Gilt die DSGVO auch außerhalb der EU?

Ob die DSGVO außerhalb der EU gilt, entscheidet sich nicht allein am Unternehmenssitz. Artikel 3 prüft jede konkrete Verarbeitung und Tätigkeit getrennt ¹. Auch ein Unternehmen ohne EU-Büro kann erfasst sein, wenn es Personen in der EU gezielt Waren oder Dienstleistungen anbietet oder ihr dortiges Verhalten beobachtet ².

Umgekehrt begründet eine weltweit erreichbare Website noch keine Zielmarktansprache ¹. Ein zufälliger Besucher oder eine unaufgeforderte Anfrage aus der EU reicht allein nicht ². Diese echte Nein-Option schützt lokale Unternehmen vor einer pauschalen Einordnung.

Kurzantwort: Die DSGVO kann außerhalb der EU gelten, wenn die Verarbeitung im Kontext einer EU-Niederlassung erfolgt, gezielt Personen in der EU Waren oder Dienstleistungen angeboten werden oder ihr Verhalten in der EU beobachtet wird. Prüfen Sie jede Tätigkeit getrennt. Eine allgemein erreichbare Website reicht nicht; nach einem positiven Ergebnis kann zusätzlich Artikel 27 relevant werden.

Zuletzt aktualisiert: 26. August 2026

Beginnen Sie bei der Verarbeitung, nicht beim Hauptsitz

Der Ort des Handelsregistereintrags ist nur ein Sachverhalt, kein abschließender Test. Zuerst wird beschrieben, welche personenbezogenen Daten zu welchem Zweck, für welche betroffenen Personen und durch welchen Arbeitsablauf verarbeitet werden ¹. Danach wird gefragt, welche der territorialen Routen zu genau dieser Verarbeitung passt. So bleibt die Analyse eng genug, um nicht aus einem einzelnen EU-Bezug eine Aussage über das gesamte Unternehmen zu machen.

Auch technische Orte sind nicht allein entscheidend. Ein Server außerhalb der EU schließt die Verordnung nicht aus, und ein Hosting-Standort in der EU begründet sie nicht automatisch ². Relevant ist der Zusammenhang zwischen Verarbeitung und Tätigkeit. Dafür braucht das Prüfdokument mindestens den verantwortlichen Geschäftsprozess, die betroffenen Personengruppen, deren Ort im maßgeblichen Zeitpunkt, die Markt- oder Beobachtungssignale und den Datenfluss.

Die EDPB-Leitlinien erläutern diese tätigkeitsbezogene Prüfung und verhindern eine rein formale Sitzlogik ². Die endgültige Einordnung bleibt eine Sachverhaltsanalyse auf Grundlage von Artikel 3 und der dokumentierten Verarbeitung ³. Für eine nicht in der EU ansässige Firma ist das praktisch günstig: Nicht jeder Kontakt mit Europa zieht alle unabhängigen Prozesse in denselben Anwendungsbereich.

Prüfen Sie drei getrennte Routen des Artikels 3

Artikel 3 Absatz 1 erfasst Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der Union ¹. Die eigentliche Verarbeitung kann dabei an einem anderen Ort stattfinden. Entscheidend ist, ob der relevante Zusammenhang mit der Niederlassung besteht, nicht wo eine einzelne Rechenoperation ausgeführt wird ².

Artikel 3 Absatz 2 richtet sich an Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der Union. Er enthält zwei eigenständige Wege: das Angebot von Waren oder Dienstleistungen an Personen in der EU und die Beobachtung ihres Verhaltens, soweit dieses Verhalten in der EU stattfindet ¹. Der Aufenthaltsort der Person im einschlägigen Moment und die konkrete Tätigkeit stehen damit im Mittelpunkt.

Die beiden Wege dürfen nicht vermischt werden: Ein gezieltes Angebot kann ohne Beobachtung bestehen ¹. Umgekehrt kann ein nicht verkaufender Dienst Verhalten in der EU planmäßig auswerten ².

Für die Angebotsroute ist keine Zahlung erforderlich. Eine kostenlose Testversion, Registrierung oder Dienstleistung kann deshalb ebenso zu prüfen sein wie ein Verkauf. Die Beobachtungsroute verlangt ihrerseits mehr als das bloße Vorhandensein einer Analysebibliothek: Zweck und Weiterverwendung müssen zum Verhalten in der EU passen ^1,2.

