73
}
harmonisiert. Die darin festgelegten Grundsätze werden auf Ebene der
Mitgliedstaaten durch nationale Gesetze umgesetzt, so namentlich durch
das österreichische Datenschutzgesetz (AT-DSG) sowie das deutsche
Bundesdatenschutzgesetz (DE-DSG). In der Schweiz, für die die Europäische
Datenschutzrichtlinie nicht gilt, richten sich Datenschutzfragen nach dem
CH-DSG. Dieses weist gegenüber der EU-Regelung einige Unterschiede auf
(
keine Unterscheidung Auftraggeber/Dienstleister bzw.
Auftragsdatenverarbeiter, andere Meldepflichten etc.).
Nach der Europäischen Datenschutzrichtlinie gilt grundsätzlich das so
genannte Sitzstaatprinzip. Es besagt, dass europäisches Datenschutzrecht
dann anwendbar ist, wenn der Auftraggeber in der EU niedergelassen ist.
Dies ist der Fall, wenn ein Unternehmen seinen Sitz oder eine (rechtlich
unselbstständige) Niederlassung in der EU bzw. im EWR hat und dort Daten
verarbeitet.
Anknüpfungspunkt in persönlicher Hinsicht ist daher grundsätzlich der
Auftraggeber und nicht der Anbieter der Cloud-Services. Nach dem
Sitzstaatprinzip untersteht die Datenbearbeitung in der Cloud demnach im
innereuropäischen Verhältnis der Rechtsordnung, in der der Auftraggeber
seinen Sitz hat. Wer als Auftraggeber zu gelten hat, wird nach besonderen
datenschutzrechtlichen Standards ermittelt. Aber es lässt sich bereits an
dieser Stelle festhalten, dass der Nutzer von Cloud-Services grundsätzlich die
Verantwortung für eine zulässige und rechtmäßige Datenverwendung trägt.
Demnach soll auch das Recht seines Hoheitsgebiets angewendet werden
und nicht jenes des Anbieters.
Das Sitzstaatprinzip kommt jedoch nicht uneingeschränkt zur Anwendung.
Vielmehr gilt in einigen Konstellationen das so genannte
Territorialitätsprinzip. Es besagt, dass der Ort der Datenverwendung den
Anknüpfungspunkt zur Bestimmung des anwendbaren Rechts bildet. Das
Territorialitätsprinzip kommt zur Anwendung, wenn der Rechtsträger keinen
Sitz in einem EU-Mitgliedstaat hat. Demzufolge kommt daher jenes
nationale Datenschutzrecht zur Anwendung, wo die Daten tatsächlich
verarbeitet werden. Das deutsche Datenschutzrecht findet z. B. Anwendung,
sofern ein Unternehmen mit Sitz außerhalb der EU/des EWR einen SaaS-
Provider mit in Deutschland gelegenen Ressourcen einsetzt.
Das Regel-Ausnahme-Verhältnis (Sitzstaat/Gebietshoheit) bezieht sich auf
Ansprüche von Privaten untereinander. Auf dieser Ebene unterscheidet sich
die Anknüpfungsregelung in der Schweiz (siehe Abschnitt 3.2.2). Dies kann
im schweizerisch-europäischen Verhältnis theoretisch zu unterschiedlichen
Rechtsfolgen führen, je nachdem, von welcher Seite aus ein Problem
