Wie Sie GDPR-Vertreterpreise für EU und UK vergleichen

• Artikel 27 GDPR und UK GDPR verlangen getrennte Vertreter für EU und UK
• Preise und Leistungen variieren: prüfen Sie stets, was enthalten ist und versteckte Kosten
• Einige Anbieter bieten beide Mandate in einer Bestellung an
• Achten Sie auf Einrichtungsgebühren, Limits bei Anfragen, Verlängerungen und ausgeschlossene Leistungen
• Nicht alle Unternehmen benötigen den Service: prüfen Sie Ihre Situation

Aktualisiert 20 Oktober 2026 · 9 Quellen geprüft

Anbieter im Vergleich

Preise wie am 20 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Gesetzliche Anforderungen: Artikel 27 GDPR und UK GDPR

Artikel 27 GDPR schreibt vor, dass jeder Verantwortliche oder Auftragsverarbeiter ohne Niederlassung in der EU, der Waren oder Dienstleistungen für Personen in der EU anbietet oder deren Verhalten überwacht, schriftlich einen Vertreter in der Union benennen muss. Diese Regel gilt auch für das Vereinigte Königreich gemäß Artikel 27 UK GDPR. Der Vertreter muss eine natürliche oder juristische Person mit tatsächlichem Sitz im Gebiet sein und das Mandat formell annehmen. Die Benennung ist in der Datenschutzerklärung mit Identität und Kontaktdaten des Vertreters anzugeben. Fehlt die Benennung, stellt dies einen eigenständigen Verstoß dar, der mit bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes geahndet werden kann, gemäß Artikel 83 GDPR. Ein konkretes Beispiel: Locatefamily.com wurde von der niederländischen Behörde mit 525.000 € Strafe belegt, weil kein Vertreter benannt wurde.

Seit 2021, nach dem Brexit, müssen Unternehmen, die Daten von EU- und UK-Bürgern verarbeiten, zwei getrennte Vertreter benennen, einen für jedes Gebiet, da die Regelungen nun separat sind. Das Vorhandensein einer Angemessenheitsentscheidung (z.B. zwischen EU und UK) hebt diese Pflicht nicht auf: Angemessenheit betrifft Datenübermittlungen, nicht die rechtliche Vertretung für Betroffenenrechte oder Behördenanfragen.

Wie Sie den richtigen GDPR-Vertreter wählen

Die Wahl des passenden GDPR-Vertreters hängt von verschiedenen praktischen und strategischen Faktoren ab. Prüfen Sie zunächst, ob Ihr Unternehmen eine Vertretung sowohl in der EU als auch im UK benötigt: Viele Unternehmen außerhalb EU/UK, die in beiden Regionen verkaufen oder Nutzer überwachen, müssen zwei getrennte Vertreter benennen. Einige Anbieter, wie REP27, bieten beide Mandate in einer Bestellung an, was Verwaltung vereinfacht und Kosten gegenüber separatem Kauf senkt.

Beachten Sie sorgfältig:

• Territoriale Abdeckung: Ist der Anbieter tatsächlich in EU und/oder UK ansässig?
• Veröffentlichter Preis: Berücksichtigen Sie Jahreskosten sowie mögliche Setup-, Verlängerungs- oder Zusatzkosten.
• Enthaltene Leistungen: Prüfen Sie, ob Anfragenmanagement, mehrsprachige Datenschutzerklärungen, Art. 30 Aufzeichnungen und verifizierbare Zertifikate inklusive sind.
• Onboarding- und Verlängerungsprozess: Ein einheitlicher Prozess für beide Gebiete reduziert Fehler und Fristversäumnisse.
• Sprachunterstützung und Anfragen-Desk: Wichtig für Unternehmen mit Aktivitäten in mehreren europäischen Ländern.

Die beste Wahl hängt also von Ihrem Geschäftsmodell, Ihrer Präsenz in mehreren Märkten und dem Wunsch ab, Compliance über mehrere Rechtsordnungen zu vereinfachen.

Was der Preis wirklich beinhaltet: Auf Details achten

Die veröffentlichten Preise der Anbieter können stark variieren, nicht nur im Betrag, sondern vor allem darin, was tatsächlich enthalten ist. Manche Anbieter verlangen hohe Einrichtungskosten (bis zu €2.000), andere begrenzen die Anzahl der ohne Zusatzkosten weitergeleiteten Anfragen (Janus Compliance: 50/Jahr, danach £8 pro Anfrage). REP27 bietet mit jedem bezahlten Plan eine kostenlose Bewertung für die Schweiz gemäß neuem Bundesgesetz (nFADP) mit unterschriebener Befreiungserklärung, falls kein Schweizer Vertreter nötig ist.

