Unternehmen außerhalb der EU, die personenbezogene Daten von EU-Bürgern verarbeiten (z. B. durch den Verkauf von Produkten oder Dienstleistungen), sind verpflichtet, einen ständigen Vertreter zu benennen, wenn keine Niederlassung in der EU besteht.