DSGVO trotz Ausland: Warum manche EU-Kunden nicht mit dir arbeiten wollen – und was du dagegen tun kannst

Du arbeitest von Georgien, Thailand, Paraguay oder Dubai aus. Deine Leistung ist dieselbe wie vorher, deine Qualität auch. Trotzdem kommt irgendwann dieser Satz: „Wir dürfen leider nicht mit Dienstleistern außerhalb der EU zusammenarbeiten.“

Meist folgt keine Erklärung. Und genau das macht es so frustrierend: Du weißt nicht, ob das Problem wirklich existiert, ob es lösbar ist oder ob du gerade Aufträge verlierst, die du mit einem Satz hättest retten können.

Diese Seite erklärt, was hinter der Absage steckt, wann sie berechtigt ist und welche Wege es gibt. Ohne Fachjargon und ohne dir am Ende eine Firmengründung zu verkaufen, die du vielleicht gar nicht brauchst.

Der Grund liegt selten bei dir persönlich. Er liegt in der Struktur der Datenschutz-Grundverordnung.

Sobald ein EU-Unternehmen personenbezogene Daten an einen Dienstleister weitergibt, bleibt es selbst verantwortlich. Es muss einen Auftragsverarbeitungsvertrag abschließen, den Dienstleister prüfen und im Zweifel gegenüber der Aufsichtsbehörde belegen, dass alles korrekt läuft.

Sitzt der Dienstleister außerhalb der EU, kommt eine weitere Ebene dazu: die sogenannte Drittlandübermittlung. Dafür braucht es eine rechtliche Grundlage, etwa Standardvertragsklauseln, und oft eine Bewertung, ob das Datenschutzniveau im Zielland ausreicht. Das ist machbar, aber es ist Arbeit. Und in vielen Unternehmen entscheidet nicht die Fachabteilung, die dich beauftragen will, sondern der Einkauf, die Compliance oder der Datenschutzbeauftragte.

Die Absage ist deshalb oft keine Bewertung deiner Arbeit. Sie ist der einfachste Weg für jemanden, der kein Risiko eingehen will und keine Zeit hat, deinen Fall zu prüfen.

Hier lohnt sich ein ehrlicher Blick, bevor du irgendetwas veränderst.

Im zweiten Fall hast du kein Datenschutzproblem, sondern ein Wahrnehmungsproblem. Der Kunde lehnt vorsichtshalber ab, obwohl gar keine Drittlandübermittlung stattfindet. Das lässt sich oft mit einer sauberen Erklärung lösen, ohne eine einzige Struktur zu ändern.

Im ersten Fall ist die Zurückhaltung des Kunden nachvollziehbar. Dann brauchst du eine Antwort, die seinen Compliance-Verantwortlichen überzeugt.

Viele, die außerhalb der EU leben, arbeiten über eine US-LLC. Sie ist schnell gegründet, sauber zu führen und für viele Lebensmodelle die richtige Wahl. Für internationale Kunden, für Plattformen, für Software-Geschäft.

Beim Geschäft mit europäischen Unternehmen zeigt sich aber ein Muster, das wir immer wieder sehen: Das Erstgespräch läuft gut. Das Angebot passt. Der Kunde will starten. Dann wandert der Vertrag in die Rechtsabteilung oder zum Einkauf, und jemand liest die Adresse. Ein Unternehmen in New Mexico oder Wyoming, geführt von einer Person, die in Georgien, Thailand oder Paraguay sitzt. Kein Sitz in der EU, kein Vertreter in der EU, kein Ansprechpartner, den man im Ernstfall greifen kann.

Und dann passiert häufig nichts mehr. Keine Absage mit Begründung, sondern ein Vertrag, der einfach nicht zurückkommt.

Das liegt nicht daran, dass die LLC ein schlechtes Vehikel wäre. Es liegt daran, dass der Kunde in diesem Moment zwei Fragen nicht beantworten kann: Wie erfülle ich meine DSGVO-Pflichten mit einem Auftragsverarbeiter, der in einem Drittland sitzt und dessen Gesellschaft in einem weiteren Drittland registriert ist? Und wen halte ich fest, wenn etwas schiefgeht?

Nicht jeder Kunde stellt sich diese Fragen. Kleinere Agenturen, Start-ups und inhabergeführte Firmen entscheiden oft pragmatisch. Aber je größer der Kunde, je formalisierter der Einkauf und je sensibler die Daten, desto wahrscheinlicher wird der stille Abbruch. Wer mit einer LLC gezielt europäische Mittelständler oder Konzerne gewinnen will, stößt hier regelmäßig an eine Grenze, die mit der Qualität der eigenen Arbeit nichts zu tun hat.

Die gute Nachricht: Die LLC muss dafür nicht aufgegeben werden. Sie muss nur an der richtigen Stelle ergänzt oder richtig erklärt werden. Welcher der drei folgenden Wege dafür passt, hängt von deiner Kundenstruktur ab.

Es gibt nicht die eine Lösung. Es gibt drei Ansätze mit sehr unterschiedlichem Aufwand.

1. Die vertragliche Lösung

Du bleibst, wo du bist, und lieferst dem Kunden, was er für seine Dokumentation braucht: einen Auftragsverarbeitungsvertrag, Standardvertragsklauseln für die Drittlandübermittlung, eine nachvollziehbare Beschreibung deiner technischen und organisatorischen Maßnahmen.

