Brauche ich EU- und UK-GDPR-Vertreter?

• Für EU und UK sind separate Vertreter erforderlich, wenn beide Gebiete angesprochen werden.
• Artikel 27 GDPR (EU) und Artikel 27 UK GDPR sind rechtlich eigenständige Verpflichtungen.
• Kombinierte Dienste können Verwaltung und Kosten gegenüber getrennten Anbietern reduzieren.
• Bußgelder bei Nicht-Einhaltung können bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes betragen.
• Unternehmen mit Sitz in EU oder UK sind für ihr eigenes Gebiet von der Pflicht befreit.

Aktualisiert 18 Oktober 2026 · 7 Quellen geprüft

Anbieter im Vergleich

Preise wie am 18 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: Artikel 27 EU und UK GDPR

Artikel 27 der EU GDPR und UK GDPR legen eine klare Verpflichtung fest: Wenn Ihr Unternehmen weder in der EU noch im Vereinigten Königreich ansässig ist, aber Waren oder Dienstleistungen an Personen in diesen Gebieten anbietet oder deren Verhalten überwacht, müssen Sie jeweils einen Vertreter benennen, der in der entsprechenden Region etabliert ist. Dies gilt sowohl für Verantwortliche als auch Auftragsverarbeiter. Der Vertreter fungiert als lokaler Ansprechpartner für Betroffene und Aufsichtsbehörden, und seine Kontaktdaten müssen in Ihrem Datenschutzhinweis enthalten sein.

Nach dem Brexit wurde die UK GDPR zu einem eigenständigen Regime. Das bedeutet, ein EU-Vertreter kann nicht für das Vereinigte Königreich handeln und umgekehrt. Für jedes Gebiet ist eine separate schriftliche Bestellung an eine physisch etablierte Einheit erforderlich. Der Vertreter muss Anfragen von Betroffenen und Behörden beantworten können und kann verpflichtet sein, Ihr Artikel-30-Verzeichnis der Verarbeitungstätigkeiten zu führen. Das Versäumnis, einen Vertreter zu bestellen, stellt einen eigenständigen Verstoß dar, der mit Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes geahndet werden kann (Art. 83 GDPR).

Ausnahmen bestehen: Unternehmen mit einer echten Niederlassung (nicht nur Postfach) in der EU oder im Vereinigten Königreich benötigen für ihr eigenes Gebiet keinen Vertreter. Beispielsweise benötigt ein britisches Unternehmen, das an die EU verkauft, einen EU-Vertreter, aber keinen UK-Vertreter. Umgekehrt benötigt ein EU-Unternehmen, das in das Vereinigte Königreich verkauft, nur einen UK-Vertreter. Unternehmen mit Niederlassungen in beiden Regionen sind für ihre eigenen Gebiete von der Pflicht befreit.

Wie Sie einen GDPR-Vertreter auswählen: Wichtige Faktoren

Die Wahl des richtigen GDPR-Vertreters ist entscheidend für die Einhaltung und operative Effizienz. Hier die wichtigsten Faktoren:

• Rechtliche Zuständigkeit: Der Anbieter muss für die EU-Vertretung in der EU und für die UK-Vertretung im Vereinigten Königreich rechtlich etabliert sein. Kombinierte Dienste (wie REP27) können beide Bestellungen in einem Auftrag ausstellen, was Zeit spart und das Risiko administrativer Fehler verringert.
• Leistungsumfang: Prüfen Sie, ob der Anbieter nur das gesetzliche Minimum oder auch Zusatzleistungen wie Formulierungen für Datenschutzhinweise, mehrsprachige Anfragenbearbeitung und Artikel-30-Verzeichnisführung anbietet. REP27 beinhaltet z.B. Datenschutzhinweise in 8 Sprachen und ein QR-verifizierbares Zertifikat, während Janus Compliance ein Korrespondenzlimit setzt und für zusätzliche Fälle Gebühren erhebt.
• Verlängerung und Verwaltung: Kombinierte Anbieter synchronisieren Verlängerungsdaten und Dokumente, was das Risiko versehentlicher Ausfälle reduziert. Getrennte Anbieter bedeuten doppelte Onboarding- und Verlängerungsprozesse, was den Verwaltungsaufwand und die Gefahr eines Verpassens erhöht.
• Transparenz der Gebühren: Achten Sie auf klare Preise und Offenlegung etwaiger Zusatzgebühren (z.B. pro Anfrage, Onboarding-Gebühren oder Gebühren für zusätzliche Sprachen oder Zertifikate).
• Ausnahmen und Einschränkungen: Die meisten Anbieter schließen Rechtsberatung, Datenschutzbeauftragte und Compliance-Audits aus. Einige, wie REP27, schließen außerdem besondere Kategorien personenbezogener Daten, Kinder unter 16 Jahren sowie groß angelegte Überwachung oder Profiling aus.

