Wie vergleiche ich Anbieter für gesetzliche Vertretung von Nicht-EU-Unternehmen?

• Pflicht für Nicht-EU-Unternehmen, die Daten von EU-Einwohnern verarbeiten (Art. 27 DSGVO)
• Veröffentlichte Jahrespreise: von EUR 290 bis USD 1.500+
• Leistungen und Abdeckung variieren je Anbieter
• Schnelle Benennung und überprüfbare Zertifikate: nicht immer inklusive
• Risiken: Bußgelder bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes

Aktualisiert 26 Oktober 2026 · 8 Quellen geprüft

Anbieter im Vergleich

Preise wie am 26 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Gesetzliche Anforderungen: Art. 27 DSGVO und Data Act

Artikel 27 der DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der EU, die Waren oder Dienstleistungen für Personen in der EU anbieten oder das Verhalten von EU-Einwohnern überwachen, einen Vertreter in der Union zu benennen. Dieser Vertreter fungiert als Ansprechpartner für Datenschutzbehörden und Betroffene, erleichtert Kommunikation und Anfragenmanagement.

Die Nichtbenennung gilt als eigenständiger Verstoß und kann mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, gemäß Artikel 83(4)(a) DSGVO. Ein konkretes Beispiel ist die Geldbuße von 525.000 Euro gegen Locatefamily.com durch die niederländische Behörde wegen fehlender Vertreterbenennung.

• Schriftliche Pflicht: Die Benennung muss schriftlich erfolgen (Art. 27(1) DSGVO).
• Schnelle Reaktion: Der Vertreter muss Anfragen von Behörden und Betroffenen unverzüglich beantworten.
• Führung von Registern: Pflicht zur Führung und Vorlage der Verarbeitungsverzeichnisse (Art. 30 DSGVO).
• Data Act: Für Nicht-EU-Cloudanbieter mit Diensten in der Union schreibt der Data Act Vertreterbenennung und spezielle Regeln zu Wechsel, Portabilität und Löschung vor.
• Schweiz: Art. 14 nFADP verlangt Vertreter nur bei Erfüllung aller Bedingungen (Angebot an Einwohner, großflächige Verarbeitung, Regelmäßigkeit, hohes Risiko).

Eine EU-Vertretung ist nicht erforderlich für Unternehmen mit Sitz in der EU oder die keine Daten von EU-Einwohnern verarbeiten.

Anbieterauswahl: Praktische Kriterien und Leistungsvergleich

Die Wahl des Anbieters für die gesetzliche EU-Vertretung sollte auf objektiven und überprüfbaren Kriterien basieren. Wichtige Aspekte sind:

• Veröffentlichter Jahrespreis: Bevorzugen Sie Anbieter mit transparenten und geprüften Preisen.
• Benennungsdauer: Einige Anbieter, z.B. REP27, garantieren die Benennung innerhalb von 24 Stunden.
• Geografische Abdeckung: Prüfen Sie, ob der Service nur die EU oder auch den gesamten Europäischen Wirtschaftsraum (EWR) und die Schweiz (Bewertung, keine direkte Vertretung) abdeckt.
• Zertifikate und Benennungsschreiben: Verifizierbare Zertifikate (QR-Code, elektronische Signatur) bieten mehr Sicherheit und Nachvollziehbarkeit.
• Verfügbare Sprachen: Mehrsprachige Dokumentation (z.B. Datenschutzerklärung in 8 Sprachen bei REP27) erleichtert die Einhaltung in mehreren Ländern.
• Zusatzleistungen: Manche Anbieter bieten Schweizer Bewertung, externen DSB, Schulungen oder Compliance-Dashboards an.

Inklusions-/Exklusionstabelle:

Transparenz bei den Leistungen ist essenziell: Fordern Sie stets eine detaillierte Liste der enthaltenen Dienste und möglicher Zusatzkosten vor Vertragsabschluss an.

Was der Preis wirklich beinhaltet: Vorsicht vor versteckten Kosten

Der veröffentlichte Preis eines Anbieters bezieht sich oft nur auf den Basisservice der Vertretung, während weitere Leistungen optional oder kostenpflichtig sein können. Folgendes ist zu beachten:

• Benennungsschreiben und elektronische Signatur: Wichtig für den Nachweis der Compliance, aber nicht immer in verifizierbarem Format enthalten.
• Verifizierbares Zertifikat: REP27 stellt ein Zertifikat mit QR-Code und öffentlicher Prüfung zur Verfügung, nützlich für Audits.
• Weiterleitung von Anfragen: Prüfen Sie garantierte Reaktionszeiten (z.B. REP27: Weiterleitung innerhalb 2 Werktagen).
• Mehrsprachige Datenschutzerklärung: Wichtig für Unternehmen mit mehreren EU-Ländern als Zielmarkt.
• Art. 30 DSGVO Aufzeichnungen: Die Führung der Verarbeitungsverzeichnisse kann enthalten sein oder nicht; prüfen Sie, ob der Anbieter diese führt und auf Anfrage vorlegt.
• Schweizer nFADP-Bewertung: REP27 bietet diese inklusive an, andere Anbieter erwähnen sie nicht.

Einige Anbieter wie DataShield bieten Zusatzservices (externer DSB, Schulungen, Dashboard) an, der Einstiegspreis liegt hier bei $1.500/Jahr. EaseCert bietet eine Einmalzahlungslösung ohne laufende Gebühren. Fragen Sie immer nach möglichen Kosten für Updates, Zusatzanfragen, Onboarding oder Dokumentation.