Wichtig zu prüfen sind:

• Anzahl der im Plan enthaltenen Anfragen
• Reale mehrsprachige Unterstützung (z.B. Datenschutzformulierungen in 8 Sprachen bei REP27)
• Verwaltung der Art. 30 Aufzeichnungen: Manche Anbieter führen diese nur in höheren Plänen
• Öffentlich verifizierbare Zertifikate und Abzeichen
• Ob Verlängerungskosten niedriger oder höher als im ersten Jahr sind

Ein praktisches Beispiel: Wenn Sie getrennt einen EU- und einen UK-Vertreter kaufen, kann sich der Preis verdoppeln (z.B. REP27: €290 + €290 = €580), während der Kombiplan bei €390 beginnt. GDPR Gateway erhebt eine Setup-Gebühr bis zu €2.000, die im ersten Jahr berücksichtigt werden muss.

Zusammenfassungstabelle:

Versteckte Kosten und Bedingungen: Was Anbieter oft verschweigen

Viele Anbieter weisen nicht auf Kosten und Bedingungen hin, die Ausgaben und Compliance-Management erheblich beeinflussen können. GDPR Gateway verlangt z.B. eine Setup-Gebühr bis zu €2.000 zusätzlich zur Jahresgebühr. Janus Compliance begrenzt Anfragen auf 50/Jahr, jede weitere kostet £8. REP27 macht klar, dass bestimmte Aktivitäten nicht akzeptiert werden (sensible Daten, Minderjährige, Hochrisiko, Datenbroker, Glücksspiel, Krypto, Waffen, Konsumgütermedikamente, Aktivitäten mit fehlenden Lizenzen).

Weitere Aspekte:

• Automatische Verlängerungen: Die meisten Anbieter verlängern automatisch, oft mit 30-tägiger Kündigungsfrist (REP27) oder ohne klare Angaben.
• Haftungsbeschränkung: Der Vertreter ersetzt keinen Datenschutzbeauftragten, beantwortet Anfragen nicht inhaltlich, sondern leitet sie an den Kunden weiter.
• Führung der Aufzeichnungen: Nicht alle Anbieter führen Art. 30 Aufzeichnungen, oder nur in höheren Plänen.
• Ausgeschlossene Leistungen: Rechtsberatung, Audits, komplexe Anfragen oder besondere Datenkategorien sind meist nicht enthalten.

Vor der Wahl immer eine schriftliche Liste der enthaltenen Leistungen, Limits und Ausschlüsse sowie Verlängerungs- und Kündigungsbedingungen anfordern.

So funktioniert die Benennung: Schritt für Schritt

1. Prüfen Sie Ihre Situation: Sind Sie außerhalb EU/UK ansässig und bieten Waren/Dienstleistungen an oder überwachen Nutzer in diesen Gebieten? Falls ja, ist die Benennung Pflicht.
2. Wählen Sie den Anbieter: Nutzen Sie die Preis- und Leistungstabelle. Benötigen Sie beide Mandate, prüfen Sie, ob der Anbieter beide zusammen anbietet.
3. Füllen Sie das Onboarding-Formular aus: Einige Anbieter (z.B. REP27) bieten ein gemeinsames Formular für beide Gebiete, was Fehler und Zeit spart.
4. Prüfung und Unterschrift: Der Anbieter prüft die Daten, erstellt die Mandate und unterschreibt digital (REP27 nutzt eIDAS-Signatur).
5. Erhalten Sie die Zertifikate: Sie erhalten zwei separate Zertifikate mit QR-Code und öffentlicher Prüfseite.
6. Aktualisieren Sie die Datenschutzerklärung: Fügen Sie die vom Anbieter gelieferten zwei Textzeilen ein, eine für EU, eine für UK, in den erforderlichen Sprachen.
7. Anfragenmanagement: Der Anbieter leitet Anfragen von Behörden und Betroffenen fristgerecht weiter (z.B. REP27: innerhalb 2 Werktagen, Priorität bei Standard/Multi).
8. Verlängerung: Ein einheitliches Ablaufdatum und eine Rechnung erleichtern die Verwaltung. Achten Sie auf Kündigungsfristen.

