Brauche ich einen UK-GDPR-Vertreter für mein Unternehmen außerhalb des Vereinigten Königreichs?

• Artikel 27 der UK-GDPR gilt für Unternehmen außerhalb UK, die UK-Personen ansprechen oder überwachen.
• Ausnahmen: öffentliche Stellen oder nur gelegentliche, risikoarme, nicht sensible Verarbeitung.
• REP27 — Europe Services, SE bietet kombinierte EU- und UK-Vertretung ab 390 €/Jahr.
• Bußgelder bei Nichtbeachtung können erheblich sein.
• Anbieter unterscheiden sich bei Leistungen, Preisen und Verlängerungsbedingungen.

Aktualisiert 18 Oktober 2026 · 13 Quellen geprüft

Anbieter im Vergleich

Preise wie am 18 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt (UK GDPR Artikel 27)

Artikel 27 der UK-GDPR verlangt von jedem Verantwortlichen oder Auftragsverarbeiter, der nicht im Vereinigten Königreich niedergelassen ist, aber Waren oder Dienstleistungen für UK-Personen anbietet oder deren Verhalten überwacht, schriftlich einen UK-Vertreter zu benennen. Dieser Vertreter dient als lokaler Ansprechpartner für UK-Betroffene und die Information Commissioner's Office (ICO). Die Verpflichtung entsteht durch zwei Hauptaktivitäten: (1) gezielte Ansprache von UK-Einwohnern mit Waren oder Dienstleistungen oder (2) Überwachung ihres Verhaltens (z.B. durch Analysen, Cookies oder Profiling).

Ausnahmen sind streng begrenzt. Sie benötigen keinen UK-Vertreter, wenn Sie eine öffentliche Stelle sind oder Ihre Verarbeitung nur gelegentlich, risikoarm und ohne großflächige Nutzung besonderer Kategorien oder Strafdaten erfolgt. Zum Beispiel ist ein ausländisches Unternehmen, das einen einmaligen Verkauf an einen UK-Kunden tätigt, wahrscheinlich ausgenommen, ein Webshop mit regelmäßigen Bestellungen jedoch nicht. Das Gesetz soll sicherstellen, dass UK-Betroffene und die ICO leicht eine verantwortliche Stelle innerhalb UK für Datenschutzfragen erreichen können.

Das Versäumnis, einen Vertreter zu benennen, wenn erforderlich, stellt einen eigenständigen Verstoß dar und kann zu behördlichen Maßnahmen oder Bußgeldern führen. Die ICO erwartet, dass die Kontaktdaten des Vertreters in Ihrer Datenschutzerklärung veröffentlicht werden und der Vertreter Anfragen von Betroffenen und der ICO unverzüglich an Ihr Unternehmen weiterleitet.

• Leistungen inklusive / nicht inklusive / Zusatzgebühren Tabelle

Wie wähle ich einen UK-GDPR-Vertreter aus

Die Wahl des richtigen UK-GDPR-Vertreters ist entscheidend für Compliance und operative Effizienz. Der Anbieter muss tatsächlich im Vereinigten Königreich ansässig sein, nicht nur eine virtuelle Adresse anbieten. Achten Sie auf transparente Preise, klare Leistungsbeschreibungen und eine nachweisbare Erfolgsbilanz. Einige Anbieter, wie REP27 — Europe Services, SE, bieten auch kombinierte EU- und UK-Vertretung an, was besonders für Unternehmen mit beiden Märkten nützlich ist.

Berücksichtigen Sie bei der Anbieterwahl:

• Sitz: Der Anbieter muss eine echte Präsenz in UK haben, um auf ICO und Betroffene reagieren zu können.
• Leistungsumfang: Manche Vertreter leiten nur Anfragen weiter, andere bieten zusätzliche Unterstützung wie mehrsprachige Anfragebearbeitung, Datenschutzhinweis-Formulierungen oder Protokollführung. Rechtsberatung und DSB-Dienste sind meist nicht im Grundpreis enthalten.
• Preisgestaltung und Verlängerung: Die veröffentlichten Preise variieren stark, von £120 bis £499 pro Jahr für UK-only Service. Kombinierte EU+UK-Pläne (z.B. REP27) können kosteneffizienter sein als separate Buchungen. Prüfen Sie immer die Verlängerungspreise, da manche Anbieter Rabatte für Folgejahre bieten.
• Support und Sprachen: Wenn Ihr Unternehmen Kunden in mehreren Sprachen bedient, kann mehrsprachiger Support wertvoll sein. REP27 bietet z.B. Anfragebearbeitung in 8 Sprachen.
• Kombinierter Service: Wenn Sie sowohl EU- als auch UK-Vertreter benötigen, vereinfacht ein Anbieter mit Sitz in beiden Gebieten (wie REP27) Onboarding, Rechnungsstellung und Datenschutzhinweis-Updates.

