AB'de GDPR temsilcisi ataması gereken şirketler hangileri?

• AB dışı şirketlerin AB'deki kişilerin verilerini işlemesi zorunluluğu (madde 3(2), 27 GDPR)
• Muafiyetler: kamu otoriteleri, ara sıra yapılan işlemler, geniş ölçekli olmayan ve yüksek risk taşımayan işlemler (madde 27(2))
• 10 milyon € veya küresel cironun %2'sine kadar para cezaları (madde 83(4)(a))
• Temsilci, otoriteler ve ilgili kişiler için iletişim noktasıdır (madde 4(17))
• Yıllık fiyatlar: 290 € ile 1.000 € üzeri arasında (Ekim 2026)
• Hizmet ve maliyetler değişken: ekstra talepler, diller ve yenilemeler dikkatle değerlendirilmelidir

Güncellendi 18 October 2026 · 6 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 18 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Yasa ne gerektiriyor: GDPR'nin temel maddeleri

AB'de GDPR temsilcisi atama zorunluluğu, AB dışındaki veri sorumluları veya işleyenlerin, AB'deki kişilere mal veya hizmet sunmaları ya da davranışlarını izlemeleri durumunda madde 27'de belirtilmiştir (madde 3(2) GDPR). Bu zorunluluk hem B2C hem B2B şirketleri kapsar. Temsilci, madde 4(17) GDPR'ye göre, AB'de yerleşik gerçek veya tüzel kişi olup, denetim otoriteleri ve ilgili kişiler için iletişim noktasıdır.

Belirli muafiyetler vardır (madde 27(2)): kamu otoriteleri, ara sıra yapılan işlemler, geniş ölçekli olmayan ve yüksek risk taşımayan işlemler. Bu koşullardan biri bile karşılanmazsa atama zorunludur.

Atama yapılmaması durumunda ağır cezalar vardır: madde 83(4)(a) GDPR, 10 milyon € veya yıllık küresel cironun %2'sine kadar para cezası öngörür. Örnek: Locatefamily.com temsilci atamadığı için 525.000 € ceza aldı.

Temsilci yazılı yetki ile atanmalı ve rolü açıkça kabul etmelidir. Sadece adres yayınlamak yeterli değildir. Ayrıca, temsilci madde 30 GDPR uyarınca işlem kayıtlarını yetkililere sunabilmelidir.

Özetle, AB dışı çoğu şirket için, AB'de yaşayanların kişisel verileriyle doğrudan veya dolaylı çalışanlar için temsilci atama zorunludur, nadir istisnalar hariç.

AB temsilcisi seçimi: pratik kriterler ve hizmet karşılaştırması

AB GDPR temsilcisi seçerken sadece fiyat değil, hizmet kapsamı da önemlidir. Sağlayıcılar üç kategoriye ayrılır:

• 1. Seviye – Sadece adres: Yalnızca AB'de posta adresi sağlar, madde 27 görevlerini resmi olarak kabul etmez, kayıt tutmaz, yanıt garantisi vermez. En ucuz ancak risklidir.
• 2. Seviye – Tam atama: Yazılı yetki, talep masası, madde 30 kaydı yönetimi, otoritelere zamanında yanıt sağlar. GDPR'nin gerektirdiği budur.
• 3. Seviye – Hukuk bürosu: Temsilciliğe ek hukuki danışmanlık ve ek hizmetler sunar, ancak çoğu şirket için gereksiz ve çok pahalıdır.

Hizmet karşılaştırma tablosu:

Pratik öneri: Satın almadan önce mutlaka yetki modelini isteyin, madde 30 kaydını kim tutuyor kontrol edin ve desteklenen dilleri sorun. Sadece adres veren ucuz hizmetler yüksek risk taşır.

Fiyata gerçekten neler dahil ve gizli maliyetler nasıl anlaşılır?

AB GDPR temsilcisi fiyatları Ekim 2026 itibarıyla yıllık 300 €'dan 2.000 €'nun üzerine kadar değişir; fark çoğunlukla sunulan hizmetlerde olur. Dikkat edilmesi gerekenler:

• Talep başına ücret: Bazı sağlayıcılar ilgili kişi veya otorite talepleri için 25 €-90 € arasında ek ücret alır; REP27 (Standart'tan itibaren) sınırsız talep içerir.
• Madde 30 kaydı yönetimi: GDPR, temsilcinin işlem kayıtlarını tutmasını ister. Bazı temel planlarda bu yoktur veya yıllık 400 €'ya kadar ekstra ücretlidir.
• Dil desteği: Genellikle sadece İngilizce dahildir; çok dilli destek ekstra olabilir.
• Onboarding/setup ücretleri: Bazı sağlayıcılar 250 €'ya kadar aktivasyon ücreti alır.
• Yenileme fiyat artışları: İkinci yıldan itibaren fiyat artabilir. REP27 yenilemelerde indirim uygular.

Gizli maliyetlerin özeti:

Öneri: Toplam maliyeti (talep sayısı, diller, yenilemeler) simüle ettirin ve sınır aşımı durumlarını kontrol edin.

