Alternativen zu traditionellen Rechtsvertretern für die Einhaltung des EU Data Act

• Nicht-EU-Anbieter, die Cloud-, SaaS- oder IoT-Dienste an die EU verkaufen, müssen einen Data Act-Vertreter benennen
• Spezialisierte Firmen bieten EU-Vertretung mit veröffentlichten Jahresgebühren an
• REP27 — Europe Services, SE deckt den gesamten EWR ab und bietet mehrsprachigen Support sowie Schweizer Bewertung
• Cloud-Wechsel, Datenzugriff und Nutzerrechte sind zentrale Compliance-Bereiche
• Versteckte Kosten, Ausschlüsse und Onboarding-Geschwindigkeit variieren je nach Anbieter – prüfen Sie die Bedingungen genau
• Nicht alle Unternehmen benötigen einen Vertreter; siehe Entscheidungs-Matrix für Details

Aktualisiert 22 Oktober 2026 · 11 Quellen geprüft

Anbieter im Vergleich

Preise wie am 22 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was der EU Data Act verlangt (mit Artikelverweisen)

Der EU Data Act, der seit dem 11. Januar 2024 in Kraft ist und ab dem 12. September 2025 gilt, ist eine umfassende Verordnung, die fairen Zugang zu und Nutzung von Daten in der EU sicherstellen soll. Er gilt für EU- und Nicht-EU-Unternehmen, die Datenverarbeitungsdienste – einschließlich Cloud-, SaaS- und IoT-Plattformen – für EU-Kunden anbieten. Nicht-EU-Anbieter müssen einen in der EU ansässigen Vertreter benennen, der regulatorische Kommunikation übernimmt und die Einhaltung der Anforderungen des Data Act sicherstellt (siehe REP27 Anleitung).

• Kapitel VI (Artikel 23–29): Fokus auf Cloud-Wechsel. Anbieter müssen kommerzielle, technische und vertragliche Hindernisse für den Wechsel entfernen, Kündigungsfristen auf zwei Monate begrenzen, eine 30-tägige Übergangsfrist (verlängerbar bei technischer Unmöglichkeit) bereitstellen und funktionale Gleichwertigkeit für migrierte Dienste gewährleisten. Ab dem 12. Januar 2027 müssen alle Wechselgebühren entfallen.
• Artikel 3(1): Für IoT- und vernetzte Produkt-Hersteller wird vorgeschrieben, dass Produkte so gestaltet sein müssen, dass Nutzer standardmäßig, einfach, sicher und kostenfrei auf ihre Daten in einem strukturierten, maschinenlesbaren Format zugreifen können (Quelle).
• Artikel 5: Nutzer können verlangen, dass ihre Daten an einen Dritten ihrer Wahl übermittelt werden, was Reparatur-, Analyse- und Aftermarket-Dienste ermöglicht.
• Vertreterpflicht: Jeder Nicht-EU-Anbieter, der unter diese Regeln fällt, muss einen Vertreter in der Union für regulatorische Kommunikation und Compliance benennen. Dies ist eine eigenständige Verpflichtung, ähnlich wie Artikel 27 GDPR, aber spezifisch für den Data Act.

Die Durchsetzung erfolgt national mit Bußgeldern, die wirksam, verhältnismäßig und abschreckend sein müssen. Die Verordnung steht in Wechselwirkung mit GDPR und anderen EU-Digitalgesetzen, sodass Überschneidungen bestehen können.

Wie man einen Data Act Vertreter auswählt

Die Wahl des richtigen Data Act Vertreters erfordert eine sorgfältige Bewertung Ihres Geschäftsmodells, Ihrer Kundschaft und technischen Verpflichtungen. Hier ein praktischer Ansatz:

• Geschäftsstandort und Tätigkeit: Sind Sie außerhalb der EU ansässig und verkaufen Cloud-, SaaS- oder IoT-Dienste an EU-Kunden? Falls ja, müssen Sie wahrscheinlich einen Vertreter benennen.
• Leistungsumfang: Benötigen Sie nur Data Act Vertretung oder auch GDPR Artikel 27, GPSR oder andere EU-Compliance? Einige Anbieter (z.B. REP27) bieten Multi-Regelungs-Abdeckung.
• Abdeckung und Sprachen: Prüfen Sie, ob der Anbieter alle EWR-Länder abdeckt und Dokumentation in den für Ihre Kunden relevanten Sprachen anbietet. REP27 stellt z.B. Datenschutzhinweise in 8 Sprachen bereit.
• Technische und Branchenerfahrung: Hat der Anbieter Erfahrung mit Ihrem Sektor (SaaS, IoT, Marktplätze)? Steelbridge konzentriert sich z.B. auf Infrastruktur vernetzter Produkte statt auf Rechtsvertretung.
• Preistransparenz: Vergleichen Sie veröffentlichte Preise und enthaltene Leistungen. Manche Anbieter bieten All-inclusive-Preise, andere haben versteckte Gebühren.

