DSGVO bei internationalen Kunden: territoriale Reichweite

Hauptartikel: Drittland — Glossar — Begriff und Abgrenzung des Drittlands nach Kapitel V DSGVO.

1. Art. 3 DSGVO Marktort-Prinzip

Die DSGVO greift, sobald einer der Anknüpfungspunkte des Art. 3 erfüllt ist — der Unternehmenssitz entscheidet nicht darüber. Welche drei Anknüpfungspunkte das sind, führt die folgende Tabelle mit den Fundstellen. Maßgeblich ist nach Art. 3 Abs. 2 DSGVO, dass sich die betroffenen Personen in der Union befinden — nicht ihre Staatsangehörigkeit. Erfasst sind also auch Nicht-EU-Bürger, die sich in der EU aufhalten; EU-Bürger außerhalb der EU dagegen nicht allein wegen ihrer Staatsangehörigkeit.

Welche Folgepflichten an der Anwendbarkeit hängen — Vertreter, Verzeichnis, Fristen —, steht in Abschnitt 8.

2. US-Empfänger: was die DSGVO verlangt — und was daneben gilt

Für US-Empfänger verlangt die DSGVO dasselbe wie für jedes andere Drittland: eine dokumentierte Übermittlungsgrundlage — Angemessenheitsbeschluss oder Standardvertragsklauseln (Abschnitt 6). Daneben gelten in den USA bundesstaatliche Datenschutzgesetze: Zum Stand der Erstfassung (02.05.2026) hatten neben Kalifornien unter anderem Virginia, Colorado, Connecticut und Utah eigene Datenschutzgesetze; das kalifornische (CCPA/CPRA) ist nach Einschätzung der Redaktion das strengste. Für die Anwendbarkeit der DSGVO ist das ohne Belang — sie richtet sich allein nach Art. 3 DSGVO. Ob daneben ein bundesstaatliches Gesetz auf Sie anwendbar ist, entscheidet dessen eigener Anwendungsbereich — prüfen Sie ihn je Bundesstaat gesondert im jeweiligen Gesetz. Die inhaltliche Gegenüberstellung von CCPA und DSGVO führt der Glossar-Artikel CCPA vs. DSGVO.

US-spezifisch ist auf der DSGVO-Seite allein die Garantie-Grundlage: Für die USA besteht zum dokumentierten Stand 02.05.2026 mit dem EU-US Data Privacy Framework ein Angemessenheitsbeschluss, der aber nur für namentlich zertifizierte Empfänger trägt; ist der Empfänger nicht zertifiziert, tragen die Standardvertragsklauseln 2021/914 zusammen mit einem Transfer Impact Assessment. Die Nachweise dazu — Verzeichnis-Eintrag, Drittland-Hinweis, Auftragsverarbeitungsvertrag — sind für jedes Drittland dieselben und stehen in Abschnitt 6, die Bearbeitungsreihenfolge in Abschnitt 7. Der fehlende Drittland-Hinweis bei US-Tools gehört zu den häufigen Fehlern im Verarbeitungsverzeichnis: Prüfen Sie deshalb zuerst Ihre US-Tools — Newsletter-Versand, Webanalyse, CRM, Videokonferenz — daraufhin, ob sie im Verzeichnis als Drittland-Empfänger markiert sind und ob die Datenschutzerklärung den Hinweis nach Art. 13 Abs. 1 lit. f DSGVO enthält.

3. UK-Empfänger: Übermittlungsgrundlage prüfen und datieren

Für UK-Empfänger brauchen Sie eine dokumentierte Übermittlungsgrundlage; an der Anwendbarkeitsprüfung nach Art. 3 ändert der Brexit nichts. Stand 17.08.2026: Post-Brexit ist das UK-GDPR ein DSGVO-Klon, der Data Protection Act 2018 ergänzt es, und für das Vereinigte Königreich gelten die Angemessenheitsbeschlüsse (EU) 2021/1772 (DSGVO) und (EU) 2021/1773 (Richtlinie (EU) 2016/680) in der Fassung der Änderungsbeschlüsse (EU) 2025/2574 und (EU) 2025/2571 vom 19. Dezember 2025; beide enden danach am 27. Dezember 2031, sofern sie nicht verlängert werden. Die Fortgeltung prüfen Sie vor jeder Übermittlung nach der folgenden Praxisempfehlung.

