Wer ist zuständig, wenn niemand zuständig ist?
Ein EU-Bürger lebt außerhalb der Europäischen Union. Ein in Irland ansässiges Unternehmen verarbeitet seine personenbezogenen Daten — Profildaten, Nutzungsverhalten, automatisierte Entscheidungen über die Funktionen, die ihm zur Verfügung stehen. Er stellt eine formale Auskunftsanfrage nach Art. 15 und Art. 22 DSGVO. Die Antwort ist ein Textbaustein, der keine seiner konkreten Fragen adressiert. Er will sich beschweren.
Bei wem?
Der vorgesehene Weg
Die DSGVO sieht für genau diesen Fall Art. 77 vor. Jede betroffene Person hat das Recht, sich bei einer Aufsichtsbehörde zu beschweren — und zwar, so der Wortlaut, „insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes".
Drei Optionen, bewusst alternativ formuliert. Für die meisten Menschen innerhalb der EU fällt mindestens eine davon in greifbare Nähe: Die nationale Datenschutzbehörde am Wohnort ist der naheliegende Ansprechpartner. Wer in einem anderen EU-Land arbeitet, kann sich auch dort beschweren. Und wer weiß, wo der Verantwortliche sitzt, kann direkt an die dortige Behörde herantreten.
Wo es kippt
Liegt der gewöhnliche Aufenthalt außerhalb der EU, fällt Option 1 weg — es gibt keine zuständige EU-Aufsichtsbehörde am Wohnort. Option 2 — Arbeitsplatz — greift ebenfalls nicht, wenn auch der sich außerhalb der EU befindet.
Bleibt Option 3: der Ort des mutmaßlichen Verstoßes. Im beschriebenen Fall ist der Verantwortliche — ein großes Karrierenetzwerk — als LinkedIn Ireland Unlimited Company in Dublin niedergelassen. Die zuständige Aufsichtsbehörde wäre die Irish Data Protection Commission (DPC), die gleichzeitig als Lead Supervisory Authority unter Art. 56 DSGVO für dieses Unternehmen fungiert.
Was tatsächlich passiert
Die DPC lehnt die Beschwerde ab. Begründung: Der Beschwerdeführer habe seinen Wohnsitz nicht im Europäischen Wirtschaftsraum.
Der Beschwerdeführer legt Widerspruch ein und führt drei Argumente an: Erstens sei der Ort des mutmaßlichen Verstoßes Irland, weil dort der Verantwortliche niedergelassen ist. Zweitens sei die DPC als Lead Supervisory Authority unter Art. 56 die einzig sinnvolle Anlaufstelle. Drittens habe die Datenschutzbehörde seines Aufenthaltsstaates — eines Nicht-EU-Landes — keinerlei Zuständigkeit über ein irisches Unternehmen, das der DSGVO unterliegt.
Die DPC antwortet ein zweites Mal. Mit demselben Textbaustein. Ohne inhaltliche Auseinandersetzung mit den Gegenargumenten.
Die Lücke im Gesetz — oder in der Auslegung?
Hier wird es interessant, denn die Rechtslage scheint auf den ersten Blick klar:
Art. 3 Abs. 1 DSGVO legt fest, dass die Verordnung für die Verarbeitung personenbezogener Daten gilt, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen in der Union erfolgt — unabhängig davon, ob die Verarbeitung in der Union stattfindet oder nicht. LinkedIn Ireland ist in der EU niedergelassen. Die DSGVO gilt also für die Verarbeitung der Daten aller Nutzer, egal wo diese sich befinden.
Der Europäische Datenschutzausschuss (EDPB) bestätigt das in seinen Leitlinien 3/2018 zum räumlichen Anwendungsbereich ausdrücklich: Art. 3 Abs. 1 greift unabhängig vom Aufenthaltsort oder der Staatsangehörigkeit der betroffenen Person. Und Erwägungsgrund 14 der DSGVO formuliert es nochmals unmissverständlich: Der durch die Verordnung gewährte Schutz soll für natürliche Personen gelten, „ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts".
