Cloud Computing in der Exportkontrolle: Wann wird die Cloud zur Ausfuhr?

Cloud Computing kann einen exportkontrollrechtlich relevanten Technologietransfer auslösen. Entscheidend sind insbesondere der Serverstandort, der Zweck der Übertragung und die Frage, wem der Zugriff auf gelistete Technologie oder Software ermöglicht wird. Seit dem 01.02.2026 bietet die AGG Nr. 45 für bestimmte nichtsensitive Verbringungen im Rüstungsbereich eine Verfahrenserleichterung. Ihre Voraussetzungen müssen jedoch kumulativ erfüllt sein.

Cloud-Dienste gehören zum Standard moderner Unternehmens-IT. Daten werden zwischen verschiedenen Serverstandorten und Nutzern übertragen, häufig grenzüberschreitend. Enthalten diese Daten gelistete Technologie oder Software, müssen Unternehmen deshalb prüfen, ob bereits der Upload oder die Einrichtung einer Zugriffsmöglichkeit genehmigungspflichtig ist. Für IT- und Exportkontrollverantwortliche entsteht dabei ein praktisches Spannungsfeld: Der Cloud-Anbieter stellt die technische Infrastruktur bereit, die exportkontrollrechtliche Verantwortung kann aber beim nutzenden Unternehmen liegen.

Für die interne Prüfung genügt es deshalb nicht, lediglich den Sitz des Cloud-Anbieters oder den vertraglich vereinbarten Hauptserver zu betrachten. Bei Cloud-Diensten können Daten je nach Leistungsmodell, Auslastung und technischer Konfiguration auf unterschiedliche Serverstandorte verteilt oder gespiegelt werden. Exportkontrollrechtlich relevant sind daher die konkreten Datenflüsse und die tatsächlich eingeräumten Zugriffsmöglichkeiten. Die Prüfung sollte frühzeitig zwischen IT, Entwicklung, Vertrieb und Exportkontrolle abgestimmt werden.

Offene Praxisfrage

"

Sind Cloud-Standorte, Datenflüsse und Zugriffsrechte in Ihrem Unternehmen so dokumentiert, dass ein Upload exportkontrollrechtlich nachvollziehbar bewertet

werden kann?

Warum Cloud-Dienste exportkontrollrechtlich relevant sein können

Cloud Computing wird als netzwerkbasierter Zugang zu einem skalierbaren und elastischen Reservoir gemeinsam nutzbarer physischer oder virtueller Ressourcen definiert.¹ Dazu gehören insbesondere Rechenleistung, Speicherplatz und Netzwerke. Das Angebotsspektrum umfasst Infrastructure as a Service, Platform as a Service und Software as a Service.² Bei allen diesen Formen kann es zu einem genehmigungspflichtigen Transfer von Technologie oder Software kommen

Vor der Prüfung des immateriellen Transfers sind vorrangig länder- und personenbezogene Embargovorschriften zu berücksichtigen. Die dargestellten Überlegungen stehen unter der Voraussetzung, dass diese Vorschriften nicht einschlägig sind.³ Als relevante Handlungen kommen insbesondere Ausfuhr, Verbringung, technische Unterstützung sowie Handels- und Vermittlungsdienste in Betracht.⁴

Wann liegen Ausfuhr oder Verbringung vor?

Die Ausfuhr umfasst die Übertragung von Software oder Technologie mittels elektronischer Medien an ein Bestimmungsziel außerhalb des Zollgebiets der Union. Ebenfalls erfasst ist das elektronische Bereitstellen für Personen außerhalb dieses Gebiets. Im Cloud-Kontext können daher zwei Vorgänge eigenständig relevant werden:

Ein Bereitstellen liegt vor, wenn die unbeschränkte Möglichkeit geschaffen wird, von außerhalb der Europäischen Union auf die Serverinhalte zuzugreifen.⁵ Maßgeblich sind die technische Zugriffsmöglichkeit und die zweckgerichtete Schaffung dieser Möglichkeit.⁶ Auch der Zugriff auf einen Server in einem Drittland kann relevant sein, wenn die Technologie zuvor aus Deutschland ausgelagert wurde und die Zugriffsrechte aus Deutschland heraus eingeräumt werden.⁷

Für die Abgrenzung ist außerdem zwischen Ausfuhr und Verbringung zu unterscheiden. Die Ausfuhr betrifft grundsätzlich die Übertragung in ein Bestimmungsziel außerhalb des Zollgebiets der Union. Eine Verbringung erfasst demgegenüber die nichtgegenständliche Übertragung aus dem Inland in das übrige Zollgebiet der Europäischen Union. Bei einem Cloud-Upload in einen Serverstandort innerhalb der EU kann daher eine Verbringung vorliegen, während der Upload auf einen Server in den USA als Ausfuhr zu bewerten sein kann. Die konkrete Einordnung hängt zusätzlich von der betroffenen Rechtsgrundlage und dem erfassten Gut ab.

