Wann gilt die DSGVO für ein Unternehmen außerhalb der EU?
Wenn Ihre Verarbeitung auf Personen in der Union zielt. Artikel 3 Absatz 2 der Datenschutz-Grundverordnung (DSGVO), Verordnung (EU) 2016/679, Stand: Oktober 2026, wendet sie auf einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter an, der Daten von Personen in der Union verarbeitet, wenn die Verarbeitung damit zusammenhängt, ihnen Waren oder Dienstleistungen anzubieten, entgeltlich oder nicht, oder ihr Verhalten dort zu beobachten.
In der Union niedergelassen oder nicht
Die erste Prüfung gilt Artikel 3 Absatz 1: Erfasst ist die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union. Eine Niederlassung setzt die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus, ob Zweigstelle oder Tochtergesellschaft (Erwägungsgrund 22). Ein Unternehmen mit einer französischen Tochtergesellschaft oder Zweigniederlassung (beide Wege vergleicht der Leitfaden zur Unternehmensgründung in Frankreich) unterliegt der DSGVO über diese Niederlassung; Artikel 3 Absatz 2 betrifft es nicht.
Waren oder Dienstleistungen anbieten, entgeltlich oder nicht
Artikel 3 Absatz 2 Buchstabe a gilt „unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist“: Eine App, die nichts kostet, zählt ebenso wie ein Onlineshop. Der Europäische Datenschutzausschuss (EDSA, englisch EDPB) ergänzt in seinen Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO, Version 2.1, angenommen am 12. November 2019, Stand: Oktober 2026, dass die Staatsangehörigkeit keine Rolle spielt und dass die Bestimmung auf Tätigkeiten abhebt, „die absichtlich und nicht unabsichtlich oder zufällig auf Personen in der EU zielen“.
Eine Website, die von der Union aus bloß zugänglich ist, eine E-Mail-Adresse oder die Sprache Ihres eigenen Landes genügen nicht (Erwägungsgrund 23). Zu den Faktoren, die der EDSA heranzieht, gegebenenfalls in Kombination, gehören:
- die Nennung der Union oder eines Mitgliedstaats im Zusammenhang mit den Waren oder Dienstleistungen;
- bezahlte Suchmaschinenwerbung oder Werbung, die sich an ein Publikum in einem EU-Land richtet;
- eine Sprache oder Währung eines Mitgliedstaats, die nicht die Ihres eigenen Landes ist;
- eine Domain wie „.de“ oder „.eu“ oder die Lieferung von Waren in Mitgliedstaaten.
Verhalten in der Union beobachten
Artikel 3 Absatz 2 Buchstabe b erfasst die Beobachtung von Verhalten, das in der Union erfolgt. Erwägungsgrund 24 verweist auf die Nachverfolgung im Internet, einschließlich Profiling. Der EDSA nennt verhaltensbezogene Werbung, Geolokalisierung zu Marketingzwecken, Tracking über Cookies oder Fingerprinting und Online-Gesundheitsanalysen.
Was verlangt Artikel 27?
Einen schriftlich benannten Vertreter in der Union. Nach Artikel 27 Absatz 1 DSGVO benennt der Verantwortliche oder der Auftragsverarbeiter in den Fällen des Artikels 3 Absatz 2 schriftlich einen Vertreter in der Union. Ein Unternehmen, das dies unterlässt, „würde daher gegen die Verordnung verstoßen“, fügt der EDSA hinzu.
Wer Ihr Vertreter sein kann
Jede „in der Union niedergelassene natürliche oder juristische Person“, die schriftlich benannt ist, um Sie in Bezug auf Ihre Pflichten aus der DSGVO zu vertreten (Artikel 4 Nr. 17). Der EDSA nennt Anwaltskanzleien, Beratungsfirmen und Privatunternehmen, auf Grundlage eines Dienstleistungsvertrags, und empfiehlt eine einzelne Person als federführende Kontaktperson, wenn eine Organisation die Funktion übernimmt.
In welchem Mitgliedstaat
In einem der Mitgliedstaaten, in denen sich die Personen befinden, deren Daten Sie für Ihr Angebot oder Ihre Beobachtung verarbeiten (Artikel 27 Absatz 3). Befindet sich ein erheblicher Teil von ihnen in einem Mitgliedstaat, empfiehlt der EDSA als bewährtes Verfahren einen dort niedergelassenen Vertreter, der für Personen anderswo leicht erreichbar ist. Wo Ihre Server stehen, spielt keine Rolle, und ein einziger Vertreter deckt Ihre gesamte Verarbeitung ab, die unter Artikel 3 Absatz 2 fällt.