Praxisempfehlung: Rufen Sie den Angemessenheitsbeschluss EU↔UK auf EUR-Lex oder über die Datenschutz-Seite der Europäischen Kommission auf (Quellen-Block), prüfen Sie im Beschlusstext, ob und bis wann er gilt, und halten Sie das Ergebnis zusammen mit der Garantie im Verarbeitungsverzeichnis fest (Art. 30 Abs. 1 DSGVO) — Prüfdatum und geprüfte Fassung sind dabei Praxisfelder. Trägt der Beschluss nicht, stützen Sie die Übermittlung auf die Standardvertragsklauseln 2021/914 nach Abschnitt 6. Bis Ihr Prüfergebnis dokumentiert ist, nehmen Sie keine neuen Übermittlungen nach UK ohne eine der Garantien aus Abschnitt 6 vor.

4. Übrige Drittländer (auch Asien): Übermittlungsgrundlage bestimmen

Für Empfänger in Asien und in allen übrigen Drittländern entscheidet eine einzige Frage über die Garantie: Gibt es für das Empfängerland einen Angemessenheitsbeschluss der Kommission? Die folgende Tabelle führt die häufigsten Befunde bis zu dem Dokument, das Sie danach ablegen; die letzte Zeile betrifft zusätzlich den Fall der Auftragsverarbeitung.

Stand 02.05.2026 sind die nationalen Datenschutzgesetze in Asien — Singapur PDPA, Japan APPI, China PIPL — DSGVO-ähnlich, aber unterschiedlich ausgestaltet. An Ihrer Übermittlungsgrundlage ändert das nichts: Maßgeblich bleibt, welche der ersten drei Zeilen für Ihren Empfänger zutrifft; die vierte Zeile kommt hinzu, wenn er in Ihrem Auftrag verarbeitet. Was das lokale Recht dem Empfänger darüber hinaus abverlangt, ist im jeweiligen Rechtsraum im Einzelfall zu beraten. Die Nachweise dazu stehen in Abschnitt 6.

5. Multi-Jurisdiktions-Strategie

Legen Sie die DSGVO als strengsten Maßstab an und weichen Sie nur dort ab, wo ein anderer Rechtsraum es verlangt: lokale Anpassungen für CCPA und UK-GDPR, eine globale Datenschutzerklärung mit je einem Abschnitt pro Rechtsraum. Konkret heißt das: Für Kunden in Drittländern prüfen Sie das jeweilige nationale bzw. bundesstaatliche Datenschutzrecht gesondert — für Kalifornien führt die Gegenüberstellung der Glossar-Artikel CCPA vs. DSGVO, für UK-Empfänger die Prüfung aus Abschnitt 3. Innerhalb der EU lässt sich das nicht vollständig vereinheitlichen: Für den Zugriff auf Endeinrichtungen gilt in Deutschland und Österreich jeweils eine eigene nationale Rechtsgrundlage — inhaltlich vergleichbar, in der Fundstelle verschieden (§ 25 Abs. 1 TDDDG bzw. § 165 TKG 2021). Die Datenschutzerklärung folgt dagegen in beiden Ländern unmittelbar aus Art. 13 und Art. 14 DSGVO; national verschieden sind die zu nennende Beschwerdestelle (Art. 13 Abs. 2 lit. d DSGVO) und die landestypischen Empfänger-Kategorien — in Österreich etwa die ÖGK statt der gesetzlichen Krankenkasse in Deutschland. Diese beiden Angaben und die Rechtsgrundlage für den Endgeräte-Zugriff sind es, die ein Abschnitt je Rechtsraum gesondert ausweisen sollte.

Einwilligung für den Zugriff auf Endeinrichtungen. In Deutschland sind das Speichern von Informationen in der Endeinrichtung und der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat; Information und Einwilligung richten sich nach der DSGVO (§ 25 Abs. 1 TDDDG). Keine Einwilligung ist erforderlich, wenn alleiniger Zweck die Durchführung der Nachrichtenübertragung ist oder der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann (§ 25 Abs. 2 TDDDG). In Österreich greift für Tracking-Cookies ein Opt-In nach § 165 TKG 2021.

