Gilt UK GDPR bei Kunden außerhalb des Vereinigten Königreichs?

UK GDPR bei Kunden außerhalb UK verschwindet nicht allein wegen der Lieferadresse. Entscheidend sind Niederlassung und Tätigkeit sowie bei Organisationen außerhalb des Landes das gezielte Angebot an Personen im Vereinigten Königreich oder ihre dortige Verhaltensbeobachtung. Reichweite, Vertreter und internationale Übermittlung sind getrennte Entscheidungen.

Kurzantwort: UK GDPR bei Kunden außerhalb UK kann weiterhin vollständig gelten. Ein britischer Betrieb fällt regelmäßig darunter, wenn die Verarbeitung im Rahmen seiner britischen Niederlassung erfolgt. Für ausländische Unternehmen zählen gezieltes Angebot und Verhaltensbeobachtung im Vereinigten Königreich. Kundenstandort, Vertreterpflicht, parallele EU-Geltung und internationale Übermittlungen werden anschließend getrennt dokumentiert ^1,2.

Zuletzt aktualisiert: 26. August 2026

Zuerst Einheit und Tätigkeit aufzeichnen

Die Analyse beginnt mit dem realen Geschäftsaufbau. Eine Marke, Website oder Vertragsvorlage kann mehrere juristische Einheiten verdecken. Der Betrieb zeichnet deshalb auf, welche Einheit entscheidet, welche Niederlassung die Tätigkeit ausführt und welche Verarbeitung mit diesem Geschäft verbunden ist.

Die Karte folgt einer konkreten Tätigkeit: Ein britischer Hersteller kann Bestellungen über sein Team in Manchester bearbeiten, während ein externer Supportanbieter in einem anderen Land Zugriff erhält. Reichweite der UK GDPR und Übermittlung an den Supportanbieter werden nicht in einer einzigen Ja-Nein-Frage vermischt.

Verträge sind Belege, aber nicht die einzige Wahrheit. Weist ein Vertrag eine Einheit als Verantwortlichen aus, während eine andere Einheit Zweck und Mittel tatsächlich bestimmt, muss diese Abweichung untersucht werden. Organigramm, Systemrechte und tatsächliche Entscheidungen ergänzen die Papierlage.

Der Ausgangspunkt wird versioniert. Neue Vertriebsländer, ein weiteres Lager, ein globaler Supportzugang oder eine neue Konzernstruktur können das Ergebnis verändern. Ohne eine aktuelle Karte werden Rechtsklauseln schnell von einem früheren Geschäftsmodell übernommen.

Eine britische Niederlassung kann ausreichen

UK GDPR gilt für Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder Auftragsverarbeiters im Vereinigten Königreich ¹. Der Kunde muss sich dafür nicht im Vereinigten Königreich befinden. Maßgeblich ist die Verbindung zwischen britischer Niederlassung, Geschäftstätigkeit und Verarbeitung.

„Im Rahmen der Tätigkeiten“ verlangt eine echte Verbindung, nicht zwingend, dass jeder Server oder Beschäftigte im Vereinigten Königreich sitzt. Verkauf, Vertragsverwaltung, Produktsteuerung oder Kundensupport können die Verarbeitung an die britische Niederlassung anbinden.

Ein britischer Betrieb sollte daher nicht mit „Unsere Kunden sind in den USA“ beginnen. Er beginnt mit „Welche unserer Tätigkeiten verarbeitet diese Daten, und wo ist diese Tätigkeit organisatorisch verankert?“ Erst danach wird geprüft, welche weiteren Länderregeln hinzukommen.

Die Ja-Verzweigung führt zur vollständigen Betriebsumsetzung: Rechtsgrundlagen, Transparenz, Rechte, Aufbewahrung, Sicherheit, Verträge und Verletzungsprozesse. Die Nein-Verzweigung beendet nur diese Reichweitenroute; extraterritoriales Angebot, Beobachtung und ausländische Regime bleiben gesondert offen.

Ausländische Organisationen brauchen einen anderen Test

Ohne Niederlassung im Vereinigten Königreich kann UK GDPR trotzdem gelten, wenn die Verarbeitung mit dem Angebot von Waren oder Dienstleistungen an Personen im Land oder mit der Beobachtung ihres Verhaltens dort zusammenhängt ¹. Der Test betrachtet Zielrichtung und Tätigkeit.

Kein einzelner Indikator entscheidet immer, denn eine GBP-Preisliste kann starkes Marktsignal sein, während eine zufällige Bestellung aus dem Vereinigten Königreich ohne gezielte Aktivität anders aussieht. Der Datensatz sammelt mehrere Tatsachen und erklärt ihre Gewichtung.

