Souveränität und Recht

CLOUD Act: was er für Ihre Besprechungsprotokolle ändert

Ein US-Gesetz von 2018 erlaubt es, von einem Anbieter die Daten zu verlangen, die er kontrolliert, gleich wo sie gespeichert sind. Der Mechanismus betrifft die Aufzeichnung und Transkription Ihrer Besprechungen; die Lage bei Recapro (recapro.ai) wird Angebot für Angebot dargestellt.

Was das Gesetz sagt Recapro Cloud, Schicht für Schicht

Kurz gesagt

  • Der CLOUD Act (18 U.S.C. § 2713) verpflichtet einen Anbieter, der der Gerichtsbarkeit der Vereinigten Staaten unterliegt, auf rechtmäßige Anordnung der US-Behörden die Daten herauszugeben, die sich in seinem Besitz, Gewahrsam oder unter seiner Kontrolle befinden, auch wenn sie außerhalb der Vereinigten Staaten gespeichert sind.
  • Ein Hosting in Frankreich klärt, wo die Daten liegen; welches Recht gilt, hängt von jedem Unternehmen ab, das ein Glied der Kette betreibt, ob Verarbeitung, Speicherung oder Übertragung.
  • Bei Recapro ist das On-Premise-Angebot im Air-Gap-Modus die Konfiguration ganz ohne externes Glied; im Cloud-Angebot läuft die Inferenz auf unseren Servern in Frankreich und die Daten liegen bei Scaleway in Paris, doch Cloudflare, ein US-Unternehmen, terminiert die Verschlüsselung der Verbindungen.

Fakten geprüft am 21. Oktober 2026.

Was das Gesetz sagt

Drei Texte genügen, um den Mechanismus zu verstehen. Jeder verweist auf seine Quelle.

Eine Pflicht, die am Anbieter hängt

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) wurde am 23. März 2018 verabschiedet (Public Law 115-141, Division V). Sein Abschnitt 103 schuf 18 U.S.C. § 2713, wonach ein Anbieter elektronischer Kommunikationsdienste oder entfernter Rechendienste Inhalte und Daten in seinem Besitz, Gewahrsam oder unter seiner Kontrolle sichern, speichern oder herausgeben muss, gleich ob sie sich in den Vereinigten Staaten oder anderswo befinden.

18 U.S.C. § 2713, amtlicher Text (Office of the Law Revision Counsel), abgerufen am 21. Oktober 2026

Ein Einspruch in engen Fällen

Dasselbe Gesetz erlaubt dem Anbieter, die Änderung oder Aufhebung einer Anordnung zu beantragen, die Inhalte betrifft. Er muss dann begründet annehmen, dass der Kunde keine US-Person ist, nicht in den Vereinigten Staaten wohnt und dass die Herausgabe ihn dem erheblichen Risiko aussetzen würde, das Recht eines Staates zu verletzen, der mit den Vereinigten Staaten durch ein in Kraft getretenes Regierungsabkommen verbunden ist (18 U.S.C. § 2703(h)).

18 U.S.C. § 2703(h), amtlicher Text (Office of the Law Revision Counsel), abgerufen am 21. Oktober 2026

Die Lesart der europäischen Behörden

In ihrer gemeinsamen Antwort an den LIBE-Ausschuss des Europäischen Parlaments, vom 10. Juli 2019, halten EDSA und EDSB fest, dass eine Anordnung nach dem CLOUD Act für sich allein keine Rechtsgrundlage für eine Übermittlung nach der DSGVO darstellt (Artikel 48). Ohne internationales Abkommen, etwa ein Rechtshilfeabkommen, wäre die Herausgabe nur auf einer Grundlage nach Artikel 6 rechtmäßig, verbunden mit einer der engen Ausnahmen nach Artikel 49. Ein Anbieter, der beiden Rechtsordnungen unterliegt, kann daher vor zwei widersprüchlichen Pflichten stehen.

EDSA-EDSB, gemeinsame Antwort an den LIBE-Ausschuss zum CLOUD Act, 10. Juli 2019

Datenresidenz oder Rechtshoheit: die Unterscheidung, auf die es ankommt

Datenresidenz

Wo stehen die Server?