Das ist der schlankste Weg. Er funktioniert bei Kunden, die bereit sind, deinen Fall zu prüfen, und bei Ländern, deren Datenschutzniveau sich vertretbar begründen lässt. Er scheitert bei Konzernen mit starren Einkaufsrichtlinien und bei Kunden, die schlicht keine Drittland-Dienstleister in ihrer Lieferantenliste haben wollen.

2. Der EU-Partner

Ein Partner mit Sitz in der EU tritt als Vertragspartner auf und beauftragt dich als Subunternehmer. Für den Kunden ist die Situation damit übersichtlich, für dich ändert sich am Alltag wenig.

Das kann sinnvoll sein, wenn du einen vertrauenswürdigen Partner hast und der Aufwand einer eigenen Struktur nicht lohnt. Es hat aber Grenzen: Du bist abhängig, der Partner trägt Haftung und will dafür einen Anteil, und die Datenschutzfrage verschiebt sich nur eine Stufe weiter, sie verschwindet nicht.

3. Die eigene EU-Struktur

Du gründest eine Gesellschaft in der EU, die als Vertragspartner deiner Kunden auftritt. Estland, Zypern, Irland, Portugal und andere Länder bieten dafür Modelle, die sich auch aus dem Ausland verwalten lassen.

Das ist der stabilste Weg für Menschen mit größerem Kundenstamm, wiederkehrenden Aufträgen und Konzernkunden. Aber er hat einen Preis, der oft unterschätzt wird: laufende Kosten für Buchhaltung, Jahresabschluss und Registrierungen, Anforderungen an die tatsächliche Geschäftstätigkeit im Gründungsland, und vor allem steuerliche Folgen in dem Land, in dem du tatsächlich lebst.

Und selbst mit einer EU-Gesellschaft ist die Datenschutzfrage nicht automatisch erledigt. Wer bereits eine EU-Gesellschaft hat, aber von Georgien aus auf die Kundendaten zugreift, hat weiterhin eine Drittlandübermittlung, nur jetzt innerhalb der eigenen Struktur. Die Gesellschaft löst das Vertragsproblem des Kunden. Sie löst nicht von selbst das technische Datenschutzproblem.

Bis hierhin kannst du alles selbst prüfen. Was du allein kaum beurteilen kannst, ist die Wechselwirkung: Wie dein Wohnsitzland auf eine EU-Gesellschaft reagiert, ob dein Kundenstamm den Aufwand rechtfertigt und welche Kombination aus Struktur, Vertrag und Wohnsitz am Ende hält. Genau an dieser Stelle gehen die teuren Fehler los – nicht beim Gründen, sondern beim Zusammensetzen.

Welcher Weg der richtige ist, hängt nicht vom Land ab und nicht davon, was andere Freelancer in Foren empfehlen. Er hängt von vier Dingen ab:

• Deine Kunden: Ein Konzern mit Einkaufsrichtlinie braucht etwas anderes als eine Agentur, die pragmatisch mitdenkt.
• Deine Daten: Wer keine personenbezogenen Daten verarbeitet, braucht keine Struktur für ein Problem, das er nicht hat.
• Dein Umsatz: Eine EU-Gesellschaft lohnt sich ab einer bestimmten Größe. Darunter frisst sie mehr, als sie bringt.
• Dein Leben: Wo du steuerlich ansässig bist, wohin du in den nächsten Jahren willst und ob eine zusätzliche Struktur in dein Gesamtbild passt.

Diese Reihenfolge ist entscheidend. Erst die Situation, dann die Strategie, dann die Struktur. Wer sie umdreht, gründet eine Gesellschaft und sucht danach das Problem, das sie lösen soll.

Wenn du wissen willst, wie diese vier Faktoren in deinem Fall zusammenspielen: → Situation im Check-Gespräch klären (90 €)

Die Gründung als Reflex. Ein Kunde sagt ab, am nächsten Tag ist die Firma gegründet. Ein Jahr später sind mehrere tausend Euro in Buchhaltung und Gebühren geflossen, und das eigentliche Problem war ein fehlender Auftragsverarbeitungsvertrag.

Die LLC als Universallösung. Sie funktioniert hervorragend für viele Geschäftsmodelle, aber sie wurde nie dafür gebaut, europäischen Einkaufsabteilungen ein gutes Gefühl zu geben. Wer mit ihr ausschließlich EU-Kunden anspricht, kämpft gegen eine Struktur, die für einen anderen Markt gedacht ist.

Der Briefkasten. Eine EU-Gesellschaft ohne echte Tätigkeit im Gründungsland. Für den Kunden sieht das zunächst gut aus. Für Finanzbehörden im Wohnsitzland nicht, und dort entstehen die teuren Überraschungen.

Das vergessene Wohnsitzland. Die EU-Struktur ist sauber, aber niemand hat geprüft, wie das Land, in dem du tatsächlich lebst, mit den Einkünften dieser Gesellschaft umgeht.

Die halbe Antwort. Dem Kunden wird gesagt „Wir haben eine EU-Firma“, ohne dass die Datenflüsse tatsächlich DSGVO-konform gestaltet sind. Das hält bis zur ersten ernsthaften Prüfung.