Gibt es Ausnahmen bei Räumlicher Anwendungsbereich der DSGVO (Art. 3)?

Nutzung eines EU-Auftragsverarbeiters begründet keine Anwendbarkeit für den Auftraggeber. Der EDSA hält fest, dass ein nicht der DSGVO unterliegender Verantwortlicher nicht allein deshalb ihr unterfällt, weil er einen Auftragsverarbeiter in der Union einsetzt. Der Auftragsverarbeiter selbst unterliegt dann zwar seinen eigenen Pflichten aus Art. 3 Abs.

Welche häufigen Fehler gibt es bei Räumlicher Anwendungsbereich der DSGVO (Art. 3)?

„Wir sitzen außerhalb der EU, also gilt die DSGVO nicht." Art. 3 Abs. 2 DSGVO knüpft gerade an die fehlende Unionsniederlassung an. Entscheidend ist, ob Personen in der Union gezielt angesprochen oder beobachtet werden. „Unsere Website ist nur auf Englisch, also zielen wir nicht auf die EU." Sprache ist nur eines von mehreren Indizien. ErwGr.

Räumlicher Anwendungsbereich der DSGVO (Art. 3) – Niederlassungsprinzip, Marktortprinzip und Vertreter nach Art. 27 In Kraft

Q: Für wen gilt Räumlicher Anwendungsbereich der DSGVO (Art. 3)?

Die Prüfung nach Art. 3 DSGVO ist die Vorfrage jedes datenschutzrechtlichen Verfahrens: Erst wenn eine der drei Anknüpfungen greift, stellen sich Fragen nach Rechtsgrundlage, Informationspflichten oder Betroffenenrechten. Der EDSA formuliert den Grundsatz so, dass bei eröffnetem Anwendungsbereich sämtliche Bestimmungen der Verordnung auf diese Verarbeitung anwendbar sind. Art. 3 Abs. 1 – Niederlassungsprinzip.

Kurzantwort Ob die DSGVO auf eine Verarbeitung anwendbar ist, entscheidet **Art. 3 DSGVO** – und zwar über **zwei getrennte Anknüpfungen**. Nach **Art. 3 Abs. 1 DSGVO** (Niederlassungsprinzip) gilt die Verordnung für jede Verarbeitung „im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union […], unabhängig davon, ob die Verarbeitung in der Union stattfindet". Nach **Art. 3 Abs. 2 DSGVO** (Marktortprinzip) gilt sie zusätzlich für nicht in der Union niedergelassene Stellen, wenn sie Personen **in der Union** Waren oder Dienstleistungen anbieten (lit. a) oder deren Verhalten beobachten, soweit es in der Union erfolgt (lit. b). **Art. 3 knüpft an die einzelne Verarbeitungstätigkeit an, nicht an das Unternehmen.** Der Europäische Datenschutzausschuss (EDSA) stellt in den Leitlinien 3/2018 ausdrücklich klar, dass bei ein und demselben Verantwortlichen ein Teil der Verarbeitungen in den Anwendungsbereich fallen kann und ein anderer nicht. Wer nur über **Art. 3 Abs. 2** erfasst wird, muss nach **Art. 27 Abs. 1 DSGVO** schriftlich einen **Vertreter in der Union** benennen – es sei denn, eine der beiden Ausnahmen des Art. 27 Abs. 2 DSGVO greift. Ein Verstoß gegen Art. 27 ist nach **Art. 83 Abs. 4 lit. a DSGVO** mit Geldbuße bis **10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes** bewehrt. National flankiert **§ 1 Abs. 4 BDSG** diese Systematik: Das BDSG gilt für nichtöffentliche Stellen bei Inlandsverarbeitung, bei einer inländischen Niederlassung oder – ohne jede Niederlassung im EU-/EWR-Raum – dann, wenn die Stelle in den Anwendungsbereich der DSGVO fällt. **Ohne** Niederlassung in der Union greift nach Auffassung des EDSA das **One-Stop-Shop-Verfahren des Art. 56 DSGVO nicht**; es gibt dann keine federführende Aufsichtsbehörde.

