Ja, die DSGVO gilt auch f\u00fcr internationale Websites, die sich gezielt an ein deutschsprachiges oder europ\u00e4isches Publikum richten. Entscheidend ist nicht der Unternehmenssitz, sondern wo sich die betroffenen Personen befinden. Das sogenannte Marktortprinzip nach Art. 3 Abs. 2 DSGVO verpflichtet Anbieter weltweit, sobald sie Waren oder Dienstleistungen f\u00fcr EU-Nutzer anbieten oder deren Verhalten beobachten. Die folgenden Abschnitte erl\u00e4utern, welche konkreten Pflichten daraus entstehen und wie Sie diese effizient erf\u00fcllen k\u00f6nnen.<\/p>\n
Ja, die DSGVO gilt auch f\u00fcr Unternehmen mit Sitz au\u00dferhalb der EU, wenn ihre Website personenbezogene Daten von Personen in der EU verarbeitet. Ma\u00dfgeblich ist das Marktortprinzip (Art. 3 Abs. 2 DSGVO): Wer Waren oder Dienstleistungen f\u00fcr EU-B\u00fcrger anbietet oder deren Verhalten im Internet beobachtet, f\u00e4llt in den Anwendungsbereich der Verordnung.<\/p>\n
Das bedeutet in der Praxis: Ein US-amerikanisches Unternehmen, ein australischer Online-Shop oder ein kanadisches SaaS-Produkt, das eine deutschsprachige Website betreibt und dabei Cookies setzt, Tracking-Tools einsetzt oder Formulardaten erhebt, unterliegt denselben Datenschutzpflichten wie ein Unternehmen mit Sitz in Hamburg oder M\u00fcnchen.<\/p>\n
Zwei Tatbestandsmerkmale l\u00f6sen die Anwendbarkeit aus:<\/p>\n
Ein rein englischsprachiges Angebot ohne jeden Bezug zur EU ist dagegen deutlich schwieriger unter die DSGVO zu subsumieren. Sobald jedoch eine deutschsprachige Version existiert oder EU-Zahlungsmethoden akzeptiert werden, ist der Anwendungsbereich in der Regel er\u00f6ffnet.<\/p>\n
Ein deutschsprachiges Angebot, das sich an Nutzer in der EU richtet, l\u00f6st eine Reihe konkreter Datenschutzpflichten aus. Dazu geh\u00f6ren insbesondere die Bereitstellung einer vollst\u00e4ndigen Datenschutzerkl\u00e4rung, das rechtskonforme Einholen von Einwilligungen sowie die technische Umsetzung des Datenschutzes durch geeignete Ma\u00dfnahmen.<\/p>\n
Im Einzelnen umfassen die Pflichten typischerweise folgende Bereiche:<\/p>\n
Besonders h\u00e4ufig \u00fcbersehen wird die korrekte Einbindung externer Dienste. Bereits das Laden eines Google Fonts, eines YouTube-Videos oder eines Social-Media-Buttons \u00fcbertr\u00e4gt die IP-Adresse des Besuchers an den jeweiligen Anbieter. Jede dieser Einbindungen stellt eine Datenverarbeitung dar und muss datenschutzrechtlich abgesichert sein.<\/p>\n
Die inhaltlichen DSGVO-Pflichten sind f\u00fcr alle Unternehmen, die in den Anwendungsbereich fallen, grunds\u00e4tzlich identisch. Der Unternehmensstandort beeinflusst jedoch, welche Aufsichtsbeh\u00f6rde zust\u00e4ndig ist, ob ein EU-Vertreter benannt werden muss und wie Daten\u00fcbermittlungen in Drittstaaten zu bewerten sind.<\/p>\n
F\u00fcr Unternehmen mit einer Niederlassung in der EU gilt das sogenannte One-Stop-Shop-Prinzip: Die Aufsichtsbeh\u00f6rde am Hauptsitz ist federf\u00fchrend zust\u00e4ndig. Ein deutsches Unternehmen untersteht damit prim\u00e4r dem jeweiligen Landesdatenschutzbeauftragten. Die Pflicht zur Benennung eines EU-Vertreters entf\u00e4llt.<\/p>\n
F\u00fcr Unternehmen ohne EU-Niederlassung, die aber unter das Marktortprinzip fallen, gelten folgende Besonderheiten:<\/p>\n
Gerade die Frage der Drittstaaten\u00fcbermittlung ist f\u00fcr internationale Websites besonders relevant. Wer Server in den USA, Australien oder anderen L\u00e4ndern ohne EU-Angemessenheitsbeschluss betreibt, muss dies in der Datenschutzerkl\u00e4rung transparent machen und geeignete Schutzma\u00dfnahmen nachweisen k\u00f6nnen.<\/p>\n
