Gelten DSGVO und KI-Verordnung auch für mein US-Unternehmen?

Ein US-SaaS-Anbieter, der Lizenzen an einen Kunden in Berlin verkauft, ein Shopify-Shop, der nach Frankreich versendet, ein HR-Tech-Anbieter, dessen Bewerber-Scoring von einem niederländischen Arbeitgeber genutzt wird — keines dieser Unternehmen hat eine EU-Niederlassung, ein EU-Bankkonto oder eine EU-Gesellschaft. Trotzdem können alle drei klar unter die DSGVO, die KI-Verordnung oder beide fallen. Entscheidend ist nicht, wo Ihr Unternehmen registriert ist. Entscheidend ist, wo Ihre Kunden sitzen, wohin Ihr Marketing zielt, und wo das Ergebnis Ihres KI-Systems am Ende genutzt wird. Das ist eine andere Frage als die, die sich die meisten US-Unternehmen tatsächlich stellen, nämlich meist eine Variante von "wir sind ein US-Unternehmen, warum sollte EU-Recht für uns überhaupt gelten".

Die DSGVO-Prüfung: Richten Sie sich an Personen in der EU, oder beobachten Sie deren Verhalten

Der räumliche Anwendungsbereich der DSGVO, Art. 3 Abs. 2 der Verordnung (EU) 2016/679, fragt nicht nach dem Firmensitz. Er gilt für ein Nicht-EU-Unternehmen immer dann, wenn es Personen in der EU Waren oder Dienstleistungen anbietet — auch kostenlos — oder deren Verhalten beobachtet. Aufsichtsbehörden achten auf die gezielte Ausrichtung, nicht auf bloße Erreichbarkeit: Preist Ihre Website in Euro, gibt es Sprachversionen für EU-Märkte, laufen Werbeanzeigen, die gezielt auf EU-Zielgruppen ausgerichtet sind, wird mit EU-Kunden oder EU-Referenzen geworben, wird physisch an EU-Adressen versendet, oder wird eine länderspezifische Domain wie .de oder .fr genutzt? Ein US-Unternehmen, dessen Website zufällig auch aus Brüssel erreichbar ist, weil das Internet global ist, fällt dadurch allein noch nicht in den Anwendungsbereich. Ein US-Unternehmen mit Kasse in Euro, deutsch- und französischsprachigen Seiten und geografisch auf Paris und Berlin ausgerichteter Werbung ist ein anderer Fall — unabhängig davon, wo Server oder Hauptsitz liegen. "Verhaltensbeobachtung" erfasst eine völlig eigene Gruppe: Cookies, Analysetools und Werbe-Pixel, die EU-Besucher verfolgen, selbst auf einer Website, die nie gezielt auf EU-Verkäufe ausgerichtet war.

Die KI-Verordnung-Prüfung: Es zählt nicht, wo Ihr Unternehmen sitzt, sondern wo das Ergebnis landet

Die KI-Verordnung, Verordnung (EU) 2024/1689, spannt für US-KI-Anbieter ein noch weiteres Netz. Art. 2 Abs. 1 lit. c gilt für Anbieter und Betreiber mit Sitz in einem Drittstaat, sobald das von ihrem KI-System erzeugte Ergebnis in der EU genutzt wird. Das ist eine ergebnisbezogene, keine niederlassungsbezogene Prüfung, und sie setzt überhaupt keinen EU-Verkauf voraus. Ein US-HR-Tech-Unternehmen, dessen Bewerber-Scoring-Tool von einem einzigen niederländischen Arbeitgeber genutzt wird, fällt in den Anwendungsbereich, selbst wenn das US-Unternehmen selbst keinen einzigen EU-Kunden, EU-Vertrag oder EU-Marketing hat. Am 2. August 2026 sind die Pflichten für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten nach Art. 50 für jeden Anbieter und Betreiber in Kraft getreten, dessen Ergebnis in der EU genutzt wird — auch für Drittstaaten-Anbieter. Diese Frist ist inzwischen scharf, nicht mehr theoretisch.

