Art. 2 DSGVO -  Sachlicher Anwendungsbereich

1. Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
2. […]

Was bedeutet das? 

Die DSGVO gilt bei jeder Verarbeitung von personenbezogenen Daten: 

• elektronische Datenverarbeitung durch Computer oder andere digitale Geräte
• Papierablagen, wie Aktenordner, Karteikarten oder Adressbücher
  

Als Dateisystem definiert die DSGVO „jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird“ (DSGVO Art.4 (6)).

Art. 3 DSGVO -  Räumlicher Anwendungsbereich

1. Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.
2. Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht
   1. betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist;
   2. das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.
3. [...]

Was bedeutet das? 

Die DSGVO gilt für alle Verarbeitungen von personenbezogenen Daten, solange diese Verarbeitung in der europäischen Union erfolgt (DSGVO Art.3 (1)). Sie gilt aber auch für alle Organisationen und Unternehmen, die Waren oder Dienstleistungen in der Union anbieten oder Daten von Personen aus der europäischen Union verarbeiten ((DSGVO Art.3 (2)).

Beispiel

Auch Unternehmen außerhalb der EU müssen die DSGVO berücksichtigen, wenn sie Daten von EU-Bürgerinnen und Bürgern verarbeiten. Internationale Konzerne aus Ländern mit anderem Datenschutz-Niveau sind deswegen dazu gezwungen, ihre Datenverarbeitung den EU-Standards anzupassen, wenn sie ihre Dienste in der EU anbieten. Social-Media-Konzerne, die ihre Angebote über personalisierte Werbung finanzieren, stehen deswegen aktuell vor der Frage, ob sie ein alternatives kostenpflichtiges Modell in der EU anbieten, da die aktuelle Finanzierungspraktik vor dem Hintergrund der DSGVO fragwürdig ist (Quelle).