Kernfakten

Punkt	Wert
Norm	Art. 3 DSGVO – Räumlicher Anwendungsbereich, drei Absätze [BfDI INFO 1, S. 143]
Anknüpfung 1 (Niederlassungsprinzip)	Verarbeitung „im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union […], unabhängig davon, ob die Verarbeitung in der Union stattfindet" [Art. 3 Abs. 1 DSGVO]
Anknüpfung 2 (Marktortprinzip)	Personen, „die sich in der Union befinden", und Verarbeitung durch eine nicht in der Union niedergelassene Stelle im Zusammenhang mit dem Anbieten von Waren/Dienstleistungen (lit. a) oder der Verhaltensbeobachtung (lit. b) [Art. 3 Abs. 2 DSGVO]
Entgeltlichkeit	irrelevant – Art. 3 Abs. 2 lit. a gilt „unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist" [Art. 3 Abs. 2 lit. a DSGVO]
Anknüpfung 3 (Völkerrecht)	Verarbeitung durch nicht in der Union niedergelassene Verantwortliche „an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt", z. B. diplomatische oder konsularische Vertretungen [Art. 3 Abs. 3 DSGVO; ErwGr. 25, BfDI INFO 1, S. 82]
Begriff „Niederlassung"	in der DSGVO nicht legaldefiniert; ErwGr. 22 verlangt „die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung", die Rechtsform (Zweigstelle oder Tochtergesellschaft) ist „nicht ausschlaggebend" [ErwGr. 22, BfDI INFO 1, S. 80 f.]
Schwelle der „festen Einrichtung"	kann bei Online-Diensten sehr niedrig liegen; bereits ein einzelner Beschäftigter oder Vertreter kann genügen, wenn er mit hinreichender Stabilität handelt – die bloße Anwesenheit eines Beschäftigten reicht aber nicht, die Verarbeitung muss im Rahmen von dessen Tätigkeiten erfolgen [EDSA, Leitlinien 3/2018 v2.1, S. 6]
Legaldefinition „Hauptniederlassung"	Art. 4 Nr. 16 DSGVO – Ort der Hauptverwaltung in der Union, es sei denn, Zwecke und Mittel werden in einer anderen Unionsniederlassung mit Umsetzungsbefugnis entschieden [BfDI INFO 1, S. 146]
Legaldefinition „Vertreter"	Art. 4 Nr. 17 DSGVO – in der Union niedergelassene natürliche oder juristische Person, schriftlich nach Art. 27 bestellt [BfDI INFO 1, S. 146]
Bezugspunkt der Prüfung	die einzelne Verarbeitungstätigkeit, nicht die (juristische oder natürliche) Person [EDSA, Leitlinien 3/2018 v2.1, Einleitung, S. 5]
Staatsangehörigkeit der betroffenen Person	unerheblich; Staatsangehörigkeit oder Rechtsstellung können den Anwendungsbereich nicht beschränken [EDSA, Leitlinien 3/2018 v2.1, S. 15]
Maßgeblicher Zeitpunkt	Aufenthalt in der Union im Moment der auslösenden Handlung – also beim Angebot der Ware/Dienstleistung bzw. bei der Beobachtung [EDSA, Leitlinien 3/2018 v2.1, S. 15]
Vertreterpflicht	Art. 27 Abs. 1 DSGVO – schriftliche Benennung eines Vertreters in der Union in den Fällen des Art. 3 Abs. 2 [BfDI INFO 1, S. 170]
Ausnahmen von der Vertreterpflicht	(a) gelegentliche Verarbeitung ohne umfangreiche Verarbeitung nach Art. 9 Abs. 1 oder Art. 10 DSGVO und voraussichtlich ohne Risiko für Rechte und Freiheiten; (b) Behörden und öffentliche Stellen [Art. 27 Abs. 2 DSGVO]
Sitz des Vertreters	in einem Mitgliedstaat, in dem sich die betroffenen Personen befinden, deren Daten verarbeitet oder deren Verhalten beobachtet wird [Art. 27 Abs. 3 DSGVO]
Funktion des Vertreters	Anlaufstelle „zusätzlich zu diesem oder an seiner Stelle" für Aufsichtsbehörden und betroffene Personen [Art. 27 Abs. 4 DSGVO]
Haftungswirkung	keine – die Benennung erfolgt „unbeschadet etwaiger rechtlicher Schritte" gegen den Verantwortlichen oder Auftragsverarbeiter selbst [Art. 27 Abs. 5 DSGVO]; der EDSA spricht ausdrücklich von keiner substitutiven Haftung des Vertreters [EDSA, Leitlinien 3/2018 v2.1, S. 28]
Bußgeldrahmen bei Verstoß gegen Art. 27	bis 10 Mio. EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes des Vorjahres – Art. 27 liegt im Katalog „Artikeln 8, 11, 25 bis 39, 42 und 43" [Art. 83 Abs. 4 lit. a DSGVO, BfDI INFO 1, S. 231]
Nennung in der Datenschutzerklärung	Name und Kontaktdaten des Verantwortlichen „sowie gegebenenfalls seines Vertreters" [Art. 13 Abs. 1 lit. a DSGVO, BfDI INFO 1, S. 157]
Verzeichnis von Verarbeitungstätigkeiten	„Jeder Verantwortliche und gegebenenfalls sein Vertreter" führen das Verzeichnis [Art. 30 Abs. 1 DSGVO, BfDI INFO 1, S. 174]
Nationale Erstreckung	§ 1 Abs. 4 Satz 2 BDSG – Inlandsverarbeitung (Nr. 1), inländische Niederlassung (Nr. 2) oder keine Niederlassung in EU/EWR, aber Anwendungsbereich der DSGVO eröffnet (Nr. 3) [gesetze-im-internet.de/bdsg_2018/__1.html]
Teilanwendung des BDSG	greift § 1 Abs. 4 Satz 2 BDSG nicht, gelten „nur die §§ 8 bis 21, 39 bis 44" [§ 1 Abs. 4 Satz 3 BDSG]
EWR-Gleichstellung	Vertragsstaaten des EWR-Abkommens stehen den EU-Mitgliedstaaten gleich; andere Staaten gelten als Drittstaaten [§ 1 Abs. 6 BDSG]
Aufsicht über nichtöffentliche Stellen	die nach Landesrecht zuständigen Behörden [§ 40 Abs. 1 BDSG]; bei mehreren inländischen Niederlassungen gilt Art. 4 Nr. 16 DSGVO entsprechend [§ 40 Abs. 2 Satz 1 BDSG]
One-Stop-Shop	ohne Niederlassung in der Union nicht anwendbar – der Kohärenz- und Zusammenarbeitsmechanismus setzt eine Unionsniederlassung voraus [EDSA, Leitlinien 3/2018 v2.1, S. 13]
Gerichtsstand in Deutschland	Niederlassungsort oder gewöhnlicher Aufenthaltsort der betroffenen Person [§ 44 Abs. 1 BDSG]; der Vertreter nach Art. 27 Abs. 1 DSGVO gilt als zustellungsbevollmächtigt [§ 44 Abs. 3 BDSG]
Aufsichtsleitlinie	EDSA/EDPB, Leitlinien 3/2018 zum räumlichen Anwendungsbereich, angenommen nach öffentlicher Konsultation am 12.11.2019 (Version 2.0); Version 2.1 vom 07.01.2020 ist eine reine Formatierungsänderung [EDSA, Leitlinien 3/2018, Versionshistorie, S. 2]
Gesetzesfassung BDSG	Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097), zuletzt geändert durch Artikel 3 des Gesetzes vom 3. Juli 2026 (BGBl. 2026 I Nr. 199)