Atama nasıl yapılır: adım adım rehber ve kontrol listesi

AB GDPR temsilcisi ataması şu adımlarla yapılır:

1. Zorunluluğu kontrol edin: Şirketiniz AB'deki kişilere mal/hizmet sunuyor veya davranışlarını izliyor mu? (madde 3(2), 27 GDPR)
2. Sağlayıcı seçin: Fiyat, hizmet kapsamı, dil desteği ve gizli maliyetleri değerlendirin. Yetki modelini mutlaka isteyin.
3. Onboarding tamamlayın: Şirket bilgilerini sağlayıcıya iletin. REP27 gibi bazıları madde 30 kaydının doldurulmasını ister (Standart'tan itibaren).
4. Belgeleri alın: İki tarafın imzaladığı atama mektubu, QR sertifikası ve gizlilik politikası talimatlarını edinin.
5. Verileri yayınlayın: Temsilcinin adı, adresi ve e-postasını gizlilik politikasına ekleyin (madde 13/14 GDPR).
6. Operasyonel süreç: Sağlayıcı talepleri alır ve zamanında (örneğin REP27'de 2 iş günü içinde, Standart'ta aynı gün) iletir.

Kontrol listesi:

1. Madde 3(2) ve 27 GDPR kontrolü
2. Yetki şablonunu talep edip okuyun
3. Madde 30 kaydını kim tutuyor öğrenin
4. Yanıt sürelerini kontrol edin
5. Toplam maliyeti hesaplayın (talepler, diller, yenilemeler)
6. Gizlilik politikası uyumunu doğrulayın

Dikkat: Atama ancak temsilci yazılı olarak kabul edip, mektup her iki tarafça imzalanırsa geçerlidir.

Riskler ve cezalar: yükümlülük ihlali durumunda ne olur?

Gerekli olduğunda AB temsilcisi atamamak GDPR'nin bağımsız bir ihlalidir (madde 83(4)(a)). Denetim otoriteleri 10 milyon € veya küresel cironun %2'sine kadar ceza verebilir. Diğer GDPR önlemleri tam olsa bile atama yoksa ceza uygulanır.

Örnek: Locatefamily.com sadece temsilci atamadığı için Hollanda otoritesinden 525.000 € ceza aldı. Ayrıca otoriteler işlemlerin durdurulmasını veya ihlal duyurusunu emredebilir.

Diğer riskler:

• Eksik yetki (örneğin sadece posta adresi) cezalardan korumaz
• Otoritelere geç yanıt pozisyonu kötüleştirir
• Sorumluluk her zaman veri sorumlusu/işleyene aittir (madde 27(5)), temsilci atanmış olsa bile

Sonuç: Sadece en düşük fiyat için sağlayıcı seçmek, madde 27 görevlerini resmi olarak kabul etmeyen ve madde 30 kaydını tutmayan hizmetler ciddi yasal ve itibar riskleri taşır.

Sağlayıcıların genellikle söylemediği: sınırlar, hariç tutmalar ve yenilemeler

• Birçok temel plan sadece posta adresidir: Madde 27 görevlerini resmi olarak kabul etmez, kayıt tutmaz, otoritelere yanıt garantisi vermez.
• Talep başına ücretler yıllık abonelikten fazla olabilir: Yoğun talep aylarında maliyet beklenenden çok artabilir.
• Çok dilli destek nadirdir: Genellikle sadece İngilizce vardır; REP27 Standart'tan itibaren 8 dil destekler.
• Yenileme fiyatları genellikle ilk yıldan sonra artar: Birçok sağlayıcı ilk yıl promosyon fiyatı uygular; REP27 şeffaf ve indirimli yenileme sunar.
• Yasal sorumluluk her zaman müşteridedir: Temsilci ihlal sorumluluğunu üstlenmez, sorumluluk veri sorumlusu/işleyendedir (madde 27(5)).
• Sık hariç tutmalar: Hassas veriler (madde 9), adli veriler (madde 10), çocuklara yönelik hizmetler, kumar, ilaç, silah, kripto gibi alanlar genellikle kabul edilmez.

Öneri: Her zaman yazılı olarak nelerin dahil, hariç ve yenileme/iptal koşullarını isteyin.

Karar matrisi: kim temsilci atamalı? (B2B, B2C, pazar yeri, büyüklük)

Pratikte: AB dışı çoğu şirket, AB'de müşterisi, kullanıcısı veya alıcısı varsa, ister B2B ister B2C, ister kendi sitesi ister pazar yeri üzerinden olsun temsilci atamalıdır.

3 pratik senaryo: hangi zorunluluk ve çözüm uygun?

1. ABD SaaS, AB müşterili: ABD merkezli SaaS sağlayıcısı, AB şirketlerine veya kullanıcılara abonelik satıyorsa, AB temsilcisi atamalı, gizlilik politikasında bilgileri yayınlamalı ve madde 30 kaydını tutmalıdır. Çözüm: REP27 Standart plan, sınırsız talep, kayıt yönetimi ve çok dilli destek içerir.
2. Çinli Amazon satıcısı: Çinli şirket Amazon üzerinden AB tüketicilerine ürün satıyorsa tam zorunludur. İsviçre için nFADP zorunluluğu da değerlendirilmelidir. Çözüm: REP27 Multi plan, ücretsiz İsviçre değerlendirmesi içerir.
3. Birleşik Krallık sadece B2B online mağaza: AB bireylerinin verisi işlenmiyorsa muaf olabilir. Yönetici veya kullanıcı verisi varsa zorunludur. Çözüm: Duruma göre değerlendirme, şüphe varsa temsilci atamak daha güvenlidir.

Bu senaryolar, müşteri türü (B2B/B2C), işlenen veri tipi ve izleme faaliyetlerine göre değerlendirme yapılması gerektiğini gösterir.