Für eine Ausfuhr in Form des Bereitstellens muss kein tatsächlicher Download erfolgen. Die Schaffung der Zugriffsmöglichkeit kann ausreichen.⁸ Eine Verschlüsselung beseitigt den Ausfuhrtatbestand ebenfalls nicht. Sie kann jedoch für die Frage der Genehmigungsfähigkeit von Bedeutung sein.⁹ Unternehmen sollten deshalb nicht erst tatsächliche Downloads oder nachträgliche Datenabflüsse dokumentieren, sondern bereits die Einrichtung und Reichweite von Zugriffsrechten kontrollieren.

Wer ist bei der Cloud-Nutzung der Ausführer?

Ausführer ist, wer über die Übertragung oder elektronische Bereitstellung von Software oder Technologie entscheidet. Für die Bewertung ist daher entscheidend, wer den Transfer beherrscht und veranlasst. Im Regelfall ist dies der Nutzer des Cloud-Dienstes.¹⁰ Bei der Einräumung von Zugriffsmöglichkeiten ist derjenige Ausführer, der diese tatsächlich beherrscht und darüber verfügt.¹¹

Der Cloud-Anbieter stellt somit nicht automatisch den exportkontrollrechtlich verantwortlichen Ausführer dar. Unternehmen sollten dokumentieren, wer Uploads veranlasst, den Zweck der Übertragung festlegt und über Zugriffsberechtigungen entscheidet.

Neben Einzel- und Sammelgenehmigungen können Allgemeine Genehmigungen genutzt werden. Sie genehmigen Ausfuhren oder Verbringungen automatisch, wenn alle Voraussetzungen erfüllt sind. Der Vorteil ist die sofortige Liefermöglichkeit ohne vorherigen Antrag. Im Gegenzug muss der Ausführer die Voraussetzungen eigenverantwortlich prüfen, sich registrieren und gegebenenfalls Meldepflichten erfüllen.

Was bringt die AGG Nr. 45?

Das zum 01.02.2026 in Kraft getretene 5. Maßnahmenpaket hat neue Verfahrenserleichterungen für Technologietransfers geschaffen. Dazu gehören die AGG Nr. 45 für nichtsensitive Verbringungen von Software und Technologie mittels elektronischer Medien im Rüstungsbereich sowie die AGG Nr. 46 für Ausfuhren und Verbringungen im Rahmen des Europäischen Verteidigungsfonds.¹²

Die AGG Nr. 45 gestattet unter bestimmten Voraussetzungen die Verbringung von Software der Nummer 0021a sowie von Technologie der Nummer 0022a des Teils I Abschnitt A der Ausfuhrliste. Erforderlich ist insbesondere, dass die Übertragung ausschließlich der Datenspeicherung dient. Der Server muss sich im Zollgebiet der Europäischen Union befinden und mindestens die im Kriterienkatalog C5 des BSI festgelegten Mindestanforderungen an die Informationssicherheit erfüllen.

Die Bereitstellung zum Zugriff darf grundsätzlich nur für Personen im Inland erfolgen. Bei Zugriffen aus dem Ausland ist eine separate Genehmigung des BAFA erforderlich. Außerdem müssen die zugreifenden Personen beim Verbringer, bei einem konzernrechtlich verbundenen Unternehmen oder bei einem beauftragten Unternehmen beschäftigt sein, soweit dieses Unternehmen in Deutschland niedergelassen ist. Die Voraussetzungen gelten kumulativ.

Upload und Zugriffsmöglichkeit sind unabhängig voneinander zu bewerten. Es spielt keine Rolle, ob sie zeitlich zusammenfallen. Nicht privilegiert ist dagegen die Nutzung einer cloudbasierten Produktentwicklungssoftware, wenn gelistete Technologie nicht nur gespeichert, sondern weiterverarbeitet wird. Die AGG Nr. 45 setzt eine ausschließliche Datenspeicherung voraus. In diesem Fall muss eine Ausfuhr- oder Verbringungsgenehmigung beantragt werden.

Für die Unternehmenspraxis folgt daraus ein zweistufiger Prüfbedarf. Erstens muss der Upload selbst bewertet werden: Welche Technologie oder Software wird übertragen, zu welchem Zweck und auf welche Server? Zweitens ist die Bereitstellung zu prüfen: Welche Personen können zugreifen, von welchen Standorten aus und wer kann die Berechtigungen einrichten, ändern oder erweitern? Diese Fragen sollten nicht nur im Einzelfall beantwortet, sondern in den Cloud-Verträgen, Berechtigungskonzepten und internen Arbeitsanweisungen abgebildet werden.