Geltungsbereich

Die Prüfung nach Art. 3 DSGVO ist die Vorfrage jedes datenschutzrechtlichen Verfahrens: Erst wenn eine der drei Anknüpfungen greift, stellen sich Fragen nach Rechtsgrundlage, Informationspflichten oder Betroffenenrechten. Der EDSA formuliert den Grundsatz so, dass bei eröffnetem Anwendungsbereich sämtliche Bestimmungen der Verordnung auf diese Verarbeitung anwendbar sind.

Art. 3 Abs. 1 – Niederlassungsprinzip. Zwei Voraussetzungen müssen kumulativ vorliegen: eine Niederlassung in der Union und eine Verarbeitung „im Rahmen der Tätigkeiten" dieser Niederlassung. Der Ort der Verarbeitung selbst ist ausdrücklich unerheblich; ebenso wenig kommt es nach der Auslegung des EDSA auf Aufenthaltsort oder Staatsangehörigkeit der betroffenen Personen an. Der Niederlassungsbegriff ist funktional zu verstehen: ErwGr. 22 DSGVO stellt auf die „effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung" ab und erklärt die Rechtsform ausdrücklich für nicht ausschlaggebend. Der EDSA verweist für diese weite Auslegung auf die Rechtsprechung des EuGH zur Vorgängerregelung (Art. 4 der Richtlinie 95/46/EG), namentlich auf die Urteile Google Spain (C-131/12), Weltimmo (C-230/14), Verein für Konsumenteninformation ./. Amazon EU (C-191/15) und Wirtschaftsakademie Schleswig-Holstein (C-210/16).

