Die Verpflichtungen der DSGVO treffen nach Artikel 3 der DSGVO nicht nur Unternehmen, welche – unabhängig vom Serverstandort – eine Niederlassung in der EU unterhalten (sog. Niederlassungsprinzip), sondern auch Unternehmen aus Drittländern, welche Ihre Waren und Leistungen an Bürger in der EU (auch kostenlos) anbieten oder das Verhalten von EU-Bürgern durch die Verarbeitung von personenbezogenen Daten beobachten (sog. Marktortprinzip).
Streng genommen fällt damit jedes Unternehmen unabhängig vom Standort in den Anwendungsbereich der DSGVO, sofern es z.B. ungekürzte IP-Adressen (als personenbezogenes Datum, vgl. Erwägungsgrund 30 der DSGVO) auch von EU-Bürgern verarbeitet, um das Nutzerverhalten der eigenen Webseite zu analysieren, selbst wenn keine Waren und/oder Leistungen an EU-Bürger angeboten werden.