Was zeigen die Fallbeispiele für die Praxis?

Die Beispiele zeigen: Bei Cloud-Sachverhalten entscheidet nicht allein der Serverstandort. Ebenso wichtig sind der Zweck der Übertragung, der Kreis der zugriffsberechtigten Personen und die Frage, wer die Zugriffsrechte tatsächlich steuert.

 

EU-Server und Zugriff aus Deutschland

Im Rüstungsbereich kann die AGG Nr. 45 genutzt werden, wenn gelistete Technologie ausschließlich zur Datenspeicherung auf Server in den Niederlanden, Deutschland und Frankreich übertragen wird. Zusätzlich müssen die Server die Anforderungen des BSI-Kriterienkatalogs C5 erfüllen und der Zugriff auf Beschäftigte an deutschen Standorten beschränkt bleiben. Die Entscheidung über die Einrichtung der Zugriffsrechte muss beim deutschen Hauptsitz verbleiben. Sind diese Voraussetzungen erfüllt, kann die AGG Nr. 45 die Verbringung erleichtern.

 

Drittlandserver oder Zugriff aus dem Ausland

Befinden sich die Server hingegen in den USA, liegt eine genehmigungspflichtige Ausfuhr nach § 8 Abs. 1 AWV vor. Die AGG Nr. 45 kann hierfür nicht genutzt werden, weil sie ausschließlich bestimmte Verbringungen in das Zollgebiet der Europäischen Union privilegiert.

Auch konzerninterne Zugriffe sind nicht automatisch unproblematisch. Greifen eigene Beschäftigte am Standort in Argentinien auf die gespeicherte Technologie zu, kann bereits die Einräumung dieser Zugriffsmöglichkeit eine genehmigungspflichtige Ausfuhr in Form des Bereitstellens darstellen. Die Nutzung der AGG Nr. 45 setzt für einen solchen Zugriff eine separate Genehmigung des BAFA voraus. Eigene Mitarbeiter im Ausland sind daher nicht ohne Weiteres wie Beschäftigte im Inland zu behandeln.

 

Dual-Use: Technologie und Übertragungszweck entscheiden

Im Dual-Use-Bereich hängt die Bewertung zusätzlich von der konkreten Technologie und dem Bestimmungsziel ab. Bei Technologie der Nummer 7E002 des Anhangs I der EU-Dual-Use-Verordnung ist eine Verbringung in die Niederlande oder nach Frankreich nur genehmigungspflichtig, wenn die Technologie von Anhang IV erfasst ist.

Für eine Übertragung zur Speicherung in die USA kann die AGG EU001 genutzt werden, sofern ihre Voraussetzungen erfüllt sind. Für Südafrika kann die AGG Nr. 44 in Betracht kommen. Wird die Technologie dagegen zur Datenverarbeitung auf Server in Südkorea übertragen, kann die AGG Nr. 44 nicht genutzt werden. Der Grund liegt im Verwendungszweck: Die Verfahrenserleichterung erfasst die Speicherung, nicht aber eine weitergehende Verarbeitung der Daten.

Für die Praxis lassen sich daraus drei Kernfragen ableiten:

1. Wird die Technologie nur gespeichert oder auch verarbeitet?

2. Befinden sich Server und zugriffsberechtigte Personen in einem privilegierten Gebiet?

3. Wer entscheidet tatsächlich über die Einrichtung und Änderung der Zugriffsrechte?

Fazit

Cloud Computing kann eine Ausfuhr oder Verbringung auslösen, obwohl kein körperlicher Gegenstand versendet wird. Für die exportkontrollrechtliche Bewertung sind insbesondere der Inhalt der Daten, der Serverstandort, der Zweck der Übertragung und die Kontrolle über die Zugriffsrechte entscheidend.

Die AGG Nr. 45 schafft für bestimmte nicht sensitive Cloud-Sachverhalte im Rüstungsbereich eine wichtige Verfahrenserleichterung. Sie setzt jedoch voraus, dass die Übertragung ausschließlich der Datenspeicherung dient, die Server im Zollgebiet der Europäischen Union liegen, die C5-Mindestanforderungen erfüllt sind und die weiteren Voraussetzungen vollständig eingehalten werden.

Sobald Daten verarbeitet oder Zugriffe für Personen im Ausland ermöglicht werden, ist eine gesonderte Prüfung erforderlich. Unternehmen sollten daher nicht nur den Cloud-Vertrag, sondern auch Serverstandorte, Berechtigungskonzepte und interne Entscheidungswege in ihre Exportkontrollorganisation einbeziehen.

Keine Updates mehr verpassen!

Sie interessieren sich für regelmäßige News aus dem Bereich Außenwirtschaft, Exportkontrolle und Zoll? Dann melden Sie sich für den AW-Newsletter an!