75
}
verpönten Handlung dürfte in der Regel an dem Ort sein, an dem sich die
betroffene Person im Zeitpunkt der verletzenden Datenbearbeitung
befindet (bei juristischen Personen der Ort ihrer Niederlassung) bzw. an
dem Ort, an dem sich die verpönte Wirkung einer Datenbearbeitung zu
entfalten beginnt.
Beispielsweise können die folgenden Orte einen Erfolgsort darstellen:
Ort der unerlaubten Datenbekanntgabe;
Ort der Bearbeitung, wenn die Richtigkeit der bearbeiteten Daten
nicht sichergestellt worden ist;
Ort, an dem der widerrechtlich Beschaffende über die widerrechtlich
beschafften Daten verfügen kann;
Ort der Entscheidungsfindung, wenn Personendaten widerrechtlich
verwendet werden;
Ort der Aufbewahrung, wenn Personendaten ohne angemessenen
Schutz aufbewahrt werden.
Der europäischen Regelung entsprechend bringt das schweizerische Recht
bei Datenbearbeitern mit Sitz im Ausland (z. B. Deutschland), die einen
Server in der Schweiz betreiben, das CH-DSG zur Anwendung (siehe oben
Territorialitätsprinzip). Dies sogar dann, wenn sich neben dem Cloud-
Anbieter auch der Cloud-Nutzer im Ausland befindet.
3.2.3
Anwendbarkeit von nationalen Berufsregeln und ähnlichen
Regulierungen (Compliance-Vorschriften)
Die Befugnisse der Staaten, einen bestimmten Sachverhalt ihrer
Regelungsmacht zu unterwerfen (Jurisdiktion), ist Ausfluss ihrer
völkerrechtlichen Souveränität. So ergibt sich, dass der Geltungsbereich des
staatlichen Rechts räumlich beschränkt ist. Umgekehrt kann es jedoch
vorkommen, dass ein Staat mit seinem Recht Ereignisse oder Personen
außerhalb seines Territoriums erfassen will. Dies wird dann als
extraterritoriale Wirkung bezeichnet.
Neben den Datenschutzgesetzen können weitere Compliance-Vorschriften
den Entscheid, Daten in die Cloud auszulagern, beeinflussen. Es handelt sich
in der Regel um so genannte Verwaltungsrechtliche Bestimmungen
(
Bewilligungsvoraussetzungen, Meldepflichten, branchenspezifische
Regulierungen). Die Anknüpfungspunkte, nach denen sich im