Inklusive / Nicht inklusive / Zusatzgebühren Tabelle

Was der Preis wirklich beinhaltet (und ausschließt)

Es ist wichtig zu verstehen, was Sie für Ihre Gebühr erhalten. Anbieter unterscheiden sich nicht nur im Preis, sondern auch darin, was im Jahresabo enthalten ist:

• REP27 — Europe Services, SE: Für €390/Jahr (Basis) erhalten Sie beide EU- und UK-Artikel-27-Bestellungen, zwei Zertifikate (je eines pro Gebiet), Datenschutzhinweise in mehreren Sprachen, QR-Code-Verifizierung, einen Anfragedesk und eine Schweizer Bewertung (zur Klärung, ob ein Schweizer Vertreter nötig ist). Der Basistarif umfasst bis zu 10 weitergeleitete Anfragen pro Jahr; unbegrenzte Anfragen und Artikel-30-Verzeichnisführung sind in höheren Tarifen enthalten. Rechtsberatung, DSB-Dienste und Compliance-Audits sind nicht enthalten.
• Janus Compliance: Die Gebühren sind pro Gebiet: £349/Jahr für UK und €449/Jahr für EU. Jeder Tarif umfasst 50 Korrespondenzfälle pro Jahr (ohne ICO-Korrespondenz); jeder weitere Fall kostet £8. Für kombinierte EU+UK-Abdeckung sind zwei separate Abonnements erforderlich, es gibt keinen Kombinationsrabatt. Rechtsberatung und unbegrenzte Korrespondenz sind nicht enthalten.
• Euverify: £490/Jahr für EU- oder UK-Vertretung (Startup-Tarif) mit Funktionen wie GDPR-Vertreter, ROPA-Builder, GDPR-Rep-Zertifikat, DSR Unified Inbox, Trust Badge, Audit Trail und DSR-Übersetzung. Für kombinierte Abdeckung sind zwei Abonnements nötig. Details zu Zusatzgebühren auf Anfrage.
• Gabsor: $948/Jahr (Essential-Tarif) für EU- und UK-Vertretung inklusive Compliance-Dashboard, Trust Center, Datenschutzrichtlinien-Snippet, Badge, ROPA-Builder, DSAR-Management und Audit Trail. Details zu Zusatzgebühren oder Limits auf Anfrage.

Prüfen Sie immer, ob der veröffentlichte Preis beide Regionen oder nur eine abdeckt. Die meisten Anbieter schließen Rechtsberatung, DSB-Dienste und Compliance-Audits aus. Einige schließen Hochrisikoverarbeitung oder Dienste für Kinder aus. Lesen Sie vor dem Kauf die Ausschlüsse und Bedingungen des Anbieters sorgfältig.

Versteckte Kosten und was Anbieter meist nicht sagen

Obwohl die Grundpreise ähnlich erscheinen, können versteckte Kosten und operative Risiken sich summieren. Darauf sollten Sie achten:

• Gebühren pro Anfrage: Janus Compliance umfasst 50 Korrespondenzfälle pro Jahr, berechnet aber £8 für jeden weiteren Fall. REP27 Basis beinhaltet bis zu 10 Anfragen pro Jahr, unbegrenzte Anfragen in höheren Tarifen. Einige Anbieter geben ihre Anfragepolitik nicht klar an, daher immer vor Vertragsabschluss klären.
• Getrennte Onboarding- und Verlängerungsprozesse: Zwei Anbieter für EU und UK bedeuten doppelten Verwaltungsaufwand und zwei verschiedene Verlängerungstermine. Dies erhöht das Risiko eines abgelaufenen Mandats, was einen Verstoß gegen Artikel 27 darstellt. Kombinierte Dienste (wie REP27) synchronisieren Verlängerungen und reduzieren den Aufwand.
• Ausschlüsse: Die meisten Anbieter schließen Rechtsberatung, DSB-Dienste und Compliance-Audits aus. REP27 schließt speziell besondere Kategorien personenbezogener Daten, Kinder unter 16, groß angelegte Überwachung, Datenbroker, Erwachsenen-Inhalte, Glücksspiel, Kryptoassets, Waffen und Pharmazeutika aus. Wenn Ihr Geschäft in diese Bereiche fällt, können Sie bestimmte Anbieter nicht nutzen.
• Kündigungsfristen: REP27 verlangt eine schriftliche Kündigung mindestens 30 Tage vor Ablauf. Prüfen Sie immer die Kündigungsbedingungen, um unerwünschte Verlängerungen zu vermeiden.
• Haftungsbeschränkungen: Keiner der verglichenen Anbieter veröffentlicht seine Haftungsobergrenzen in den verfügbaren Daten. Fordern Sie stets den Vertrag mit Haftungs- und Freistellungsklauseln an und prüfen Sie ihn sorgfältig.

Beachten Sie, dass einige Anbieter Formulierungen für Datenschutzhinweise, mehrsprachige Unterstützung oder QR-codierte Verifizierung nicht standardmäßig anbieten. Diese Auslassungen können zu Nicht-Einhaltung oder Mehraufwand für Ihr Team führen.

Wie die Bestellung funktioniert: Schritt-für-Schritt-Checkliste

Die Bestellung eines GDPR-Vertreters ist ein dokumentierter und überprüfbarer Prozess. Hier eine praktische Checkliste zur Einhaltung:

1. Verpflichtungen prüfen: Ermitteln Sie, ob Ihr Unternehmen Waren/Dienstleistungen anbietet oder Personen in der EU, UK oder beiden überwacht.
2. Anbieter wählen: Wählen Sie einen Anbieter, der im erforderlichen Gebiet (oder für beide bei Kombidiensten) etabliert ist. Prüfen Sie Ausschlüsse und enthaltene Leistungen.
3. Onboarding abschließen: Füllen Sie das Onboarding-Formular des Anbieters aus. Kombinierte Dienste wie REP27 verwenden ein Formular für beide Gebiete, was Zeit spart und Inkonsistenzen vermeidet.
4. Anbieterprüfung: Der Anbieter prüft Ihre Angaben und erstellt die Bestellung(en). Bei Kombidiensten werden beide Mandate aus denselben Antworten erstellt, was Konsistenz sicherstellt.
5. Unterschriften: Die EU-Einheit des Anbieters unterschreibt die EU-Bestellung; die UK-Einheit die UK-Bestellung. Sie erhalten zwei separate, unterschriebene Dokumente.
6. Zertifikate und Formulierungen erhalten: Sie erhalten zwei Zertifikate (je eines pro Gebiet) mit jeweils einem einzigartigen Verifizierungscode sowie Datenschutzhinweise für beide Gebiete. REP27 liefert QR-Codes und öffentliche Verifizierungsseiten.
7. Datenschutzhinweis aktualisieren: Fügen Sie beide Formulierungen in Ihren Datenschutzhinweis ein. Nur eine Formulierung für beide Gebiete zu verwenden ist falsch und kann von Aufsichtsbehörden beanstandet werden.
8. Compliance aufrechterhalten: Stellen Sie sicher, dass Ihr Vertreter Anfragen von Betroffenen und Behörden beantworten kann. Verlängern Sie jährlich und dokumentieren Sie alle Korrespondenz.
9. Schweizer Bewertung (falls relevant): Mit REP27 erhalten Sie eine kostenlose Schweizer Bewertung, um zu prüfen, ob ein Schweizer Vertreter nötig ist. Falls ja, werden Sie sofort informiert.

Die Befolgung dieser Checkliste minimiert das Risiko von Verstößen und stellt sicher, dass Sie die Anforderungen von Artikel 27 GDPR und UK GDPR erfüllen.

Entscheidungsmatrix: Brauchen Sie EU-, UK- oder beide Vertreter?

