Alternativer til traditionelle juridiske repræsentanter for overholdelse af EU Data Act

• Ikke-EU-udbydere, der sælger cloud-, SaaS- eller IoT-tjenester til EU, skal udpege en Data Act-repræsentant
• Specialiserede firmaer tilbyder EU-repræsentation med offentliggjorte årlige gebyrer
• REP27 — Europe Services, SE dækker hele EØS og inkluderer flersproget support og schweizisk vurdering
• Cloud switching, dataadgang og brugerrettigheder er centrale compliance-områder
• Skjulte omkostninger, udelukkelser og onboarding-hastighed varierer mellem udbydere – gennemgå vilkårene nøje
• Ikke alle virksomheder behøver en repræsentant; se beslutningsmatricen for detaljer

Opdateret 22 October 2026 · 11 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 22 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad EU Data Act kræver (med artikelhenvisninger)

EU Data Act, gældende siden 11. januar 2024 og anvendelig fra 12. september 2025, er en omfattende regulering med det formål at sikre fair adgang til og brug af data i hele EU. Den gælder for både EU- og ikke-EU-virksomheder, der tilbyder databehandlingstjenester – herunder cloud, SaaS og IoT-platforme – til EU-kunder. Ikke-EU-udbydere skal udpege en repræsentant etableret i EU til at håndtere regulatorisk kommunikation og sikre overholdelse af Data Act’s krav (se REP27 vejledning).

• Kapitel VI (artiklerne 23–29): Fokus på cloud switching. Udbydere skal fjerne kommercielle, tekniske og kontraktmæssige hindringer for switching, begrænse opsigelsesvarsler til to måneder, give en overgangsperiode på 30 dage (kan forlænges, hvis teknisk umuligt) og sikre funktionel ækvivalens for migrerede tjenester. Fra 12. januar 2027 skal alle switching-gebyrer elimineres.
• Artikel 3(1): For IoT- og tilsluttede produktproducenter pålægges det, at produkter skal designes, så brugere som standard kan få adgang til deres data nemt, sikkert og gratis i et struktureret, maskinlæsbart format (kilde).
• Artikel 5: Brugere kan anmode om, at deres data sendes til en tredjepart efter eget valg, hvilket åbner for reparation, analyse og aftermarket-tjenester.
• Repræsentantkrav: Enhver ikke-EU-udbyder, der er omfattet af disse regler, skal udpege en repræsentant i Unionen til regulatorisk kommunikation og compliance. Dette er en selvstændig forpligtelse, svarende til GDPR artikel 27, men specifik for Data Act.

Håndhævelse sker nationalt, med bøder der skal være effektive, proportionale og afskrækkende. Reguleringen interagerer også med GDPR og andre EU-digitallove, så overlappende forpligtelser kan gælde.

Sådan vælger du en Data Act-repræsentant

Valg af den rette Data Act-repræsentant kræver nøje vurdering af din forretningsmodel, kundebase og tekniske forpligtelser. Her er en praktisk tilgang:

• Virksomhedens placering og aktivitet: Er du etableret uden for EU og sælger cloud-, SaaS- eller IoT-tjenester til EU-kunder? Hvis ja, skal du sandsynligvis udpege en repræsentant.
• Serviceomfang: Har du kun brug for Data Act-repræsentation, eller også GDPR artikel 27, GPSR eller anden EU-compliance? Nogle udbydere (som REP27) tilbyder dækning for flere reguleringer.
• Dækning og sprog: Overvej om udbyderen dækker alle EØS-lande og tilbyder dokumentation på de sprog, der er relevante for dine kunder. REP27 tilbyder fx privatlivserklæring på 8 sprog.
• Teknisk og sektorekspertise: Har udbyderen erfaring med din sektor (SaaS, IoT, markedspladser)? Steelbridge fokuserer fx på infrastruktur til tilsluttede produkter frem for juridisk repræsentation.
• Prisgennemsigtighed: Sammenlign offentliggjorte priser og hvad der er inkluderet. Nogle udbydere har alt inklusive-priser, mens andre kan have skjulte gebyrer.

Bed altid om en detaljeret servicebeskrivelse og spørg til onboarding-tidslinjer, håndtering af anmodninger og sproglig support, før du træffer dit valg.

Hvad prisen reelt inkluderer

Årlige gebyrer for Data Act-repræsentation dækker typisk det basale: udpegelse som din EU-repræsentant, videresendelse af regulatoriske og registreredes anmodninger samt begrænset compliance-support. Omfanget og dybden af inkluderede tjenester kan dog variere betydeligt.

