{
    "slug": "dsgvo-raeumlicher-anwendungsbereich-art-3",
    "titre": "Räumlicher Anwendungsbereich der DSGVO (Art. 3) – Niederlassungsprinzip, Marktortprinzip und Vertreter nach Art. 27",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Ob die DSGVO auf eine Verarbeitung anwendbar ist, entscheidet Art.",
    "resume_court": "Ob die DSGVO auf eine Verarbeitung anwendbar ist, entscheidet **Art. 3 DSGVO** – und zwar über **zwei getrennte Anknüpfungen**. Nach **Art. 3 Abs. 1 DSGVO** (Niederlassungsprinzip) gilt die Verordnung für jede Verarbeitung „im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union […], unabhängig davon, ob die Verarbeitung in der Union stattfindet\u0022. Nach **Art. 3 Abs. 2 DSGVO** (Marktortprinzip) gilt sie zusätzlich für nicht in der Union niedergelassene Stellen, wenn sie Personen **in der Union** Waren oder Dienstleistungen anbieten (lit. a) oder deren Verhalten beobachten, soweit es in der Union erfolgt (lit. b).\n\n**Art. 3 knüpft an die einzelne Verarbeitungstätigkeit an, nicht an das Unternehmen.** Der Europäische Datenschutzausschuss (EDSA) stellt in den Leitlinien 3/2018 ausdrücklich klar, dass bei ein und demselben Verantwortlichen ein Teil der Verarbeitungen in den Anwendungsbereich fallen kann und ein anderer nicht.\n\nWer nur über **Art. 3 Abs. 2** erfasst wird, muss nach **Art. 27 Abs. 1 DSGVO** schriftlich einen **Vertreter in der Union** benennen – es sei denn, eine der beiden Ausnahmen des Art. 27 Abs. 2 DSGVO greift. Ein Verstoß gegen Art. 27 ist nach **Art. 83 Abs. 4 lit. a DSGVO** mit Geldbuße bis **10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes** bewehrt.\n\nNational flankiert **§ 1 Abs. 4 BDSG** diese Systematik: Das BDSG gilt für nichtöffentliche Stellen bei Inlandsverarbeitung, bei einer inländischen Niederlassung oder – ohne jede Niederlassung im EU-/EWR-Raum – dann, wenn die Stelle in den Anwendungsbereich der DSGVO fällt. **Ohne** Niederlassung in der Union greift nach Auffassung des EDSA das **One-Stop-Shop-Verfahren des Art. 56 DSGVO nicht**; es gibt dann keine federführende Aufsichtsbehörde.",
    "faits": [
        {
            "point": "Norm",
            "valeur": "Art. 3 DSGVO – Räumlicher Anwendungsbereich, drei Absätze [BfDI INFO 1, S. 143]",
            "autorite": "A"
        },
        {
            "point": "Anknüpfung 1 (Niederlassungsprinzip)",
            "valeur": "Verarbeitung „im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union […], unabhängig davon, ob die Verarbeitung in der Union stattfindet\u0022 [Art. 3 Abs. 1 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Anknüpfung 2 (Marktortprinzip)",
            "valeur": "Personen, „die sich in der Union befinden\u0022, und Verarbeitung durch eine nicht in der Union niedergelassene Stelle im Zusammenhang mit dem Anbieten von Waren/Dienstleistungen (lit. a) oder der Verhaltensbeobachtung (lit. b) [Art. 3 Abs. 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Entgeltlichkeit",
            "valeur": "irrelevant – Art. 3 Abs. 2 lit. a gilt „unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist\u0022 [Art. 3 Abs. 2 lit. a DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Anknüpfung 3 (Völkerrecht)",
            "valeur": "Verarbeitung durch nicht in der Union niedergelassene Verantwortliche „an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt\u0022, z. B. diplomatische oder konsularische Vertretungen [Art. 3 Abs. 3 DSGVO; ErwGr. 25, BfDI INFO 1, S. 82]",
            "autorite": "A"
        },
        {
            "point": "Begriff „Niederlassung\u0022",
            "valeur": "in der DSGVO nicht legaldefiniert; ErwGr. 22 verlangt „die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung\u0022, die Rechtsform (Zweigstelle oder Tochtergesellschaft) ist „nicht ausschlaggebend\u0022 [ErwGr. 22, BfDI INFO 1, S. 80 f.]",
            "autorite": "A"
        },
        {
