EU Data Act Rechtsvertreter für Nicht-EU Anbieter vernetzter Produkte: Anbieter & Preise 2026

• Benennung ist verpflichtend gemäß Artikel 37 für Nicht-EU-Verkäufer vernetzter Produkte/Dienstleistungen in der EU
• REP27 — Europe Services, SE: 290-890 €/Jahr, Benennung in 24h, verifizierbares Zertifikat
• Prighter: 420 €/Jahr, Regingada: 490 €/Jahr, EU Shield: 490 €/Jahr (preise verifiziert)
• REP27 bietet keine Rechtsberatung oder inhaltliche Beantwortung von Anfragen
• Bußgelder bei Nicht-Einhaltung können GDPR-Niveau erreichen (bis zu 20 Mio. € oder 4 % Umsatz)
• Nicht erforderlich für On-Premise-Softwareanbieter oder Nicht-EU-Verkäufer ohne EU-Kunden

Aktualisiert 16 Oktober 2026 · 13 Quellen geprüft

Anbieter im Vergleich

Preise wie am 16 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was der EU Data Act verlangt (Artikel 3, 4, 37, 40)

Der EU Data Act führt eine spezifische Verpflichtung für Nicht-EU-Unternehmen ein, die vernetzte Produkte herstellen oder zugehörige Dienstleistungen auf dem EU-Markt anbieten. Gemäß Artikel 37 Absatz 11 müssen diese Unternehmen einen in der Union ansässigen Rechtsvertreter benennen. Dieser Vertreter fungiert als offizieller Ansprechpartner für Behörden und Nutzer und ist verantwortlich, auf Anfrage die Einhaltung des Data Act nachzuweisen (Artikel 37 Absatz 12).

Die Benennung ist nicht optional: Bis zur formellen Benennung kann jede Behörde eines EU-Mitgliedstaates das Nicht-EU-Unternehmen direkt ansprechen (Artikel 37 Absatz 13). Dies erhöht das Risiko mehrerer Untersuchungen oder Vollstreckungsmaßnahmen. Sanktionen bei Nicht-Einhaltung können von den Mitgliedstaaten festgelegt werden und bis zu den gleichen Bußgeldern wie bei der DSGVO reichen – bis zu 20 Mio. € oder 4 % des weltweiten Umsatzes (Artikel 40 Absätze 1 und 4).

Der Data Act legt zudem detaillierte Anforderungen an Verkäufer vernetzter Produkte und zugehöriger Dienstleister fest. Artikel 3 und 4 verlangen vorvertragliche Offenlegung des Typs, Formats und Volumens der Produktdaten sowie Informationen darüber, welche Daten erlangt werden, wer sie nutzt und zu welchen Zwecken. Dateninhaber müssen Zugriffsanfragen unverzüglich, kostenfrei und in der gleichen Qualität beantworten, wie sie selbst Zugriff haben (Artikel 4 Absatz 1). Geschäftsgeheimnisse müssen identifiziert und geschützt werden, dürfen aber nicht pauschal als Grund für die Verweigerung des Datenzugriffs dienen (Artikel 4 Absätze 6 bis 8).

Zusammenfassend müssen Nicht-EU-Unternehmen, die vernetzte Produkte oder datengetriebene Dienste an EU-Kunden verkaufen, folgendes tun:

• Einen in der EU ansässigen Rechtsvertreter benennen
• Klare vorvertragliche Offenlegungen bereitstellen
• Zugriffsanfragen auf Daten zeitnah beantworten
• Auf Anfrage die Compliance gegenüber Behörden nachweisen

Wie man einen Rechtsvertreter-Anbieter auswählt

Die Wahl des richtigen Rechtsvertreter-Anbieters ist entscheidend für Compliance und operative Effizienz. Wichtige Kriterien sind:

• Benennungsgeschwindigkeit: Einige Anbieter, wie REP27, stellen einen unterzeichneten Benennungsbrief und ein Zertifikat innerhalb von 24 Stunden aus. Andere benötigen mehr Zeit oder Dokumentation.
• Verifizierbarkeit: Anbieter mit verifizierbarem Zertifikat (z.B. QR-Code oder öffentliches Register) sind empfehlenswert, um Compliance gegenüber Kunden und Behörden nachzuweisen.
• Unterstützte Sprachen: Wenn Sie Kunden in der gesamten EU bedienen, ist mehrsprachige Anfragebearbeitung wichtig. REP27 bietet Anfragedienste in 8 Sprachen an.
• Leistungsumfang: Manche Anbieter decken nur DSGVO Artikel 27 ab, andere (wie REP27) bieten optional auch GPSR-Verantwortliche Person oder Verordnung (EU) 2019/1020 an.
• Preistransparenz: Veröffentlichten Preise sollten klar und inklusive sein. Viele Anbieter verlangen Angebote für Zusatzleistungen oder Multi-Regulierungs-Abdeckung.

