Als Drittstaaten werden die Staaten bezeichnet, die nicht Mitglied es europäischen Wirtschaftraums (EWR) - also EU- oder EFTA-Staaten (bei der DSGVO ohne Schweiz) sind.
Die EU-Kommission legt fest, ob diese Drittstaaten ein gleiches oder bessere Datenschutzniveau als die Vorgaben der DSGVO haben.
Sollten sie dies nicht haben, werden sie als "unsichere Drittstaaten" bezeichnet.
Neben den EU-Staaten haben die Europäische Freihandelsassoziation EFTA mit den derzeit vier Staaten Island, Liechtenstein, Norwegen - aber ohne die Schweiz - die DSGVO assoziiert.