            "point": "Schwelle der „festen Einrichtung\u0022",
            "valeur": "kann bei Online-Diensten sehr niedrig liegen; bereits ein einzelner Beschäftigter oder Vertreter kann genügen, wenn er mit hinreichender Stabilität handelt – die bloße Anwesenheit eines Beschäftigten reicht aber nicht, die Verarbeitung muss im Rahmen von dessen Tätigkeiten erfolgen [EDSA, Leitlinien 3/2018 v2.1, S. 6]",
            "autorite": "A"
        },
        {
            "point": "Legaldefinition „Hauptniederlassung\u0022",
            "valeur": "Art. 4 Nr. 16 DSGVO – Ort der Hauptverwaltung in der Union, es sei denn, Zwecke und Mittel werden in einer anderen Unionsniederlassung mit Umsetzungsbefugnis entschieden [BfDI INFO 1, S. 146]",
            "autorite": "A"
        },
        {
            "point": "Legaldefinition „Vertreter\u0022",
            "valeur": "Art. 4 Nr. 17 DSGVO – in der Union niedergelassene natürliche oder juristische Person, schriftlich nach Art. 27 bestellt [BfDI INFO 1, S. 146]",
            "autorite": "A"
        },
        {
            "point": "Bezugspunkt der Prüfung",
            "valeur": "die einzelne Verarbeitungstätigkeit, nicht die (juristische oder natürliche) Person [EDSA, Leitlinien 3/2018 v2.1, Einleitung, S. 5]",
            "autorite": "A"
        },
        {
            "point": "Staatsangehörigkeit der betroffenen Person",
            "valeur": "unerheblich; Staatsangehörigkeit oder Rechtsstellung können den Anwendungsbereich nicht beschränken [EDSA, Leitlinien 3/2018 v2.1, S. 15]",
            "autorite": "A"
        },
        {
            "point": "Maßgeblicher Zeitpunkt",
            "valeur": "Aufenthalt in der Union im Moment der auslösenden Handlung – also beim Angebot der Ware/Dienstleistung bzw. bei der Beobachtung [EDSA, Leitlinien 3/2018 v2.1, S. 15]",
            "autorite": "A"
        },
        {
            "point": "Vertreterpflicht",
            "valeur": "Art. 27 Abs. 1 DSGVO – schriftliche Benennung eines Vertreters in der Union in den Fällen des Art. 3 Abs. 2 [BfDI INFO 1, S. 170]",
            "autorite": "A"
        },
        {
            "point": "Ausnahmen von der Vertreterpflicht",
            "valeur": "(a) gelegentliche Verarbeitung ohne umfangreiche Verarbeitung nach Art. 9 Abs. 1 oder Art. 10 DSGVO und voraussichtlich ohne Risiko für Rechte und Freiheiten; (b) Behörden und öffentliche Stellen [Art. 27 Abs. 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Sitz des Vertreters",
            "valeur": "in einem Mitgliedstaat, in dem sich die betroffenen Personen befinden, deren Daten verarbeitet oder deren Verhalten beobachtet wird [Art. 27 Abs. 3 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Funktion des Vertreters",
            "valeur": "Anlaufstelle „zusätzlich zu diesem oder an seiner Stelle\u0022 für Aufsichtsbehörden und betroffene Personen [Art. 27 Abs. 4 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Haftungswirkung",
            "valeur": "keine – die Benennung erfolgt „unbeschadet etwaiger rechtlicher Schritte\u0022 gegen den Verantwortlichen oder Auftragsverarbeiter selbst [Art. 27 Abs. 5 DSGVO]; der EDSA spricht ausdrücklich von keiner substitutiven Haftung des Vertreters [EDSA, Leitlinien 3/2018 v2.1, S. 28]",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß gegen Art. 27",
            "valeur": "bis 10 Mio. EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes des Vorjahres – Art. 27 liegt im Katalog „Artikeln 8, 11, 25 bis 39, 42 und 43\u0022 [Art. 83 Abs. 4 lit. a DSGVO, BfDI INFO 1, S. 231]",
            "autorite": "A"
        },
        {
            "point": "Nennung in der Datenschutzerklärung",
            "valeur": "Name und Kontaktdaten des Verantwortlichen „sowie gegebenenfalls seines Vertreters\u0022 [Art. 13 Abs. 1 lit. a DSGVO, BfDI INFO 1, S. 157]",
            "autorite": "A"
        },
        {
