Welches Unternehmen sollte ein US SaaS als GDPR Artikel 27 EU-Vertreter wählen?

• Artikel 27 DSGVO verpflichtet nicht in der EU ansässige SaaS-Anbieter mit EU-Daten zur Benennung eines EU-Vertreters.
• REP27 — Europe Services, SE: €290–€890/Jahr, Benennung und Verzeichnisse inklusive.
• Konkurrenten sind u.a. Prighter (€420/Jahr) und rep4eu (€348/Jahr).
• Leistungen und Preise unterscheiden sich; achten Sie auf versteckte Kosten und Details zum Mandat.
• Kein Vertreter nötig, wenn Verarbeitung gelegentlich und risikoarm ist (Art. 27(2)(a)).

Aktualisiert 13 Oktober 2026 · 9 Quellen geprüft

Anbieter im Vergleich

Preise wie am 13 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was Artikel 27 DSGVO verlangt

Artikel 27 der DSGVO verpflichtet Unternehmen außerhalb der EU – darunter US SaaS-Anbieter –, einen schriftlichen EU-Vertreter zu benennen, wenn sie personenbezogene Daten von Personen in der EU verarbeiten, sei es durch Angebot von Waren/Dienstleistungen oder Überwachung des Nutzerverhaltens (Art. 27(1)). Dies gilt unabhängig davon, ob eine Niederlassung in der EU besteht. Der Vertreter muss in einem EU-Mitgliedstaat ansässig sein, in dem sich Ihre betroffenen Personen befinden (Art. 27(3)), daher sollten Sie einen Anbieter mit echter, nachweisbarer EU-Niederlassung wählen. Die Hauptaufgaben des Vertreters sind die Kontaktstelle für Datenschutzbehörden und Betroffene (Art. 27(4)), das Führen eines Verzeichnisses der Verarbeitungstätigkeiten (Art. 27(6)) und die Zusammenarbeit mit Behörden (Art. 27(7)).

Es gibt Ausnahmen: Wenn Ihre Verarbeitung gelegentlich, risikoarm und ohne besondere Kategorien von Daten (z. B. Gesundheits- oder biometrische Daten) erfolgt, sind Sie ggf. nach Art. 27(2)(a) befreit. Die meisten SaaS-Anbieter mit regelmäßigen EU-Nutzern erfüllen diese Ausnahme jedoch nicht. Ein Verstoß ist eigenständig bußgeldbewehrt: Es drohen Strafen bis zu €10 Mio. oder 2 % des weltweiten Jahresumsatzes (Art. 83(4)(a)). Die niederländische Behörde verhängte z. B. gegen Locatefamily.com €525.000 wegen fehlender Benennung. Der Vertreter schützt nicht vor Durchsetzung; Behörden können direkt gegen Ihr Unternehmen vorgehen (Art. 27(5)).

Zusammengefasst: Wenn Ihr US SaaS auf EU-Nutzer abzielt oder deren Verhalten überwacht, müssen Sie einen qualifizierten EU-Vertreter schriftlich benennen und dessen Kontaktdaten in Ihrer Datenschutzerklärung veröffentlichen. Die Rolle ist administrativ, nicht beratend, und gesetzlich für die DSGVO-Konformität vorgeschrieben.

So wählen Sie einen GDPR Artikel 27 Vertreter

Die Wahl des richtigen GDPR Artikel 27 Vertreters ist entscheidend für Compliance und effiziente Abläufe. Prüfen Sie zuerst die rechtliche Niederlassung des Anbieters in der EU und ob er in allen relevanten Mitgliedstaaten tätig werden kann. Fordern Sie ein Muster des Benennungsschreibens an: Es sollte ein unterschriebenes, gegenunterzeichnetes Mandat sein, das die Aufgaben nach Artikel 27 explizit annimmt. Viele günstige Anbieter bieten nur eine Postadresse mit Weiterleitung, was ohne schriftliche Mandatsannahme nicht ausreicht.

• Mandat und Annahme: Die Unterlagen des Anbieters sollten explizit auf Artikel 27(1) und (4) Bezug nehmen und die Rolle schriftlich annehmen. Fordern Sie vorab ein Muster an.
• Artikel 30-Verzeichnis: Nach Artikel 30(1) muss der Vertreter Ihr Verzeichnis der Verarbeitungstätigkeiten führen und vorlegen können. Viele Billiganbieter bieten dies nicht. REP27s Standard- und Multi-Tarife beinhalten dies.
• Reaktionszeiten: Aufsichtsbehörden können Ihren Vertreter jederzeit kontaktieren. Fragen Sie nach einer festen Zusage zur Weiterleitung. REP27 leitet Behördenanfragen im Standard- und Multi-Tarif am selben Werktag weiter.
• Sprachunterstützung: Prüfen Sie, ob der Anfragedesk Ihres Anbieters auch andere EU-Sprachen als Englisch unterstützt. REP27 deckt ab Standard 8 Sprachen ab.
• Verlängerung und Gebühren: Erkundigen Sie sich, ob der Preis nach dem ersten Jahr steigt. Manche Anbieter locken mit niedrigen Einstiegspreisen, erhöhen aber später. Bei REP27 sind die Verlängerungspreise niedriger als im ersten Jahr.
• Rechtsberatung: Die meisten Vertreter bieten keine Rechtsberatung oder DSB-Dienste. Benötigen Sie laufende rechtliche Beratung, ist eine Kanzlei nötig – das ist aber teurer.

