Die extraterritoriale Reichweite der DSGVO: Warum globale Unternehmen sich daran halten müssen

7. Juli 2026 · 14 Min. Lesezeit

Kurzantwort: Die DSGVO gilt für jede Organisation weltweit, die personenbezogene Daten von Personen mit Wohnsitz in der EU verarbeitet, unabhängig davon, wo diese Organisation ihren Sitz hat. Ein Unternehmen in Kalifornien, Singapur oder Brasilien ohne EU-Niederlassung kann dennoch vollständig der DSGVO unterliegen, wenn es EU-Bürger anspricht oder deren Verhalten überwacht. Nichteinhaltung kann zu Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes führen, je nachdem, welcher Betrag höher ist.

Wichtigste Erkenntnisse

Der extraterritoriale Geltungsbereich der DSGVO wird durch Artikel 3 definiert, der die Compliance-Verpflichtungen auf jede Organisation ausdehnt, die Daten von EU-Bürgern verarbeitet, unabhängig vom Standort der Organisation.
Es gibt zwei primäre Auslöser: das Anbieten von Waren oder Dienstleistungen für EU-Bürger oder die Überwachung ihres Verhaltens innerhalb der EU.
Bußgelder für Verstöße können 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes erreichen, und EU-Datenschutzbehörden haben Durchsetzungsmaßnahmen gegen Nicht-EU-Unternehmen ergriffen. [1][4]
Nicht-EU-Unternehmen, die der DSGVO unterliegen, müssen in der Regel einen in der EU ansässigen Vertreter als Ansprechpartner für Aufsichtsbehörden benennen. [3]
Internationale Datenübertragungen erfordern genehmigte Mechanismen wie Standardvertragsklauseln (SCCs) oder Angemessenheitsbeschlüsse.
Die DSGVO hat Gesetze wie den CCPA direkt beeinflusst und signalisiert eine globale Verschiebung hin zu strengeren Datenschutzstandards. [2]
Kleine Unternehmen außerhalb Europas sind nicht automatisch ausgenommen; Umfang und Datentyp bestimmen, ob Ausnahmen gelten.
Die Strukturierung der Datenverarbeitung für die globale DSGVO-Konformität ist für multinationale Organisationen oft der praktischste Ansatz. [8]

Was bedeutet extraterritoriale Reichweite für die DSGVO-Konformität?

Die extraterritoriale Reichweite der DSGVO bedeutet, dass die Verordnung Datenverarbeitungsaktivitäten regelt, die außerhalb der EU-Grenzen stattfinden, wenn personenbezogene Daten von EU-Bürgern betroffen sind. Artikel 3 der DSGVO dehnt ihre Anwendbarkeit ausdrücklich auf Organisationen außerhalb der EU aus, die personenbezogene Daten von Personen in der EU verarbeiten, um einen konsistenten Datenschutz unabhängig vom Standort der Organisation zu gewährleisten. [6]

Dies ist eine bewusste Designentscheidung. Die Position der EU ist, dass die Rechte ihrer Bürger nicht einfach deshalb gemindert werden sollten, weil ein Unternehmen sich entscheidet, sich anderswo niederzulassen. Für globale Unternehmen bedeutet dies, dass die DSGVO-Konformität nicht allein aufgrund der Geografie optional ist.

Was dies in der Praxis bedeutet:

Eine US-E-Commerce-Website, die an französische Kunden verkauft, muss die Vorschriften einhalten.
Eine kanadische SaaS-Plattform, die das Surfverhalten deutscher Nutzer verfolgt, muss die Vorschriften einhalten.
Eine australische Analysefirma, die Profile von britischen Einwohnern erstellt, muss die Vorschriften einhalten.

Gilt die DSGVO für Unternehmen außerhalb der EU?