Art. 3 Abs. 2 – Marktortprinzip. Anknüpfungspunkt ist der Aufenthalt der betroffenen Person in der Union zum Zeitpunkt der auslösenden Handlung. Ob ein Angebot an Personen in der Union vorliegt (lit. a), ist nach ErwGr. 23 DSGVO danach zu bestimmen, ob der Verantwortliche „offensichtlich beabsichtigt", Personen in einem oder mehreren Mitgliedstaaten Dienstleistungen anzubieten. Für die Verhaltensbeobachtung (lit. b) stellt ErwGr. 24 DSGVO darauf ab, „ob ihre Internetaktivitäten nachvollzogen werden", einschließlich einer nachfolgenden Profilbildung, die Entscheidungen zugrunde gelegt wird oder mit der Vorlieben, Verhaltensweisen oder Gepflogenheiten analysiert oder vorausgesagt werden sollen.

Der EDSA übernimmt für lit. a die Kriterien, die der EuGH in den verbundenen Rechtssachen Pammer und Hotel Alpenhof (C-585/08 und C-144/09) zum „Ausrichten" einer Tätigkeit entwickelt hat, und nennt als – jeweils allein nicht ausreichende, in der Zusammenschau aber tragende – Indizien unter anderem: namentliche Nennung der EU oder eines Mitgliedstaats, bezahlte Suchmaschinenwerbung oder Werbekampagnen für ein EU-Publikum, der internationale Charakter der Tätigkeit, eigene Adressen oder Telefonnummern für den Kontakt aus einem EU-Land, die Verwendung einer anderen Top-Level-Domain als der des Drittstaats (etwa „.de") oder einer neutralen wie „.eu", Anfahrtsbeschreibungen aus EU-Mitgliedstaaten, die Erwähnung einer internationalen Kundschaft aus EU-Staaten, die Verwendung einer Sprache oder Währung eines Mitgliedstaats sowie das Angebot der Lieferung in EU-Mitgliedstaaten.

Art. 3 Abs. 3 – völkerrechtliche Anknüpfung. Erfasst sind Orte, die aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegen. ErwGr. 25 DSGVO nennt als Beispiel die diplomatische oder konsularische Vertretung eines Mitgliedstaats.

Nationale Ebene. § 1 Abs. 4 BDSG regelt den Anwendungsbereich des deutschen Gesetzes: Auf nichtöffentliche Stellen findet es Anwendung, wenn im Inland verarbeitet wird (Nr. 1), die Verarbeitung im Rahmen der Tätigkeiten einer inländischen Niederlassung erfolgt (Nr. 2) oder die Stelle zwar keine Niederlassung in einem EU-/EWR-Staat hat, aber in den Anwendungsbereich der DSGVO fällt (Nr. 3). Greift keine dieser Varianten, gelten nach § 1 Abs. 4 Satz 3 BDSG nur die §§ 8 bis 21 und 39 bis 44 BDSG. § 1 Abs. 5 BDSG stellt zudem klar, dass die Vorschriften des BDSG keine Anwendung finden, soweit Unionsrecht – insbesondere die DSGVO – unmittelbar gilt.