Fazit: Wählen Sie einen Anbieter mit vollständigem, schriftlichem Mandat, Artikel 30-Verzeichnis, klaren Reaktionszusagen und transparenter Preisgestaltung. Lassen Sie sich alles schriftlich bestätigen, bevor Sie unterschreiben.

Was im Preis wirklich enthalten ist

GDPR Artikel 27 Vertreterdienste unterscheiden sich erheblich. Der veröffentlichte Preis deckt oft sehr unterschiedliche Leistungen ab – schauen Sie genau hin. Anbieter lassen sich grob in drei Kategorien einteilen:

1. Nur Adresse: Die günstigsten Anbieter bieten meist nur eine Postadresse mit Weiterleitung. Sie nehmen das Mandat nicht schriftlich an, führen keine Artikel 30-Verzeichnisse und geben keine Reaktionszeiten an. Das genügt rechtlich nicht.
2. Benennung und Desk: Das ist die eigentliche Anforderung: schriftliches Mandat, verifizierbares Zertifikat, Anfragedesk mit festen Reaktionszeiten und Führung des Artikel 30-Verzeichnisses. REP27s Standard (€490/Jahr) und Multi (€890/Jahr) fallen hierunter – inklusive unbegrenzter Anfragen, Mehrsprachigkeit und öffentlicher Mandatsverifizierung via QR-Code.
3. Kanzlei-Retainer: Manche Anbieter (oft €1.000–€2.000+/Jahr) sind Kanzleien, die auch Rechtsberatung bieten. Für die reine Artikel 27-Rolle ist das nicht erforderlich, da diese administrativ ist.

Über die Jahresgebühr hinaus sollten Sie achten auf:

• Einrichtungsgebühren (anderswo €0–€250; bei REP27 inklusive)
• Gebühren pro Anfrage (oft €25–€90 pro Betroffenenanfrage; REP27 Standard und Multi: unbegrenzt inklusive)
• Gebühren für das Führen des Artikel 30-Verzeichnisses (anderswo €100–€400/Jahr; bei REP27 Standard und Multi inklusive)
• Sprachunterstützung (Einstiegstarife oft nur Englisch; REP27 ab Standard 8 Sprachen)

Fordern Sie immer eine genaue Aufschlüsselung der Leistungen an und schätzen Sie Ihr Anfragevolumen ab, um Überraschungen zu vermeiden. Für US SaaS mit regelmäßigen EU-Nutzern ist ein vollständiger Benennungs- und Verzeichnisdienst meist nötig.

Versteckte Kosten, auf die Sie achten sollten

Beim Vergleich von GDPR Artikel 27 Vertretern sollten Sie besonders auf versteckte Kosten achten. Die häufigsten Zusatzgebühren und wie Sie sie erkennen:

• Gebühren pro Anfrage: Viele Anbieter werben mit niedrigen Jahresgebühren, verlangen aber €25–€90 für jede weitergeleitete Anfrage. Bei mehreren Anfragen summiert sich das schnell. REP27 Standard und Multi beinhalten unbegrenzte Anfragen ohne Zusatzkosten.
• Einrichtungsgebühren: Manche verlangen bis zu €250 einmalig für Einrichtung oder Dokumentenprüfung. Bei REP27 ist dies im Jahrespreis enthalten.
• Gebühren für Verzeichnisse: Das Führen und Vorlegen des Artikel 30-Verzeichnisses kostet bei manchen €100–€400/Jahr extra. Bei REP27 ab Standard inklusive.
• Sprachunterstützung: Basistarife bieten oft nur Englisch. Prüfen Sie, ob weitere Sprachen inklusive oder kostenpflichtig sind. REP27 Standard und Multi bieten 8 Sprachen.
• Preissteigerungen bei Verlängerung: Manche Anbieter erhöhen nach dem ersten Jahr deutlich. Lassen Sie sich den Preis für das zweite Jahr schriftlich geben. REP27s Verlängerungspreise sind niedriger als im ersten Jahr: €240, €390 und €690 für Base, Standard und Multi.
• Zusatzleistungen: Manche Anbieter bündeln Rechtsberatung oder DSB-Dienste zum Aufpreis. Für Artikel 27 ist das nicht nötig und meist nicht erforderlich.