Ja. Die DSGVO gilt für Unternehmen außerhalb der EU unter zwei unterschiedlichen Bedingungen, die in Artikel 3 Absatz 2 festgelegt sind: wenn die Organisation Waren oder Dienstleistungen für Personen in der EU anbietet (auch kostenlose Dienste) oder wenn sie das Verhalten von Personen innerhalb der EU überwacht. [6]

Eine physische Präsenz in der EU ist irrelevant. Ein Unternehmen ohne EU-Büro, ohne EU-Mitarbeiter und ohne EU-Bankkonto kann dennoch vollständig in den Geltungsbereich der DSGVO fallen, wenn es eine Website betreibt, die für EU-Nutzer zugänglich ist, und Tracking-Cookies oder Verhaltensanalysen für diese verwendet. [1]

Häufiger Fehler: Die Annahme, dass ein Unternehmen, das nicht aktiv an EU-Kunden vermarktet, von der DSGVO ausgenommen ist. Wenn EU-Bürger den Dienst nutzen können und ihre Daten verarbeitet werden, ist die Frage der Compliance immer noch relevant.

Welche Länder sind von den DSGVO-Vorschriften betroffen?

Die DSGVO gilt innerhalb der 27 EU-Mitgliedstaaten plus der drei EWR-Länder: Island, Liechtenstein und Norwegen. Nach dem Brexit operiert das Vereinigte Königreich unter der UK-DSGVO, einem nahezu identischen Rahmenwerk, sodass Unternehmen, die britische Einwohner bedienen, parallelen Verpflichtungen unterliegen.

Über die Geografie hinaus erstreckt sich die Reichweite der Verordnung global auf jede Organisation, die Daten von EU-/EWR-Bürgern verarbeitet. Das bedeutet, dass Unternehmen in den Vereinigten Staaten, Indien, China, Brasilien, Australien und jeder anderen Gerichtsbarkeit potenziell den DSGVO-Verpflichtungen unterliegen, wenn sie personenbezogene Daten aus der EU verarbeiten. [4]

Wie gilt die DSGVO für US-Unternehmen, die EU-Daten verarbeiten?

US-Unternehmen, die personenbezogene Daten von Personen mit Wohnsitz in der EU erheben, verarbeiten oder überwachen, unterliegen der DSGVO, einschließlich Unternehmen ohne physische Präsenz in der EU, die über Online-Plattformen mit EU-Bürgern interagieren. [4]

Für US-Unternehmen umfassen die praktischen Compliance-Anforderungen:

Benennung eines EU-Vertreters (es sei denn, es liegt eine enge Ausnahme vor), der als Kontaktstelle für EU-Aufsichtsbehörden und betroffene Personen dient. [3]
Festlegung einer Rechtsgrundlage für die Verarbeitung personenbezogener Daten aus der EU (Einwilligung, berechtigtes Interesse, Vertrag usw.).
Implementierung von Prozessen für die Rechte betroffener Personen, einschließlich der Bearbeitung von Anträgen auf Auskunft (DSARs) innerhalb der vorgeschriebenen Frist.
Verwendung genehmigter Übertragungsmechanismen für die Übermittlung personenbezogener Daten aus der EU an US-Server, wie z. B. Standardvertragsklauseln (SCCs).

Das Schrems-II-Urteil bekräftigte, dass US-Unternehmen ausländische Überwachungsgesetze bewerten und einen angemessenen Schutz für international übermittelte personenbezogene Daten aus der EU gewährleisten müssen. [7]

Was löst die DSGVO-Konformität für globale Unternehmen aus?

Zwei Verhaltensauslöser bestimmen, ob eine Nicht-EU-Organisation die DSGVO einhalten muss. Erstens das Anbieten von Waren oder Dienstleistungen für EU-Bürger, auch kostenlos. Zweitens die Überwachung des Verhaltens von Personen innerhalb der EU, wozu Tracking-Cookies, Verhaltensprofiling und standortbasierte Analysen gehören. [6]

Entscheidungsregel: Wenn Ihre Organisation eine der folgenden Handlungen vornimmt, ist die DSGVO-Konformität erforderlich:

Akzeptiert Bestellungen oder Registrierungen von EU-basierten Nutzern
Zeigt Preise in Euro an oder verweist auf EU-spezifische Aktionen
Verwendet Analysetools, die das Nutzerverhalten über EU-IP-Adressen hinweg verfolgen
Führt Retargeting-Kampagnen durch, die auf EU-Zielgruppen abzielen
Verarbeitet Mitarbeiterdaten für in der EU ansässiges Personal

DSGVO vs. CCPA: Welches gilt für Ihr Unternehmen?