Praktische Checkliste:

1. Zielmärkte identifizieren und Vertretungspflicht prüfen
2. Preise und Leistungen anhand Tabelle vergleichen
3. Limits, versteckte Kosten und Ausschlüsse prüfen
4. Benötigte Unternehmensdokumente vorbereiten
5. Benennungsformular ausfüllen
6. Zertifikate erhalten und archivieren
7. Datenschutzerklärung aktualisieren
8. Anfragen vom Vertreter überwachen

Risiken und Sanktionen: Was passiert, wenn Sie keinen Vertreter benennen

Das Nichtbenennen eines Vertreters bei Pflicht führt zu konkreten Risiken und hohen Sanktionen. Artikel 83 GDPR sieht Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes vor, je nachdem, welcher Betrag höher ist. Die fehlende Benennung ist ein eigenständiger Verstoß, es muss kein Datenschutzvorfall vorliegen. Ein reales Beispiel: Locatefamily.com wurde von der niederländischen Behörde mit 525.000 € Strafe belegt, nur weil kein Vertreter benannt wurde.

Zusätzlich können folgen:

• Verfügungen zur Aussetzung der Datenverarbeitung
• Pflicht zur sofortigen Benennung mit kurzer Frist
• Reputationsschäden: Veröffentlichung der Sanktion ist üblich
• Verlust von Kunden und Geschäftspartnern, die Compliance verlangen

Behörden können auch auf Hinweise von Nutzern oder Wettbewerbern reagieren. Formale Compliance ist daher essenziell, um Sanktionen zu vermeiden und Marktvertrauen zu erhalten.

Praktische Szenarien: Welches Mandat und welche Lösung wählen

• US-SaaS mit Kunden in EU und UK: Muss zwei getrennte Vertreter benennen, einen für EU und einen für UK. Effizient ist ein Anbieter, der beide Mandate in einer Bestellung anbietet (z.B. REP27, GDPR Gateway, Prighter). Das senkt Kosten, Zeitaufwand und Risiko unterschiedlicher Fristen.
• Chinesischer Verkäufer auf Amazon EU: Wenn er an EU-Verbraucher verkauft, ist ein EU-Vertreter Pflicht. Verkauft er auch in UK, braucht er zusätzlich einen UK-Vertreter. Er kann sparen, wenn er einen Kombiplan statt zwei separate Verträge wählt.
• UK-Online-Shop, der nach Frankreich verkauft: Benötigt nur den EU-Vertreter, da der Sitz bereits im UK ist. Ein UK-Vertreter ist nicht nötig, wenn keine Waren/Dienstleistungen oder Überwachung für UK-Nutzer erfolgt.

Entscheidungsmatrix:

Diese Szenarien helfen, Pflicht und effizienteste Lösung schnell zu erkennen.

Was Anbieter oft nicht sagen: Ausschlüsse, Limits und Haftung

Viele Anbieter weisen nicht auf wichtige Bedingungen hin:

• Ausschluss von Tätigkeiten: REP27 akzeptiert keine Kunden, die sensible Daten (Art. 9), strafrechtliche Daten (Art. 10), Dienste für unter 16-Jährige, großflächige Überwachung/Profiling, Datenbroker, Glücksspiel, Krypto, Waffen, Konsumgütermedikamente oder Tätigkeiten ohne erforderliche Lizenzen betreiben.
• Haftungsbeschränkung: Der Vertreter bietet keine Rechtsberatung, ist kein Datenschutzbeauftragter, beantwortet Anfragen nicht inhaltlich, sondern leitet sie an den Kunden weiter. Die inhaltliche Compliance bleibt Unternehmensverantwortung.
• Kündigungsfrist: REP27 verlangt schriftliche Kündigung mindestens 30 Tage vor Ablauf. Andere Anbieter geben keine klaren Fristen an.
• Kosten für Zusatzanfragen: Janus Compliance berechnet £8 für jede Anfrage über die 50 inklusive hinaus. Andere Anbieter nennen keine Limits oder Zusatzkosten.
• Führung von Art. 30 Aufzeichnungen: Nicht alle Anbieter führen diese; manche nur in höheren Plänen.

Vor Vertragsabschluss immer vollständige Liste von Ausschlüssen, Limits und Verlängerungs-/Kündigungsbedingungen anfordern.