Ausnahmen

Nutzung eines EU-Auftragsverarbeiters begründet keine Anwendbarkeit für den Auftraggeber. Der EDSA hält fest, dass ein nicht der DSGVO unterliegender Verantwortlicher nicht allein deshalb ihr unterfällt, weil er einen Auftragsverarbeiter in der Union einsetzt. Der Auftragsverarbeiter selbst unterliegt dann zwar seinen eigenen Pflichten aus Art. 3 Abs. 1 DSGVO, der Nicht-EU-Verantwortliche wird dadurch aber nicht zum DSGVO-Verantwortlichen.
Der Vertreter ist keine Niederlassung. Wer nach Art. 27 DSGVO schriftlich einen Vertreter in der Union benannt hat, fällt dadurch nicht in den Anwendungsbereich des Art. 3 Abs. 1 DSGVO; die Präsenz des Vertreters begründet keine Niederlassung.
Kein Anwendungsbereich bei bloß einreisenden Nutzern. Nach dem EDSA zielt Art. 3 Abs. 2 lit. a auf Tätigkeiten, die Personen in der EU absichtlich und nicht bloß beiläufig oder zufällig ansprechen. Wird ein Dienst ausschließlich Personen außerhalb der EU angeboten und lediglich nicht abgeschaltet, wenn diese Personen in die EU einreisen, unterfällt die zugehörige Verarbeitung der DSGVO nicht.
Zwei Ausnahmen von der Vertreterpflicht. Art. 27 Abs. 2 DSGVO nimmt aus: (a) gelegentliche Verarbeitungen, die keine umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 Abs. 1 DSGVO oder von Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO einschließen und voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen, sowie (b) Behörden und öffentliche Stellen.
Kein One-Stop-Shop ohne Unionsniederlassung. Der Zusammenarbeits- und Kohärenzmechanismus des Art. 56 DSGVO steht nach Auffassung des EDSA nur Verantwortlichen und Auftragsverarbeitern mit Niederlassung in der Union offen. Ein nur über Art. 3 Abs. 2 DSGVO erfasstes Unternehmen kann deshalb von jeder betroffenen Aufsichtsbehörde in Anspruch genommen werden.
Teilweise Nichtanwendung des BDSG. § 1 Abs. 5 BDSG nimmt das BDSG zurück, soweit Unionsrecht unmittelbar gilt; § 1 Abs. 2 BDSG lässt bereichsspezifischen Bundesvorschriften den Vorrang.

Häufige Fehler

„Wir sitzen außerhalb der EU, also gilt die DSGVO nicht." Art. 3 Abs. 2 DSGVO knüpft gerade an die fehlende Unionsniederlassung an. Entscheidend ist, ob Personen in der Union gezielt angesprochen oder beobachtet werden.
„Unsere Website ist nur auf Englisch, also zielen wir nicht auf die EU." Sprache ist nur eines von mehreren Indizien. ErwGr. 23 DSGVO nennt die bloße Zugänglichkeit der Website, eine E-Mail-Adresse oder die im Drittland gebräuchliche Sprache ausdrücklich als nicht ausreichenden Anhaltspunkt – umgekehrt können Währung, Bestellmöglichkeit in einer EU-Sprache, Lieferangebote in EU-Staaten oder die Nennung von Kundinnen und Kunden aus der Union in der Zusammenschau ein Ausrichten belegen.
„Kostenlos angebotene Dienste sind nicht erfasst." Art. 3 Abs. 2 lit. a DSGVO gilt ausdrücklich „unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist".
„Es kommt auf EU-Bürgerinnen und -Bürger an." Nein – die Norm stellt auf Personen ab, „die sich in der Union befinden". Staatsangehörigkeit und Rechtsstellung sind nach dem EDSA ohne Belang.
„Das Unternehmen fällt insgesamt unter die DSGVO – oder gar nicht." Art. 3 wird nach dem EDSA je Verarbeitungstätigkeit geprüft. Dieselbe Stelle kann mit einer Verarbeitung erfasst sein und mit einer anderen nicht.
„Ein Serverstandort in der EU macht uns DSGVO-pflichtig." Art. 3 Abs. 1 DSGVO verlangt eine Niederlassung und eine Verarbeitung im Rahmen ihrer Tätigkeiten; der Ort der Verarbeitung ist nach dem Wortlaut gerade nicht maßgeblich. Auch die Anwesenheit eines einzelnen Beschäftigten genügt nach dem EDSA nur, wenn die fragliche Verarbeitung im Rahmen von dessen Tätigkeiten erfolgt.
„Der Vertreter haftet für uns." Art. 27 Abs. 5 DSGVO stellt klar, dass die Benennung rechtliche Schritte gegen den Verantwortlichen oder Auftragsverarbeiter selbst unberührt lässt. Der EDSA verneint eine substitutive Haftung des Vertreters, hält aber fest, dass Aufsichtsbehörden Abhilfemaßnahmen und Geldbußen nach Art. 58 Abs. 2 und Art. 83 DSGVO an den Vertreter adressieren können; eine unmittelbare eigene Haftung des Vertreters beschränkt sich auf seine eigenen Pflichten aus Art. 30 und Art. 58 Abs. 1 lit. a DSGVO.
„Unser externer Datenschutzbeauftragter kann auch Vertreter sein." Der EDSA hält die Funktion des Vertreters für unvereinbar mit der Rolle eines externen Datenschutzbeauftragten: Der Vertreter handelt aufgrund eines Mandats und auf Weisung, während Art. 38 Abs. 3 DSGVO für den Datenschutzbeauftragten Weisungsfreiheit verlangt.
„Für jede Verarbeitung brauchen wir einen eigenen Vertreter." Nein. Fallen mehrere Verarbeitungen unter Art. 3 Abs. 2 DSGVO, ist nach dem EDSA nicht für jede ein gesonderter Vertreter zu benennen; umgekehrt kann ein Vertreter für mehrere Nicht-EU-Stellen tätig werden.

