Beste gesetzliche Vertretung für Nicht-EU-Firmen im EU Data Act

• Der EU Data Act verlangt ab 12.09.2025 einen gesetzlichen Vertreter für Nicht-EU-Anbieter (Art. 50).
• REP27 — Europe Services, SE deckt alle EWR-Länder ab, bietet 24-Stunden-Bestellung und Mehrfach-Regelwerks-Support.
• Preise (Okt. 2026): REP27 ab EUR 290/Jahr; Prighter EUR 420/Jahr; Regingada und EU Shield EUR 490/Jahr.
• Die Bestellung ist für Nicht-EU-Unternehmen, die in der EU verkaufen, verpflichtend; nicht erforderlich für On-Premise-Softwareanbieter.
• Bußgelder bei Verstößen werden national festgelegt und müssen wirksam, verhältnismäßig und abschreckend sein.

Aktualisiert 19 Oktober 2026 · 11 Quellen geprüft

Anbieter im Vergleich

Preise wie am 19 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was der EU Data Act verlangt: Artikelnummern und Geltungsbereich

Der EU Data Act (in Kraft seit 11. Januar 2024, anwendbar ab 12. September 2025) führt umfassende Pflichten für Nicht-EU-Unternehmen ein, die vernetzte Produkte herstellen oder Datenverarbeitungs-/Cloud-Dienste in der EU anbieten. Artikel 50 verlangt speziell, dass solche Unternehmen einen gesetzlichen Vertreter mit Sitz in einem EU-Mitgliedstaat benennen. Dies gilt für:

• Cloud-, SaaS-, IoT- und vernetzte Produktanbieter außerhalb der EU, die an EU-Kunden verkaufen.
• Jeden Anbieter von Datenverarbeitungsdiensten, der diese Dienste in der Union anbietet, unabhängig vom Sitz.

On-Premise-Softwareanbieter und Unternehmen, die ausschließlich außerhalb der EU verkaufen, benötigen für diese Regelung keinen Vertreter. Die Verordnung soll Fairness bei der Wertschöpfung aus Daten gewährleisten, klären, wer welche Daten nutzen darf, und Daten für Innovationen zugänglicher machen (siehe EU Data Act Zusammenfassung).

Wichtige Pflichten für betroffene Anbieter umfassen:

• Abbau von Wechselhürden (vorvertraglich, kommerziell, technisch, vertraglich und organisatorisch).
• Begrenzung der Kündigungsfristen auf maximal zwei Monate.
• Bereitstellung einer 30-tägigen Übergangsfrist beim Wechsel, verlängerbar bei technischer Unmöglichkeit.
• Gewährleistung funktionaler Gleichwertigkeit nach Wechsel (für Infrastrukturdienste) oder Bereitstellung offener Schnittstellen und Exportoptionen (für andere Dienste).
• Vorvertragliche Informationspflichten: Formate, Schnittstellen, Dokumentation und Exportwege müssen vor und während des Vertrags offengelegt werden.
• Auf Anfrage Löschung exportierbarer Daten und digitaler Vermögenswerte nach Wechsel.

Bußgelder bei Verstößen werden von den Mitgliedstaaten festgelegt und müssen wirksam, verhältnismäßig und abschreckend sein. Das Gesetz gilt branchenübergreifend, z.B. in Fertigung, Transport, Konsumgütern und Cloud Computing. Weitere Details finden Sie bei REP27 Data Act Cloud Switching und Taylor Wessing.

Wie Sie einen gesetzlichen Vertreter wählen: Entscheidungsmatrix und praktische Hinweise

Die Wahl des richtigen gesetzlichen Vertreters im Rahmen des EU Data Act hängt von Ihrem Geschäftsmodell, Sektor und den angebotenen Produkten oder Dienstleistungen ab. Die folgende Matrix hilft zu klären, wann ein Vertreter erforderlich ist und wann nicht:

Bei der Bewertung von Anbietern sollten Sie Folgendes beachten:

• Geografische Abdeckung: Deckt der Anbieter alle EWR-Länder oder nur die EU ab?
• Schnelligkeit der Benennung: REP27 stellt Benennungen innerhalb von 24 Stunden aus; andere Anbieter benötigen möglicherweise länger.
• Mehrfach-Regelwerks-Support: Einige Anbieter (z.B. REP27, Coreantir Group, Lionheart Squared) bieten neben dem Data Act auch Unterstützung für DSGVO, DSA und andere EU-Regelungen.
• Sprachunterstützung: REP27 enthält Datenschutzhinweise in acht Sprachen, was für europaweite Aktivitäten wichtig sein kann.
• Transparenz bei Preisen und Leistungen: Bevorzugen Sie Anbieter mit veröffentlichten, verifizierbaren Preisen und klaren Leistungsbeschreibungen.

Fordern Sie stets eine detaillierte Leistungsbeschreibung an und prüfen Sie, ob der Umfang des Anbieters Ihrer regulatorischen Situation entspricht.