Ein Vertreter in London erfüllt Artikel 27 nicht; das Vereinigte Königreich hat eine eigene Regel. Nach Angaben des ICO, der britischen Datenschutzaufsichtsbehörde, muss ein Unternehmen mit Sitz außerhalb des Vereinigten Königreichs und ohne Niederlassung dort, das Personen im Vereinigten Königreich Waren oder Dienstleistungen anbietet oder sie beobachtet, einen Vertreter im Vereinigten Königreich bestellen (zuletzt aktualisiert am 15. Januar 2026, Stand: Oktober 2026).
Auch Auftragsverarbeiter sind erfasst
Artikel 27 Absatz 1 nennt den Verantwortlichen oder den Auftragsverarbeiter. Zielt ein Verantwortlicher auf Personen in der Union, gilt nach Auffassung des EDSA, dass „jeder Auftragsverarbeiter, der beauftragt ist, die betreffende Verarbeitung im Namen des Verantwortlichen durchzuführen, gemäß Artikel 3 Absatz 2 in Bezug auf diese Verarbeitung in den Anwendungsbereich der DSGVO fällt“. Ein Dienstleister, der für in der Union niedergelassene Kunden arbeitet, ist nach den Leitlinien mittelbar gebunden, über den Vertrag nach Artikel 28: das Thema des Leitfadens zum Auftragsverarbeitungsvertrag.
Wann können Sie auf einen Vertreter verzichten?
Nur in zwei Fällen. Artikel 27 Absatz 2 nimmt eine Verarbeitung aus, die gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten einschließt und voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; außerdem nimmt er Behörden und öffentliche Stellen aus.
Eine Niederlassung in der Union nimmt Sie aus Artikel 27 heraus: Die DSGVO gilt dann über Artikel 3 Absatz 1. Ohne Niederlassung gilt: Kein Angebot und keine Beobachtung in der Union bedeutet, dass die DSGVO auf dieser Grundlage nicht anwendbar ist. Liegt eines von beiden vor, steht nur die Ausnahme zwischen Ihnen und einem Vertreter in einem Mitgliedstaat, in dem Ihre Nutzer sind.
Drei Voraussetzungen, alle zugleich
- Gelegentlich. Nur wenn die Verarbeitung „nicht regelmäßig stattfindet und außerhalb der regulären Geschäftstätigkeit oder Tätigkeit des Verantwortlichen oder des Auftragsverarbeiters erfolgt“, so der EDSA.
- Keine umfangreichen sensiblen oder strafrechtlichen Daten. Gemeint sind die Daten der Artikel 9 Absatz 1 und 10, etwa Gesundheitsdaten; der Umfang bemisst sich nach der Zahl der Personen, dem Datenvolumen, der Dauer und der geografischen Ausdehnung.
- Voraussichtlich kein Risiko. Jedes Risiko, betont der EDSA, nicht nur ein hohes.
Nach dieser Lesart sind Verkäufe in die Union im Rahmen Ihrer normalen Tätigkeit nicht gelegentlich. Ob eine Stelle außerhalb der Union unter die zweite Ausnahme fällt, Behörden oder öffentliche Stellen (Artikel 27 Absatz 2 Buchstabe b), bewerten nach dem EDSA die Aufsichtsbehörden im konkreten Einzelfall, wobei sich der Begriff nach nationalem Recht bestimmt.
Ihre Situation, am Text gemessen
| Ihre Situation | Vertreter erforderlich? | Warum |
|---|---|---|
| US-Onlineshop mit Lieferung nach Frankreich, französischer Website und Preisen in Euro | Ja | Lieferung, Sprache und Währung zeigen das Angebot (EDSA, Beispiel 14); regelmäßige Verkäufe sind nicht gelegentlich |
| App-Entwickler außerhalb der EU, der den Standort von Nutzern in der Union für Werbung nutzt | Ja | Geolokalisierung zu Marketingzwecken ist Beobachtung nach Artikel 3 Absatz 2 Buchstabe b (EDSA, Beispiel 9), und sie ist regelmäßig |
| SaaS-Unternehmen außerhalb der EU, das Abonnements an französische Unternehmen in Euro verkauft | Prüfen, Tätigkeit für Tätigkeit | Eigene Kundenkonten und Marketing weisen auf Artikel 3 Absatz 2 Buchstabe a; bei gehosteten Kundendaten schauen die Leitlinien zuerst auf die Niederlassung des Kunden |
| Beratungsunternehmen außerhalb der EU mit einigen französischen Geschäftskunden | Prüfen | Die Leitlinien enthalten kein Beispiel für Dienstleistungen an Unternehmen; gilt Artikel 3 Absatz 2, ist regelmäßige Arbeit für Kunden nicht gelegentlich |
| US-Unternehmen, das seinen Beschäftigten Kosten einer Geschäftsreise in Frankreich erstattet | Nein, auf dieser Grundlage | Die Personalverarbeitung eines Arbeitgebers ist kein Angebot von Dienstleistungen (EDSA, Beispiel 13) |
| Unternehmen mit Tochtergesellschaft oder Zweigniederlassung in Frankreich | Kein Vertreter nach Artikel 27 | Die DSGVO gilt über Artikel 3 Absatz 1 für die Verarbeitung im Rahmen dieser Niederlassung |
Was tut der Vertreter?