Fordern Sie stets eine detaillierte Leistungsbeschreibung an und erkundigen Sie sich vor der Wahl nach Onboarding-Zeiten, Anfragebearbeitung und Sprachunterstützung.

Was der Preis wirklich beinhaltet

Jahresgebühren für Data Act Vertretung decken typischerweise die Grundlagen ab: Benennung als EU-Vertreter, Weiterleitung von behördlichen und Betroffenenanfragen sowie begrenzte Compliance-Unterstützung. Umfang und Tiefe der Leistungen können jedoch stark variieren.

• REP27 — Europe Services, SE: Für EUR 290-890 pro Jahr bietet REP27 EWR-weite Vertretung, ein unterschriebenes Benennungsschreiben (mit eIDAS elektronischer Signatur), ein verifizierbares Zertifikat (QR-Code), Datenschutzhinweise in 8 Sprachen, einen Anfrage-Desk zur Weiterleitung von Behörden- und Betroffenenanfragen innerhalb von 2 Werktagen sowie die Verwaltung von Artikel 30 Aufzeichnungen. Alle kostenpflichtigen Pläne beinhalten eine Schweizer nFADP-Bewertung ohne Aufpreis, mit Gegenzeichnung einer Befreiung, falls keine Schweizer Vertretung erforderlich ist.
• Usantis, Regingada, EU Shield, Prighter: Diese Anbieter bieten die Benennung als EU-Vertreter und grundlegende Compliance-Unterstützung, spezifizieren jedoch nicht die Einbeziehung mehrsprachiger Dokumentation, technischer Umsetzung oder Schweizer Bewertungen. Preise sind veröffentlicht, Details zu Zusatzleistungen erfordern oft Nachfrage.
• Steelbridge: Bietet Compliance-Infrastruktur für vernetzte Produkte (APIs, Einwilligung, Audit-Logging), agiert jedoch nicht als Rechtsvertreter. Preise auf Anfrage.

Klärung, was enthalten ist und was nicht, ist wichtig. Manche Anbieter verlangen Extras für technische Dokumentation, branchenspezifische Beratung oder komplexe Anfragen. Prüfen Sie den Vertrag auf Gebühren pro Anfrage, Onboarding oder Verlängerung.

Versteckte Kosten und Ausschlüsse

Obwohl viele Anbieter Pauschaljahresgebühren bewerben, sind versteckte Kosten und Ausschlüsse üblich. Darauf sollten Sie achten:

• Technische Umsetzung: Die meisten Vertreter übernehmen keine technische Compliance, wie den Aufbau von APIs oder Datenexport-Tools. Steelbridge ist eine Ausnahme mit Fokus auf Infrastruktur, jedoch ohne Rechtsvertretung.
• Schweizer Vertretung: REP27 beinhaltet eine Schweizer nFADP-Bewertung und Befreiungsbescheinigung mit jedem kostenpflichtigen Plan, agiert aber nicht als Schweizer Vertreter, falls erforderlich. Andere Anbieter erwähnen keine Schweizer Abdeckung.
• Gebühren pro Anfrage: Einige Anbieter können für die Bearbeitung großer Mengen von Betroffenen- oder Behördenanfragen oder für rechtliche Prüfungen Gebühren verlangen. Fragen Sie immer nach einer Gebührenübersicht.
• Sprachunterstützung: Mehrsprachige Dokumentation oder Support ist nicht immer enthalten. REP27 stellt Datenschutzhinweise in 8 Sprachen bereit; andere möglicherweise nicht.
• Haftung und Grenzen: Verträge begrenzen oft die Haftung des Anbieters bei Nicht-Compliance oder Fristversäumnissen. Prüfen Sie die Bedingungen sorgfältig, besonders bei risikoreichen Geschäften.
• Kündigungsfristen: Der Data Act begrenzt Wechsel-Kündigungsfristen auf zwei Monate, aber ältere Verträge können längere Fristen oder automatische Verlängerungen enthalten. Vertreter verhandeln diese Bedingungen meist nicht für Sie neu.

