliche Konsequenzen. Darüber hinaus können Mandanten bei nachgewiesenem Datenschutzverstoß nach Artikel 82 DSGVO Schadensersatzansprüche geltend machen. Der Schaden ist im Zweifel schwer zu beziffern, da er auch immaterielle Schäden wie den Vertrauensverlust umfasst. Gerichte haben in den vergangenen Jahren zunehmend bereitwillig immaterielle Schadensersatzansprüche nach DSGVO zugesprochen, wie der Bundesgerichtshof (BGH) zuletzt in mehreren Entscheidungen bestätigt hat.

Für kleine und mittelständische Kanzleien, die oft weder die IT-Ressourcen noch das Datenschutz-Know-how größerer Einheiten haben, ist die Situation besonders herausfordernd. Dennoch entbindet die schiere Komplexität nicht von der Pflicht zur Compliance. Ignoranz schützt im Berufsrecht nicht vor Konsequenzen.

Fazit: Das EuGH-Urteil C-797/23 als Weckruf für die Anwaltschaft

Das Urteil des Europäischen Gerichtshofs in der Rechtssache C-797/23 ist kein abstraktes Datenschutzurteil, sondern ein direkter Weckruf für alle Berufsgeheimnisträger in Deutschland und Europa. Die Nutzung von US-amerikanischen Cloud-Diensten für die Verarbeitung von Mandanten- und Patientendaten ist nach dem aktuellen Stand der Rechtsprechung mit erheblichen rechtlichen Risiken verbunden, die durch bloße Standardvertragsklauseln oder Serverstandorte in der EU nicht beseitigt werden können. Der CLOUD Act bleibt das strukturelle Problem, für das es keine vertragliche Lösung gibt. Anwälte sind gut beraten, jetzt zu handeln: Bestandsaufnahme machen, europäische Alternativen prüfen, Datenschutz-Folgenabschätzungen erstellen und im Zweifel rechtliche Beratung einholen. Die Zulassung als Rechtsanwalt ist zu wertvoll, um sie durch vermeidbare Datenschutzverstöße zu riskieren.

Hinweis und Haftungsausschluss

Dieser Artikel dient der allgemeinen rechtlichen Information und stellt keine Rechtsberatung im Einzelfall dar. Für eine individuelle Beratung wenden Sie sich bitte an einen qualifizierten Rechtsanwalt. Die Rechtslage kann sich kurzfristig ändern; alle Angaben entsprechen dem Stand von Juli 2025.

Dieser Artikel wurde mit Hilfe von KI erstellt.