            "point": "Verzeichnis von Verarbeitungstätigkeiten",
            "valeur": "„Jeder Verantwortliche und gegebenenfalls sein Vertreter\u0022 führen das Verzeichnis [Art. 30 Abs. 1 DSGVO, BfDI INFO 1, S. 174]",
            "autorite": "A"
        },
        {
            "point": "Nationale Erstreckung",
            "valeur": "§ 1 Abs. 4 Satz 2 BDSG – Inlandsverarbeitung (Nr. 1), inländische Niederlassung (Nr. 2) oder keine Niederlassung in EU/EWR, aber Anwendungsbereich der DSGVO eröffnet (Nr. 3) [gesetze-im-internet.de/bdsg_2018/__1.html]",
            "autorite": "A"
        },
        {
            "point": "Teilanwendung des BDSG",
            "valeur": "greift § 1 Abs. 4 Satz 2 BDSG nicht, gelten „nur die §§ 8 bis 21, 39 bis 44\u0022 [§ 1 Abs. 4 Satz 3 BDSG]",
            "autorite": "A"
        },
        {
            "point": "EWR-Gleichstellung",
            "valeur": "Vertragsstaaten des EWR-Abkommens stehen den EU-Mitgliedstaaten gleich; andere Staaten gelten als Drittstaaten [§ 1 Abs. 6 BDSG]",
            "autorite": "A"
        },
        {
            "point": "Aufsicht über nichtöffentliche Stellen",
            "valeur": "die nach Landesrecht zuständigen Behörden [§ 40 Abs. 1 BDSG]; bei mehreren inländischen Niederlassungen gilt Art. 4 Nr. 16 DSGVO entsprechend [§ 40 Abs. 2 Satz 1 BDSG]",
            "autorite": "A"
        },
        {
            "point": "One-Stop-Shop",
            "valeur": "ohne Niederlassung in der Union nicht anwendbar – der Kohärenz- und Zusammenarbeitsmechanismus setzt eine Unionsniederlassung voraus [EDSA, Leitlinien 3/2018 v2.1, S. 13]",
            "autorite": "A"
        },
        {
            "point": "Gerichtsstand in Deutschland",
            "valeur": "Niederlassungsort oder gewöhnlicher Aufenthaltsort der betroffenen Person [§ 44 Abs. 1 BDSG]; der Vertreter nach Art. 27 Abs. 1 DSGVO gilt als zustellungsbevollmächtigt [§ 44 Abs. 3 BDSG]",
            "autorite": "A"
        },
        {
            "point": "Aufsichtsleitlinie",
            "valeur": "EDSA/EDPB, Leitlinien 3/2018 zum räumlichen Anwendungsbereich, angenommen nach öffentlicher Konsultation am 12.11.2019 (Version 2.0); Version 2.1 vom 07.01.2020 ist eine reine Formatierungsänderung [EDSA, Leitlinien 3/2018, Versionshistorie, S. 2]",
            "autorite": "A"
        },
        {
            "point": "Gesetzesfassung BDSG",
            "valeur": "Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097), zuletzt geändert durch Artikel 3 des Gesetzes vom 3. Juli 2026 (BGBl. 2026 I Nr. 199)",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "§ 1 BDSG – Anwendungsbereich des Gesetzes, insbesondere Absatz 4 mit den drei Anknüpfungen und Absatz 5 zum Vorrang des unmittelbar geltenden Unionsrechts (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__1.html",
            "autorite": "A"
        },
        {
            "titre": "§ 40 BDSG – Aufsichtsbehörden der Länder, Absatz 2 Satz 1 mit der entsprechenden Anwendung des Art. 4 Nr. 16 DSGVO (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__40.html",
            "autorite": "A"
        },
        {
            "titre": "§ 44 BDSG – Klagen gegen den Verantwortlichen oder Auftragsverarbeiter, Absatz 3 zur Zustellungsvollmacht des Vertreters nach Art. 27 Abs. 1 DSGVO (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__44.html",
            "autorite": "A"
        },
        {
            "titre": "BDSG – amtliche Gesamtausgabe mit Vollzitat und Fassungsstand (Autorität A)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/BDSG.pdf",
            "autorite": "A"
        },
        {
            "titre": "BfDI, Datenschutz-Grundverordnung und Bundesdatenschutzgesetz, Texte und Erläuterungen (INFO 1), amtliche Textausgabe mit DSGVO-Volltext und sämtlichen Erwägungsgründen (Autorität B)",