Nutzen Sie diese Entscheidungsmatrix, um Ihre Verpflichtungen anhand Ihres Unternehmensstandorts und Ihrer Aktivitäten schnell zu bestimmen:

Diese Matrix gilt für B2B, B2C und Marktplatzverkäufer (Amazon, Etsy, eBay). Wenn Ihr Unternehmen weder in der EU noch im UK ansässig ist, aber beide Gebiete anspricht, müssen Sie Vertreter in beiden Regionen bestellen. Sind Sie in einem Gebiet ansässig, benötigen Sie nur für das andere einen Vertreter. Sind Sie in beiden ansässig, benötigen Sie für keines einen Vertreter.

Realistische Szenarien: Welche Verpflichtung gilt?

• US-SaaS-Unternehmen, das an EU und UK verkauft: Ein US-basierter SaaS-Anbieter mit Kunden in EU und UK muss sowohl einen EU- als auch einen UK-GDPR-Vertreter bestellen. REP27 kann beide Bestellungen in einem Auftrag für €390/Jahr ausstellen, inklusive zwei Zertifikaten und Datenschutzhinweisen für beide Gebiete. Dies vereinfacht die Einhaltung und reduziert den Verwaltungsaufwand gegenüber getrennten Anbietern.
• Chinesischer Amazon-Verkäufer, der nach Deutschland und UK liefert: Ein chinesischer Verkäufer, der Produkte auf Amazon.de und Amazon.co.uk anbietet und in beide Länder liefert, muss beide EU- und UK-Vertreter bestellen. Kombinierte Dienste sind der einfachste Weg, beide Verpflichtungen zu erfüllen und das Risiko inkonsistenter Dokumentation oder verpasster Verlängerungen zu minimieren.
• UK-Online-Shop, der nur an UK-Kunden verkauft: Ein in UK ansässiger Online-Händler, der keine EU-Bürger anspricht oder überwacht, benötigt keinen EU-Vertreter. Da das Unternehmen in UK ansässig ist, ist es von der Pflicht zur Bestellung eines UK-Vertreters befreit. Ein Artikel-27-Vertreter ist nicht erforderlich.
• EU-Unternehmen, das nur an UK verkauft: Ein irisches oder deutsches Unternehmen, das an UK-Kunden verkauft, muss einen UK-GDPR-Vertreter bestellen, benötigt aber keinen EU-Vertreter für sein eigenes Gebiet.
• Marktplatzverkäufer (Amazon, Etsy, eBay): Nicht-EU/UK-Verkäufer, die diese Plattformen nutzen, um EU- oder UK-Kunden zu erreichen, müssen die entsprechenden Vertreter bestellen. Einige Anbieter, wie REP27, bieten kombinierte Dienste speziell für Marktplatzverkäufer an, die die Einhaltung vereinfachen.

Risiken und Bußgelder bei Nicht-Einhaltung

Die Nicht-Einhaltung von Artikel 27 GDPR oder UK GDPR kann schwerwiegende Folgen haben. Aufsichtsbehörden können Verwaltungsstrafen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist (GDPR Artikel 83). Beispielsweise verhängte die niederländische Behörde gegen Locatefamily.com eine Geldstrafe von 525.000 € wegen Nichtbestellung eines Vertreters. Neben finanziellen Sanktionen können Behörden auch anordnen, die Verarbeitung personenbezogener Daten einzustellen oder Geschäftstätigkeiten in der EU oder UK einzuschränken.

Risiken beschränken sich nicht auf Bußgelder. Wenn Ihr Vertreter aufgrund verpasster Verlängerung ausfällt oder Ihr Datenschutzhinweis nicht korrekt beide Vertreter benennt, kann dies als Verstoß gewertet werden. Dies kann Untersuchungen, Reputationsschäden und Vertrauensverlust bei Kunden nach sich ziehen. Die Nutzung eines kombinierten Anbieters verringert das Risiko administrativer Fehler und stellt sicher, dass beide Bestellungen aktuell und überprüfbar bleiben.

Schließlich kann auch die verspätete Beantwortung von Anfragen von Betroffenen oder Behörden als Verstoß gelten. Stellen Sie sicher, dass Ihr Anbieter einen zuverlässigen Anfragedesk bietet und Sie interne Prozesse haben, um weitergeleitete Anfragen fristgerecht zu bearbeiten.