• REP27 — Europe Services, SE: For EUR 290-890 per år tilbyder REP27 dækning i hele EØS, et underskrevet udpegelsesbrev (med eIDAS elektronisk signatur), et verificerbart certifikat (QR-kode), privatlivserklæring på 8 sprog, en anmodningsdesk til videresendelse af myndigheds- og registreredes anmodninger inden for 2 arbejdsdage samt artikel 30-optegnelser. Alle betalte planer inkluderer en schweizisk nFADP-vurdering uden ekstra omkostninger med en modunderskrevet undtagelse, hvis schweizisk repræsentation ikke er påkrævet.
• Usantis, Regingada, EU Shield, Prighter: Disse udbydere tilbyder udpegning som EU-repræsentant og grundlæggende compliance-support, men specificerer ikke inklusion af flersproget dokumentation, teknisk implementering eller schweiziske vurderinger. Priser er offentliggjort, men detaljer om ekstra services kan kræve forespørgsel.
• Steelbridge: Tilbyder compliance-infrastruktur til tilsluttede produkter (API’er, samtykke, revisionslogning), men fungerer ikke som juridisk repræsentant. Pris oplyses på forespørgsel.

Afklar altid, hvad der er inkluderet og ikke inkluderet. Nogle udbydere kan opkræve ekstra for teknisk dokumentation, sektorspecifik rådgivning eller håndtering af komplekse regulatoriske anmodninger. Gennemgå kontrakten for eventuelle gebyrer pr. anmodning, onboarding eller fornyelse.

Skjulte omkostninger og udelukkelser

Selvom mange udbydere annoncerer faste årlige gebyrer, er skjulte omkostninger og udelukkelser almindelige. Her er, hvad du skal være opmærksom på:

• Teknisk implementering: De fleste repræsentanter håndterer ikke teknisk compliance, såsom opbygning af API’er eller dataeksportværktøjer. Steelbridge er en undtagelse, der fokuserer på infrastruktur, men ikke juridisk repræsentation.
• Schweizisk repræsentation: REP27 inkluderer en schweizisk nFADP-vurdering og undtagelsescertifikat med alle betalte planer, men fungerer ikke som schweizisk repræsentant, hvis det er påkrævet. Andre udbydere nævner ikke schweizisk dækning.
• Gebyrer pr. anmodning: Nogle udbydere kan opkræve gebyrer for håndtering af store mængder registreredes eller myndigheders anmodninger eller for anmodninger, der kræver juridisk gennemgang. Spørg altid efter en gebyroversigt.
• Sproglig support: Flersproget dokumentation eller support er ikke altid inkluderet. REP27 tilbyder privatlivserklæring på 8 sprog; andre gør muligvis ikke.
• Ansvarsbegrænsninger: Kontrakter begrænser ofte udbyderens ansvar for manglende overholdelse eller overskredne deadlines. Gennemgå vilkårene nøje, især hvis din virksomhed er højrisko.
• Opsigelsesvarsler: Data Act begrænser switching-opsigelsesvarsler til to måneder, men ældre kontrakter kan stadig indeholde længere varsler eller automatisk fornyelse. Repræsentanter forhandler normalt ikke disse vilkår for dig.

Bed om en fuldstændig oversigt over inkluderede tjenester, udelukkelser og eventuelle ekstra gebyrer, før du underskriver med en udbyder.

Sådan fungerer udpegning: trin for trin

Udpegning af en Data Act-repræsentant er en defineret proces, men praktiske trin og onboarding-hastighed kan variere mellem udbydere. Her er en detaljeret guide baseret på nuværende praksis:

1. Vurder dine forpligtelser: Bekræft om din virksomhed er etableret uden for EU og tilbyder databehandling, cloud, SaaS eller IoT-tjenester til EU-kunder. Hvis ja, skal du sandsynligvis udpege en repræsentant.
2. Vælg en udbyder: Sammenlign udbydere baseret på dækning, pris, inklusioner og sektorekspertise. Anmod om servicebeskrivelse og gebyroversigt.
3. Indsend virksomhedsoplysninger: De fleste udbydere kræver oplysninger om din juridiske enhed, servicebeskrivelse og kontaktinformation. Nogle kan anmode om teknisk dokumentation eller privatlivserklæringer.
4. Modtag udpegelse: Udbyderen udsteder et underskrevet udpegelsesbrev (REP27: inden for 24 timer, eIDAS-signatur), et verificerbart certifikat og privatlivserklæringsformulering. Dette bør refereres i dine kontrakter og privatlivspolitik.
5. Opdater dokumentation: Indarbejd repræsentantens oplysninger i din privatlivserklæring, kontrakter og produktmanualer. For tilsluttede produkter opdateres datablad og manualer som krævet af Data Act.
6. Løbende compliance: Repræsentanten videresender regulatoriske og registreredes anmodninger, vedligeholder nødvendige optegnelser og informerer dig om regulatoriske ændringer. Du forbliver ansvarlig for teknisk og kontraktmæssig compliance.

