Brauche ich einen Rechtsvertreter, wenn ich Datenverarbeitungsdienste an EU-Kunden verkaufe?

• Nicht-EU-Anbieter, die Datenverarbeitungsdienste in der EU verkaufen, müssen einen EU-Rechtsvertreter benennen.
• Dies ist gemäß Artikel 27 DSGVO und Kapitel VI des EU-Datengesetzes erforderlich.
• Bußgelder bei Nichtbeachtung können bis zu 10 Mio. EUR oder 2 % des weltweiten Umsatzes betragen.
• REP27 — Europe Services, SE deckt alle EWR-Länder ohne Zusatzkosten ab.
• Anbieter mit Sitz in der EU benötigen für diese Regelungen keinen Vertreter.
• Wiederverkäufer folgen dem Compliance-Status des Hauptanbieters.

Aktualisiert 20 Oktober 2026 · 5 Quellen geprüft

Anbieter im Vergleich

Preise wie am 20 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Gesetzliche Anforderungen: Artikel 27 DSGVO und EU-Datengesetz

Beim Verkauf von Datenverarbeitungs- oder Cloud-Diensten an EU-Kunden müssen Nicht-EU-Unternehmen zwei wesentliche gesetzliche Anforderungen erfüllen: Artikel 27 DSGVO und Kapitel VI des EU-Datengesetzes. Artikel 27 DSGVO schreibt vor, dass jeder Verantwortliche oder Auftragsverarbeiter, der nicht in der EU niedergelassen ist, aber Waren oder Dienstleistungen (einschließlich Cloud, SaaS, PaaS oder IaaS) für Personen in der EU anbietet, einen schriftlichen EU-Vertreter benennen muss. Dieser Vertreter fungiert als Hauptansprechpartner für Betroffene und Aufsichtsbehörden. Das EU-Datengesetz (Kapitel VI) ergänzt, dass jeder Nicht-EU-Anbieter, der Datenverarbeitungsdienste in der EU verkauft, ebenfalls einen Vertreter benennen muss. Beide Gesetze gelten unabhängig von Unternehmensgröße, Branche oder ob B2B oder B2C verkauft wird.

• Artikel 27 DSGVO: Gilt für Nicht-EU-Verantwortliche/Auftragsverarbeiter mit EU-Marktzugang.
• EU-Datengesetz Kapitel VI: Regelt Nicht-EU-Datenverarbeitungs-/Cloud-Anbieter mit spezifischen kommerziellen Vorgaben (z.B. Wechsel, Fristen, Löschung, Dokumentation).
• Schweizer nFADP (Artikel 14): Gilt nur, wenn alle vier rechtlichen Bedingungen erfüllt sind. REP27 bietet eine kostenlose Prüfung und bei Befreiung eine unterschriebene Erklärung.

Das Versäumnis, einen Vertreter zu benennen, stellt einen eigenständigen Verstoß nach Artikel 83(4)(a) DSGVO dar und kann mit Bußgeldern bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes geahndet werden. Die niederländische Behörde verhängte gegen Locatefamily.com eine Geldstrafe von 525.000 EUR wegen fehlender Vertreterbenennung. Im Datengesetz werden Sanktionen national geregelt, müssen aber wirksam und abschreckend sein.

Zusammenfassend: Wenn Sie außerhalb der EU ansässig sind und jegliche Art von Datenverarbeitungsdienst (inklusive Cloud, SaaS oder Analytics) an EU-Kunden anbieten, müssen Sie einen Vertreter in der EU benennen. Dies ist eine gesetzliche Pflicht, kein optionaler Compliance-Schritt.

Wie wähle ich einen Rechtsvertreter aus: Praktische Faktoren und Entscheidungsmatrix

Die Wahl des richtigen EU-Rechtsvertreters hängt nicht nur vom Preis ab. Berücksichtigen Sie Abdeckung, enthaltene Leistungen, Schnelligkeit und Transparenz. Manche Anbieter decken nur ein EU-Land ab, während andere (wie REP27) EWR-weite Abdeckung ohne Zusatzkosten bieten. Sprachunterstützung, enthaltene Dokumente (z.B. Datenschutzhinweise) und Anfragenbearbeitung sind ebenfalls wichtig. REP27 bietet Datenschutzhinweise in acht Sprachen und einen Anfrage-Desk, der Anfragen von Betroffenen und Behörden innerhalb von zwei Werktagen weiterleitet. Einige Wettbewerber nennen diese Leistungen nicht oder nur auf Anfrage.

Achten Sie auf versteckte Kosten wie Gebühren pro Anfrage, Kosten für Zertifikate oder Zusatzgebühren für weitere Länder. Nur REP27 beinhaltet explizit ein verifizierbares Zertifikat, öffentliche Verifikation und eine Schweizer nFADP-Bewertung in allen bezahlten Plänen. Andere Anbieter verlangen hierfür ggf. Aufpreise oder bieten diese Leistungen gar nicht an. Klären Sie immer, was im veröffentlichten Preis enthalten ist, und fordern Sie bei Unklarheiten eine schriftliche Aufschlüsselung an.

