Wenn die Organisation ihren Sitz im EWR hat, fällt die Verarbeitung der personenbezogenen Daten unter die DSGVO, unabhängig davon, ob sich die Daten auf betroffene Personen außerhalb des EWR beziehen oder ob sie außerhalb des EWR erhoben/verarbeitet wurden oder nicht (Art. 3 Absatz 1). Darüber hinaus gilt die DSGVO auch, wenn das Anbieten von Waren und Dienstleistungen sowie die Überwachung von Verhaltensweisen innerhalb des EWR stattfindet (Artikel 3 Absatz 2 Buchstabe a und b), unabhängig davon, ob der Verantwortliche oder der Auftragsverarbeiter im EWR ansässig ist. Die DSGVO gilt auch für die Verarbeitung personenbezogener Daten an Orten, die „aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt“ (Artikel 3 Absatz 3), selbst wenn der Verantwortliche nicht in der EU ansässig ist.

Wenn Daten außerhalb des EWR übermittelt werden, sollte die betroffene Person ebenfalls benachrichtigt und diese internationale Datenübermittlung durch einen Mechanismus unterstützt werden, der sie rechtmäßig macht (Artikel 14 Buchstabe1 f)) (siehe „Übermittlung von Daten an Dritte“ in Teil II, Abschnitt „Wichtigste Instrumente und Maßnahmen“)