            "url": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile\u0026v=23",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB, Guidelines 3/2018 on the territorial scope of the GDPR (Article 3), Version 2.1, angenommen nach öffentlicher Konsultation am 12.11.2019 (Autorität C)",
            "url": "https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_3_2018_territorial_scope_after_public_consultation_en_1.pdf",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB, Dokumentseite zu den Guidelines 3/2018 in der nach der öffentlichen Konsultation angenommenen Fassung (Autorität C)",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_en",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB, Konsultationsseite zu den Guidelines 3/2018 mit der Erstfassung vom 16.11.2018 und den eingegangenen Rückmeldungen (Autorität C)",
            "url": "https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2018/guidelines-32018-territorial-scope-gdpr-article_en",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt Räumlicher Anwendungsbereich der DSGVO (Art. 3) – Niederlassungsprinzip, Marktortprinzip und Vertreter nach Art. 27?",
            "reponse": "Ob die DSGVO auf eine Verarbeitung anwendbar ist, entscheidet Art. 3 DSGVO – und zwar über zwei getrennte Anknüpfungen. Nach Art. 3 Abs. 1 DSGVO (Niederlassungsprinzip) gilt die Verordnung für jede Verarbeitung „im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union […], unabhängig davon, ob die Verarbeitung in der Union stattfindet\u0022. Nach Art. 3 Abs."
        },
        {
            "question": "Für wen gilt Räumlicher Anwendungsbereich der DSGVO (Art. 3)?",
            "reponse": "Die Prüfung nach Art. 3 DSGVO ist die Vorfrage jedes datenschutzrechtlichen Verfahrens: Erst wenn eine der drei Anknüpfungen greift, stellen sich Fragen nach Rechtsgrundlage, Informationspflichten oder Betroffenenrechten. Der EDSA formuliert den Grundsatz so, dass bei eröffnetem Anwendungsbereich sämtliche Bestimmungen der Verordnung auf diese Verarbeitung anwendbar sind. Art. 3 Abs. 1 – Niederlassungsprinzip."
        },
        {
            "question": "Gibt es Ausnahmen bei Räumlicher Anwendungsbereich der DSGVO (Art. 3)?",
            "reponse": "Nutzung eines EU-Auftragsverarbeiters begründet keine Anwendbarkeit für den Auftraggeber. Der EDSA hält fest, dass ein nicht der DSGVO unterliegender Verantwortlicher nicht allein deshalb ihr unterfällt, weil er einen Auftragsverarbeiter in der Union einsetzt. Der Auftragsverarbeiter selbst unterliegt dann zwar seinen eigenen Pflichten aus Art. 3 Abs."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei Räumlicher Anwendungsbereich der DSGVO (Art. 3)?",
            "reponse": "„Wir sitzen außerhalb der EU, also gilt die DSGVO nicht.\u0022 Art. 3 Abs. 2 DSGVO knüpft gerade an die fehlende Unionsniederlassung an. Entscheidend ist, ob Personen in der Union gezielt angesprochen oder beobachtet werden. „Unsere Website ist nur auf Englisch, also zielen wir nicht auf die EU.\u0022 Sprache ist nur eines von mehreren Indizien. ErwGr."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für Räumlicher Anwendungsbereich der DSGVO (Art. 3) aus?",
            "reponse": "Fall 1 – Niederlassungsprinzip. Ein US-Konzern betreibt in Deutschland eine Vertriebstochter, die Werbung verkauft und Kundenbeziehungen pflegt. Die Datenverarbeitung findet technisch ausschließlich auf Servern in den USA statt. Nach Art. 3 Abs. 1 DSGVO ist die Verordnung gleichwohl anwendbar, wenn die Verarbeitung „im Rahmen der Tätigkeiten\u0022 der deutschen Niederlassung erfolgt – der Verarbeitungsort ist nach dem…"
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q729649",
        "Q6537628",
        "Q3702971"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-09-08",
    "derniere_verification": "2026-09-08",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-raeumlicher-anwendungsbereich-art-3"
}