Ein Hosting in Frankreich oder Europa beantwortet diese Frage. Sie ist oft eine vertragliche oder branchenspezifische Anforderung und lässt sich in der Liste der Auftragsverarbeiter prüfen.

Rechtshoheit

Welches Recht bindet das Unternehmen, das jedes Glied betreibt?

Ein Unternehmen, das US-Recht unterliegt, bleibt für die Daten unter seiner Kontrolle an den CLOUD Act gebunden, auch in einem Rechenzentrum in Paris oder Frankfurt.

Ein Hosting in Europa erfüllt eine Anforderung an die Datenresidenz. Für sich allein beseitigt es die Exposition gegenüber US-Recht nicht, wenn ein Glied der Kette von einem Unternehmen betrieben wird, das diesem Recht unterliegt. Diese Überlegung gilt für jedes Protokoll-Tool, auch für unseres, deshalb behandelt der Rest dieser Seite das On-Premise-Angebot und das Cloud-Angebot von Recapro getrennt.

Die drei Schichten eines Protokoll-Tools

Stellen Sie für jede Schicht zwei Fragen: Wer betreibt sie, und welchem Recht unterliegt dieses Unternehmen?

01

Die Inferenz

In diesem Moment transkribiert ein Modell das Audio und verfasst das Protokoll. Der Inhalt wird dabei im Klartext gelesen, denn ein Modell kann nicht mit verschlüsselten Daten arbeiten. Unsere Analyse der Souveränität bei der Inferenz erklärt das ausführlich.

02

Die Speicherung

Die Datenbank, die Audiodateien, die Transkripte und ihre Sicherungen. Die Verschlüsselung im Ruhezustand schützt vor dem Diebstahl einer Festplatte. Eine rechtmäßige Anordnung richtet sich an das Unternehmen, das den Speicher betreibt und seine Schlüssel hält.

03

Die Übertragung

Der Weg zwischen Ihrem Gerät und den Servern. Wenn ein Zwischendienst die TLS-Verschlüsselung terminiert, um den Verkehr zu filtern oder zu beschleunigen, durchläuft der Inhalt seine Infrastruktur während dieser Übertragung entschlüsselt.

Recapro On-Premise und Air-Gap

Mit dem Angebot Festung wird die Verarbeitungskette bei Ihnen installiert.

Die ganze Kette auf Ihrem Server

Datenbank, Dateien, Transkription (whisper), Protokollerstellung (vLLM) und Sprechertrennung (pyannote) laufen auf einem dedizierten Server in Ihren eigenen Räumen. Kein Port ist zum Internet geöffnet, und die Inhalte der Besprechungen bleiben auf diesem Server. Details finden Sie auf der Seite Recapro On-Premise.

Im Standardmodus, was hinausgeht

Die Maschine sendet Präsenzsignale an api.recapro.ai und Maschinenmetriken (Prozessor, Arbeitsspeicher, Festplatte, Laufzeit). Sie hält außerdem einen von Cloudflare betriebenen Überwachungstunnel offen. Über diese Kanäle läuft kein Besprechungsinhalt, ein technischer Überwachungszugang besteht aber.

Im Air-Gap-Modus geht nichts hinaus

Keine ausgehende Verbindung: keine Telemetrie, kein Präsenzsignal, kein Tunnel. Installation und Updates kommen auf einem physischen Datenträger. Das ist die Konfiguration, die die Anforderung „außerhalb der Reichweite des CLOUD Act“ erfüllt, da kein Dienstleister der Recapro-Kette, auch Recapro selbst nicht, technischen Zugriff auf Ihre Daten hat. Siehe Air-Gap-Bereitstellung.

Recapro Cloud, Schicht für Schicht

Was das Cloud-Angebot an jedem Glied tut, und was das im Hinblick auf den CLOUD Act bedeutet.