Bei Verhaltensbeobachtung beschreibt der Betrieb, welches Verhalten er erfasst, wo die Person dabei ist und wozu Muster oder Profile verwendet werden. Allgemeine technische Protokolle sind nicht automatisch dasselbe wie gezielte Beobachtung; eine detaillierte Nutzerprofilierung kann den Test dagegen klar erfüllen.

Die Analyse wird pro Tätigkeit geführt. Ein ausländischer Händler kann britische Kunden gezielt beliefern, während eine getrennte interne Bewerberplattform ausschließlich einen anderen Markt bedient. Ein pauschales Unternehmensurteil wäre für beide Prozesse zu grob.

Das Kundenland ist Beleg, nicht der rechtliche Schalter

Der Standort eines Kunden kann Zielrichtung, Niederlassungsverbindung oder Transferweg belegen, entscheidet aber keine dieser Fragen allein. UK GDPR schützt personenbezogene Daten natürlicher Personen; Vertragsparteien können Unternehmen sein, während die verarbeiteten Kontaktdaten zu Beschäftigten gehören.

Die Prüfung folgt fünf Schritten, die getrennt dokumentiert werden:

1. Einheit bestimmen: Die verantwortliche juristische Person und ihre konkrete Verarbeitung festhalten.
2. Relevante UK-Niederlassung prüfen: Klären, ob diese Verarbeitung im Rahmen ihrer britischen Niederlassung erfolgt.
3. Ohne UK-Niederlassung Angebot oder Beobachtung prüfen: Gezieltes UK-Angebot und Beobachtung von Verhalten im Vereinigten Königreich beurteilen.
4. Datenbewegung getrennt prüfen: Ausländische Empfänger und Zugriffe erfassen und als mögliche internationale Übermittlung beurteilen.
5. Weitere Regime separat testen: Jedes Regime nach seinem eigenen Niederlassungs- und Zielrichtungstest beurteilen.

Ein britischer B2B-Anbieter mit ausschließlich ausländischen Firmenkunden verarbeitet weiterhin Namen, geschäftliche E-Mail-Adressen, Supportnachrichten und Nutzungsdaten realer Menschen. Erfolgt dies im Rahmen seiner britischen Niederlassung, bleibt die britische Reichweite bestehen.

Umgekehrt löst eine einzelne Bestellung eines britischen Touristen bei einem lokalen ausländischen Händler nicht automatisch gezieltes UK-Angebot aus. Der Betrieb prüft, ob Marktansprache und Verarbeitung auf Personen im Vereinigten Königreich gerichtet waren, statt nur die Staatsangehörigkeit oder spätere Lieferadresse zu betrachten.

Diese Trennung verbessert Transparenztexte. Statt pauschal „Wir unterliegen GDPR weltweit“ zu behaupten, kann der Verantwortliche erklären, welche Einheit welche Tätigkeit verantwortet und welche Aufsicht oder Kontaktstelle dafür zuständig ist.

Auch Staatsangehörigkeit ist kein Ersatz für Aufenthaltsort und Tätigkeit. Eine britische Staatsbürgerin, die dauerhaft in Australien einkauft, löst nicht allein wegen ihres Passes denselben extraterritorialen Test aus wie eine in London gezielt angesprochene Person. Umgekehrt kann ein französischer Staatsbürger während seines Aufenthalts im Vereinigten Königreich zur relevanten Personengruppe einer dort beobachteten Tätigkeit gehören.

Grenzfälle ohne Abkürzung bearbeiten

Ein britischer Onlineshop liefert nur nach Kanada. Bestellungen, Support und Buchhaltung werden von seiner britischen Gesellschaft geführt. UK GDPR gilt für diese Verarbeitung trotz ausländischer Kunden; kanadische Anforderungen werden zusätzlich geprüft.

Ein US-Anbieter hat keine UK-Niederlassung, schaltet aber Kampagnen für britische Nutzer, nennt GBP-Preise und bietet UK-Lieferung. Diese Tatsachen sprechen für ein gezieltes Angebot. Der Anbieter dokumentiert UK-Reichweite, Vertreterfrage und die betrieblichen UK-GDPR-Pflichten.

Eine französische Softwarefirma hat eine weltweit erreichbare englische Website, keinen UK-Vertrieb und nur eine zufällige britische Registrierung. Bloße Erreichbarkeit und ein einzelner unaufgeforderter Kunde können für Zielrichtung nicht genügen. Die Entscheidung nennt fehlende sowie vorhandene Indikatoren und wird bei Markteintritt erneut geprüft.