Beschwerdestelle in der Datenschutzerklärung (Art. 13 Abs. 2 lit. d DSGVO): In Deutschland überwachen die nach Landesrecht zuständigen Behörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG), für die öffentlichen Stellen des Bundes ist der oder die BfDI zuständig (§ 9 Abs. 1 BDSG). In Österreich ist es die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Praxisempfehlungen, keine gesetzlichen Vorgaben: Spielen Sie die Banner-Variante nach dem Aufenthaltsort aus (Geo-IP) und dokumentieren Sie je Rechtsraum die passende Fundstelle — § 25 Abs. 1 TDDDG in Deutschland, § 165 TKG 2021 in Österreich. Übersetzen Sie die Datenschutzerklärung in die Sprachen Ihrer Kunden, neben den deutschsprachigen Fassungen für Deutschland und Österreich bei internationalem Vertrieb typischerweise auch Englisch; die Pflichtinhalte selbst — Drittland-Hinweis und Beschwerdestelle — sind von der Sprachwahl unberührt.

6. Drittlandtransfer absichern: Angemessenheitsbeschluss, SCC, TIA

Übermittlungen an Drittland-Empfänger brauchen in aller Regel eine dokumentierte Garantie — in der Praxis einen Angemessenheitsbeschluss oder Standardvertragsklauseln (SCC). Für die USA ist der einschlägige Angemessenheitsbeschluss das EU-US Data Privacy Framework (DPF), Durchführungsbeschluss (EU) 2023/1795, seit 10. Juli 2023 in Kraft; es ersetzt den 2020 gekippten Privacy Shield und wirkt nur für Empfänger, die selbst zertifiziert sind und jährlich rezertifizieren. Prüfen Sie die Zertifizierung deshalb je Empfänger namentlich in der Liste auf dataprivacyframework.gov, nicht anhand der Anbieter-Werbung. Gesetzlich zu dokumentieren ist die Garantie selbst (Art. 30 Abs. 1 DSGVO). Praxisempfehlung: Halten Sie zusätzlich Zertifizierungsstatus, Datum der letzten Rezertifizierung und Ihr eigenes Prüfdatum in derselben Spalte fest und wiederholen Sie die Prüfung vor jeder neuen Übermittlung.

Bis zu drei Nachweise fallen je Drittland-Empfänger an, unabhängig davon, welche Garantie trägt: der Eintrag mit der Garantie im Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO), der Drittland-Hinweis in der Datenschutzerklärung (Art. 13 Abs. 1 lit. f DSGVO) und — wenn der Empfänger in Ihrem Auftrag verarbeitet — der Auftragsverarbeitungsvertrag (Art. 28 Abs. 1 und Abs. 3 DSGVO). Auftragsverarbeiter führen ihre Drittlandübermittlungen einschließlich der Dokumentation geeigneter Garantien im eigenen Verzeichnis (Art. 30 Abs. 2 lit. c DSGVO).

Die folgende Übersicht gibt den Stand wieder, den unser Schwester-Artikel „Schrems II + DPF Update 2026“ zum 2. Mai 2026 dokumentiert. Sie ist keine Fortschreibung auf den Redaktionsstand dieses Artikels.

Ist der US-Empfänger nicht DPF-zertifiziert, tragen die Standardvertragsklauseln 2021/914 zusammen mit einem Transfer Impact Assessment (TIA). Dessen Mindestinhalte nach unserer Praxisempfehlung: Datenkategorien und Empfängerkategorien; mögliche Zugriffe von US-Behörden (FISA 702, EO 12333, CLOUD Act); Einordnung, ob sondersensible Daten betroffen sind; Verschlüsselung at-rest und in-transit; Schlüsselhoheit beim Verantwortlichen oder beim Anbieter; zusätzliche technische und vertragliche Maßnahmen; Restrisiko-Bewertung. Stützt sich die Übermittlung auf den Angemessenheitsbeschluss — beim DPF also an einen zertifizierten Empfänger —, verlangen die EDSA-Empfehlungen 01/2020 keine weiteren Prüfschritte, wohl aber die fortlaufende Überwachung, ob der Beschluss widerrufen oder für ungültig erklärt wurde (Rn. 19); ein TIA auch unter dem DPF als Rückfallebene zu führen, ist unsere Praxisempfehlung, keine Pflicht aus dem Beschluss. Für besondere Kategorien nach Art. 9 DSGVO empfehlen wir, die Verarbeitung nicht in den USA anzusiedeln. Lässt sich das nicht vermeiden, dokumentieren Sie im TIA zusätzlich die beim Anbieter erzwungene EU-Region, die Verschlüsselung at-rest und in-transit mit Schlüsselhoheit beim Verantwortlichen sowie eine gesonderte Restrisiko-Bewertung für die betroffene Datenkategorie (Praxisempfehlung).