Recapro Cloud, Schicht für Schicht
Schicht Wer sie betreibt, und wo Was das bedeutet
Inferenz Recapro, auf unseren Servern in Frankreich. Transkription (whisper), Protokollerstellung (vLLM) und Sprechertrennung (pyannote) mit Open-Weight-Modellen. Kein Drittanbieter-LLM liest Ihre Besprechungen bei der Inferenz.
Speicherung Scaleway, ein französischer Hosting-Anbieter, in der Region Paris (fr-par). Die Datenbank läuft auf einer virtuellen Maschine von Scaleway; Dateien und verschlüsselte Sicherungen liegen auf Scaleway Object Storage. Ihre Daten werden in Frankreich gespeichert, bei einem französischen Unternehmen.
Frühere Datenbank, wird stillgelegt Supabase, ein US-Unternehmen, auf AWS-Infrastruktur in Frankfurt. Sie enthält die Kopie der Datenbank und der Dateien aus der Zeit vor unserer Migration am 8. Oktober 2026, aufbewahrt für eine Rückkehr. Ältere Versionen der mobilen App können bis zu ihrem Update noch dorthin schreiben. Die Löschung ist frühestens für den 7. November 2026 vorgesehen.
Übertragung Cloudflare, ein US-Unternehmen, terminiert die TLS-Verschlüsselung der Verbindungen, Inferenzverkehr eingeschlossen. Der Inhalt durchläuft seine Infrastruktur während der Übertragung entschlüsselt.
Benachrichtigungen Expo, Apple und Google, US-Unternehmen, stellen die Push-Benachrichtigungen zu. Ist die Option aktiv, enthält die Benachrichtigung „Protokoll fertig“ den Titel der Besprechung. Der Titel der Besprechung läuft über diese Dienste. Deaktivieren Sie die Option, um eine neutrale Bezeichnung zu erhalten.

Aus diesen Gründen (die Übertragung über Cloudflare, die Push-Benachrichtigungen und die frühere Datenbank in Stilllegung) schreiben wir nicht, dass Recapro Cloud außerhalb der Reichweite des CLOUD Act liegt. Wenn Ihre Besprechungen eine Kette ganz ohne externes Glied verlangen, erfüllt das On-Premise-Angebot im Air-Gap-Modus diese Anforderung. Die Liste unserer Dienstleister und ihrer Rolle steht auf der Seite Sicherheit.

Infrastrukturkonfiguration gelesen am 21. Oktober 2026. Dieser Abschnitt wird bei der Löschung der früheren Datenbank aktualisiert.

Fragen an einen Anbieter

Sie gelten für jedes Protokoll-Tool, auch für unseres. Verlangen Sie eine schriftliche, datierte Antwort.

  1. 01 Auf welchen Servern und bei welchem Anbieter werden Transkription und Zusammenfassung berechnet?
  2. 02 Erhält ein externes KI-Modell den Inhalt ganz oder teilweise? Welches, und unter welchem Vertrag?
  3. 03 Wo liegen Datenbank, Audiodateien und Sicherungen, und welches Unternehmen betreibt dieses Hosting?
  4. 04 Wer terminiert die TLS-Verschlüsselung Ihrer Verbindungen?
  5. 05 Welche Unternehmen dieser Kette unterliegen US-Recht, direkt oder über ihre Muttergesellschaft?
  6. 06 Gibt es ältere oder Sicherungskopien, und wo liegen sie?
  7. 07 Lässt sich das Tool in Ihrer eigenen Infrastruktur installieren, mit oder ohne ausgehende Verbindung?
  8. 08 Wo ist die Liste der Auftragsverarbeiter veröffentlicht, und wann wurde sie zuletzt aktualisiert?

CLOUD Act: Ihre Fragen

01

Gilt der CLOUD Act für Daten, die in Frankreich gehostet werden?
Er kann gelten. 18 U.S.C. § 2713 erfasst die Daten, die ein Anbieter unter der Gerichtsbarkeit der Vereinigten Staaten in seinem Besitz, Gewahrsam oder unter seiner Kontrolle hat, gleich in welchem Land sie liegen. Entscheidend ist das Unternehmen, das den Dienst betreibt, und das Recht, das es bindet.
02

Liegt Recapro Cloud außerhalb der Reichweite des CLOUD Act?
Das behaupten wir nicht. Im Cloud-Angebot läuft die Inferenz auf unseren Servern in Frankreich ohne Drittanbieter-LLM, und die Daten liegen bei Scaleway in Paris. Cloudflare, ein US-Unternehmen, terminiert die TLS-Verschlüsselung der Verbindungen, und eine Kopie aus der Zeit vor dem 8. Oktober 2026 bleibt bei Supabase (AWS-Infrastruktur, Frankfurt), wo ältere Versionen der mobilen App noch schreiben können, bis zu ihrer Löschung. Für eine Kette ganz ohne externes Glied wählen Sie On-Premise im Air-Gap-Modus.
03