Sowohl die DSGVO als auch der CCPA können gleichzeitig für dasselbe Unternehmen gelten. Die DSGVO gilt basierend auf dem Standort der betroffenen Personen (EU-/EWR-Bürger). Der CCPA gilt basierend auf dem Standort der Verbraucher (Einwohner Kaliforniens) und ob das Unternehmen bestimmte Umsatz- oder Datenvolumenschwellen erreicht.

Kriterium	DSGVO	CCPA
Geografischer Geltungsbereich	EU-/EWR-Bürger weltweit	Einwohner Kaliforniens
Schwellenwert für Unternehmensgröße	Keiner (Größe beeinflusst das Risiko)	Umsatz oder Datenvolumen
Max. Bußgeld	20 Mio. € oder 4 % des weltweiten Umsatzes	Bis zu 7.500 $ pro vorsätzlichem Verstoß
Einwilligungsmodell	Opt-in (im Allgemeinen)	Opt-out (im Allgemeinen)
Durchsetzungsbehörde	Nationale Datenschutzbehörden	California AG / CPPA

Die DSGVO hat ähnliche Datenschutzgesetze weltweit inspiriert, einschließlich des CCPA, was auf eine globale Verschiebung hin zu strengen Datenschutzstandards hindeutet. [2] Ein Unternehmen, das sowohl EU- als auch kalifornische Einwohner bedient, muss beide Rahmenwerke erfüllen, was oft bedeutet, sich am strengeren Standard (DSGVO) zu orientieren und diesen umfassend anzuwenden.

Kann ein Unternehmen die DSGVO ignorieren, wenn es keine EU-Büros hat?

Nein. Das Fehlen von EU-Büros, EU-Mitarbeitern oder EU-Rechtspersönlichkeiten befreit ein Unternehmen nicht von der DSGVO. Artikel 3 stellt klar, dass die Verordnung auf dem Standort der betroffenen Personen basiert und nicht auf dem Standort des Verantwortlichen oder Auftragsverarbeiters. [6]

EU-Datenschutzbehörden haben Durchsetzungsmaßnahmen gegen Nicht-EU-Unternehmen wegen DSGVO-Verstößen ergriffen, was die tatsächliche globale Durchsetzungsreichweite der Verordnung demonstriert. [4] Obwohl die Durchsetzung gegen ein Unternehmen ohne EU-Präsenz logistisch komplexer ist, ist sie nicht unmöglich, insbesondere wenn das Unternehmen EU-Kunden, EU-Umsätze oder EU-orientierte digitale Assets hat, die ins Visier genommen werden können.

Was passiert, wenn Sie als Nicht-EU-Unternehmen gegen die DSGVO verstoßen?

Die Nichteinhaltung der DSGVO kann zu Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens führen, je nachdem, welcher Betrag höher ist. [2] Über finanzielle Strafen hinaus können Verstöße zu Folgendem führen:

Anordnungen zur Einstellung der Verarbeitung personenbezogener Daten aus der EU (was den Zugang zum EU-Markt effektiv blockieren kann)
Obligatorische Prüfungen durch Aufsichtsbehörden
Reputationsschäden und Verlust des Kundenvertrauens
Zivilrechtliche Klagen von betroffenen Personen

Für ein Nicht-EU-Unternehmen erfolgt der Durchsetzungsweg typischerweise über den benannten EU-Vertreter oder über die Aufsichtsbehörde in dem EU-Mitgliedstaat, in dem die meisten EU-Betroffenen des Unternehmens ansässig sind.

Woher weiß ich, ob mein Unternehmen die DSGVO einhalten muss?

Ein Unternehmen muss die DSGVO einhalten, wenn es personenbezogene Daten von Personen mit Wohnsitz in der EU verarbeitet und entweder den in Artikel 3 Absatz 2 beschriebenen Auslöser „Anbieten“ oder „Überwachen“ erfüllt. [6]

Schnelle Selbsteinschätzung:

Akzeptiert Ihre Website oder App Registrierungen von EU-Nutzern?
Verwenden Sie Cookies, Pixel oder Analysetools, die Daten von EU-Nutzern verarbeiten?
Versenden Sie Marketing-E-Mails an Kontakte in der EU?
Beschäftigen Sie Mitarbeiter in EU-Mitgliedstaaten?
Verarbeiten Sie Zahlungsdaten von EU-Kunden?

