DSGVO bei internationalen Kunden: territoriale Reichweite

Hauptartikel: Hauptartikel: Drittland-Glossar — der vollständige Pillar-Artikel zum Thema.

1. Art. 3 DSGVO Marktort-Prinzip

DSGVO gilt bei: 1) Niederlassung in EU, 2) Anbieten von Waren/Dienstleistungen an EU-Bürger, 3) Verhaltens-Beobachtung von EU-Bürgern.

2. US-Kunden: CCPA + CPRA + State-Laws

13 US-Staaten haben Datenschutz-Gesetze. Strengstes: CA (CCPA/CPRA). Plus VA, CO, CT, UT, etc.

3. UK: GDPR-UK + DPA 2018

Post-Brexit: UK-GDPR ist DSGVO-Klon. DPA 2018 ergänzt. Angemessenheitsbeschluss EU↔UK bis 06/2025.

4. Asien: variabel

Singapur PDPA, Japan APPI, China PIPL — alle DSGVO-ähnlich aber unterschiedlich. Einzelfall-Beratung erforderlich.

5. Multi-Jurisdiktions-Strategie

DSGVO als Maßstab (strengstes EU). Lokale Anpassungen für CCPA + UK-GDPR. Globale Datenschutzerklärung mit Länder-Abschnitten.

6. EU-Vertreter-Pflicht (Art. 27 DSGVO)

Verantwortliche ohne EU-Niederlassung, die sich an EU-Bürger richten, müssen einen Vertreter nach Art. 27 DSGVO benennen. Übernommen wird die Rolle in der Praxis meist von einer spezialisierten Kanzlei oder einem Compliance-Anbieter — 2.000 bis 8.000 EUR pro Jahr.

Fazit

Der räumliche Anwendungsbereich folgt dem Targeting, nicht dem Server-Standort. KMU, die EU-Kunden von außerhalb der EU bedienen, brauchen DSGVO-Compliance plus Art.-27-Vertreter. KMU mit US- und EU-Kundschaft nutzen DSGVO als Basis und ergänzen CCPA-spezifische Hinweise. Der häufigste Fehler ist die Annahme, Hosting außerhalb der EU befreie das Unternehmen — das tut es nicht.