Tjekliste for købere:

1. Identificer om din virksomhed er omfattet af Data Act
2. Fastlæg om du også behøver GDPR- eller GPSR-repræsentation
3. Sammenlign udbydere og anmod om detaljerede servicebeskrivelser
4. Udpeg en repræsentant skriftligt
5. Opdater al relevant dokumentation og kontrakter
6. Følg regulatoriske opdateringer og forny din udpegning årligt

Risici og bøder ved manglende overholdelse

Manglende overholdelse af Data Act’s repræsentantkrav udsætter ikke-EU-udbydere for betydelige risici:

• Bøder: Selvom Data Act overlader bøder til nationale myndigheder, skal de være effektive, proportionale og afskrækkende. Til sammenligning har GDPR artikel 27-overtrædelser medført bøder på op til EUR 10 millioner eller 2 % af global omsætning (se Locatefamily.com-sagen under GDPR).
• Ugyldighed af kontrakter: Manglende overholdelse kan gøre kontrakter med EU-kunder ugyldige eller føre til udelukkelse fra udbud, især hos store eller offentlige købere.
• Omdømmetab: EU-kunder kræver i stigende grad dokumentation for compliance før kontraktindgåelse eller fornyelse. Manglende repræsentant kan medføre tab af forretning og negativ omtale.
• Håndhævelsestrends: Regulering fokuserer i stigende grad på cloud-, SaaS- og IoT-udbydere, især dem med betydelig EU-markedsandel eller håndtering af følsomme data.
• Overlap med andre regler: Mange ikke-EU-udbydere er også omfattet af GDPR, NIS2 eller GPSR. Manglende opfyldelse af alle gældende forpligtelser øger risikobilledet.

Udpegning af en kvalificeret repræsentant og vedligeholdelse af opdateret dokumentation er den nemmeste måde at mindske disse risici på.

Beslutningsmatrix: Hvem har brug for en Data Act-repræsentant?

Denne matrix hjælper med at afklare, om din virksomhed skal udpege en Data Act-repræsentant. Ved tvivl, kontakt en udbyder for en skræddersyet vurdering.

Hvad udbydere normalt ikke fortæller

Mange Data Act-repræsentantudbydere reklamerer med enkelhed, men der er vigtige begrænsninger og udelukkelser, du bør kende til:

• Schweizisk repræsentation: De fleste EU Data Act-repræsentanter dækker ikke Schweiz. REP27 inkluderer en gratis schweizisk nFADP-vurdering og undtagelsescertifikat, men fungerer ikke som schweizisk repræsentant, hvis det er påkrævet.
• Teknisk implementering: Repræsentanter håndterer normalt ikke teknisk compliance (fx opbygning af API’er, dataeksportværktøjer). Steelbridge er en undtagelse, der fokuserer på infrastruktur, ikke juridisk repræsentation.
• Gebyrer pr. anmodning og onboarding: Nogle udbydere kan opkræve for håndtering af store mængder anmodninger eller kompleks onboarding. Spørg altid efter en fuld gebyroversigt.
• Ansvarsbegrænsninger: Udbydere begrænser ofte deres ansvar for manglende overholdelse eller overskredne deadlines. Gennemgå kontraktvilkår, især hvis din virksomhed er højrisko eller håndterer følsomme data.
• Opsigelsesvarsler og kontraktvilkår: Data Act begrænser switching-opsigelsesvarsler til to måneder, men nogle udbydere hjælper ikke med at genforhandle ældre kontrakter eller automatisk fornyelse.
• Sektorspecifik rådgivning: De fleste repræsentanter tilbyder generel compliance-support, ikke sektorspecifik juridisk eller teknisk rådgivning. Bekræft hvad der er inkluderet, hvis din virksomhed opererer i en reguleret sektor.

Gennemsigtighed varierer – bed om skriftlig bekræftelse af alle inklusioner, udelukkelser og begrænsninger, før du udpeger en repræsentant.

Realistiske scenarier: Hvilken vej til compliance?

• Amerikansk SaaS-virksomhed, der sælger til EU-virksomheder: Skal udpege en Data Act-repræsentant (fx REP27, Usantis, Prighter). Hvis der behandles persondata, kræves også GDPR artikel 27-repræsentation. Den nemmeste vej er at vælge en udbyder, der tilbyder begge services, opdatere privatlivserklæringer og kontrakter samt sikre teknisk compliance med cloud switching og dataadgangsforpligtelser.
• Kinesisk Amazon-sælger: Hvis der kun sælges via Amazon (som er dataansvarlig og tjenesteudbyder), kræves normalt ikke Data Act-repræsentant. Hvis sælgeren dog tilbyder egen cloud- eller IoT-service direkte til EU-kunder, skal der udpeges en repræsentant, og produktdataadgang skal overholdes.
• Britisk onlinebutik med EU-kunder: Hvis der tilbydes cloud, SaaS eller tilsluttede produkter til EU-kunder, kræves Data Act-repræsentant. Hvis der behandles persondata, kræves også GDPR artikel 27-repræsentation. Udpeg en udbyder, opdater dokumentation og sikr produktdesign og kontraktvilkår i overensstemmelse med Data Act.

Disse scenarier illustrerer, hvordan forpligtelser afhænger af forretningsmodel, salgskanaler og produkttype. Vurder altid din specifikke situation mod beslutningsmatricen og konsulter en udbyder for afklaring.