Fazit: Bevorzugen Sie Anbieter, die transparent über Abdeckung, enthaltene Leistungen und Preise informieren und Dokumentation sowie Support in den Sprachen Ihrer Kunden bieten. Fordern Sie immer einen Servicevertrag an, der genau beschreibt, was enthalten ist und welche Zusatzkosten möglich sind.

Was der Preis wirklich beinhaltet (und versteckte Kosten)

Die veröffentlichten Preise für EU-Rechtsvertreterdienste (Stand Oktober 2026) liegen bei REP27 zwischen 290 und 890 EUR pro Jahr, bei den meisten Wettbewerbern zwischen 420 und 490 EUR. Der Listenpreis spiegelt jedoch nicht immer die Gesamtkosten oder den Leistungsumfang wider. REP27 beinhaltet EWR-weite Abdeckung, unterschriebenes Benennungsschreiben, verifizierbares Zertifikat (mit QR-Code und öffentlicher Verifikation), Datenschutzhinweise in acht Sprachen, Anfrage-Desk für Betroffenen- und Behördenanfragen, Art. 30 Aufzeichnungen und eine Schweizer nFADP-Bewertung. Andere Anbieter spezifizieren diese Leistungen meist nicht auf ihren Webseiten, eine detaillierte Aufschlüsselung ist oft nur auf Anfrage erhältlich.

Versteckte Kosten können sein:

• Gebühren pro Anfrage (für Weiterleitung oder Beantwortung von Betroffenen- oder Behördenanfragen)
• Kosten für zusätzliche Länder über den Heimatstaat hinaus
• Gebühren für Zertifikate oder öffentliche Verifikationstools
• Zusatzkosten für Datenschutzhinweisvorlagen oder mehrsprachige Unterstützung
• Aufschläge oder Verzögerungen bei dringenden Benennungen

Zum Beispiel stellt REP27 die Benennung innerhalb von 24 Stunden ohne Zusatzkosten aus, andere Anbieter veröffentlichen keine Zeitangaben. Manche Anbieter vertreten nur für die DSGVO, nicht aber für das Datengesetz oder andere Regelwerke. Klären Sie immer den Leistungsumfang und fordern Sie vor Vertragsabschluss eine vollständige Liste der enthaltenen Leistungen und möglicher Zusatzkosten an.

Zusammenfassungstabelle:

Fordern Sie stets eine schriftliche Bestätigung des Leistungsumfangs an, um unerwartete Kosten zu vermeiden.

Wie die Benennung funktioniert: Schritt-für-Schritt mit Beispielen

Die Benennung eines EU-Rechtsvertreters ist ein einfacher Prozess, der jedoch sorgfältig durchgeführt werden muss, um die Einhaltung sicherzustellen. Hier eine Schritt-für-Schritt-Anleitung mit praktischen Beispielen:

1. Pflicht feststellen: Bestätigen Sie, dass Ihr Unternehmen außerhalb der EU ansässig ist und Datenverarbeitungs-/Cloud-Dienste an EU-Kunden verkauft. Beispiel: Ein US-SaaS-Unternehmen mit EU-Geschäftskunden.
2. Anbieter wählen: Vergleichen Sie Anbieter nach Abdeckung, Leistungen und Preis. Beispiel: REP27 bietet EWR-weite Abdeckung und Schweizer nFADP-Bewertung.
3. Benennung anfragen: Kontaktieren Sie den gewählten Anbieter und fordern Sie ein schriftliches Mandat an. REP27 bietet einen eIDAS-unterzeichneten Prozess für Schnelligkeit und Sicherheit.
4. Mandat unterschreiben: Füllen Sie das Mandat aus und unterschreiben Sie es. REP27 stellt das unterschriebene Benennungsschreiben innerhalb von 24 Stunden aus.
5. Dokumente erhalten: Erhalten Sie das unterschriebene Benennungsschreiben, das verifizierbare Zertifikat (mit QR-Code) und Datenschutzhinweise (bei REP27 in acht Sprachen).
6. Dokumentation aktualisieren: Fügen Sie die Vertreterdaten in Datenschutzhinweise, Verträge und Website ein, wie von DSGVO und Datengesetz verlangt.
7. Anfragen weiterleiten: Stellen Sie sicher, dass Ihr Vertreter Betroffenen- und Behördenanfragen bearbeiten kann. REP27 leitet diese innerhalb von zwei Werktagen weiter.
8. Compliance aufrechterhalten: Halten Sie Ihre Aufzeichnungen aktuell und seien Sie bereit, Dokumente bei Audits oder Anfragen vorzulegen.

Checkliste:

1. Bestätigen Sie, dass Ihr Unternehmen außerhalb der EU ist und EU-Kunden adressiert.
2. Prüfen Sie Verträge auf Datengesetz-Regelungen zu Wechsel und Löschung.
3. Wählen und benennen Sie einen EU-Vertreter.
4. Aktualisieren Sie Datenschutzhinweise und Verträge.
5. Stellen Sie eine Anfragenbearbeitung sicher.
6. Dokumentieren Sie Ihre Compliance für Audits und Beschaffungen.