Die verbleibende Route ist eng begrenzt ¹. Artikel 3 Absatz 3 gilt für Orte, an denen das Recht eines Mitgliedstaats kraft Völkerrechts gilt ³. Er ist weder eine allgemeine Auslandsregel noch ein Ersatz für die beiden Absatz-2-Tests. Im normalen Sachverhalt eines nicht in der EU ansässigen kleinen Unternehmens sollte er nur dokumentiert werden, wenn konkrete völkerrechtliche Umstände bestehen ².

Das Diagramm hält die echte Nein-Verzweigung sichtbar; fehlt ein Niederlassungszusammenhang, wird das Angebot geprüft. Fehlen Zielsignale, führt bloße Erreichbarkeit zur Beobachtungsfrage statt direkt zu einem positiven Ergebnis. Erst ein positives Angebot oder eine positive Beobachtung öffnet die nachgelagerte Prüfung nach Artikel 27.

Ordnen Sie den Zusammenhang mit einer EU-Niederlassung ein

Eine Niederlassung verlangt eine tatsächliche und effektive Tätigkeit durch eine stabile Einrichtung; die Rechtsform ist nicht allein maßgeblich ¹. Auch eine kleine Struktur kann genügen, während eine bloße Postadresse ohne reale Tätigkeit nicht automatisch ausreicht. Dokumentieren Sie Menschen, Aufgaben, Dauer, Entscheidungswege und wirtschaftliche Funktion, statt nur die Firmenstruktur abzubilden ².

Anschließend wird der untrennbare oder hinreichend enge Zusammenhang zwischen der EU-Tätigkeit und der fraglichen Verarbeitung geprüft ³. Eine EU-Vertriebsstelle kann beispielsweise einen relevanten Markt unterstützen, obwohl die Daten technisch außerhalb der Union verarbeitet werden. Umgekehrt ist nicht jede Verarbeitung eines Konzerns allein wegen einer europäischen Einheit erfasst ¹.

Weder der Standort des Servers noch der Ort des Auftragsverarbeiters entscheidet isoliert ². Das Protokoll sollte deshalb erklären, welchen Beitrag die EU-Einrichtung zur Tätigkeit leistet, wie Einnahmen, Kundenbetreuung oder Leistungserbringung verbunden sind und weshalb diese Tatsachen die konkrete Verarbeitung einschließen oder ausschließen. Diese Begründung ist belastbarer als ein Kästchen „EU-Tochter: ja/nein“.

Eine einfache Sachverhaltskarte hilft: Wer gewinnt Kunden, wer setzt Bedingungen, wer erbringt Support und warum verarbeitet die Zentrale die Daten? Erst diese Beziehungen zeigen, ob die EU-Tätigkeit und der ausländische Datenfluss im maßgeblichen Kontext stehen. Gemeinsame Marke oder Konzernzugehörigkeit allein ersetzen den Nachweis nicht.

Erkennen Sie ein gezieltes Angebot anhand kombinierter Signale

Die Angebotsroute fragt nach der objektiv erkennbaren Absicht, Personen in der Union anzusprechen ¹. Staatsangehörigkeit ist nicht der Test; entscheidend ist, wo sich die angesprochenen Personen befinden. Auch eine unentgeltliche Leistung kann ein Angebot sein ². Die Bewertung sollte zum Zeitpunkt des Angebots erfolgen und auf beobachtbaren Gestaltungs- und Vertriebsentscheidungen beruhen.

Kein einzelnes Signal bildet eine automatische Schwelle ³. Eine Währung kann weltweit gebräuchlich sein, eine Sprache in mehreren Staaten verwendet werden und eine Telefonnummer aus rein betrieblichem Grund existieren. Erst das Zusammenspiel zeigt, ob das Unternehmen den EU-Markt tatsächlich in den Blick genommen hat ¹.

Halten Sie auch Gegensignale fest: ausdrücklich lokale Liefergrenzen, fehlende EU-Werbung, keine EU-Vertriebskanäle und ein Prozess, der ungeplante Auslandsanfragen ablehnt. Sie ersetzen keine Prüfung, helfen aber, die objektive Gesamtlage nachvollziehbar zu begründen ².