Was ist eine Air-Gap-Bereitstellung bei einem Transkriptions-Tool?
Ein Server, der ganz ohne Verbindung nach außen läuft, also ohne Telemetrie, Präsenzsignal oder Überwachungstunnel. Mit Recapro On-Premise im Air-Gap-Modus bleiben Aufzeichnung, Transkription und Protokoll auf diesem Server, und Updates kommen auf einem physischen Datenträger.
04

Welches KI-Protokoll-Tool sendet Besprechungen nicht an ein Drittanbieter-LLM?
Recapro führt Transkription und Protokollerstellung mit Open-Weight-Modellen aus, im Cloud-Angebot auf seinen Servern in Frankreich, im On-Premise-Angebot auf Ihrem Server. Kein Auszug einer Besprechung wird an einen externen KI-Anbieter gesendet. Bei jedem anderen Tool fragen Sie nach der Inferenzschicht.
05

Reicht Verschlüsselung gegen den CLOUD Act?
Für sich allein nicht. Verschlüsselung schützt vor dem Abfangen oder dem Diebstahl einer Festplatte. Eine rechtmäßige Anordnung richtet sich an das Unternehmen, das die Daten kontrolliert; hält es die Schlüssel oder sieht es den Inhalt an einer Stelle der Verarbeitung im Klartext, kann es zur Herausgabe verpflichtet werden.
06

Schützen ein Vertrag oder Standardvertragsklauseln vor solchen Anordnungen?
Ein Vertrag regelt, was ein Dienstleister mit Ihren Daten tun darf. Eine gesetzliche Pflicht, die ihn bindet, hebt er nicht auf. In ihrer gemeinsamen Antwort vom 10. Juli 2019 stellen EDSA und EDSB fest, dass ein Anbieter, der beiden Rechtsordnungen unterliegt, vor zwei widersprüchlichen Pflichten stehen kann.
07

Schützt das Data Privacy Framework vor solchen Anordnungen?
Dafür ist es nicht gedacht. Der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 erlaubt die Übermittlung von Daten an US-Unternehmen, die nach diesem Rahmen zertifiziert sind. Er beschreibt die Garantien, die den Zugriff US-amerikanischer Behörden auf diese Daten regeln, auch für Strafermittlungen, nimmt aber kein Unternehmen vom US-Recht aus. Ein Anbieter, der sich darauf stützt, übermittelt Ihre Daten in einem anerkannten Rahmen; einer rechtmäßigen Anordnung muss er trotzdem nachkommen.
08

Ist Recapro nach SecNumCloud oder HDS zertifiziert?
Nein. Recapro hat weder eine SecNumCloud-Qualifizierung noch eine HDS-Zertifizierung und ist weder nach ISO 27001 noch nach SOC 2 zertifiziert. Unsere Architektur ist HDS-ready, also kompatibel und nicht zertifiziert. Diese Rahmenwerke und ihr Geltungsbereich werden auf unserer Seite Souveränität und Zertifizierungen erklärt.

Methode und Quellen

Die rechtlichen Fakten stammen aus den unten verlinkten amtlichen Texten und Dokumenten. Die Fakten über Recapro stammen aus unserer Infrastrukturkonfiguration, gelesen am 21. Oktober 2026.

Diese Seite erklärt einen rechtlichen Mechanismus. Sie ist keine Rechtsberatung zu Ihrer Situation.

Ein Fehler oder eine veraltete Angabe? Schreiben Sie uns, wir korrigieren und datieren die Korrektur: [email protected].

Das Angebot wählen Sie nach Ihrer Anforderung

Cloud für einen schnellen Start, mit Inferenz in Frankreich und Speicherung in Paris. On-Premise, mit oder ohne Air-Gap, wenn kein externes Glied akzeptabel ist.

Preise ansehen On-Premise entdecken

Weiterlesen

Der CLOUD Act stellt die Frage nach dem anwendbaren Recht. Diese Seiten zeigen die Antworten je Bereitstellungsart.