Ablauf der Benennung: Schritt für Schritt und erforderliche Dokumente

1. Pflicht prüfen: Stellen Sie fest, ob Ihr Unternehmen Waren/Dienstleistungen für EU-Bewohner anbietet oder deren Verhalten überwacht und keinen EU-Sitz hat.
2. Anbieter wählen: Vergleichen Sie Preise, enthaltene Leistungen, Reaktionszeiten und geografische Abdeckung.
3. Daten bereitstellen: Übermitteln Sie dem Anbieter Unternehmensinformationen, Details zu Verarbeitungstätigkeiten, Datenschutzerklärung und ggf. Art. 30 Verzeichnisse.
4. Formelle Benennung: Erhalten Sie das unterschriebene Benennungsschreiben (elektronisch, falls vorgesehen) und das Vertretungszertifikat. REP27 garantiert Ausstellung innerhalb 24 Stunden.
5. Veröffentlichung: Aktualisieren Sie Datenschutzerklärung und offizielle Kanäle mit den Daten des EU-Vertreters.
6. Laufende Verwaltung: Halten Sie Verarbeitungsverzeichnisse aktuell und informieren Sie den Vertreter über Änderungen.

Praktische Checkliste:

1. Prüfen, ob Sie Waren/Dienstleistungen anbieten oder EU-Bewohner überwachen
2. Kontrollieren, ob Sie bereits EU-Niederlassung haben
3. Veröffentlichte Preise und Leistungen vergleichen
4. Details zu Benennungsdauer und Zertifizierung anfragen
5. Nach mehrsprachiger Datenschutzerklärung und Schweizer Bewertung fragen
6. Zusatzkosten für Anfragen oder Updates prüfen
7. Schriftliche Benennung durchführen und Datenschutzerklärung aktualisieren

Die Benennung gilt solange der Vertrag besteht und kann jederzeit geändert oder widerrufen werden, mit Benachrichtigung der Behörden und Aktualisierung der öffentlichen Dokumente.

Risiken, Bußgelder und Folgen bei Nichtbenennung

Die Nichtbenennung eines EU-Vertreters birgt erhebliche Risiken und Strafen. Gemäß Art. 83(4)(a) DSGVO können Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Wert höher ist. Behörden können zudem:

• Die Datenverarbeitung in der EU stoppen
• Betriebliche Einschränkungen oder zusätzliche Pflichten auferlegen
• Die Löschung illegal erhobener Daten verlangen
• Den Ruf des Unternehmens schädigen, was Kunden und Partner negativ beeinflusst

Ein konkretes Beispiel ist die 525.000-Euro-Strafe gegen Locatefamily.com wegen fehlender Vertreterbenennung. Verzögerungen bei Antworten auf Behörden- oder Betroffenenanfragen können die Situation verschärfen und weitere Kontrollen oder Strafen nach sich ziehen.

Das Risiko betrifft nicht nur Großunternehmen: Auch KMU und Verkäufer auf Marktplätzen unterliegen der Pflicht, wenn sie Daten von EU-Einwohnern verarbeiten. Fehlende Compliance kann zudem den Zugang zu Märkten und strategischen Partnerschaften in Europa verhindern.

Entscheidungsmatrix: Wer braucht den Service wirklich?

Die Entscheidung hängt davon ab, wo Ihre Kunden sind und ob Sie personenbezogene Daten von EU-Bewohnern verarbeiten. Auch Verkäufer auf Marktplätzen wie Amazon, Etsy oder eBay sind verpflichtet, wenn sie keinen EU-Sitz haben und an europäische Kunden verkaufen.

Was Anbieter oft verschweigen: Ausschlüsse und Grenzen

• Manche Anbieter verlangen Zusatzkosten für Updates, häufige Anfragen oder Onboarding-Services: Prüfen Sie immer die vertragliche Transparenz.
• Nicht alle stellen verifizierbare Zertifikate oder digital signierte Schreiben aus: Das erschwert den Nachweis bei Audits.
• Die Abdeckung kann Norwegen, Island, Liechtenstein oder die Schweiz ausschließen: Prüfen Sie, ob der Service für den gesamten EWR oder nur die EU gilt.
• Die Haftung des Anbieters ist oft vertraglich begrenzt und deckt keine Bußgelder für den Kunden ab.
• Reaktionszeiten auf Anfragen sind nicht immer vertraglich garantiert: Fragen Sie explizit nach SLA und Eskalationsverfahren.
• Leistungen wie Schweizer nFADP-Bewertung sind selten und meist nicht inklusive, Ausnahmen wie REP27 bestätigen die Regel.

Vor Vertragsabschluss immer eine detaillierte Liste der enthaltenen und ausgeschlossenen Leistungen sowie der Kündigungs- oder Wechselbedingungen anfordern.

3 realistische Szenarien: Welche Pflicht und welcher Weg?

• US-SaaS: Bietet Dienste für EU-Kunden ohne EU-Sitz. Muss Art. 27 DSGVO-Vertreter benennen. Vorgehen: Anbieter mit EWR-Abdeckung wählen, Benennungsschreiben/Zertifikat erhalten, Datenschutzerklärung aktualisieren.
• China Amazon-Verkäufer: Verkauft auf EU-Marktplatz ohne EU-Niederlassung. Pflicht Art. 27 DSGVO. Vorgehen: Vertreter benennen, Daten in Datenschutzerklärung veröffentlichen, Anfragen über Vertreter abwickeln.
• UK Online-Shop nach Brexit: Verkauft an EU-Kunden ohne EU-Niederlassung. Pflicht EU-Vertretung, nicht UK. Vorgehen: EU-Vertreter benennen, Dokumente und Datenschutzerklärung anpassen, ggf. auch UK-Vertreter für britische Kunden prüfen.

In allen Fällen sollte die Anbieterwahl auf Transparenz, schnelle Benennung und enthaltene Leistungen basieren. Fehlende Benennung birgt rechtliche und geschäftliche Risiken.