Prüfen Sie neben der öffentlichen Seite die operative Wirklichkeit: Lieferlisten, Kampagneneinstellungen, Vertriebsanweisungen, Registrierungsregeln und Supportwege. Diese Belege können Zielabsicht bestätigen oder widerlegen. Der Vermerk erhält ein Datum, weil ein neuer Marktstart die Kombination der Signale später verändern kann.

Trennen Sie bloße Erreichbarkeit von Zielmarktansprache

Eine Website, App oder Kontaktseite, die aus der EU geöffnet werden kann, ist nicht deshalb schon an Personen in der EU gerichtet ². Die Leitlinien behandeln die reine Zugänglichkeit als unzureichend, weil fast jedes Online-Angebot technisch weltweit erreichbar wäre ³. Ohne diese Abgrenzung würde Absatz 2 zu einer grenzenlosen Regel.

Auch eine allgemeine E-Mail-Adresse, Postanschrift oder internationale Vorwahl belegt für sich keine Zielabsicht ². Dass ein Unternehmen seine Tätigkeit online beschreibt, ist ebenfalls kein hinreichendes Angebotssignal ³. Der Kontext kann sich allerdings ändern, wenn solche neutralen Merkmale mit aktiver EU-Werbung, Lieferung, Preisen oder lokalen Vertriebswegen zusammentreffen.

Nehmen wir einen ausschließlich US-lokalen Reparaturbetrieb: keine EU-Niederlassung, keine Lieferung oder Werbung in die EU, kein Beobachtungszweck, aber eine öffentlich erreichbare englische Website. Eine Person auf EU-Reise findet die Seite oder sendet unaufgefordert eine Anfrage. Diese Tatsachen allein machen den lokalen Vorgang nicht zu einer gezielten EU-Tätigkeit ².

Das Nein sollte ebenso begründet werden wie ein Ja. Notieren Sie, welche Signale geprüft wurden, weshalb die Anfrage zufällig blieb und ob der Prozess sie ablehnt, separat behandelt oder künftig aktiv weiterverfolgt. Eine spätere Kampagne oder Lieferänderung kann die Bewertung neu öffnen ³.

Prüfen Sie Verhaltensbeobachtung als eigenen Weg

Artikel 3 Absatz 2 Buchstabe b betrifft die Beobachtung des Verhaltens von Personen, soweit dieses Verhalten in der Union stattfindet ¹. Es reicht nicht, dass ein Datensatz irgendwo einen EU-Bezug enthält. Beschreiben Sie, wo sich die Person beim relevanten Verhalten befand, was erfasst wird und zu welchem Zweck die Information erneut verwendet wird ².

Ein starker Hinweis ist ein planmäßiger Ablauf, der Personen im Netz verfolgt, Profile bildet oder Präferenzen, Verhalten und Einstellungen analysiert oder vorhersagt ³. Verhaltensbezogene Werbung, Geolokalisierung, Cookies und Fingerprinting können in einem solchen Ablauf relevant sein ¹. Sie sind Beispiele für Techniken, keine eigenständigen Rechtsurteile.

Deshalb entscheidet der Produktname eines Analysewerkzeugs nicht. Ein einfacher aggregierter Betriebszähler kann anders zu bewerten sein als nutzerbezogene Ereignisse, die über Sitzungen hinweg verbunden und für Auswahl, Preis, Werbung oder Risikobewertung eingesetzt werden ². Fragen Sie nach Konfiguration, Identifikatoren, Speicherdauer, Verknüpfung und tatsächlichem Verwendungszweck.

Nicht jede Auswertung ist Beobachtung im Sinne der Route ². Fehlt die Absicht, individuelles Verhalten zu sammeln und anschließend zu analysieren oder vorherzusagen, kann Absatz 2 Buchstabe b ausscheiden. Das Ergebnis muss jedoch aus dem realen Datenfluss folgen, nicht aus einer pauschalen Aussage „Wir machen nur Statistik“ ³.