Beispiel

Fall 1 – Niederlassungsprinzip. Ein US-Konzern betreibt in Deutschland eine Vertriebstochter, die Werbung verkauft und Kundenbeziehungen pflegt. Die Datenverarbeitung findet technisch ausschließlich auf Servern in den USA statt. Nach Art. 3 Abs. 1 DSGVO ist die Verordnung gleichwohl anwendbar, wenn die Verarbeitung „im Rahmen der Tätigkeiten" der deutschen Niederlassung erfolgt – der Verarbeitungsort ist nach dem Normwortlaut ausdrücklich unerheblich, und ErwGr. 22 DSGVO erklärt die Rechtsform (Zweigstelle oder Tochtergesellschaft) für nicht ausschlaggebend.

Fall 2 – Marktortprinzip mit Vertreterpflicht. Ein Online-Shop mit Sitz in einem Drittstaat betreibt eine Website unter einer „.de"-Domain, führt Preise in Euro, nimmt Bestellungen auf Deutsch entgegen und liefert nach Deutschland und Österreich. Nach Art. 3 Abs. 2 lit. a DSGVO ist die Verordnung auf die zugehörige Verarbeitung anwendbar; mehrere der vom EDSA aus der Pammer/Alpenhof-Rechtsprechung übernommenen Indizien liegen kumulativ vor. Folge: Der Betreiber muss nach Art. 27 Abs. 1 DSGVO schriftlich einen Vertreter benennen, der nach Art. 27 Abs. 3 DSGVO in Deutschland oder Österreich niedergelassen sein muss. Name und Kontaktdaten des Vertreters gehören nach Art. 13 Abs. 1 lit. a DSGVO in die Datenschutzerklärung, und der Vertreter führt nach Art. 30 Abs. 1 DSGVO das Verzeichnis der Verarbeitungstätigkeiten mit. Klagen betroffener Personen können in Deutschland nach § 44 Abs. 1 Satz 2 BDSG am gewöhnlichen Aufenthaltsort erhoben werden; der Vertreter gilt nach § 44 Abs. 3 BDSG als zustellungsbevollmächtigt. Ein One-Stop-Shop-Verfahren nach Art. 56 DSGVO steht dem Betreiber mangels Unionsniederlassung nach Auffassung des EDSA nicht offen. Unterbleibt die Benennung, liegt ein Verstoß gegen Art. 27 DSGVO vor, der nach Art. 83 Abs. 4 lit. a DSGVO mit bis zu 10 Mio. EUR oder 2 % des weltweiten Vorjahresumsatzes geahndet werden kann.

Fall 3 – Verhaltensbeobachtung. Ein Analyseanbieter aus einem Drittstaat wertet für seine Kunden das Surfverhalten von Besucherinnen und Besuchern europäischer Websites aus und erstellt daraus Interessenprofile. Damit ist der Tatbestand des Art. 3 Abs. 2 lit. b DSGVO eröffnet: ErwGr. 24 DSGVO stellt darauf ab, ob Internetaktivitäten nachvollzogen werden, einschließlich nachfolgender Profilbildung zur Analyse oder Vorhersage persönlicher Vorlieben, Verhaltensweisen oder Gepflogenheiten.