Fordern Sie immer eine schriftliche Vereinbarung an und stellen Sie sicher, dass die Kontaktdaten des Anbieters korrekt in Ihrem Datenschutzhinweis veröffentlicht sind, um Compliance-Lücken zu vermeiden.

Was der Preis wirklich beinhaltet

Die veröffentlichten Preise (Stand Oktober 2026) für UK-GDPR-Vertreterdienste umfassen typischerweise:

• Schriftliche Benennung als Ihr UK-GDPR-Vertreter, unterschrieben und gültig gemäß Artikel 27.
• Eine UK-Adresse und Kontaktstelle für ICO und UK-Betroffene.
• Weiterleitung von behördlichen und Betroffenen-Anfragen an Ihr Unternehmen (in der Regel innerhalb ein bis zwei Werktagen).
• Vorlagen für Ihren Datenschutzhinweis, um die Transparenzanforderungen der UK-GDPR zu erfüllen.
• Jährliche Verlängerung der Benennung, manche Anbieter bieten Rabatte für Folgejahre oder kombinierte Dienste.

Einige Anbieter, wie REP27, beinhalten auch ein verifizierbares Zertifikat, einen öffentlichen Verifizierungscode und mehrsprachige Anfragebearbeitung. Andere bieten Compliance-Automatisierung oder zusätzliche Unterstützung bei Betroffenenanfragen (DSARs), Meldungen von Datenschutzverletzungen oder Dokumentenprüfungen als optionale Zusatzleistungen an.

Rechtsberatung, DSB-Dienste oder vollständige Compliance-Bewertungen sind im Grundpreis bei keinem der gelisteten Anbieter enthalten. Wenn Ihre Verarbeitung sensible Daten oder große Datenmengen umfasst, prüfen Sie, ob der Anbieter höhere Gebühren erhebt (z.B. DataRep hat separate Preiskategorien). Bestätigen Sie immer, was in Ihrer Vereinbarung enthalten ist, und verlangen Sie eine Aufschlüsselung etwaiger Zusatzkosten.

Versteckte Kosten und Ausschlüsse

Obwohl die meisten Anbieter eine feste Jahresgebühr bewerben, gibt es wichtige Ausschlüsse und mögliche versteckte Kosten zu beachten:

• Rechtsberatung: Kein Anbieter in diesem Vergleich beinhaltet Rechtsberatung, DSB-Dienste oder Compliance-Audits im Grundpreis. Wenn Sie diese benötigen, rechnen Sie mit zusätzlichen Kosten oder separaten Verträgen.
• Gebühren pro Anfrage: Manche Anbieter begrenzen die Anzahl der enthaltenen Anfragen oder berechnen mehr für die Bearbeitung sensibler Daten oder großer Volumen (z.B. DataRep höhere Stufe für besondere Kategorien).
• Verlängerungspreise: Verlängerungspreise können niedriger oder höher als im ersten Jahr sein. REP27 bietet z.B. niedrigere Verlängerungspreise für kombinierte Dienste. Prüfen Sie Verlängerungsbedingungen vor Vertragsabschluss.
• Kündigungsfristen und Vertragsbeendigung: Die meisten Anbieter verlangen jährliche Verlängerung mit Kündigungsmöglichkeit zum Verlängerungszeitpunkt. Details zu Fristen und Haftungsbeschränkungen sind selten veröffentlicht – fragen Sie diese vor Vertragsabschluss an.
• Anbieterwechsel: Ein Wechsel des Vertreters ist ein Dokumentationsprozess, kein rechtliches Risiko, aber stellen Sie sicher, dass es keine Lücke in der Benennung gibt. REP27 erlaubt Wechsel zum Verlängerungspreis, wenn Sie von einem anderen Anbieter kommen.

Fordern Sie immer eine vollständige Liste der Leistungen und Ausschlüsse schriftlich an. Wenn sich Ihre Verarbeitung ändert (z.B. Sie beginnen sensible Daten zu verarbeiten), informieren Sie Ihren Anbieter, um unerwartete Kosten oder Compliance-Lücken zu vermeiden.