Lassen Sie Technik und Fachseite gemeinsam bestätigen, was die Konfiguration tatsächlich tut. Identifikatoren, Verbindung mehrerer Besuche, Profilmerkmale und die spätere Verwendung sind entscheidender als der Produktname. Ist der Aufenthaltsort nur geschätzt, dokumentieren Sie Qualität und Grenzen dieses Signals.

Entscheiden Sie Grenzfälle tätigkeitsbezogen

Grenzfälle werden klarer, wenn jede Verarbeitung als eigener Prüfgegenstand beschrieben wird. Dass eine Tätigkeit erfasst ist, zieht eine unabhängige lokale Tätigkeit nicht automatisch mit. Umgekehrt kann eine Firma ihre lokale Selbstdarstellung nicht auf alle Datenflüsse übertragen, wenn ein anderer Kanal gezielt den EU-Markt bedient.

Die Tabelle ist kein Ersatz für eine Einzelfallprüfung. Sie zeigt, welche Tatsachen die Route verändern. Eine neue EU-Werbekampagne betrifft nicht notwendigerweise den internen Personalprozess; eine neue Tracking-Konfiguration kann dagegen die Beurteilung des digitalen Dienstes verändern.

Vermeiden Sie ein unternehmensweites Feld „DSGVO: ja“. Führen Sie lieber ein Register nach Zweck und Datenfluss. So können Verantwortliche erkennen, welche Aktivität unter welcher Route geprüft wurde und wo ein echtes Nein bestehen bleibt.

Jeder Tabellenfall braucht einen Änderungsauslöser. Eine EU-Kampagne, neue Lieferoption, andere Tracking-Konfiguration oder neue Aufgabe einer EU-Einheit kann das Ergebnis öffnen. Damit bleibt der Grenzfall ein überprüfbarer Prozess und wird nicht zu einer dauerhaft übernommenen Etikette.

Prüfen Sie Artikel 27 erst nach einem positiven Ergebnis

Die Pflicht zur Benennung eines Vertreters ist keine vierte Route in den räumlichen Anwendungsbereich. Sie wird erst geprüft, wenn ein Verantwortlicher oder Auftragsverarbeiter ohne EU-Niederlassung aufgrund von Artikel 3 Absatz 2 erfasst ist ². Das verhindert den Zirkelschluss, aus der möglichen Vertreterpflicht erst die Anwendbarkeit abzuleiten ³.

Die Ausnahme in Artikel 27 ist kumulativ. Die Verarbeitung muss gelegentlich sein, darf keine umfangreiche Verarbeitung besonderer Datenkategorien oder von Daten über strafrechtliche Verurteilungen und Straftaten umfassen und darf unter Berücksichtigung von Art, Umständen, Umfang und Zwecken voraussichtlich kein Risiko für Rechte und Freiheiten darstellen ².

Scheitert auch nur ein Bestandteil, trägt die Ausnahme nicht ³. „Gelegentlich“ darf nicht isoliert als bequemes Etikett verwendet werden, wenn die Dienstleistung regelmäßig Personen in der EU anspricht. Halten Sie für jedes Merkmal Tatsachen und Beleg fest, statt nur den Ausnahmesatz zu wiederholen ².

Behörden und öffentliche Stellen oder Einrichtungen sind gesondert ausgenommen ³. Für private Unternehmen sollte das Dokument nach einem positiven Absatz-2-Test Verantwortlichen- oder Auftragsverarbeiterrolle, Niederlassungslage, Ausnahmemerkmale, Entscheidung, Eigentümer und Überprüfungstermin enthalten.

Bewahren Sie die Reihenfolge sichtbar: erst Artikel 3, dann gegebenenfalls Artikel 27. So wird die mögliche Vertreterpflicht weder als Grund für die Anwendbarkeit noch ihr Fehlen als Gegenargument benutzt. Jede Entscheidung besitzt ihre eigenen Tatsachen und ihren eigenen Eigentümer.

Dokumentieren Sie Ergebnis und Änderungsauslöser

Eine gute Akte beginnt mit der Verarbeitung: Zweck, betroffene Personen, Ort, Datenkategorien, Systeme, Verantwortlicher und Auftragsverarbeiter. Danach nennt sie die geprüften Routen und die Tatsachen zu Niederlassungszusammenhang, Zielsignalen, Verhaltenszweck sowie gegebenenfalls Artikel 3 Absatz 3.