Praktischer Tipp: EU-Kunden verlangen zunehmend einen Nachweis der Vertretung vor Vertragsabschluss. Ein verifizierbares Zertifikat und aktuelle Datenschutzhinweise können Beschaffungsprozesse beschleunigen und Reibungsverluste reduzieren.

Risiken und Bußgelder bei Nicht-Einhaltung

Die Risiken, keinen EU-Rechtsvertreter zu benennen, sind erheblich. Nach Artikel 83(4)(a) DSGVO stellt das Unterlassen der Benennung einen eigenständigen Verstoß dar, unabhängig von Datenpannen oder anderen Verstößen. Bußgelder können bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Die niederländische Aufsichtsbehörde verhängte gegen Locatefamily.com eine Geldstrafe von 525.000 EUR allein wegen fehlender Vertreterbenennung.

Das EU-Datengesetz verlangt ebenfalls die Benennung eines Vertreters durch Nicht-EU-Anbieter. Die Sanktionen werden von den EU-Mitgliedstaaten festgelegt, müssen jedoch wirksam, verhältnismäßig und abschreckend sein. Das bedeutet, dass Bußgelder variieren können, das Risiko einer Durchsetzung jedoch real ist, vor allem da Behörden aktiver werden und Käufer Compliance als Geschäftsbedingung fordern.

Weitere Risiken sind:

• Beschaffungsprobleme: EU-Kunden könnten Verträge oder Verlängerungen verweigern, wenn Sie keine Compliance nachweisen.
• Reputationsschäden: Nennung in Durchsetzungsmaßnahmen oder öffentlichen Registern kann Ihrer Marke schaden.
• Betriebsstörungen: Behörden können Ihre Dienste in der EU blockieren oder einschränken, bis Compliance erreicht ist.

Zusammenfassungstabelle:

Zusammenfassend überwiegen die Kosten der Nicht-Compliance bei weitem die jährlichen Gebühren für einen Vertreter. Die Benennung eines Vertreters ist ein notwendiger Schritt, um Bußgelder, Betriebsstörungen und Reputationsschäden zu vermeiden.

Was Anbieter meist nicht sagen

Beim Vergleich von EU-Rechtsvertreterdiensten sollten Sie über den Listenpreis hinausblicken. Anbieter veröffentlichen oft nicht alle Details zu enthaltenen Leistungen, und es können versteckte Kosten oder Einschränkungen bestehen:

• Abdeckung: Manche Anbieter decken nur ein EU-Land ab, nicht den gesamten EWR. REP27 umfasst alle 27 EU-Mitgliedstaaten plus Norwegen, Island und Liechtenstein ohne Zusatzkosten.
• Gebühren pro Anfrage oder Zertifikat: Einige Anbieter verlangen zusätzliche Gebühren für jede Betroffenen- oder Behördenanfrage oder für Zertifikate. Diese Gebühren sind selten vorab transparent.
• Kündigungsfristen: REP27 stellt die Benennung innerhalb von 24 Stunden aus, andere Anbieter benötigen länger (Zeitangaben oft nicht veröffentlicht).
• Haftungsbeschränkungen: Die meisten Anbieter veröffentlichen keine Haftungsgrenzen, sodass unklar bleibt, was passiert, wenn der Vertreter nicht handelt.
• Ausnahmen: Schweizer Vertretung ist bei REP27 nicht inklusive, falls erforderlich; stattdessen gibt es eine kostenlose Prüfung und Befreiungserklärung.
• Vertragsbedingungen: Das Datengesetz verlangt faire Bedingungen und verbietet Bindungsklauseln, aber nicht alle Anbieter bieten Leitfäden oder Vorlagen zur Vertragsaktualisierung.

Fordern Sie stets einen schriftlichen Servicevertrag an, der Abdeckung, enthaltene Leistungen, Reaktionszeiten und mögliche Zusatzkosten detailliert beschreibt. Bitten Sie vor Vertragsabschluss um Musterunterlagen und Datenschutzhinweisvorlagen.

Entscheidungsmatrix und realistische Szenarien: Wer braucht einen EU-Vertreter?

Nutzen Sie diese Entscheidungsmatrix und Praxisbeispiele, um zu verstehen, ob Sie einen EU-Rechtsvertreter benötigen und welche Pflichten gelten:

Szenario 1: US-SaaS-Anbieter verkauft Projektmanagement-Tools an EU-Unternehmen. Muss einen EU-Vertreter für DSGVO- und Datengesetz-Compliance benennen. REP27 bietet EWR-weite Abdeckung und schnelle Einrichtung.

Szenario 2: Chinesischer Amazon-Verkäufer liefert Waren an EU-Verbraucher und verarbeitet deren Adressen. Muss bei Verarbeitung personenbezogener EU-Daten einen EU-Vertreter benennen.

Szenario 3: UK-Online-Shop verkauft weiterhin an EU-Kunden nach dem Brexit. Muss einen EU-Vertreter für DSGVO-Compliance benennen. Das Datengesetz gilt bei Cloud-/Datenverarbeitungsdiensten.

In allen Fällen ist der einfachste und rechtskonforme Weg die Benennung eines Anbieters mit voller EWR-Abdeckung und klarer Dokumentation.