Ein britischer Hersteller nutzt einen Anbieter in Indien für Support. Die UK-GDPR-Reichweite folgt zunächst aus der britischen Tätigkeit. Der Zugriff des Supportteams ist danach als mögliche internationale Übermittlung mit Empfänger, Land, Daten und Mechanismus zu prüfen.

Ein EU- und UK-weit tätiger Händler betreibt Teams in London und Berlin. Dieselbe Kundenreise kann sowohl britische als auch EU-Reichweitenfragen auslösen. Eine gemeinsame Prozesskarte ist sinnvoll, doch Aufsicht, Vertreter, Hinweise und Transferwege erhalten getrennte Felder.

Grenzfälle werden mit einem verantwortlichen Entscheider und Prüfanlass abgeschlossen. „Wahrscheinlich nicht“ ohne Tatsachenliste ist keine wiederverwendbare Analyse. Eine neue Kampagne oder lokale Lieferoption öffnet den Fall wieder.

Ein weiterer Grenzfall ist ein Marktplatz, der vom Vereinigten Königreich aus weltweit betrieben wird, während lokale Verkäufer ihre Kundenbeziehungen selbst steuern. Der Plattformbetreiber ordnet jede Verarbeitung einer Rolle zu: Kontoeinrichtung, Betrugsprüfung, Zahlungsvermittlung, Verkäuferkommunikation und Werbung können unterschiedliche Verantwortlichkeiten sowie unterschiedliche Niederlassungsverbindungen haben. Ein einziges Etikett für den gesamten Marktplatz würde diese Tätigkeiten verdecken.

Auch Remote-Arbeit verändert nicht automatisch den Sitz einer Einheit, kann aber neue Zugriffe und stabile geschäftliche Präsenzfragen aufwerfen. Der Betrieb dokumentiert, ob eine Person gelegentlich aus dem Ausland arbeitet oder dort dauerhaft Geschäftstätigkeit mit eigenen Mitteln ausübt. Parallel wird geprüft, ob der Fernzugriff eine internationale Übermittlung erzeugt.

Die Entscheidungsnotiz endet für jeden Grenzfall mit drei Zeilen: Ergebnis, tragende Tatsachen und Kippfaktoren. Dadurch kann ein Vertriebsteam vor einer neuen Kampagne prüfen, ob genau der früher ausgeschlossene Zielindikator nun eingeführt wird.

UK- und EU-Reichweite parallel prüfen

UK GDPR und EU GDPR haben gemeinsame Wurzeln und viele gleiche Betriebspflichten, sind aber getrennte Rechtsregime. Ein Betrieb prüft deshalb beide Reichweiten anhand derselben Tätigkeit, ohne ein Ergebnis automatisch auf die andere Seite zu kopieren.

Die gemeinsame Dokumentation kann Dateninventar, Zwecke, Rechtsgrundlagen, Empfänger, Aufbewahrung und Sicherheitsmaßnahmen wiederverwenden. Unterschiede werden als Ergänzungen geführt. Das vermeidet zwei widersprüchliche Prozessbeschreibungen für denselben Arbeitsablauf.

Vertreterpflichten, zuständige Behörden und internationale Übermittlungen dürfen jedoch nicht aus einem gemeinsamen Etikett abgeleitet werden. Ein UK representative ist keine EU-Vertretung, und eine Entscheidung für einen Transferweg auf einer Seite beantwortet nicht automatisch die andere.

Datenschutzhinweise nennen die tatsächlich verantwortliche Einheit und relevante Kontaktwege. Wenn beide Regime greifen, werden Betroffene nicht mit einer Liste abstrakter Gesetze allein gelassen. Sie sollen erkennen, wer ihre Anfrage bearbeitet und wie der konkrete Vorgang eingeordnet ist.

Für viele kleine britische Betriebe lautet die ehrliche Antwort: Beide Regime können gelten, und der größte Teil der Betriebsdokumentation ist gemeinsam nutzbar. Die verbleibenden Unterschiede brauchen sichtbare Eigentümer statt doppelter, voneinander driftender Handbücher.

Das gemeinsame Kernregister enthält pro Verarbeitung Zweck, Rollen, Daten, Personen, Systeme, Empfänger, Aufbewahrung, Schutz und Rechteweg; daneben stehen zwei schmale Rechts-Spalten für territoriales Ergebnis, Aufsicht, Vertreter, Transferweg und lokale Abweichungen. Ändert sich eine Seite, bleibt der gemeinsame betriebliche Vorgang unverändert erkennbar, während die Rechtsfolge gezielt aktualisiert wird.