Wenn die Antwort auf eine dieser Fragen ja lautet, gelten die DSGVO-Compliance-Verpflichtungen. Eine Consent Management Platform wie Biscotti CMP kann Organisationen dabei helfen, die Cookie-Einwilligung und die Präferenzen der betroffenen Personen auf ihren digitalen Eigenschaften DSGVO-konform zu verwalten.

Gilt die DSGVO für kleine Unternehmen außerhalb Europas?

Die DSGVO gilt für kleine Unternehmen außerhalb Europas, wenn sie personenbezogene Daten von EU-Bürgern verarbeiten und die Verhaltensauslöser erfüllen. Es gibt keine pauschale Ausnahme für kleine Unternehmen aufgrund der Unternehmensgröße oder des Umsatzes.

Allerdings enthält die DSGVO eine begrenzte Ausnahme von der Pflicht zur Benennung eines EU-Vertreters für Organisationen, deren Verarbeitung gelegentlich erfolgt, keine groß angelegte Verarbeitung sensibler Daten umfasst und wahrscheinlich kein Risiko für die Rechte und Freiheiten von Personen darstellt. [3] Dies ist eine enge Ausnahme, keine allgemeine Befreiung von der Compliance.

Ein kleiner Blog mit einer Handvoll EU-Abonnenten fällt technisch in den Geltungsbereich, obwohl die Durchsetzungspriorität natürlich auf Datenverarbeiter mit höherem Risiko und höherem Volumen gerichtet ist.

Wie man die Datenverarbeitung für die globale DSGVO-Konformität strukturiert

Viele Nicht-EU-Organisationen haben DSGVO-konforme Praktiken in allen Geschäftsbereichen eingeführt, selbst wenn nur ein Teil ihres Geschäfts EU-Bürger betrifft, da der Aufbau separater Datenpipelines nach Gerichtsbarkeit betrieblich teuer ist. [8]

Praktische Schritte für eine globale DSGVO-konforme Datenverarbeitung:

Führen Sie eine Datenmapping-Übung durch, um zu identifizieren, welche personenbezogenen Daten gesammelt, wo sie gespeichert und wie sie über Systeme hinweg fließen.
Etablieren Sie rechtmäßige Grundlagen für jede Verarbeitungsaktivität, die personenbezogene Daten aus der EU betrifft.
Implementieren Sie eine Consent Management Lösung für die Cookie- und Tracking-Einwilligung auf digitalen Eigenschaften.
Erstellen Sie einen DSAR-Antwortprozess, damit EU-Bürger ihre Rechte (Auskunft, Löschung, Datenübertragbarkeit) innerhalb der vorgeschriebenen Fristen ausüben können. [5]
Führen Sie Standardvertragsklauseln aus für alle internationalen Datenübertragungen in Länder ohne EU-Angemessenheitsbeschlüsse. [7]
Benennen Sie einen EU-Vertreter, falls gemäß Artikel 27 erforderlich.
Überprüfen und aktualisieren Sie Ihre Datenschutzerklärung, um die Transparenzanforderungen der DSGVO zu erfüllen.
Schulen Sie relevante Mitarbeiter in Bezug auf Datenverarbeitungspflichten und Verfahren zur Meldung von Datenschutzverletzungen.

Was sind häufige Fehler, die Unternehmen bei den extraterritorialen DSGVO-Regeln machen?

Nicht-EU-Unternehmen sehen sich wiederkehrenden Compliance-Mängeln gegenüber, die sie einem Durchsetzungsrisiko aussetzen. [5]

Annahme, dass physische Abwesenheit rechtliche Abwesenheit bedeutet: Der häufigste und kostspieligste Fehler. Der Geltungsbereich der DSGVO wird durch den Standort der betroffenen Person bestimmt, nicht durch den Standort des Unternehmens.
Versäumnis, einen EU-Vertreter zu benennen: Viele Nicht-EU-Unternehmen, die der DSGVO unterliegen, übersehen diese Anforderung vollständig.
Verlassen auf veraltete Übertragungsmechanismen: Nach Schrems II ist der Privacy Shield ungültig. Unternehmen, die sich immer noch darauf verlassen, sind nicht konform.
Ignorieren von DSARs von EU-Bürgern: Das Versäumnis, auf Anfragen betroffener Personen innerhalb des vorgeschriebenen Monats zu antworten, ist ein direkter DSGVO-Verstoß.
Behandlung der Einwilligung als Kontrollkästchen: Die Einwilligung nach der DSGVO muss freiwillig, spezifisch, informiert und unmissverständlich erteilt werden. Vorangekreuzte Kästchen und gebündelte Einwilligungen sind nicht konform.

