Problematisch für die Anwendung des Strafrechts ist das in § 3 StGB vorgeschriebe Territorialprinzip. Demnach gilt das deutsche Strafrecht für Taten, die im Inland begangen werden. In einem BGH-Fall aus dem Jahr 2000 hat ein Deutscher in Australien die sogenannte „Ausschwitzlüge“ in deutscher und englischer Sprache ins Netz gestellt. Gemäß § 3 StGB könnte der Täter nur nach deutschem Recht verurteilt werden, wenn der Handlungs- und Erfolgsort im Herkunftsland läge. Da die Inhalte über das Internet weltweit abgerufen werden können, kann freilich bejaht werden, dass der tatbestandliche Erfolg (auch) in Deutschland und nicht nur in Australien eingetreten ist. Die eigentliche Handlung geschah jedoch auf ausländischem Boden. Der Bundesgerichtshof verurteilte den Täter mittels einer weit gefasste Auslegung vom Begriff „Handlungsort“. Demnach konnte dem Täter der deutsche Staatsboden als Handlungsort zugerechnet werden, weil er einen inländischen Computer nutzte und lediglich ein ausländischer Anbieter den Zugang zum Internet ermöglichte.
2. Folgen der Nichtbeachtung von Sicherheitsstandards
Verstöße gegen das Datenschutzrecht werden mit Geldstrafen sanktioniert. Erhebt ein Unternehmen personenbezogene Daten, haftet der Unternehmer. Er ist für die Sicherheit von Datenprozessen verantwortlich. Bei schwerwiegenden Verstößen wird gegebenenfalls auch das Privatvermögen in Anspruch genommen. Ein allgemeiner Bußgeldkatalog existiert nicht. Es hängt von den Umständen des Einzelfalls ab, in welchem Ausmaß das Bußgeld im Schadensfall erhoben wird. Es kommt darauf an, ob das Unternehmen mit Vorsatz handelte oder es aufgrund fahrlässigen Verhaltens zu Fehlern kam. Dokumentiert ein Betrieb seine Entscheidung nach bestem Wissen und Gewissen, wird dies positiv berücksichtigt. Schwerwiegende Verstöße, wie das Nichteinstellen eines Datenschutzbeauftragten wird als Vorsatztat gewertet und kann schnell mit 50.000 Euro bestraft werden. Zieht der Täter noch einen wirtschaftlichen Gewinn aus dem aktiven Verstoß, betragen Bußgelder nicht selten um die 300.000 Euro. Unabhängig davon erleiden Unternehmen einen gewaltigen Image-Schaden bei Geschäftspartnern und Kunden.