Extraterritoriale Anwendbarkeit der DSGVO: Was Unternehmen außerhalb der EU beachten müssen

Die italienische Datenschutzbehörde („DSA“) hat die Sperre der AI-Software für künstliche Intelligenz DeepSeek angeordnet, die dazu bestimmt ist, menschliche Unterhaltungen zu verstehen und zu verarbeiten.

Es bestehen datenschutzrechtliche Bedenken hinsichtlich der Privacy von EU-Bürgerinnen und Bürgern.

Die Entscheidung wurde getroffen, nachdem die italienische DSA die Unternehmen Hangzhou DeepSeek Artificial Intelligence und Beijing DeepSeek Artificial Intelligence, die den Dienst anbieten, förmlich aufgefordert hatte, mitzuteilen, ob und welche personenbezogenen Daten italienischer Bürgerinnen und Bürger zum Trainieren der Algorithmen verwendet wurden und ob sie durch automatische Online-Datensammlungsverfahren gewonnen wurden.

Nach Angaben der italienischen DSA haben die Entwickler von DeepSeek auf diese Anfrage geantwortet, dass sie nicht in Italien tätig seien und sich daher nicht als der DSGVO unterliegend betrachten.

In diesem Zusammenhang erachtete es die italienische DSA für angebracht, die Verarbeitung der Daten italienischer Nutzer einzuschränken und DeepSeek zu sperren, was dazu führen sollte, dass der digitale Dienst DeepSeek und alle Apps zumindest vorübergehend vom italienischen Markt verschwinden; in der Zwischenzeit leitete die DSA eine Untersuchung ein, um festzustellen, inwieweit die Daten italienischer Bürger möglicherweise in die Herkunft und Verarbeitung der Daten einbezogen wurden, die zum Trainieren des von DeepSeek online gestellten Modells verwendet wurden.

Bekanntlich ist die Anwendbarkeit der Datenschutz-Grundverordnung extraterritorial und geht über die Grenzen der Europäischen Union hinaus, so dass der Schutz personenbezogener Daten und der Privatsphäre der europäischen Bürger bei der Datenkontrolle gewährleistet ist.

So wird der Schutz personenbezogener Daten und der Privatsphäre europäischer Bürger auch gegenüber für die Datenverarbeitung Verantwortlichen mit Sitz in Drittländern durchgesetzt, wenn eine tatsächliche oder potenzielle Verarbeitung personenbezogener Daten betroffen ist.

Die Datenschutz-Grundverordnung (DSGVO) gilt somit nicht nur für Unternehmen mit Sitz in der Europäischen Union, sondern entfaltet auch extraterritoriale Wirkung. Das bedeutet, dass auch Organisationen und Unternehmen aus Drittländern die DSGVO-Vorgaben einhalten müssen, sofern sie personenbezogene Daten europäischer Bürger verarbeiten.

Besonders betroffen sind digitale Unternehmen, darunter:

• E-Commerce-Plattformen und Online-Shops mit EU-Kunden
• Softwareanbieter (SaaS, Cloud-Dienste) mit europäischen Nutzern
• Unternehmen, die Künstliche Intelligenz (KI) oder Big Data-Technologien einsetzen
• Social-Media-Plattformen oder Werbenetzwerke, die Nutzerdaten aus der EU sammeln

Doch was bedeutet das konkret? Welche Maßnahmen sind erforderlich, um Bußgelder und rechtliche Konsequenzen zu vermeiden?

1. Wann gilt die DSGVO für Unternehmen außerhalb der EU?

Nach Artikel 3 der DSGVO ist die Verordnung anwendbar auf:

Unternehmen ohne Sitz in der EU, wenn sie Waren oder Dienstleistungen an Personen in der EU anbieten – unabhängig davon, ob dies kostenpflichtig oder kostenlos geschieht.

Unternehmen, die das Verhalten von EU-Bürgern überwachen, etwa durch Tracking-Technologien, gezielte Werbung oder Datenanalysen.

Das bedeutet: Selbst wenn ein Unternehmen außerhalb der EU tätig ist, aber z. B. über eine Website europäische Kunden anspricht, DSGVO-relevante Cookies setzt oder gezielt Werbung für Nutzer in der EU schaltet, muss es sich an die DSGVO halten.

2. DSGVO-Compliance für Unternehmen außerhalb der EU

2.1. Technische und organisatorische Maßnahmen (TOMs) implementieren

Die DSGVO fordert, dass Unternehmen geeignete technische und organisatorische Maßnahmen (TOMs) umsetzen, um die Sicherheit und den Schutz personenbezogener Daten zu gewährleisten. Dazu gehören:

• Verschlüsselung sensibler Daten bei Speicherung und Ãœbertragung
• Sichere Speicherung und Zugriffskontrollen
• Regelmäßige Datenschutz-Folgenabschätzung (DSFA)
• Risikobasierte Maßnahmen gegen Datenlecks

2.2. Datenschutzrichtlinien und Einwilligungserklärungen

Besucher aus der EU müssen explizit über die Datennutzung informiert werden. Dies betrifft:

• Datenschutzerklärung: Muss transparent darlegen, wie und warum Daten verarbeitet werden.
• Cookie-Banner mit aktiver Einwilligung: Kein Tracking oder Drittanbieter-Cookies ohne Zustimmung.
• Opt-in-Verfahren für Newsletter oder Werbe-Mails: Keine unerlaubte Kontaktaufnahme.