Siehe auch

[Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)](/fakten/dsgvo-rechtsgrundlagen-art-6.html)
[Informationspflichten (Art. 13 und 14 DSGVO)](/fakten/dsgvo-informationspflichten-art-13-14.html)
[Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)](/fakten/dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30.html)
[Auftragsverarbeitung (Art. 28 DSGVO)](/fakten/dsgvo-auftragsverarbeitung-art-28.html)
[Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)](/fakten/dsgvo-gemeinsame-verantwortlichkeit-art-26.html)
[Drittlandtransfer und Schrems II](/fakten/drittlandtransfer-schrems-ii.html)
[Standardvertragsklauseln (SCC 2021/914)](/fakten/dsgvo-standardvertragsklauseln-scc-2021-914.html)
[EU-US Data Privacy Framework](/fakten/eu-us-data-privacy-framework-2023-1795.html)
[Pflicht zum Datenschutzbeauftragten](/fakten/datenschutzbeauftragter-pflicht.html)
[Beschwerde bei der Aufsichtsbehörde (Art. 77 und 79 DSGVO)](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html)
[DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html)
[Anonymisierung und Pseudonymisierung](/fakten/dsgvo-anonymisierung-pseudonymisierung.html)

Änderungsverlauf

2026-09-08: Seite erstellt. Wortlaut der §§ 1, 40 und 44 BDSG aus den amtlichen Einzelnorm-Fassungen auf gesetze-im-internet.de; Wortlaut der Art. 3, 4 Nr. 16 und 17, 13 Abs. 1, 27, 30 Abs. 1 und 83 Abs. 4 DSGVO sowie der Erwägungsgründe 22 bis 25 und 80 aus der amtlichen BfDI-Textausgabe INFO 1 (seitengenau geprüft); Auslegungsfragen zu Niederlassungsbegriff, Ausrichtungskriterien, Zeitpunkt, One-Stop-Shop und Vertreterstellung aus den EDSA-Leitlinien 3/2018 Version 2.1 mit Fassungsstand ausgewiesen. Kein EUR-Lex-Direktlink wegen HTTP 202 mit leerem Body (Prüfung am 08.09.2026).

Stand

Stand: 2026-09-08
Gültig ab: 2018-05-25
Status: aktuell
Quellenautorität: A
Lizenz: CC BY 4.0
Hinweis: Diese Seite gibt geltende Normen und die veröffentlichte Auffassung der Datenschutzaufsichtsbehörden wieder. Sie ist eine allgemeine Information und keine Rechtsberatung im Einzelfall.

Quellen

§ 1 BDSG – Anwendungsbereich des Gesetzes, insbesondere Absatz 4 mit den drei Anknüpfungen und Absatz 5 zum Vorrang des unmittelbar geltenden Unionsrechts (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/__1.html A
§ 40 BDSG – Aufsichtsbehörden der Länder, Absatz 2 Satz 1 mit der entsprechenden Anwendung des Art. 4 Nr. 16 DSGVO (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/__40.html A
§ 44 BDSG – Klagen gegen den Verantwortlichen oder Auftragsverarbeiter, Absatz 3 zur Zustellungsvollmacht des Vertreters nach Art. 27 Abs. 1 DSGVO (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/__44.html A
BDSG – amtliche Gesamtausgabe mit Vollzitat und Fassungsstand (Autorität A): https://www.gesetze-im-internet.de/bdsg_2018/BDSG.pdf A
BfDI, Datenschutz-Grundverordnung und Bundesdatenschutzgesetz, Texte und Erläuterungen (INFO 1), amtliche Textausgabe mit DSGVO-Volltext und sämtlichen Erwägungsgründen (Autorität B): https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=23 A
EDSA/EDPB, Guidelines 3/2018 on the territorial scope of the GDPR (Article 3), Version 2.1, angenommen nach öffentlicher Konsultation am 12.11.2019 (Autorität C): https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_3_2018_territorial_scope_after_public_consultation_en_1.pdf A
EDSA/EDPB, Dokumentseite zu den Guidelines 3/2018 in der nach der öffentlichen Konsultation angenommenen Fassung (Autorität C): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_en A
EDSA/EDPB, Konsultationsseite zu den Guidelines 3/2018 mit der Erstfassung vom 16.11.2018 und den eingegangenen Rückmeldungen (Autorität C): https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2018/guidelines-32018-territorial-scope-gdpr-article_en A

Letzte Änderung:: 2026-09-08
Letzte Prüfung:: 2026-09-08
In Kraft seit:: 2018-05-25
Status:: In Kraft
Quellen-Autorität:: A
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an info@nexvyra.fr.