7. Prüfreihenfolge für internationale Kundenbeziehungen

Arbeiten Sie die Prüfung von der Bestandsaufnahme zur Einwilligung ab — so werden Drittland-Übermittlungen systematisch erfasst, statt erst in einer Aufsichtsanfrage aufzutauchen. Die Reihenfolge ist eine Praxisempfehlung; die Fundstellen in der rechten Spalte sind die jeweils einschlägigen Rechtsgrundlagen, keine von uns gesetzten Fristen.

Zu Schritt 1: Die Ausnahme des Art. 30 Abs. 5 DSGVO greift nur kumulativ — weniger als 250 Beschäftigte UND kein Risiko für die Rechte und Freiheiten der betroffenen Personen UND keine regelmäßige Verarbeitung UND keine besonderen Kategorien nach Art. 9 oder strafrechtliche Daten. Der amtliche Wortlaut stellt auf „ein Risiko“ ab, nicht auf ein hohes Risiko. Zu Schritt 4: Haben Sie einen Vertreter benannt, gehören nach unserer Praxisempfehlung auch dessen Kontaktdaten in die Datenschutzerklärung (Abschnitt 8).

8. Vertreter nach Art. 27 — und die Pflichten, die mitkommen

Ein Vertreter ist nach Art. 27 Abs. 1 DSGVO in der Union zu benennen, wenn keine Niederlassung in der EU besteht und Art. 3 Abs. 2 greift. Ausnahmen nach Art. 27 Abs. 2: nur gelegentliche Verarbeitung ohne umfangreiche Art.-9/10-Daten und ohne voraussichtliches Risiko sowie Behörden und öffentliche Stellen. Ein Vertreter im Drittland — etwa in den USA — erfüllt diese Pflicht nicht; die Norm verlangt einen Vertreter in der Union. In der Praxis erfolgt die Benennung häufig über eine Anwaltskanzlei. Praxisempfehlung: Beauftragen Sie den Vertreter schriftlich und nennen Sie seine Kontaktdaten in der Datenschutzerklärung.

Mit der Anwendbarkeit kommen die übrigen DSGVO-Pflichten. Das Verzeichnis der Verarbeitungstätigkeiten führen ausdrücklich „jeder Verantwortliche und gegebenenfalls sein Vertreter“ (Art. 30 Abs. 1 DSGVO). Anträge betroffener Personen sind unverzüglich, spätestens binnen eines Monats zu beantworten, verlängerbar um zwei Monate (Art. 12 Abs. 3 DSGVO). Datenschutzverletzungen sind unverzüglich und möglichst binnen 72 Stunden zu melden, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist voraussichtlich nicht gegeben (Art. 33 Abs. 1 DSGVO). Die Pflicht zur Benennung eines Datenschutzbeauftragten folgt in Österreich unmittelbar aus Art. 37 Abs. 1 DSGVO ohne zusätzliche Personenschwelle; in Deutschland kommt die Schwelle von in der Regel mindestens 20 ständig mit automatisierter Verarbeitung beschäftigten Personen hinzu (§ 38 Abs. 1 Satz 1 BDSG). Unabhängig von der Personenzahl besteht die Pflicht in Deutschland zudem bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, sowie bei geschäftsmäßiger Übermittlung, anonymisierter Übermittlung oder Markt- und Meinungsforschung (§ 38 Abs. 1 Satz 2 BDSG).

Verstöße gegen die Pflichten der Art. 25–39 DSGVO — darunter der Vertreter nach Art. 27, der Auftragsverarbeitungsvertrag nach Art. 28 und das Verzeichnis nach Art. 30 — sind mit Geldbußen bis zu 10 Mio. EUR oder bei einem Unternehmen bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs bedroht, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Für Verstöße gegen die Grundsätze der Verarbeitung, die Einwilligungsbedingungen und die Betroffenenrechte gilt der Rahmen von bis zu 20 Mio. EUR oder 4 % (Art. 83 Abs. 5 DSGVO).