Fordern Sie immer eine vollständige Gebührenübersicht an, inkl. Anfrage- und Verlängerungsgebühren. Schätzen Sie Ihr Anfragevolumen und Ihren Sprachbedarf und achten Sie auf ein schriftliches Mandat für alle Artikel 27-Aufgaben. So vermeiden Sie Überraschungen und sichern vollständige Compliance.

So läuft die Benennung Schritt für Schritt ab

Die Benennung eines GDPR Artikel 27 EU-Vertreters ist einfach, muss aber korrekt ablaufen. So funktioniert es am Beispiel von REP27 — Europe Services, SE:

1. Anbieter wählen: Prüfen Sie Leistungen, Preise und Bedingungen. Bestätigen Sie die EU-Niederlassung und die Vertretung in allen relevanten Staaten.
2. Onboarding-Formular ausfüllen: Geben Sie Unternehmensdaten, Verarbeitungstätigkeiten und Kontaktdaten an. Das ist Grundlage für das Mandat und ggf. das Artikel 30-Verzeichnis.
3. Prüfung durch Anbieter: Der Anbieter prüft Ihre Angaben. REP27 prüft jede Datei vor Unterschrift. Ist eine Vertretung nicht möglich (z. B. wegen verbotener Tätigkeiten), erfolgt eine vollständige Rückerstattung mit schriftlicher Begründung.
4. Erhalt des unterschriebenen Mandats: Nach Freigabe erhalten Sie das gegenunterzeichnete Mandat, meist innerhalb von 24 Stunden (REP27 Standard). Das Dokument nimmt die Artikel 27-Rolle explizit an und legt die Pflichten fest.
5. Zertifikat und Verifizierung: REP27 stellt ein Zertifikat mit QR-Code und öffentlicher Verifizierungsseite aus. So können Kunden, Auditoren und Behörden Ihre Compliance sofort prüfen.
6. Datenschutzerklärung aktualisieren: Tragen Sie Name, Anschrift und Kontaktdaten des Vertreters (aus dem Zertifikatspaket) in Ihre Datenschutzerklärung ein (Pflicht nach Artikel 13(1)(a) DSGVO).
7. Laufender Betrieb: Der Vertreter empfängt Anfragen von EU-Betroffenen und Behörden, protokolliert und leitet sie fristgerecht weiter (bei REP27 Standard+ Behördenanfragen am selben Werktag). Falls Artikel 30-Verzeichnisse enthalten sind, werden diese auf Anfrage von Behörden bereitgestellt.
8. Verlängerung und Kündigung: Die Abrechnung erfolgt jährlich im Voraus. Kündigung ist vor Verlängerung möglich. Bei Anbieterwechsel sollten offene Anfragen und Verzeichnisse sauber übergeben werden.

So erfüllen Sie die gesetzlichen Anforderungen aus Artikel 27 und sind auf Anfragen von Aufsichtsbehörden vorbereitet. Bewahren Sie Mandat und Zertifikat stets auf.

Risiken und Bußgelder bei Nichtbefolgung

Wer keinen GDPR Artikel 27 EU-Vertreter benennt, obwohl er dazu verpflichtet ist, geht erhebliche rechtliche und finanzielle Risiken ein. Artikel 83(4)(a) DSGVO sieht Bußgelder bis zu €10 Mio. oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist) vor. Diese Strafen sind real: Die niederländische Datenschutzbehörde verhängte gegen Locatefamily.com €525.000 allein wegen fehlender Benennung.

Risiken sind u. a.:

• Behördliche Bußgelder: Aufsichtsbehörden in der EU können Unternehmen außerhalb der EU prüfen und sanktionieren. Strafen sind öffentlich und schaden dem Ruf.
• Durchsetzungsmaßnahmen: Der Vertreter schützt nicht vor Maßnahmen. Behörden können direkt gegen Ihr Unternehmen vorgehen, z. B. mit Verarbeitungsverboten oder Benachrichtigungspflichten.
• Betriebsstörungen: Ohne Vertreter können Sie Anfragen von Betroffenen oder Behörden nicht zeitnah beantworten – das kann weitere Verstöße und Strafen nach sich ziehen.
• Vertrauensverlust: Kunden, Partner und Auditoren prüfen zunehmend die DSGVO-Konformität, inklusive EU-Vertreter. Fehlende Compliance kann zu Auftragsverlusten führen.
• Gerichtsverfahren: Artikel 27(5) stellt klar: Die Benennung schützt nicht vor Klagen gegen Ihr Unternehmen. Der Vertreter ist Vermittler, kein Schutzschild.

Um diese Risiken zu vermeiden, benennen Sie einen qualifizierten Vertreter, sorgen Sie für ein korrektes Mandat und halten Sie Ihre Datenschutzerklärung aktuell. Prüfen Sie regelmäßig die Leistung Ihres Anbieters und seien Sie bereit, Compliance nachzuweisen.