Ein Request-Prozess kann ebenfalls einen gemeinsamen Eingang nutzen. Die anfragende Person muss nicht wissen, welches Regime ihre Situation trägt. Intern ordnet der Betrieb Aufenthalt, Beziehung, verantwortliche Einheit und Verarbeitung zu, berechnet einschlägige Fristen und dokumentiert, welche Rechtsroute angewendet wurde. So entstehen keine zwei konkurrierenden Postfächer mit unterschiedlichen Antworten.

Bei Datenschutzverletzungen bleibt die Chronologie ebenfalls gemeinsam, doch Meldeschwellen, zuständige Behörden und Kommunikation werden für jedes relevante Regime getrennt entschieden. Ein einziger technischer Vorfall kann daher mehrere gesetzliche Bewertungen auslösen, ohne dass die technischen Fakten doppelt erhoben werden müssen.

Die Pflege braucht eine Konfliktregel. Wenn britische und EU-Anforderungen auseinanderlaufen, wird die strengere operative Kontrolle nicht still als Rechtsaussage für beide Seiten dargestellt; stattdessen nennt der Datensatz gemeinsame Maßnahme und jeweilige Begründung. Diese Präzision verhindert, dass eine spätere Änderung an einer Seite versehentlich die andere schwächt.

Entscheiden, ob ein UK representative nötig ist

Eine Organisation ohne Niederlassung im Vereinigten Königreich, die wegen Angebot oder Beobachtung unter UK GDPR fällt, muss grundsätzlich schriftlich einen Vertreter im Vereinigten Königreich benennen ¹. Der Vertreter dient als Anlaufstelle für Betroffene und Aufsicht, ersetzt aber nicht die Verantwortung des Unternehmens.

Die Ausnahme ist eng und kumulativ: Die Verarbeitung muss nur gelegentlich sein, darf weder besondere Kategorien noch Daten über strafrechtliche Verurteilungen und Straftaten in großem Umfang einschließen und muss unter Berücksichtigung von Art, Umständen, Umfang und Zwecken voraussichtlich nur ein geringes Risiko verursachen ¹. Fällt ein Element aus, trägt die Ausnahme nicht.

Ein Unternehmen, dessen reguläres Geschäftsmodell britische Kunden bedient, sollte „gelegentlich“ deshalb nicht aus einer kleinen aktuellen Kundenzahl ableiten. Ein dauerhaft angebotenes UK-Produkt bleibt Teil des normalen Modells, auch wenn der Markteintritt erst begonnen hat. Dagegen kann ein wirklich seltener, nicht strategisch wiederkehrender Vorgang anders aussehen; die Akte belegt Frequenz, Planung und tatsächliche Rolle im Geschäft.

Der Vertreter wird in relevanten Informationen genannt und erhält die Unterlagen, die er für seine Kontaktfunktion braucht. Das Unternehmen bleibt für Compliance, Entscheidungen und Reaktion verantwortlich. Ein Mandat darf nicht als Auslagerung der gesetzlichen Pflichten beschrieben werden.

Internationale Übermittlungen erst nach der Reichweite abbilden

Eine internationale Übermittlung ist nicht dasselbe wie ein ausländischer Kunde. Die Prüfung beginnt, wenn personenbezogene Daten an einen Empfänger in einem anderen Land übermittelt oder ihm zugänglich gemacht werden. Kundenadresse, Serverstandort und Supportzugriff können Hinweise sein, werden aber einzeln untersucht.

Der Betrieb zeichnet Exporteur, Empfänger, Rollen, Länder, Datenkategorien, Zwecke, Zugriffsart und Häufigkeit auf. Ein Supportzugang kann eine Übermittlung sein, obwohl Daten auf einem britischen Server bleiben. Umgekehrt erzeugt ein ausländischer Kunde nicht zwingend einen eigenen Transfer, wenn keine personenbezogenen Daten an einen ausländischen Empfänger gehen.

Danach wird der aktuelle rechtliche Mechanismus geprüft: anwendbare Angemessenheit, geeignete Garantien oder eine eng auszulegende Ausnahme. Da Angemessenheitspositionen und Instrumente sich ändern können, nennt der Datensatz Quelle, Fassung, Prüftag und Eigentümer, statt eine Länderliste dauerhaft in eine Richtlinie einzubrennen ^1,2.

