Artikel 3 DSGVO: Räumlicher Anwendungsbereich
(1) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.
(2) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht
a) betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist;
b) das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.
(3) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen Verantwortlichen an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt.
Das Marktortprinzip erfasst auch Anbieter ohne EU-Sitz
Absatz 1 knüpft an die Niederlassung an – unabhängig davon, wo tatsächlich verarbeitet wird. Absatz 2 geht darüber hinaus: Wer aus einem Drittland heraus Waren oder Dienstleistungen in der Union anbietet oder das Verhalten von Personen in der Union beobachtet, unterliegt der Verordnung ebenfalls. Für deutsche Unternehmen ist das vor allem beim Einkauf bedeutsam: Ein US-Anbieter, der Ihnen ein Werkzeug verkauft, ist selbst gebunden – was Sie von Ihren eigenen Pflichten aus Artikel 28 und Artikel 44 ff. nicht entbindet.
Erwägungsgrund 23 nennt die Anhaltspunkte für ein „Anbieten”: Sprache, Währung und die Möglichkeit, in einer Sprache der Union zu bestellen. Die bloße Erreichbarkeit einer Website genügt nicht.