Nun gibt es eine Unterscheidung, die für die Argumentation wesentlich ist: Art. 3 Abs. 2 betrifft Verantwortliche außerhalb der EU, die Personen innerhalb der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Dieser Absatz knüpft ausdrücklich an den Aufenthaltsort der betroffenen Person an — wer sich nicht in der EU befindet, fällt nicht unter seinen Schutz, auch als EU-Staatsbürger nicht.
Aber Art. 3 Abs. 2 ist hier nicht der einschlägige Absatz. LinkedIn Ireland ist in der EU niedergelassen. Es greift Art. 3 Abs. 1 — und der enthält keine Einschränkung auf Betroffene innerhalb der EU.
Die DPC scheint die Zulässigkeitsprüfung für Beschwerden dennoch so zu handhaben, als gäbe es in Art. 77 nur eine relevante Option: den gewöhnlichen Aufenthalt. Die dritte Option — der Ort des mutmaßlichen Verstoßes — wird nicht adressiert.
Wer ist betroffen?
Das beschriebene Szenario betrifft nicht nur klassische Auswanderer. Remote-Arbeitende mit Wohnsitz außerhalb der EU, digitale Nomaden, Entsandte, Ruheständler im Ausland, Freelancer mit internationaler Kundschaft — jeder EU-Bürger, der seinen gewöhnlichen Aufenthalt außerhalb des EWR hat und Dienste eines in der EU ansässigen Unternehmens nutzt, steht vor demselben Problem.
Die Zahl ist nicht trivial. Allein unter deutschen Staatsangehörigen leben nach offiziellen Schätzungen rund 3,8 Millionen Personen dauerhaft im Ausland (Quelle: Deutsche im Ausland e.V., Stand 2025). Davon entfallen etwa 1,2 Millionen auf das europäische Ausland — die übrigen rund 2,6 Millionen leben größtenteils außerhalb des EWR. Und das sind nur die Deutschen. Die beschriebene Lücke betrifft Staatsangehörige aller EU-Mitgliedstaaten, die ihren gewöhnlichen Aufenthalt außerhalb des EWR haben und Dienste von Unternehmen nutzen, die in der EU niedergelassen sind — soziale Netzwerke, E-Mail-Dienste, Cloud-Anbieter, Karriereplattformen.
Was bleibt
Art. 79 DSGVO eröffnet einen zivilrechtlichen Weg: Klage vor den Gerichten des Mitgliedstaats, in dem der Verantwortliche seine Niederlassung hat. Für den beschriebenen Fall wäre das Irland. Die praktische Hürde ist offensichtlich: Ein Einzelner müsste vor einem irischen Gericht gegen ein Unternehmen klagen, das zu einem der größten Technologiekonzerne der Welt gehört. Das ist nicht unmöglich, aber es ist auch nicht der niedrigschwellige Beschwerdeweg, den die DSGVO als Regelfall vorsieht.
Der Artikel erhebt keinen Anspruch auf eine juristische Bewertung der DPC-Entscheidung. Er dokumentiert einen Sachverhalt: Das materielle Datenschutzrecht der DSGVO gilt — nach ihrem eigenen Wortlaut, nach den Leitlinien des EDPB und nach ihren Erwägungsgründen — für die Verarbeitung durch EU-niedergelassene Verantwortliche, unabhängig vom Aufenthaltsort der Betroffenen. Der vorgesehene Beschwerdemechanismus funktioniert für einen Teil dieser Betroffenen in der Praxis nicht.
Ob das eine Lücke im Gesetz ist oder eine in der Auslegung, ist eine Frage, die ein Gericht beantworten müsste. Dass die Lücke existiert, ist Fakt.
Dies ist Teil 1 einer dreiteiligen Serie über den praktischen Umgang mit Plattform-Governance und Datenschutzrechten. Teil 2 beschreibt, wie ein DSGVO-Auskunftsverfahren in der Praxis abläuft. Teil 3 dokumentiert ein Verifizierungs-Paradox, das Nutzern außerhalb der EU den Zugang zu grundlegenden Plattformfunktionen versperrt.