Was ist der Unterschied zwischen der DSGVO und lokalen Datenschutzgesetzen?

Die DSGVO ist ein umfassendes, rechtebasiertes Rahmenwerk, das einen hohen Standard für den Datenschutz in allen Sektoren setzt. Lokale Datenschutzgesetze, wie Brasiliens LGPD, Indiens DPDP Act oder Japans APPI, teilen viele Prinzipien der DSGVO, unterscheiden sich jedoch in Umfang, Durchsetzungsmechanismen und spezifischen Anforderungen.

Wesentliche Unterschiede:

Territorialer Geltungsbereich: Die DSGVO gilt extraterritorial basierend auf dem Standort der betroffenen Person. Viele lokale Gesetze gelten primär innerhalb ihrer eigenen Gerichtsbarkeit.
Einwilligungsstandards: Die DSGVO erfordert im Allgemeinen eine Opt-in-Einwilligung für nicht-essenzielle Verarbeitung. Einige lokale Gesetze erlauben Opt-out-Modelle.
Durchsetzung: Die Bußgeldstruktur der DSGVO (bis zu 4 % des weltweiten Umsatzes) gehört zu den strengsten weltweit. [2]
Sektoral vs. Omnibus: Die USA haben kein föderales Omnibus-Gesetz; sektorspezifische Gesetze (HIPAA, COPPA) existieren neben staatlichen Gesetzen wie dem CCPA. Die DSGVO ist eine einzige Omnibus-Verordnung.

Für globale Unternehmen dient die DSGVO-Konformität oft als De-facto-Grundlage, da die Erfüllung ihrer Anforderungen viele Verpflichtungen unter weniger strengen lokalen Rahmenwerken erfüllt.

Fazit

Die extraterritoriale Reichweite der DSGVO: Warum globale Unternehmen sich daran halten müssen, ist keine abstrakte juristische Debatte. Es ist eine operative Realität, die jede Organisation betrifft, die personenbezogene Daten von EU-Bürgern verarbeitet, unabhängig davon, wo diese Organisation gegründet oder ihren Hauptsitz hat. Die Compliance-Auslöser sind klar, die Strafen sind erheblich, und die Durchsetzung hat sich über die EU-Grenzen hinaus erstreckt.

Umsetzbare nächste Schritte für 2026:

Überprüfen Sie Ihre Datenflüsse, um zu bestätigen, ob personenbezogene Daten aus der EU in Ihren Systemen verarbeitet werden.
Stellen Sie sicher, dass Ihre Cookie-Einwilligungs- und Tracking-Praktiken dem Opt-in-Standard der DSGVO entsprechen, indem Sie ein konformes Tool wie Biscotti CMP verwenden.
Überprüfen Sie Ihre internationalen Datenübertragungsvereinbarungen und bestätigen Sie, dass SCCs dort vorhanden sind, wo sie erforderlich sind.
Benennen Sie einen EU-Vertreter, wenn Ihre Organisation die Schwelle erreicht.
Erstellen oder überprüfen Sie Ihren DSAR-Antwortprozess, um eine zeitnahe Einhaltung zu gewährleisten.

Die Integration der DSGVO-Konformität in globale Datenoperationen ist nicht nur eine rechtliche Verpflichtung; es ist zunehmend ein Wettbewerbssignal, dass eine Organisation den Datenschutz ernst nimmt.

FAQ

Gilt die DSGVO, wenn mein Unternehmen absichtlich keine EU-Kunden hat? Wenn EU-Bürger auf Ihren Dienst zugreifen können und ihre Daten verarbeitet werden, befreit das Fehlen einer gezielten Ansprache Sie nicht automatisch. Aufsichtsbehörden bewerten tatsächliche Datenflüsse, nicht die Marketingabsicht.