Die Datenschutzerkl\u00e4rung ist f\u00fcr internationale Websites das zentrale Transparenzinstrument und zugleich ein wesentlicher Pr\u00fcfpunkt bei beh\u00f6rdlichen Kontrollen. Sie muss vollst\u00e4ndig, aktuell und in der Sprache des jeweiligen Publikums verf\u00fcgbar sein. F\u00fcr ein deutschsprachiges Angebot ist eine deutsche Datenschutzerkl\u00e4rung in der Regel unerl\u00e4sslich.<\/p>\n
Inhaltlich muss die Erkl\u00e4rung alle tats\u00e4chlich eingesetzten Dienste, Cookies und Verarbeitungsvorg\u00e4nge abbilden. Eine veraltete oder unvollst\u00e4ndige Erkl\u00e4rung, die etwa einen neu integrierten Analyse-Dienst nicht erw\u00e4hnt, stellt selbst einen Datenschutzversto\u00df dar. F\u00fcr internationale Websites sind dabei folgende Punkte besonders kritisch:<\/p>\n
Ein hilfreicher Ansatz ist die Nutzung eines Datenschutzgenerators<\/a>, der die Erkl\u00e4rung auf Basis der tats\u00e4chlich erkannten Dienste und Cookies erstellt und bei \u00c4nderungen aktuell h\u00e4lt.<\/p>\n Bei Verst\u00f6\u00dfen gegen die DSGVO drohen auch internationalen Unternehmen empfindliche Sanktionen, da die Verordnung ausdr\u00fccklich extraterritoriale Wirkung entfaltet. Europ\u00e4ische Datenschutzbeh\u00f6rden k\u00f6nnen gegen Unternehmen ohne EU-Sitz Bu\u00dfgeldverfahren einleiten, sofern diese in den Anwendungsbereich der DSGVO fallen.<\/p>\n Die m\u00f6glichen Konsequenzen umfassen mehrere Ebenen:<\/p>\n Besonders relevant ist, dass die blo\u00dfe Nichtbenennung eines EU-Vertreters oder das Fehlen einer deutschsprachigen Datenschutzerkl\u00e4rung bei einem deutschsprachigen Angebot bereits als Versto\u00df gewertet werden kann. Internationale Unternehmen sollten daher nicht davon ausgehen, dass ihr Sitz au\u00dferhalb der EU sie vor europ\u00e4ischen Sanktionen sch\u00fctzt.<\/p>\n Die Pr\u00fcfung einer internationalen Website auf DSGVO-Anforderungen umfasst mehrere Ebenen: technische Analyse der eingesetzten Cookies und Tracker, rechtliche Bewertung der Rechtsgrundlagen, \u00dcberpr\u00fcfung der Datenschutzerkl\u00e4rung und Kontrolle des Consent-Managements. Eine manuelle Pr\u00fcfung ist zeitaufwendig und fehleranf\u00e4llig, insbesondere wenn mehrere Websites oder regelm\u00e4\u00dfige Aktualisierungen zu ber\u00fccksichtigen sind.<\/p>\n Effizient l\u00e4sst sich die Pr\u00fcfung strukturieren, wenn folgende Schritte systematisch durchgef\u00fchrt werden:<\/p>\n F\u00fcr Unternehmen, die mehrere internationale Domains betreiben, empfiehlt sich der Einsatz automatisierter Scan-L\u00f6sungen. Diese k\u00f6nnen Websites systematisch auf Datenschutz-Schwachstellen pr\u00fcfen und bei \u00c4nderungen automatisch benachrichtigen. Ein DSGVO-Website-Check<\/a> kann dabei helfen, einen ersten strukturierten \u00dcberblick \u00fcber den Pr\u00fcfbedarf zu erhalten.<\/p>\n Wir bei decareto haben eine SaaS-Plattform entwickelt, die speziell auf die Anforderungen von Datenschutzbeauftragten, Agenturen und Compliance-Teams ausgerichtet ist, die Websites systematisch und effizient auf DSGVO-Konformit\u00e4t pr\u00fcfen m\u00f6chten. Unsere L\u00f6sung unterst\u00fctzt Sie dabei, den Pr\u00fcfaufwand erheblich zu reduzieren und Schwachstellen strukturiert zu identifizieren:<\/p>\n Bitte beachten Sie: Unsere Scans unterst\u00fctzen die Identifikation m\u00f6glicher Datenschutzrisiken und ersetzen keine rechtliche Beratung durch einen qualifizierten Datenschutzbeauftragten oder Rechtsanwalt. Die Ergebnisse liefern eine strukturierte Grundlage f\u00fcr Ihre Compliance-Arbeit, stellen jedoch keine rechtliche Zertifizierung dar.<\/p>\nWas droht bei Verst\u00f6\u00dfen gegen die DSGVO auf internationalen Websites?<\/h2>\n
\n
Wie l\u00e4sst sich DSGVO-Konformit\u00e4t f\u00fcr internationale Websites effizient pr\u00fcfen?<\/h2>\n
\n
So unterst\u00fctzt decareto bei der DSGVO-Pr\u00fcfung internationaler Websites<\/h2>\n
\n