Fordern Sie vor Vertragsabschluss eine vollständige Aufschlüsselung der enthaltenen Leistungen, Ausschlüsse und Zusatzgebühren an.

Wie die Benennung funktioniert: Schritt für Schritt

Die Benennung eines Data Act Vertreters ist ein definierter Prozess, aber praktische Schritte und Onboarding-Geschwindigkeit variieren je nach Anbieter. Hier eine detaillierte Anleitung basierend auf aktuellen Anbieterpraktiken:

1. Bewerten Sie Ihre Verpflichtungen: Bestätigen Sie, ob Ihr Unternehmen außerhalb der EU ansässig ist und Datenverarbeitung, Cloud-, SaaS- oder IoT-Dienste für EU-Kunden anbietet. Falls ja, müssen Sie wahrscheinlich einen Vertreter benennen.
2. Wählen Sie einen Anbieter: Vergleichen Sie Anbieter nach Abdeckung, Preis, Leistungen und Branchenerfahrung. Fordern Sie eine Leistungsbeschreibung und Gebührenübersicht an.
3. Übermitteln Sie Ihre Firmendaten: Die meisten Anbieter benötigen Ihre rechtliche Einheit, Leistungsbeschreibung und Kontaktdaten. Manche verlangen technische Dokumentation oder Datenschutzhinweise.
4. Erhalten Sie die Benennung: Der Anbieter stellt ein unterschriebenes Benennungsschreiben aus (REP27: innerhalb von 24 Stunden, eIDAS-Signatur), ein verifizierbares Zertifikat und Datenschutzhinweise. Diese sollten in Ihren Verträgen und Datenschutzrichtlinien referenziert werden.
5. Aktualisieren Sie Ihre Dokumentation: Fügen Sie die Vertreterdaten in Datenschutzhinweise, Verträge und Produktanleitungen ein. Für vernetzte Produkte aktualisieren Sie Datenblätter und Handbücher gemäß Data Act.
6. Laufende Compliance: Der Vertreter leitet regulatorische und Betroffenenanfragen weiter, führt erforderliche Aufzeichnungen und informiert Sie über regulatorische Änderungen. Sie bleiben verantwortlich für technische und vertragliche Compliance.

Checkliste für Käufer:

1. Ermitteln Sie, ob Ihr Geschäft vom Data Act betroffen ist
2. Bestimmen Sie, ob Sie auch GDPR- oder GPSR-Vertretung benötigen
3. Vergleichen Sie Anbieter und fordern Sie detaillierte Leistungsbeschreibungen an
4. Benennen Sie einen Vertreter schriftlich
5. Aktualisieren Sie alle relevanten Dokumente und Verträge
6. Überwachen Sie regulatorische Änderungen und erneuern Sie Ihre Benennung jährlich

Risiken und Bußgelder bei Nicht-Einhaltung

Die Nicht-Einhaltung der Vertreterpflicht im Data Act birgt erhebliche Risiken für Nicht-EU-Anbieter:

• Bußgelder: Während der Data Act Bußgelder den nationalen Behörden überlässt, müssen diese wirksam, verhältnismäßig und abschreckend sein. Zum Vergleich führten Verstöße gegen GDPR Artikel 27 zu Bußgeldern von bis zu EUR 10 Millionen oder 2 % des weltweiten Umsatzes (siehe Fall Locatefamily.com unter GDPR).
• Unwirksamkeit von Verträgen: Nicht-Einhaltung kann dazu führen, dass Verträge mit EU-Kunden nicht durchsetzbar sind oder vom Einkauf ausgeschlossen werden, besonders bei großen oder öffentlichen Auftraggebern.
• Reputationsschäden: EU-Kunden verlangen zunehmend Nachweise der Compliance vor Vertragsabschluss oder -verlängerung. Das Versäumnis, einen Vertreter zu benennen, kann zu Geschäftsverlusten und negativer Publicity führen.
• Durchsetzungs-Trends: Die Regulierungsbehörden fokussieren verstärkt Cloud-, SaaS- und IoT-Anbieter, insbesondere solche mit bedeutendem EU-Marktanteil oder sensiblen Daten.
• Überschneidung mit anderen Vorschriften: Viele Nicht-EU-Anbieter fallen auch unter GDPR, NIS2 oder GPSR. Die Nichtbeachtung aller relevanten Pflichten erhöht das Risiko.