2.3. Bestellung eines EU-Datenschutzvertreters

Wenn ein Unternehmen regelmäßig personenbezogene Daten von EU-Bürgern verarbeitet, muss es gemäß Artikel 27 DSGVO einen Vertreter in der EU benennen, der als Ansprechpartner für Behörden und Betroffene fungiert.

2.4. Rechtssichere Datenübermittlung in Drittländer

Die Übertragung personenbezogener Daten aus der EU in Drittländer ist nur unter bestimmten Bedingungen zulässig:

• Angemessenheitsbeschluss der EU-Kommission (z. B. für Länder wie Japan oder Südkorea)
• Standardvertragsklauseln (SCCs) für Drittstaaten ohne Angemessenheitsbeschluss
• Binding Corporate Rules (BCRs) für Konzerne mit globaler Datenverarbeitung

3. Künstliche Intelligenz (KI) und DSGVO: Neue Herausforderungen für Unternehmen

Mit der zunehmenden Nutzung von Künstlicher Intelligenz (KI) und datengetriebenen Technologien ergeben sich neue datenschutzrechtliche Risiken.

3.1. Automatisierte Entscheidungen und Profiling

Die DSGVO enthält strenge Vorschriften zu automatisierten Entscheidungen und Profiling (z. B. durch Algorithmen oder KI-Systeme), die für betroffene Personen nachteilige Folgen haben könnten.

Artikel 22 DSGVO schützt Nutzer vor vollautomatisierten Entscheidungen, die rechtliche Konsequenzen haben.

Erforderlich ist die Möglichkeit eines menschlichen Eingriffs, insbesondere bei Kreditentscheidungen, automatisierter Bewerbungssortierung oder personalisierter Preisgestaltung.

3.2. Datenminimierung und Anonymisierung in KI-Modellen

Unternehmen müssen sicherstellen, dass KI-Modelle nur so viele Daten nutzen, wie tatsächlich erforderlich sind. Die Anonymisierung oder Pseudonymisierung personenbezogener Daten ist ein zentraler Bestandteil der DSGVO-Compliance.

4. Mögliche Strafen bei DSGVO-Verstößen

Wer sich nicht an die DSGVO hält, riskiert hohe Bußgelder. Die Strafen und rechtliche Konsequenzen können die Folge sein:

• Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
• Abmahnungen und Untersagung der Datenverarbeitung, was zum Verlust des EU-Marktzugangs führen kann.
• Schadensersatzklagen von Betroffenen, falls personenbezogene Daten missbraucht wurden.

Besonders betroffen von Strafen waren bereits Unternehmen wie Google, Meta und Amazon, die Datenschutzverstöße begangen haben. Auch mittelständische Unternehmen sind nicht vor Abmahnungen oder Bußgeldern sicher.

5. Fazit: DSGVO beachten, um hohe Strafen zu vermeiden

Für Unternehmen mit digitalen Geschäftsmodellen ist es essenziell, die DSGVO-Vorgaben genau zu prüfen und umzusetzen, selbst wenn sie ihren Sitz außerhalb der EU haben.

• Wer in der EU Produkte oder Dienstleistungen anbietet oder personenbezogene Daten verarbeitet, muss sich an die strengen Datenschutzrichtlinien halten.
• Online-Dienste, KI-Unternehmen und Softwareanbieter sind besonders betroffen.
• Hohe Strafen und rechtliche Risiken machen eine frühzeitige Datenschutz-Compliance unverzichtbar.

6. Benötigen Sie rechtliche Unterstützung zur DSGVO?

Unsere Kanzlei berät Europäische Unternehmen und Unternehmen aus Drittländern bei der Umsetzung der DSGVO und hilft Ihnen, rechtliche Risiken zu minimieren. Wir unterstützen Sie bei:

• Prüfung der DSGVO-Compliance Ihrer Website oder Software
• Erstellung von Datenschutzrichtlinien und Verträgen
• Rechtssichere Gestaltung von KI-gestützten Anwendungen
• Datenschutz-Audits und Risikobewertungen

---

Weitere Informationen und Ratgeber finden Sie auf unserer Webseite unter: relialex.com – oder unter: Ratgeber.

---

Hinweis: Dieser Beitrag stellt keine Rechtsberatung oder Empfehlung dar. Wir sind bemüht die gemachten Angaben und Informationen stets auf dem aktuellen Stand zu halten. Eine Gewähr oder Haftung hierfür ist ausgeschlossen. Aufgrund regionaler Unterschiede und potenzieller Gesetzesänderungen sollte stets eine individuelle Beratung durch einen Rechtsanwalt eingeholt werden. Für eine qualifizierte Rechtsberatung oder weitergehende Informationen steht Ihnen Herr Hosse und das reliaLex Team gerne zur Verfügung.