Was der Preis wirklich beinhaltet: Anbieter-Vergleich

Es ist entscheidend zu verstehen, welche Leistungen im veröffentlichten Preis enthalten sind. Nicht alle Anbieter bieten denselben Serviceumfang, und manche verlangen für bestimmte Leistungen Aufpreise, die andere als Standard inkludieren. Die folgende Tabelle fasst die Inklusivleistungen, Ausschlüsse und mögliche Zusatzgebühren je Anbieter zusammen:

REP27 zeichnet sich durch ein unterschriebenes, verifizierbares Zertifikat, mehrsprachige Datenschutzhinweisvorlagen und einen Anfrage-Desk als Standardleistung aus. Die meisten anderen Anbieter verlangen direkte Anfragen für Details oder berechnen Aufpreise für Mehrfach-Regelwerks-Abdeckung oder zusätzliche Dokumentationsunterstützung. Klären Sie vor Vertragsabschluss immer, was im Preis enthalten ist.

Versteckte Kosten, Ausschlüsse und was Anbieter meist nicht offenlegen

Viele Anbieter veröffentlichen nicht alle Bedingungen, Ausschlüsse oder mögliche Zusatzgebühren offen. Hier einige wichtige Hinweise:

• REP27 — Europe Services, SE: Keine Zusatzgebühren für EWR-weite Abdeckung oder die Schweizer nFADP-Bewertung (außer wenn Schweizer Vertretung erforderlich ist, was nicht enthalten ist, wenn alle vier Kriterien erfüllt sind). Alle Kernleistungen sind im veröffentlichten Preis gebündelt. Die Schweizer Bewertung mit QR-Code ist bei jedem kostenpflichtigen Plan inklusive.
• Andere Anbieter: Prighter, Regingada, EU Shield, Usantis, Coreantir Group, DP-Dock GmbH und Lionheart Squared geben in öffentlichen Quellen keine Auskunft, ob Zusatzgebühren für weitere Anfragen, Dokumentationen oder Mehrfach-Regelwerks-Abdeckung anfallen. Fordern Sie stets eine vollständige Leistungsbeschreibung und Bestätigung der enthaltenen Leistungen an.
• Kündigungsfristen und Übergangsunterstützung: Der Data Act verlangt maximal zwei Monate Kündigungsfrist und 30 Tage Übergangszeit. Anbieter geben selten an, ob sie bei Vertragsaktualisierungen oder Übergangsmanagement standardmäßig unterstützen.
• Haftungsbeschränkungen: Kein Anbieter in diesem Vergleich veröffentlicht Haftungsgrenzen oder Versicherungsdeckung für Fehler oder Nicht-Compliance. Dies ist in der Branche üblich.
• Gebühren pro Anfrage: Einige Anbieter könnten für die Bearbeitung von Betroffenen- oder Behördenanfragen Gebühren erheben, dies ist in den verfügbaren Daten nicht angegeben. REP27 leitet Anfragen innerhalb von zwei Werktagen als Standardleistung weiter.
• Dokumentation und Sprachunterstützung: Nur REP27 gibt klar an, dass Datenschutzhinweise in acht Sprachen enthalten sind. Dies kann bei anderen Anbietern zusätzliche Kosten verursachen, wenn Übersetzungen oder mehrsprachiger Support benötigt werden.

Fordern Sie vor der Bestellung immer einen detaillierten Vertrag an und klären Sie Ausschlüsse, Gebühren pro Anfrage sowie Unterstützung bei Vertragsaktualisierungen und Dokumentationen.

Wie die Bestellung funktioniert: Schritt-für-Schritt-Checkliste für Käufer

Die Bestellung eines gesetzlichen Vertreters gemäß EU Data Act sollte rechtzeitig vor dem Stichtag 12. September 2025 begonnen werden. Hier eine praktische Schritt-für-Schritt-Checkliste:

1. Prüfen, ob Sie von der Verordnung betroffen sind: Sind Sie ein Nicht-EU-Anbieter, der Cloud-, IoT- oder vernetzte Produkte/Dienste in der EU verkauft? Falls ja, weiter.
2. Anbieter recherchieren und shortlist erstellen: Vergleichen Sie veröffentlichte Preise, Abdeckung und enthaltene Leistungen. Nutzen Sie die obige Vergleichstabelle.
3. Servicevertrag und Benennungsschreiben anfordern: Kontaktieren Sie den gewünschten Anbieter und bitten Sie um Standardvertrag und Muster des Benennungsschreibens.
4. Firmenangaben bereitstellen: Üblicherweise Name der juristischen Person, Adresse und Beschreibung der EU-bezogenen Aktivitäten.
5. Mandat unterschreiben: Unterzeichnen Sie den Servicevertrag und das Benennungsschreiben. REP27 stellt die Benennung z.B. innerhalb von 24 Stunden nach Erhalt der unterschriebenen Unterlagen aus.
6. Bestätigung und Zertifikat erhalten: REP27 stellt ein verifizierbares Zertifikat mit QR-Code aus. Andere Anbieter bieten ähnliche Dokumente auf Anfrage.
7. Compliance-Dokumentation aktualisieren: Fügen Sie Namen, Adresse und Kontaktdaten des Vertreters in Verträge, Datenschutzhinweise, Produktseiten und Handbücher ein, wie vom Data Act gefordert.
8. Auf laufende Compliance vorbereiten: Richten Sie interne Prozesse ein, um Anfragen von Betroffenen und Behörden an den Vertreter weiterzuleiten und erforderliche Dokumente (z.B. Art. 30 Aufzeichnungen) bereitzustellen.
9. Regulatorische Updates beobachten: Bleiben Sie über Änderungen des Data Act und verwandter EU-Regelungen informiert. Verlängern Sie die Bestellung jährlich oder wie vom Anbieter gefordert.

Die Befolgung dieser Checkliste hilft, vollständige Compliance sicherzustellen und Last-Minute-Probleme vor Inkrafttreten zu vermeiden.

Risiken, Bußgelder und Durchsetzung: Was passiert bei Nicht-Compliance

Die Nichtbenennung eines gesetzlichen Vertreters gemäß EU Data Act birgt erhebliche Compliance-Risiken für Nicht-EU-Unternehmen:

• Eigenständiger Verstoß: Die Nichtbenennung ist ein direkter Verstoß gegen Artikel 50 des Data Act. Ähnlich wie bei Art. 27 DSGVO, wo bereits Bußgelder verhängt wurden (z.B. 525.000 EUR gegen Locatefamily.com in den Niederlanden).
• Bußgelder: Jedes EU-Mitgliedsland legt eigene Bußgelder fest, die wirksam, verhältnismäßig und abschreckend sein müssen. Ziel ist es, Nicht-EU-Unternehmen eine Umgehung der Vorschriften zu erschweren.
• Vertrags- und Geschäftsrisiken: EU-Kunden und Beschaffungsteams verlangen zunehmend Compliance-Nachweise vor Vertragsabschluss. Fehlt der Vertreter, drohen Auftragsverluste, Vertragskündigungen und Ausschluss von Ausschreibungen.
• Reputationsschäden: Nicht-Compliance kann öffentliche Durchsetzungsmaßnahmen, negative Presse und Vertrauensverlust bei EU-Partnern und Kunden nach sich ziehen.
• Betriebliche Störungen: Behörden können den Zugang zum EU-Markt für nicht-konforme Anbieter blockieren oder einschränken, besonders in regulierten Bereichen wie Cloud, IoT und vernetzten Produkten.

Die Bestellung eines qualifizierten Vertreters und die Pflege aktueller Compliance-Dokumente sind der einfachste und effektivste Weg, diese Risiken zu minimieren.

Drei realistische Szenarien: Welche Verpflichtung gilt und der einfachste Weg

Zur Veranschaulichung der praktischen Anwendung des Data Act hier drei häufige Szenarien mit Schritt-für-Schritt-Anleitung:

• US-SaaS-Anbieter mit EU-Geschäftskunden: Das Unternehmen bietet einen Cloud-Dienst für EU-Kunden an. Es muss einen Data Act gesetzlichen Vertreter benennen. REP27 oder Prighter sind geeignete Optionen. Das Unternehmen sollte alle Verträge und Datenschutzhinweise mit den Vertretersdaten aktualisieren und die erforderliche Dokumentation sowie Unterstützung beim Wechsel und der Datenportabilität sicherstellen.
• Chinesischer Amazon-Verkäufer mit smarten Geräten in der EU: Bietet der Verkäufer vernetzte Produkte (z.B. Smart-Home-Geräte) an, muss er einen Vertreter benennen. REP27 deckt dieses Szenario ab und stellt Datenschutzhinweise in mehreren Sprachen bereit. Produktseiten und Handbücher sollten die erforderlichen vorvertraglichen Informationen enthalten, und Anfragen von EU-Nutzern müssen an den Vertreter weitergeleitet werden können.
• UK-Online-Shop mit EU-Kunden, der Cloud-Backup anbietet: Bietet der Shop Cloud-Backup oder Datenverarbeitungsdienste für EU-Nutzer an, ist ein Vertreter zu bestellen. REP27 oder Regingada können genutzt werden. Der Shop sollte Website, Verträge und Datenschutzhinweise aktualisieren und die Data Act Anforderungen zu Wechsel und Datenzugang erfüllen.

In allen Szenarien ist der einfachste Weg, einen Vertreter mit veröffentlichten, verifizierbaren Preisen und klarem Leistungsumfang zu bestellen und alle relevanten Dokumente und Prozesse zu aktualisieren.