Das Ergebnis lautet nicht nur „gilt“ oder „gilt nicht“. Es erklärt, welche Tätigkeit erfasst ist, welche unabhängige Tätigkeit außerhalb bleibt und welche Belege die Grenze tragen. Bei Absatz 2 folgt eine eigene Vertreteranalyse mit allen kumulativen Merkmalen und der Rollenverteilung.

Ordnen Sie einen Eigentümer, ein Datum und Auslöser für die erneute Prüfung zu. Dazu zählen eine EU-Kampagne, neue Lieferländer, andere Währungen oder Sprachen, eine EU-Einrichtung, ein neuer Tracking-Zweck, die Verknüpfung von Identifikatoren oder eine Änderung der Datenverwendung. Bewahren Sie frühere Versionen, damit der Übergang nachvollziehbar bleibt.

Verknüpfen Sie jedes Ergebnis mit Belegen wie Kampagneneinstellung, Lieferregel, Datenkarte, technischer Konfiguration oder Rollenbeschreibung. Eine bloße Schlussfolgerung ohne Quelle altert schnell. Die Vorversion zeigt später, welches konkrete Signal aus einer lokalen Tätigkeit eine erfasste Aktivität gemacht hat.

Häufige Fragen zur Geltung der DSGVO außerhalb der EU

Gilt die DSGVO für jeden Verkauf an eine Person in der EU?

Nein. Artikel 3 verlangt eine passende Route für die konkrete Verarbeitung ¹. Bei einem Unternehmen ohne EU-Niederlassung wird geprüft, ob objektive Umstände ein Angebot an Personen in der EU zeigen ². Eine zufällige unaufgeforderte Bestellung ohne weitere Zielsignale reicht nicht automatisch.

Reicht eine erreichbare Website?

Bloße Erreichbarkeit reicht nicht ². Allgemeine Kontaktangaben und eine weltweit nutzbare Seite zeigen allein keine Zielmarktabsicht ³. Zusätzliche, zusammenwirkende Signale wie EU-Werbung, Lieferung, Marktverweise oder lokale Vertriebswege können das Ergebnis verändern.

Muss eine Leistung bezahlt werden?

Nein. Die Angebotsroute umfasst Waren oder Dienstleistungen unabhängig davon, ob eine Zahlung verlangt wird ². Entscheidend bleibt die objektive Absicht, Personen in der EU anzusprechen ³. Deshalb können Registrierung, kostenloser Test oder werbefinanzierter Dienst relevant sein.

Ist jedes Analysewerkzeug eine Verhaltensbeobachtung?

Nein. Maßgeblich ist die tatsächliche Verarbeitung, nicht der Werkzeugname. Die Leitlinien richten den Blick darauf, ob Verhalten von Personen in der EU planmäßig gesammelt und anschließend analysiert oder vorhergesagt wird ². Zweck, Konfiguration und Weiterverwendung müssen dokumentiert werden ³.

Wann braucht ein Nicht-EU-Unternehmen einen Vertreter?

Erst nach einem positiven Test nach Artikel 3 Absatz 2 und bei fehlender EU-Niederlassung wird Artikel 27 geprüft ¹. Seine Ausnahme verlangt mehrere Voraussetzungen gleichzeitig ². Eine bequeme Einzelbegründung wie „gelegentlich“ genügt nicht; auch Datenarten und voraussichtliches Risiko gehören in die Akte ³.

Kann ein Prozess außerhalb bleiben, obwohl ein anderer erfasst ist?

Ja. Der Test bleibt tätigkeits- und verarbeitungsbezogen ¹. Dokumentieren Sie jede Route mit ihren Tatsachen, statt die ganze Firma pauschal zu kennzeichnen ². Die EDPB-Leitlinien helfen, Zusammenhänge und Absatz-2-Aktivitäten getrennt zu beurteilen ³.

Werden zwei bislang getrennte Prozesse verbunden oder Daten für einen neuen Zweck gemeinsam genutzt, ist eine neue Prüfung erforderlich. Bis dahin bleibt die dokumentierte Grenze bestehen und verhindert, dass ein positiver Einzelbefund unnötig auf unabhängige Tätigkeiten übertragen wird.