Entscheidungsmatrix für typische Unternehmensprofile:

Praktischer Tipp: Prüfen Sie stets, was die Jahresgebühr umfasst, und verlangen Sie vor Aktualisierung Ihrer Dokumentation eine Kopie des Benennungsbriefs und Zertifikats.

Was der Preis beinhaltet: Anbieter-Vergleich

Die Preise für Rechtsvertreter-Dienste variieren stark, sowohl bei veröffentlichten Tarifen als auch bei den enthaltenen Leistungen. Die folgende Tabelle fasst veröffentlichte Inklusiv- und Exklusivleistungen zusammen. Wo keine Angaben vorliegen, fordern Sie vor Vertragsabschluss Details an:

Der veröffentlichte Preis von REP27 deckt alle Kernanforderungen der Data Act Vertretung ab, inklusive verifizierbarem Zertifikat und mehrsprachigem Anfragedienst. Optionale Zusatzleistungen (z.B. GPSR-Verantwortliche Person) sind nicht im Grundpreis enthalten. Die meisten anderen Anbieter veröffentlichen keine detaillierten Leistungsbeschreibungen, daher ist vor Vertragsabschluss Klärung wichtig.

Praktischer Tipp: Fordern Sie immer eine vollständige Aufschlüsselung der enthaltenen Leistungen an und prüfen Sie mögliche Gebühren pro Anfrage oder Vorfall, besonders bei erwarteten häufigen Datenanfragen oder Behördenkontakten.

Versteckte Kosten und was Anbieter meist nicht sagen

Obwohl viele Anbieter einen Grundpreis angeben, können versteckte Kosten oder Ausschlüsse auftreten. Basierend auf veröffentlichten Informationen:

• REP27 bietet keine Rechtsberatung, DSB-Dienste oder inhaltliche Beantwortung von Anfragen. Der Service beschränkt sich auf Weiterleitung von Anfragen und Bereitstellung von Compliance-Dokumenten.
• Andere Anbieter geben oft nicht an, ob sie für hohe Anfragevolumen, zusätzliche Regulierungen (wie GPSR oder Digital Services Act) oder die Erstellung von Aufzeichnungen auf Anfrage extra berechnen.
• Kündigungsfristen für Anbieterwechsel oder Beendigung der Benennung sind gesetzlich begrenzt (maximal zwei Monate laut Data Act Kapitel VI), interne Richtlinien oder Mindestvertragslaufzeiten können jedoch abweichen.
• Haftungsbeschränkungen werden selten veröffentlicht. Die Haftung des Vertreters beschränkt sich meist auf die Rolle als Kontaktstelle und umfasst nicht Bußgelder oder inhaltliche Compliance-Verstöße des Nicht-EU-Unternehmens.
• Die Benennung schützt nicht das Nicht-EU-Unternehmen vor direkten Vollstreckungsmaßnahmen der EU-Behörden. Der Vertreter ist ein zusätzlicher Ansprechpartner, kein Ersatzschuldner.

Praktischer Tipp: Fordern Sie vor Vertragsabschluss die AGB des Anbieters an, klären Sie mögliche Gebühren pro Anfrage und den Prozess für Kündigung oder Wechsel der Benennung. Benötigen Sie Rechtsberatung oder DSB-Dienste, müssen diese separat beauftragt werden.

So funktioniert die Benennung: Schritt-für-Schritt

Die Benennung eines EU Data Act Rechtsvertreters ist ein strukturierter Prozess. Hier eine Schritt-für-Schritt-Anleitung basierend auf Anbieterpraktiken und gesetzlichen Vorgaben:

1. Status prüfen: Stellen Sie sicher, dass Ihr Unternehmen außerhalb der EU ansässig ist und vernetzte Produkte oder zugehörige Dienste an EU-Kunden verkauft. Wenn Sie nur On-Premise-Software verkaufen oder keine EU-Kunden haben, benötigen Sie keinen Vertreter.
2. Anbieter auswählen: Vergleichen Sie Anbieter nach Geschwindigkeit, Verifizierbarkeit, Preis und enthaltenen Leistungen. REP27 bietet Online-Benennung mit 24-Stunden-Durchlauf, andere benötigen mehr Zeit oder Dokumente.
3. Service anfragen: Füllen Sie das Online-Formular des Anbieters aus oder kontaktieren Sie ihn per E-Mail. Halten Sie Unternehmensdaten, Produkt-/Dienstbeschreibungen und Kontaktdaten bereit.
4. Mandat unterschreiben: Der Anbieter sendet Ihnen ein schriftliches Mandat zur Unterschrift, das die formelle Benennung als EU-Rechtsvertreter bestätigt. Dies ist gesetzlich vorgeschrieben (Artikel 37).
5. Dokumentation erhalten: Der Anbieter stellt einen unterzeichneten Benennungsbrief (REP27: eIDAS elektronische Signatur), ein verifizierbares Zertifikat (oft mit QR-Code) und Anweisungen zur Aktualisierung Ihrer Dokumentation aus.
6. Offenlegungen aktualisieren: Fügen Sie die Kontaktdaten des Vertreters in Produktseiten, Handbücher und Verträge ein. Stellen Sie sicher, dass alle vorvertraglichen Informationen gemäß Artikel 3 und 4 enthalten sind.
7. Auf Anfragen vorbereiten: Richten Sie interne Prozesse ein, um Anfragen von Betroffenen und Behörden über den Anfragedienst des Vertreters weiterzuleiten oder zu beantworten. REP27 leitet Anfragen innerhalb von 2 Werktagen weiter.