Die Pflicht, die fast jedes US-Unternehmen übersieht: die Bestellung eines EU-Vertreters

Gilt die DSGVO für Sie nach Art. 3 Abs. 2, verlangt Art. 27, dass Sie einen in einem EU-Mitgliedstaat niedergelassenen Vertreter benennen — eine formelle Kontaktstelle für Aufsichtsbehörden und betroffene Personen, unabhängig von einer möglicherweise bereits beauftragten Anwaltskanzlei. Das zu übersehen ist keine Formalie, die Behörden ignorieren: Art. 83 sieht für das Fehlen eines benannten Vertreters ein Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes vor, zusätzlich zu jedem Bußgeld für die eigentliche Verarbeitung. Die KI-Verordnung enthält eine parallele Pflicht für Nicht-EU-Anbieter von Hochrisiko-Systemen, die vor dem Inverkehrbringen in der EU einen eigenen, in der EU niedergelassenen Bevollmächtigten benennen müssen. Beide Pflichten existieren gerade deshalb, weil die EU damit rechnet, mit Drittstaaten-Unternehmen ohne EU-Niederlassung zu tun zu haben, und beide werden bei der Compliance-Prüfung eines US-Unternehmens meist zuerst übersehen — "brauchen wir einen US-Anwalt" und "brauchen wir einen EU-Vertreter" fühlen sich erst dann wie zwei getrennte Fragen an, wenn jemand darauf hinweist, dass es sich nicht um austauschbare Alternativen handelt.

Wer das gegenüber einem Unternehmen ohne Vermögenswerte in der EU tatsächlich durchsetzen kann

Hier wird es deutlich vager, sobald man vom Gesetzestext zur tatsächlichen Praxis wechselt. Der klarste Beispielfall ist Clearview AI: Die niederländische, französische, italienische und griechische Datenschutzbehörde haben das US-Gesichtserkennungsunternehmen gemeinsam mit rund 100 Millionen Euro für DSGVO-Verstöße belegt. Clearview hat keine EU-Niederlassung, keinen EU-Vertreter und keine Vermögenswerte in der EU und hat erklärt, überhaupt kein Geschäft in der EU zu betreiben. Es gibt keinen völkerrechtlichen Mechanismus, der US-Gerichte zur Vollstreckung eines Bußgelds einer EU-Behörde verpflichtet, und nach übereinstimmenden öffentlichen Berichten haben die Behörden davon bislang kaum etwas eingetrieben.

Das bedeutet nicht, dass das Risiko für ein US-Unternehmen, das nicht Clearview ist, rein theoretisch wäre. Drei Dinge greifen auch ohne vollstreckbares Bußgeld. Erstens verlangen EU-Geschäftskunden bei der Lieferantenprüfung zunehmend eine unterschriebene Datenverarbeitungsvereinbarung, Standardvertragsklauseln oder den Nachweis einer abgeschlossenen Risikobewertung, bevor überhaupt ein Vertrag unterschrieben wird — für ein US-SaaS-Unternehmen, das EU-Unternehmensumsätze anstrebt, ist der Verlust des Geschäfts schneller und teurer als ein Streit, den eine Behörde ohnehin nicht vollstrecken kann. Zweitens können die Marktüberwachungsbehörden nach der KI-Verordnung anordnen, ein Produkt vollständig vom EU-Markt zurückzuziehen — das erfordert kein Eintreiben von irgendetwas, es beendet einfach den EU-Vertrieb. Drittens: Öffentlich als das Unternehmen bekannt zu sein, das EU-Behörden ignoriert hat, wie es inzwischen bei Clearview der Fall ist, ist eine Referenz, die eine ernstgemeinte EU-Vertriebspipeline nicht überlebt.

Die Komplikation, die gerade obendrauf kommt: das EU-US Data Privacy Framework

Übermittelt Ihr Unternehmen personenbezogene Daten von EU-Kunden an US-Server, braucht diese Übermittlung eine eigene Rechtsgrundlage — unabhängig davon, ob die DSGVO für Ihre Verarbeitung überhaupt gilt. Die meisten US-Unternehmen stützen sich dabei auf das EU-US Data Privacy Framework, den Angemessenheitsbeschluss, den die Europäische Kommission im Juli 2023 erlassen hat. Diese Grundlage steht zum Zeitpunkt dieses Beitrags unter echtem Druck: Das Urteil des US Supreme Court vom Juni 2026 in der Rechtssache Trump v. Slaughter hat die gesetzlich verankerte Unabhängigkeit der FTC-Kommissare beseitigt, und der Europäische Datenschutzausschuss hat die Kommission formell aufgefordert zu prüfen, ob der Angemessenheitsbeschluss des DPF noch trägt, da dieser Beschluss die Unabhängigkeit der FTC ausdrücklich als eine seiner tragenden Säulen nennt. Vor dem Europäischen Gerichtshof ist bereits eine eigene Klage anhängig. Wie beide Verfahren ausgehen, weiß derzeit niemand, aber das Muster wird jedem bekannt vorkommen, der 2020 den Fall des Privacy Shield verfolgt hat: Ein US-Unternehmen, das keine Standardvertragsklauseln als Rückfalloption vorbereitet hat, trägt ein zweites, eigenständiges Risiko zusätzlich zu seiner ohnehin bestehenden DSGVO-Exposition.