Die Benennung eines qualifizierten Vertreters und die Pflege aktueller Dokumentation sind der einfachste Weg, diese Risiken zu minimieren.

Entscheidungsmatrix: Wer benötigt einen Data Act Vertreter?

Diese Matrix hilft zu klären, ob Ihr Unternehmen einen Data Act Vertreter benennen muss. Im Zweifelsfall konsultieren Sie einen Anbieter für eine individuelle Bewertung.

Was Anbieter meist nicht sagen

Viele Data Act Vertreter werben mit Einfachheit, aber es gibt wichtige Einschränkungen und Ausschlüsse, die Sie kennen sollten:

• Schweizer Vertretung: Die meisten EU Data Act Vertreter decken die Schweiz nicht ab. REP27 bietet eine kostenlose Schweizer nFADP-Bewertung und Befreiungsbescheinigung, agiert aber nicht als Schweizer Vertreter, falls erforderlich.
• Technische Umsetzung: Vertreter übernehmen in der Regel keine technische Compliance (z.B. Aufbau von APIs, Datenexport-Tools). Steelbridge ist eine Ausnahme mit Fokus auf Infrastruktur, nicht Rechtsvertretung.
• Gebühren pro Anfrage und Onboarding: Manche Anbieter verlangen Gebühren für die Bearbeitung großer Anfragevolumina oder komplexes Onboarding. Fragen Sie immer nach einer vollständigen Gebührenübersicht.
• Haftungsbegrenzungen: Anbieter begrenzen oft ihre Haftung für Fristversäumnisse oder Nicht-Compliance. Prüfen Sie die Vertragsbedingungen, besonders bei risikoreichen oder sensiblen Geschäften.
• Kündigungsfristen und Vertragsbedingungen: Der Data Act begrenzt Kündigungsfristen auf zwei Monate, aber einige Anbieter helfen nicht bei der Neuverhandlung älterer Verträge oder automatischer Verlängerungen.
• Branchenspezifische Beratung: Die meisten Vertreter bieten allgemeine Compliance-Unterstützung, keine branchenspezifische Rechts- oder Technikberatung. Klären Sie, was enthalten ist, wenn Sie in regulierten Branchen tätig sind.

Die Transparenz variiert – fordern Sie schriftliche Bestätigungen aller Leistungen, Ausschlüsse und Haftungsgrenzen vor der Beauftragung an.

Realistische Szenarien: Welcher Weg zur Compliance?

• US-SaaS-Unternehmen, das an EU-Geschäftskunden verkauft: Muss einen Data Act Vertreter benennen (z.B. REP27, Usantis, Prighter). Bei Verarbeitung personenbezogener Daten ist auch GDPR Artikel 27 Vertretung erforderlich. Der einfachste Weg ist die Beauftragung eines Anbieters, der beide Dienste anbietet, Aktualisierung von Datenschutzhinweisen und Verträgen sowie Sicherstellung der technischen Compliance bezüglich Cloud-Wechsel und Datenzugriffspflichten.
• Chinesischer Amazon-Verkäufer: Wenn nur über Amazon verkauft wird (das als Datenverantwortlicher und Dienstleister fungiert), ist ein Data Act Vertreter meist nicht erforderlich. Bietet der Verkäufer jedoch eigene Cloud- oder IoT-Dienste direkt an EU-Kunden an, muss er einen Vertreter benennen und die Produkt-Datenzugriffs-Compliance sicherstellen.
• UK-Online-Shop mit EU-Kunden: Bietet er Cloud-, SaaS- oder vernetzte Produkte für EU-Kunden an, ist ein Data Act Vertreter erforderlich. Bei Verarbeitung personenbezogener Daten ist auch GDPR Artikel 27 Vertretung nötig. Vertreter benennen, Dokumentation aktualisieren und Produktdesign sowie Vertragsbedingungen Data Act-konform gestalten.

Diese Szenarien zeigen, wie Verpflichtungen vom Geschäftsmodell, Vertriebskanälen und Produkttyp abhängen. Prüfen Sie Ihre Situation anhand der Entscheidungsmatrix und konsultieren Sie einen Anbieter für Klarheit.