Er ist Ihre Anschrift in der Union. Nach Artikel 27 Absatz 4 dient er Aufsichtsbehörden und betroffenen Personen „zusätzlich zu diesem oder an seiner Stelle“, also neben oder anstelle des Verantwortlichen oder Auftragsverarbeiters, als Anlaufstelle, und zwar „bei sämtlichen Fragen im Zusammenhang mit der Verarbeitung“.
| Aufgabe | Was das bedeutet | Artikel der DSGVO |
|---|---|---|
| Anlaufstelle | Behörden und betroffene Personen können sich statt an Sie an ihn wenden | Artikel 27 Absatz 4 |
| Verzeichnis von Verarbeitungstätigkeiten | Er führt das Verzeichnis und stellt es der Behörde auf Anfrage zur Verfügung | Artikel 30 Absatz 1, 2 und 4 |
| Zusammenarbeit | Er arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen | Artikel 31 |
| Anordnungen zur Auskunft | Die Behörde kann ihn anweisen, alle Informationen bereitzustellen, die sie benötigt | Artikel 58 Absatz 1 Buchstabe a |
Das Verzeichnis von Verarbeitungstätigkeiten
Nach Artikel 30 führen „jeder Verantwortliche und gegebenenfalls sein Vertreter“ ein Verzeichnis aller Verarbeitungstätigkeiten, und dasselbe gilt für Auftragsverarbeiter. Für den EDSA sind Sie für Inhalt und Aktualisierung verantwortlich; der Vertreter muss das Verzeichnis vorlegen können, wenn eine Behörde danach fragt. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten entfällt, wenn die Verarbeitung nicht nur gelegentlich erfolgt (Artikel 30 Absatz 5).
Zusammenarbeit und Anträge betroffener Personen
Eine Behörde wendet sich in jeder Frage der Einhaltung der DSGVO an den Vertreter, und dieser erleichtert den Austausch mit Ihnen, grundsätzlich in der Sprache der Behörden und der betroffenen Personen, wie der EDSA erläutert. Er ist nicht selbst für die Rechte der betroffenen Personen verantwortlich, muss aber die Kommunikation so erleichtern, dass diese Rechte wirksam ausgeübt werden können. Die Anträge zu beantworten, bleibt Ihre Pflicht.
Was ist ein Vertreter nicht?
Kein Datenschutzbeauftragter und keine Niederlassung. Für den EDSA sollte er auch nicht Ihr Auftragsverarbeiter sein: Beide Rollen für denselben Verantwortlichen bergen die Gefahr von Konflikten in Durchsetzungsverfahren.
Kein Datenschutzbeauftragter
Ein Datenschutzbeauftragter ist in den Fällen des Artikels 37 Absatz 1 vorgeschrieben, etwa bei umfangreicher regelmäßiger und systematischer Überwachung, und erhält bei der Erfüllung seiner Aufgaben keine Anweisungen (Artikel 38 Absatz 3). Der Vertreter handelt in Ihrem Auftrag; deshalb hält der EDSA beide Rollen für einen externen, in der Union niedergelassenen Datenschutzbeauftragten für unvereinbar. Der praktische Leitfaden der CNIL für Datenschutzbeauftragte, Stand: Oktober 2026, hält fest, dass ein Vertreter grundsätzlich nicht zum Datenschutzbeauftragten derselben Organisation benannt werden kann, weil dies einen Interessenkonflikt darstellen würde.
Keine Niederlassung und kein One-Stop-Shop
Die Anwesenheit des Vertreters in der Union stellt nach dem EDSA „keine ‚Niederlassung‘ eines Verantwortlichen oder Auftragsverarbeiters gemäß Artikel 3 Absatz 1“ dar. Nach Artikel 56 Absatz 1 ist die Aufsichtsbehörde der Haupt- oder einzigen Niederlassung bei grenzüberschreitender Verarbeitung federführend; ohne Niederlassung kann ein Unternehmen, so der EDSA, „das in Artikel 56 DSGVO vorgesehene Verfahren der Zusammenarbeit und Kohärenz nicht nutzen“, also den One-Stop-Shop. Jede Behörde bleibt für ihr eigenes Hoheitsgebiet zuständig (Artikel 55 Absatz 1).