Was Sie in Ihrem eigenen Unternehmen prüfen sollten

• Zielt Ihr Marketing, Ihre Preisgestaltung oder Ihre Kasse gezielt auf EU-Kunden ab — Euro-Preise, EU-Sprachseiten, geografisch ausgerichtete Werbung — statt nur zufällig aus der EU erreichbar zu sein?
• Erzeugt eine von Ihnen entwickelte oder genutzte KI-Funktion eine Bewertung, Entscheidung oder Empfehlung, die von einer Person in der EU genutzt wird, unabhängig davon, ob Sie überhaupt einen einzigen EU-Kunden haben?
• Haben Sie einen EU-Vertreter nach Art. 27 DSGVO oder nach der entsprechenden Pflicht der KI-Verordnung für Hochrisiko-Anbieter benannt, oder gehen Sie davon aus, dass eine US-Datenschutzerklärung das bereits abdeckt?
• Verlassen Sie sich bei der Übermittlung von EU-Personendaten an US-Server allein auf das Data Privacy Framework, und haben Sie Standardvertragsklauseln bereit, falls dieser Angemessenheitsbeschluss die laufenden Verfahren nicht übersteht?
• Könnten Sie heute eine DSGVO-Risikobewertung oder eine KI-Act-Risikoeinstufung vorlegen, wenn ein Einkaufsteam eines EU-Geschäftskunden morgen danach fragt?
• Haben Sie geprüft, ob Ihr Produkt für einen EU-basierten Nutzer seines Ergebnisses in eine Hochrisiko-Kategorie nach Anhang III der KI-Verordnung fällt — getrennt davon, wie es für Ihre US-Kunden eingestuft wird?

Allgemeine Information, keine Rechtsberatung: Ob DSGVO oder KI-Verordnung Ihr konkretes Unternehmen erreichen, hängt von Fakten zu Ihrem Marketing, Ihren Kunden und Ihren KI-Systemen ab, die dieser Beitrag für Sie nicht abschließend klären kann. Wo Komplya solche Hinweise veröffentlicht, legen wir offen, welche Ebenen bereits rechtlich geprüft sind und welche noch als Entwurf gelten, damit Sie das entsprechend einordnen können.

Kann ein für EU-KMU entwickeltes Compliance-Tool einem US-Unternehmen überhaupt helfen? Die Anwendbarkeitsprüfung ist in beiden Fällen dieselbe: Die Zielausrichtungs- und Beobachtungskriterien nach Art. 3 Abs. 2 DSGVO und die ergebnisbezogene Reichweite nach Art. 2 Abs. 1 lit. c der KI-Verordnung ändern sich nicht danach, wo Ihr Unternehmen registriert ist. Beantworten Sie einen kurzen Fragebogen zu Ihrem EU-Marketing, Ihren EU-Kunden und Ihren KI-Funktionen, und Komplya zeigt Ihnen genau, welche Pflichten gelten, und erstellt eine KI-gestützte Datenschutzerklärung, KI-Nutzungsrichtlinie oder DSFA auf Basis dieser konkreten Pflichten — Unterlagen, die genau das sind, was ein Einkaufsteam eines EU-Geschäftskunden wahrscheinlich verlangen wird. Was Komplya nicht übernimmt, ist die Funktion Ihres EU-Vertreters nach Art. 27; diese eigenständige rechtliche Bestellung müssten Sie weiterhin separat organisieren.

Statt aus dreitausend Meilen Entfernung zu raten, ob EU-Recht Ihr Unternehmen erreicht, ist der schnellere Weg, Ihre tatsächlichen EU-Kunden, Ihr EU-Marketing und Ihre KI-Systeme direkt an beiden Prüfungen zu messen.