105
Wichtig ist sodann die Feststellung, dass stets der Cloud‐Kunde verantwort‐
lich dafür bleibt, die für ihn geltenden Datenschutzbestimmungen einzuhal‐
ten. Der Kunde wird stets versuchen, den Cloud‐Anbieter für die Einhaltung
der Datenschutzbestimmungen mit in die Pflicht zu nehmen. Der Kunde
bleibt jedoch auch dann in der Verantwortung, wenn der Cloud‐Anbieter
ihm die gewünschten Zusicherungen macht.
Mit der grenzüberschreitenden Datenverarbeitung stellt sich zunächst die
Frage, welches nationale Datenschutzrecht anzuwenden ist. Im
europäischen Kulturraum sind Datenschutzfragen primär national geregelt.
Das heißt, dass nationale Gesetze Datenschutzfragen grundsätzlich
abschließend regeln. Im EU‐Raum ist das Datenschutzrecht allerdings durch
die Europäische Datenschutzrichtlinie harmonisiert. Die darin festgelegten
Grundsätze werden auf Ebene der Mitgliedstaaten durch die nationalen
Gesetze umgesetzt. Außerhalb der EU, wo die Europäische
Datenschutzrichtlinie nicht gilt, richten sich Datenschutzfragen allein nach
den nationalen Datenschutzgesetzen.
Nach dem von der Europäischen Datenschutzrichtlinie vorgegebenen
Rahmen, der zwischen Controllern und Processors unterscheidet, wird das
anwendbare Datenschutzrecht nach den beiden folgenden Prinzipien
bestimmt:
Sitzstaatprinzip: Grundsätzlich gilt das sogenannte „Sitzstaatprinzip“.
Es besagt, dass europäisches Datenschutzrecht dann anwendbar ist,
wenn der Auftraggeber in der EU niedergelassen ist. Dies ist der Fall,
wenn ein Unternehmen seinen Sitz oder eine (rechtlich
unselbstständige) Niederlassung in der EU bzw. im EWR hat und dort
Daten verarbeitet. Anknüpfungspunkt in persönlicher Hinsicht ist
daher grundsätzlich der Auftraggeber und nicht der Anbieter der
Cloud‐Services. Dieses Resultat deckt sich mit dem Grundsatz, dass
der Kunde von Cloud‐Services grundsätzlich die Verantwortung für
eine zulässige und rechtmäßige Datenverwendung behält. Demnach
soll auch das Recht seines Hoheitsgebiets angewendet werden und
nicht jenes des Anbieters.
Territorialitätsprinzip: Das Sitzstaatprinzip kommt jedoch nicht
uneingeschränkt zur Anwendung. Vielmehr gilt in einigen
Konstellationen das sogenannte „Territorialitätsprinzip“. Es besagt,
dass der Ort der Datenverwendung den Anknüpfungspunkt zur
Bestimmung des anwendbaren Rechts bildet. Das
Territorialitätsprinzip greift, wenn der Rechtsträger keinen Sitz in
einem EU‐Mitgliedstaat hat. Demzufolge kommt daher jenes