Wer haftet, und welche Geldbußen drohen?
Sie. Nach Artikel 27 Absatz 5 erfolgt die Benennung „unbeschadet etwaiger rechtlicher Schritte gegen den Verantwortlichen oder den Auftragsverarbeiter selbst“.
Was die Leitlinien zum Vertreter sagen
„Die DSGVO begründet keine substitutive Haftung des Vertreters anstelle des Verantwortlichen oder Auftragsverarbeiters, den er in der Union vertritt“, schreibt der EDSA. Erwägungsgrund 80 sagt jedoch: „Bei Verstößen des Verantwortlichen oder Auftragsverarbeiters sollte der bestellte Vertreter Durchsetzungsverfahren unterworfen werden.“ Die Leitlinien verstehen dies so, dass die Behörden die gegen Sie verhängten Abhilfemaßnahmen und Geldbußen an ihn richten können (Artikel 58 Absatz 2 und Artikel 83).
Seine eigene Haftung ist eng begrenzt: „Die Möglichkeit, einen Vertreter unmittelbar haftbar zu machen, beschränkt sich jedoch auf seine direkten Verpflichtungen gemäß Artikel 30 und Artikel 58 Absatz 1 DSGVO.“
Geldbußen, und die CNIL in Frankreich
Artikel 27 gehört zu den Artikeln 25 bis 39, deren Verletzung nach Artikel 83 Absatz 4 Buchstabe a DSGVO mit Geldbußen von bis zu 10.000.000 Euro geahndet wird oder „im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs“, je nachdem, welcher Betrag höher ist. Eine Datenschutzerklärung, die den Vertreter nicht nennt, verletzt die Transparenzpflichten, merkt der EDSA an, und die Artikel 13 und 14 fallen unter Artikel 83 Absatz 5 Buchstabe b: bis zu 20.000.000 Euro oder 4 %.
Für Personen in Frankreich ist die zuständige Behörde die CNIL, die Commission nationale de l’informatique et des libertés, also die französische Datenschutzaufsichtsbehörde, nach Artikel 8 des französischen Datenschutzgesetzes Nr. 78-17 vom 6. Januar 1978 (Informatique et libertés), Stand: Oktober 2026.
Wie benennen Sie einen Vertreter in der Praxis?
Mit einem schriftlichen Mandat, einem Verzeichnis von Verarbeitungstätigkeiten, das Sie ihm übergeben, und einer Zeile in Ihrer Datenschutzerklärung.
Was das schriftliche Mandat regelt
Nach Erwägungsgrund 80 sollte der Verantwortliche oder der Auftragsverarbeiter „den Vertreter ausdrücklich bestellen und schriftlich beauftragen“; dieses Mandat regelt nach dem EDSA Ihre Beziehungen. Ein tragfähiges Mandat umfasst:
- Umfang. Die Verarbeitung, die unter Artikel 3 Absatz 2 fällt, die betroffenen Mitgliedstaaten und Ihre Rolle, Verantwortlicher oder Auftragsverarbeiter.
- Kontakt. Eine Postanschrift und eine E-Mail-Adresse in der Union sowie die namentlich benannte federführende Kontaktperson.
- Das Verzeichnis. Wie und wann Sie das Verzeichnis von Verarbeitungstätigkeiten und seine Aktualisierungen übermitteln.
- Zusammenarbeit. Wie Anfragen Sie erreichen, in welcher Sprache und innerhalb welcher internen Frist.
Ihre Datenschutzerklärung
Artikel 13 Absatz 1 Buchstabe a und Artikel 14 Absatz 1 Buchstabe a verlangen „den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters“ in den Informationen, die betroffene Personen erhalten. Der EDSA verortet diese Angaben in der Datenschutzerklärung und in den Informationen bei der Erhebung, leicht zugänglich für die Behörden. Eine Meldung der Benennung an eine Behörde ist nicht erforderlich.
Die DSGVO-Prüfung von Concord erfasst Ihre Daten, erstellt das Verzeichnis von Verarbeitungstätigkeiten und sagt Ihnen, ob Sie einen Vertreter in der Union, einen Datenschutzbeauftragten oder eine Datenschutz-Folgenabschätzung brauchen. Die Datenschutzerklärung und der Cookie-Hinweis, auf Englisch und Französisch, nennen Ihren Vertreter dann dort, wo Ihre Nutzer ihn sehen. Sagen Sie uns, wo Ihre Nutzer sind. Ihre weiteren Fragen mit französischen Kunden, von Verträgen bis zur Marke, beantwortet der Leitfaden für Geschäfte in Frankreich.