Was ist ein EU-Vertreter nach der DSGVO? Ein EU-Vertreter ist eine in der EU ansässige Person oder Organisation, die als Ansprechpartner für Datenschutzbehörden und EU-Betroffene im Namen eines Nicht-EU-Unternehmens fungiert, das der DSGVO unterliegt. [3]

Gibt es Ausnahmen von der DSGVO für Nicht-EU-Unternehmen? Die Anforderung an den EU-Vertreter hat eine enge Ausnahme für gelegentliche, risikoarme Verarbeitungen. Es gibt jedoch keine pauschale Ausnahme von der DSGVO-Konformität selbst aufgrund der Unternehmensgröße oder des Nicht-EU-Standorts.

Was sind Standardvertragsklauseln (SCCs)? SCCs sind von der Europäischen Kommission vorab genehmigte Vertragsbedingungen, die einen rechtlichen Mechanismus für die Übermittlung personenbezogener Daten aus der EU in Länder ohne Angemessenheitsbeschluss bieten. [7]

Wie lange hat ein Unternehmen Zeit, auf einen DSAR zu antworten? Nach der DSGVO müssen Organisationen innerhalb eines Kalendermonats auf einen Antrag auf Auskunft (Data Subject Access Request) antworten, der in komplexen Fällen mit Benachrichtigung des Antragstellers um zwei weitere Monate verlängert werden kann. [5]

Können EU-Datenschutzbehörden ein Unternehmen außerhalb der EU mit einer Geldstrafe belegen? Ja. Obwohl die Durchsetzung für Unternehmen ohne EU-Präsenz komplexer ist, haben Datenschutzbehörden Maßnahmen gegen Nicht-EU-Unternehmen ergriffen, insbesondere gegen solche mit EU-orientierten Diensten oder EU-Umsatzströmen. [4]

Ist die DSGVO-Konformität ein einmaliges Projekt? Nein. Die DSGVO-Konformität ist eine fortlaufende Verpflichtung. Datenflüsse ändern sich, neue Verarbeitungsaktivitäten werden eingeführt und regulatorische Leitlinien entwickeln sich weiter. Regelmäßige Audits und Aktualisierungen sind erforderlich.

Was ist der Unterschied zwischen einem Datenverantwortlichen und einem Datenverarbeiter nach der DSGVO? Ein Datenverantwortlicher bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten. Ein Datenverarbeiter verarbeitet Daten im Auftrag eines Verantwortlichen. Beide können DSGVO-Verpflichtungen haben, und Nicht-EU-Einheiten können beides sein.

Interaktiver DSGVO-Compliance-Checker

Referenzen

[1] DSGVO für US-Unternehmen - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/eu-data-privacy-laws/gdpr-for-us-companies/?utm_source=openai

[2] Internationale Datenschutzgesetze Rechte und Compliance - https://legalclarity.org/international-data-privacy-laws-rights-and-compliance/?utm_source=openai

[3] Globale Datenschutzverordnung Schlüsselregeln und Strafen - https://legalclarity.org/global-data-privacy-regulation-key-rules-and-penalties/?utm_source=openai

[4] DSGVO-Konformität für US-Unternehmen - https://www.igdpr.eu/en/gdpr-compliance-for-us-companies/?utm_source=openai

[5] Bewertung der Auswirkungen der DSGVO auf die DSAR-Konformität für Nicht-EU-Unternehmen - https://www.gdpr-advisor.com/assessing-the-impact-of-gdpr-on-dsar-compliance-for-non-eu-companies/?utm_source=openai

[6] Warum gilt die DSGVO außerhalb der EU - https://www.cyberly.org/en/why-does-gdpr-apply-outside-the-eu/index.html?utm_source=openai

[7] Wie die DSGVO die globale Branchenkonformität beeinflusst - https://www.cyberly.org/en/how-does-gdpr-affect-global-industry-compliance/index.html?utm_source=openai

[8] Wie die DSGVO globale Datenschutzrichtlinien über die EU hinaus prägt - https://www.gdpr-advisor.com/how-gdpr-is-shaping-global-data-protection-policies-beyond-the-eu/?utm_source=openai