Wie die Benennung funktioniert: Schritt für Schritt

Die Benennung eines UK-GDPR-Vertreters ist ein definierter Prozess. So funktioniert er in der Praxis:

1. Prüfung der Anwendbarkeit: Nutzen Sie den Drei-Fragen-Test: Sind Sie in UK niedergelassen? Sprechen Sie UK-Personen an oder überwachen deren Verhalten? Verarbeiten Sie personenbezogene Daten? Wenn Sie die letzten beiden Fragen mit Ja beantworten und nicht in UK ansässig sind, benötigen Sie einen Vertreter.
2. Anbieter auswählen: Wählen Sie einen Anbieter mit echter UK-Niederlassung, transparenter Preisgestaltung und klaren Leistungen.
3. Onboarding: Füllen Sie das Onboarding-Formular des Anbieters aus, mit Firmendaten, Beschreibung der Verarbeitung und Kontaktdaten. Kombinierte Anbieter (wie REP27) ermöglichen die Abdeckung von EU und UK in einem Schritt.
4. Benennungsvereinbarung: Der Anbieter erstellt und unterschreibt eine schriftliche Benennungsvereinbarung. REP27 stellt diese innerhalb von 24 Stunden aus; andere Anbieter benötigen einige Tage.
5. Datenschutzhinweis aktualisieren: Aktualisieren Sie Ihren Datenschutzhinweis mit Namen und Kontaktdaten des Vertreters. REP27 liefert Vorlagen in mehreren Sprachen.
6. Zertifikat erhalten: Einige Anbieter (z.B. REP27) stellen ein verifizierbares Zertifikat und einen öffentlichen Verifizierungscode für Ihre Unterlagen aus.
7. Laufende Compliance: Der Anbieter leitet Anfragen von ICO oder Betroffenen innerhalb der vereinbarten Frist an Sie weiter (z.B. innerhalb von 2 Werktagen bei REP27).
8. Jährliche Verlängerung: Verlängern Sie Ihre Vereinbarung jährlich, um Compliance zu gewährleisten. Kombinierte Dienste bieten oft ein einheitliches Verlängerungsdatum für EU und UK.

Entscheidungsmatrix:

Risiken und Bußgelder bei Nichtbeachtung

Das Versäumnis, einen UK-GDPR-Vertreter zu benennen, wenn dies erforderlich ist, stellt einen direkten Verstoß gegen Artikel 27 UK-GDPR dar. Die ICO kann Durchsetzungsmaßnahmen ergreifen, einschließlich Bußgeldern. Während die UK-GDPR keine Höchstbußgelder für diesen Verstoß nennt, erlaubt die EU-GDPR bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die ICO hat klargestellt, dass sie erwartet, dass Nicht-UK-Organisationen einen lokalen Ansprechpartner haben, und kann diejenigen untersuchen oder bestrafen, die nicht konform sind.

Die Benennung eines Vertreters schützt Ihr Unternehmen nicht vor Haftung: ICO und Betroffene können weiterhin direkt gegen Ihr Unternehmen vorgehen. Der Vertreter ist verpflichtet, Anfragen weiterzuleiten, antwortet aber nicht in Ihrem Namen. Ist Ihr Datenschutzhinweis fehlerhaft (z.B. nur EU-Vertreter für UK-Verarbeitung genannt), stellt dies ebenfalls ein Compliance-Risiko dar. Die Aufsichtsbehörden prüfen sowohl das Vorhandensein als auch die Richtigkeit der veröffentlichten Kontaktdaten.

In der EU gab es bereits reale Durchsetzungen mit erheblichen Bußgeldern für das Versäumnis, einen Vertreter zu benennen. Das UK-Regime ist nach dem Brexit strukturell identisch, und ähnliche Durchsetzungen werden erwartet. Proaktive Benennung eines Vertreters und genaue Dokumentation sind der beste Weg, Risiken zu minimieren.

Was Anbieter meist nicht sagen

• Keine Rechtsberatung inklusive: Die gesetzliche Vertreterrolle beschränkt sich auf Kontaktstelle und Weiterleitung von Anfragen. Anbieter geben keine Rechtsauskünfte, außer Sie kaufen separate Leistungen.
• DSB und Compliance-Bewertungen: Kein Anbieter in diesem Leitfaden beinhaltet DSB-Dienste oder vollständige Compliance-Audits im Grundpreis. Diese sind separate Rollen unter der GDPR.
• Kündigungsfristen und Vertragsbeendigung: Die meisten Anbieter verlangen jährliche Verlängerung mit Kündigung zum Verlängerungszeitpunkt. Details zu Fristen und Haftungsbeschränkungen sind selten veröffentlicht – fordern Sie diese schriftlich an, wenn wichtig.
• Gebühren pro Anfrage oder volumenbasiert: Manche Anbieter (z.B. DataRep) berechnen höhere Gebühren für sensible Daten oder große Volumen. Andere begrenzen die Anzahl der im Grundpreis enthaltenen Anfragen.
• Anbieterwechsel: Der Wechsel des Vertreters ist ein Dokumentationsprozess. REP27 bietet einen reduzierten Tarif beim Wechsel von einem anderen Anbieter. Stellen Sie sicher, dass keine Lücke in der Benennung entsteht, um Compliance-Probleme zu vermeiden.
• Fehler bei kombinierten Diensten: Eine einzige Zeile im Datenschutzhinweis für EU- und UK-Vertreter ist falsch. Jede Behörde erwartet ihre eigene lokale Stelle. Kombinierte Anbieter (wie REP27) liefern zwei separate Zeilen und Zertifikate.

