Die EU vertritt den Standpunkt, dass die personenbezogenen Daten ihrer Bürger so weit wie möglich auch außerhalb der EU-Grenzen geschützt werden sollen. Das Gesetz erfasst daher jede Verarbeitung personenbezogener Daten von EU-Bürgern, unabhängig davon, ob das verarbeitende Unternehmen innerhalb oder außerhalb der EU sitzt. Ein Onlineshop in China, der sich an EU-Bürger richtet, fällt genauso unter die DSGVO wie ein Unternehmen in einem EU-Land.