Checkliste für Käufer:

1. Liste aller vernetzten Produkte/Dienste an EU-Kunden erstellen
2. Vorvertragliche Offenlegungen prüfen und aktualisieren
3. Rechtsvertreter vor dem 12. Januar 2027 benennen
4. Compliance-Maßnahmen dokumentieren für Nachweis gegenüber Behörden
5. Mitarbeiter im Umgang mit Anfragen über den Vertreter schulen

Risiken und Bußgelder bei Nicht-Einhaltung

Das Versäumnis, einen Rechtsvertreter zu benennen oder die Anforderungen des Data Act zu erfüllen, setzt Nicht-EU-Unternehmen erheblichen Vollstreckungsrisiken aus. Artikel 40 erlaubt Mitgliedstaaten, Sanktionen zu verhängen, die bis zu den Bußgeldern der DSGVO reichen – bis zu 20 Mio. € oder 4 % des weltweiten Umsatzes. Bußgelder können für Nichtbenennung, fehlende Offenlegungen oder Nichtbeantwortung von Datenzugriffsanfragen verhängt werden.

Bis zur Benennung ist jede Behörde eines EU-Mitgliedstaates befugt, Ihr Unternehmen direkt anzusprechen (Artikel 37 Absatz 13). Dies erhöht das Risiko paralleler Untersuchungen, widersprüchlicher Forderungen und Reputationsschäden. Nach Benennung muss die Behörde den Vertreter als ersten Ansprechpartner kontaktieren, was Kommunikation und Vollstreckungsrisiko reduziert.

Auch die Nichteinhaltung der Offenlegungspflichten (Artikel 3 und 4) kann Untersuchungen auslösen. Beispielsweise kann das Versäumnis, Nutzer vor Verkauf über Art, Format oder Umfang der Produktdaten zu informieren, oder das verspätete Beantworten von Zugriffsanfragen zu Beschwerden und behördlicher Prüfung führen.

Praktischer Tipp: Benennen Sie einen Vertreter so früh wie möglich und stellen Sie sicher, dass alle erforderlichen Offenlegungen vor dem EU-Vertrieb oder Vertragsabschluss vorliegen. Halten Sie Dokumentationen jederzeit bereit, um Compliance nachzuweisen.

Realistische Szenarien: Was gilt und was zu tun ist

• US-SaaS verkauft IoT-Dashboards an EU-Unternehmen: Das Unternehmen ist Nicht-EU, bietet datengetriebene Dienste und richtet sich an EU-Geschäftskunden. Es muss sowohl einen Data Act als auch einen DSGVO Artikel 27 Vertreter benennen. Der einfachste Weg ist ein Anbieter wie REP27 für beide, Aktualisierung der vorvertraglichen Offenlegungen (Typ, Format, Volumen der Daten, Zugriffsrechte) und Sicherstellung, dass Datenexportfunktionen den Anforderungen entsprechen.
• Chinesischer Amazon-Verkäufer bietet Smart-Home-Geräte an EU-Verbraucher an: Als Nicht-EU-Hersteller, der vernetzte Produkte an EU-Verbraucher über Marktplätze verkauft, muss der Verkäufer einen Data Act Rechtsvertreter und wahrscheinlich eine GPSR-Verantwortliche Person benennen. Der Verkäufer sollte einen Anbieter wählen, der beide Dienste anbietet, Produktlisten und Handbücher mit Kontaktdaten des Vertreters aktualisieren und Standardvereinbarungen für Geschäftsgeheimnisse und Drittanbieterdaten vorbereiten.
• UK-Online-Shop verkauft nur an UK-Kunden: Wenn das Unternehmen keine EU-Kunden hat und keine vernetzten Produkte oder Dienste in der EU anbietet, ist kein Data Act Vertreter erforderlich. Bei Expansion in die EU muss vor Verkauf oder Vertragsabschluss ein Vertreter benannt werden.

In allen Fällen ist es wichtig, Vertriebskanäle und Kundenstandorte zu erfassen, Produkt- und Dienstleistungsangebote zu prüfen und vor Ablauf der Fristen zu handeln. Frühe Compliance reduziert Risiken und Beschaffungshürden.