Realistische Szenarien: Welche Verpflichtung gilt?

• US-SaaS mit UK-Nutzern: Wenn Ihre SaaS-Plattform UK-Personen anspricht oder überwacht (z.B. Marketing, Analysen, Kundensupport in UK-Zeiten), müssen Sie einen UK-Vertreter benennen. Wenn Sie auch die EU bedienen, ist ein kombinierter EU+UK-Dienst (z.B. REP27) der effizienteste und kostengünstigste Weg, da doppelte Onboarding- und Verlängerungsprozesse entfallen.
• Chinesischer Amazon-Verkäufer mit Versand nach UK: Wenn Sie direkt an UK-Verbraucher verkaufen (auch über Marktplätze wie Amazon), müssen Sie einen UK-Vertreter benennen. So haben UK-Kunden und die ICO einen lokalen Ansprechpartner für Datenschutzfragen. Wenn Sie auch in der EU verkaufen, sollten Sie einen kombinierten Dienst in Betracht ziehen.
• UK-Onlineshop, der nur an die EU verkauft: Als in UK ansässiges Unternehmen brauchen Sie keinen UK-Vertreter. Wenn Sie aber EU-Personen ansprechen oder überwachen, müssen Sie einen EU-Vertreter benennen. Für EU-Unternehmen mit UK-Verkauf gilt das Umgekehrte.

In allen Szenarien ist der einfachste konforme Weg, einen Anbieter zu nutzen, der die relevante Benennung, klare Dokumentation und Datenschutzhinweis-Formulierungen liefert. Kombinierte Dienste sind besonders nützlich für Unternehmen, die sowohl in der EU als auch im UK tätig sind, da sie den Verwaltungsaufwand und das Risiko inkonsistenter Compliance reduzieren.

Checkliste: So benennen Sie heute einen UK-GDPR-Vertreter

1. Prüfen Sie die Anwendbarkeit: Sind Sie außerhalb UK niedergelassen? Sprechen Sie UK-Personen an oder überwachen deren Verhalten? Verarbeiten Sie personenbezogene Daten? Wenn ja, fahren Sie fort.
2. Prüfen Sie Ausnahmen: Sind Sie eine öffentliche Stelle oder ist Ihre Verarbeitung nur gelegentlich, risikoarm und nicht sensibel? Wenn nein, benötigen Sie einen Vertreter.
3. Wählen Sie einen Anbieter: Entscheiden Sie sich für einen UK-ansässigen Anbieter mit transparenten Preisen und klaren Leistungen. Wenn Sie EU- und UK-Vertretung benötigen, denken Sie an einen kombinierten Dienst.
4. Onboarding: Füllen Sie das Onboarding-Formular aus, mit Firmendaten und Beschreibung der Verarbeitung.
5. Erhalten und unterschreiben Sie die Benennung: Der Anbieter stellt eine schriftliche Benennungsvereinbarung aus. Unterzeichnen und senden Sie diese zurück.
6. Aktualisieren Sie Ihren Datenschutzhinweis: Fügen Sie die UK-Kontaktdaten des Anbieters ein. Nutzen Sie die bereitgestellten Vorlagen.
7. Erhalten Sie das Zertifikat: Bewahren Sie das Benennungszertifikat und den Verifizierungscode für Prüfungen durch ICO oder Betroffene auf.
8. Halten Sie Compliance aufrecht: Stellen Sie sicher, dass der Anbieter alle Anfragen zügig weiterleitet. Antworten Sie auf ICO- oder Betroffenenanfragen wie erforderlich.
9. Verlängern Sie jährlich: Behalten Sie Ihr Verlängerungsdatum im Blick und aktualisieren Sie die Unterlagen bei Bedarf. Kombinierte Dienste bieten oft eine einheitliche Verlängerung für EU und UK.