Vertrag und technische Schutzmaßnahmen werden gemeinsam gelesen. Verschlüsselung, Schlüsselkontrolle, Zugriffsbeschränkung, Protokollierung und Löschung können Risiken mindern, ersetzen aber nicht den erforderlichen Transfermechanismus. Ebenso garantiert eine Vertragsklausel allein keine tatsächliche Zugriffskontrolle.

Eine wiederverwendbare Reichweitenakte erstellen

Die fertige Akte beginnt mit einer einseitigen Entscheidung und verlinkt auf Belege. Sie nennt juristische Einheit, Niederlassungen, Tätigkeit, Personengruppen, Zielmärkte, UK- und EU-Ergebnis, Vertreter, Aufsicht, Transfers, verantwortliche Rollen und Prüfanlässe ⁴.

Für jede Ja-Verzweigung folgen konkrete Aufgaben. Gilt UK GDPR, werden Verarbeitungsverzeichnis, Rechtsgrundlagen, Hinweise, Rechte, Sicherheit, Aufbewahrung, Dienstleister und Verletzungsprozess abgeglichen. Gilt zusätzlich EU GDPR, werden Abweichungen und Kontaktwege ergänzt. Ist ein Vertreter nötig, erhält das Mandat Eigentümer und Termin.

Für jede Nein-Verzweigung bleibt die Begründung erhalten. Sie nennt Tatsachen, die das Ergebnis tragen, sowie Änderungen, die es kippen würden: lokale Kampagne, neue Lieferzone, Verhaltensprofilierung, Niederlassung oder ausländischer Supportzugriff. Die Akte erhält außerdem einen Geschäftseigentümer, der solche Veränderungen überhaupt sieht; ohne diese Verbindung erfährt die Datenschutzfunktion erst nach dem Start von der Expansion.

Ein neues Land wird nicht nur in der Verkaufsliste ergänzt. Produkt, Marketing, Vertrag, Zahlung, Support, Hosting und Dienstleister prüfen gemeinsam, ob sich Zielrichtung, verantwortliche Einheit oder Datenzugriff ändert. Die Reichweitenakte wird vor dem Start aktualisiert.

Die Akte vermeidet zwei verbreitete Kurzschlüsse: „Alle Kunden sind im Ausland, also gilt UK GDPR nicht“ und „GDPR gilt überall gleich“. Die belastbare Antwort ist genauer: Tätigkeiten bestimmen Reichweite, mehrere Regime können parallel gelten, und Transfers werden erst danach entlang realer Datenzugriffe entschieden.

Zur Freigabe gehört ein kurzer Kontrolllauf mit einem echten Kundenprozess. Das Team verfolgt Registrierung, Bestellung, Zahlung, Lieferung, Support und Aufbewahrung durch die beteiligten Einheiten und Systeme. Jede Übergabe wird gegen die Reichweitenakte geprüft. Taucht ein nicht erfasster Auslandszugriff auf, wird er vor dem Start bewertet statt nachträglich in eine pauschale Vertragsklausel eingeordnet.

Die Akte besitzt keine anonyme Sammelverantwortung. Vertrieb meldet neue Zielmärkte, Produkt neue Beobachtungsfunktionen, IT neue Hosting- oder Supportorte und Unternehmensleitung neue Niederlassungen. Eine benannte Datenschutzrolle führt diese Signale zusammen und entscheidet, welche Abschnitte erneut geöffnet werden.

Ein einfacher Änderungsfragebogen genügt: Sprechen wir Personen in einem neuen Land gezielt an, beobachten wir dort Verhalten, ändert sich die verantwortliche Einheit, entsteht eine stabile Präsenz, erhält ein neuer ausländischer Empfänger Zugriff, oder ändert sich das Risiko; jede Ja-Antwort verweist auf die konkrete Teilprüfung.

Die Entscheidung wird nicht nur abgelegt, sondern in Beschaffung und Launch eingebaut. Verträge mit Dienstleistern warten auf Rollen- und Transferklärung; Kampagnen warten auf Zielrichtungsprüfung; Datenschutzhinweise warten auf die bestätigte verantwortliche Einheit. Diese Reihenfolge macht die Reichweitenakte zu einer Betriebskontrolle statt zu einem nachträglichen Gutachten.

Mindestens einmal jährlich und bei jedem Kippfaktor bestätigt der Eigentümer, dass Tatsachen und Belege noch stimmen. Die Prüfung ersetzt keine laufende Änderungserkennung, fängt aber stille Drift auf, etwa eine UK-Lieferoption, die ein Team vor Monaten im Shop aktiviert hat.