Hoe snel kan ik een GDPR-vertegenwoordiger aanstellen?

• REP27 verstrekt binnen 24 uur een ondertekende aanwijzingsbrief.
• Artikel 27 GDPR vereist een schriftelijk, medeondertekend mandaat.
• Prijzen variëren van €290/jaar (REP27) tot €97/maand (EU Business Partners).
• Verborgen kosten kunnen bestaan uit kosten per verzoek of onboardingkosten.
• Niet alle aanbieders houden Artikel 30-gegevens bij of garanderen reactietijden.

Bijgewerkt 17 October 2026 · 6 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 17 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat Artikel 27 GDPR vereist

Artikel 27 van de GDPR is een hoeksteen voor niet-EU bedrijven die persoonsgegevens van personen in de EU verwerken. Als uw bedrijf niet in de EU is gevestigd maar goederen of diensten aanbiedt aan, of het gedrag monitort van, personen in de EU, valt u waarschijnlijk onder Artikel 3(2) GDPR. In dat geval vereist Artikel 27 dat u een vertegenwoordiger aanstelt die gevestigd is in ten minste één EU-lidstaat waar uw betrokkenen zich bevinden (bron).

• Schriftelijk Mandaat: De aanstelling moet schriftelijk zijn en de vertegenwoordiger moet de rol expliciet accepteren. Alleen sjablonen zijn niet voldoende — een medeondertekend document is vereist (bron).
• Contactgegevens: Naam, adres en e-mail van de vertegenwoordiger moeten worden gepubliceerd in uw privacyverklaring, zodat zij toegankelijk zijn voor betrokkenen en autoriteiten.
• Artikel 30-gegevens: De vertegenwoordiger moet een register van verwerkingsactiviteiten namens u bijhouden en dit op verzoek aan autoriteiten kunnen tonen.
• Contactpunt: De vertegenwoordiger fungeert als eerste aanspreekpunt voor EU-betrokkenen en toezichthoudende autoriteiten over alle gegevensverwerkingszaken.
• Boetes: Het niet aanstellen van een vertegenwoordiger kan leiden tot boetes tot €10 miljoen of 2% van de wereldwijde omzet, afhankelijk van wat hoger is. Bijvoorbeeld, de Nederlandse autoriteit legde Locatefamily.com een boete van €525.000 op wegens niet-naleving.
• Uitzonderingen: Als uw verwerking incidenteel is, geen bijzondere categorieën van gegevens betreft en waarschijnlijk geen risico vormt voor de rechten van betrokkenen, kunt u vrijgesteld zijn (bron).

Aanbieders moeten hun autorisatie en samenwerking met autoriteiten kunnen aantonen. Niet alle aanbieders voldoen aan deze eisen, dus een zorgvuldige beoordeling van hun mandaat en serviceomvang is essentieel.

Hoe kiest u een GDPR-vertegenwoordiger

Het kiezen van de juiste GDPR-vertegenwoordiger is cruciaal voor naleving en risicobeheer. Zo vergelijkt u aanbieders:

• Acceptatie Mandaat: Zorg dat de aanbieder een medeondertekende aanwijzingsbrief afgeeft die expliciet de taken van Artikel 27 accepteert. Veel instapdiensten bieden alleen een postadres, geen echt mandaat.
• Reactietijd: Vraag naar de doorlooptijd voor het doorsturen van verzoeken. REP27 belooft om verzoeken van autoriteiten dezelfde werkdag door te sturen (Standaard/Meervoudig) en registreert elk verzoek. Anderen bieden mogelijk alleen een best-effort doorsturing zonder tijdsgarantie.
• Artikel 30-gegevens: Controleer of de aanbieder uw Artikel 30-register bijhoudt en kan tonen. Dit is vereist voor volledige naleving en zit inbegrepen in REP27’s Standaard en Meervoudig pakketten.
• Ondersteunde talen: Meertalige ondersteuning is cruciaal als u betrokkenen in de hele EU bedient. REP27 ondersteunt 8 talen op Standaard/Meervoudig niveau; veel instapaanbieders alleen Engels.
• Transparante prijzen: Controleer op setup-, onboarding- of kosten per verzoek. Sommige aanbieders adverteren lage jaarlijkse kosten maar rekenen extra voor elk verzoek of voor het bijhouden van gegevens.

Vraag altijd om een voorbeeldmandaat en volledige prijslijst voordat u zich verbindt. Als de aanbieder geen medeondertekende acceptatie van Artikel 27-taken kan tonen of geen Artikel 30-gegevens bijhoudt, bent u mogelijk niet volledig compliant.

Wat de prijs echt omvat

Begrijpen wat u krijgt voor uw geld is essentieel, aangezien Artikel 27-diensten onder verschillende modellen worden aangeboden:

• REP27: Biedt drie transparante niveaus (Basis, Standaard, Meervoudig). Basis (€290/jaar) omvat aanwijzing, certificaat, live badge en tot 10 verzoeken per jaar. Standaard (€490/jaar) voegt onbeperkte verzoeken, Artikel 30-gegevens en meertalige ondersteuning toe. Meervoudig (€890/jaar) omvat gecombineerde rollen voor productnaleving (GPSR, CE). Geen setup- of kosten per verzoek in Standaard/Meervoudig. Verlengingskosten dalen in het tweede jaar.
• EU Business Partners: Rekent €97/maand voor Essentials (prijs geverifieerd). Details over inbegrepen diensten zijn niet volledig openbaar. Vraag altijd om een volledige specificatie.
• EDPO: Prijs op aanvraag, gebaseerd op bedrijfsgrootte en datavolume. Inhoud niet volledig gespecificeerd.
• Gabsor: Rekent $79–279/maand afhankelijk van jaarlijkse omzet. EU/UK vertegenwoordiging inbegrepen, maar extra modules apart in rekening gebracht.

Belangrijke inbegrepen onderdelen om te controleren:

• Ondertekend, medeondertekend mandaat
• Certificaat of publieke verificatie
• Verzoekenbalie en reactietijdgarantie
• Artikel 30-gegevens
• Meertalige ondersteuning

Tabel: Inbegrepen functies per aanbieder

Vergelijk altijd de volledige serviceomvang, niet alleen de hoofdprijs.

Verborgen kosten en uitsluitingen

GDPR-vertegenwoordigersdiensten gaan vaak gepaard met verborgen kosten of uitsluitingen die uw totale uitgaven en nalevingsstatus aanzienlijk kunnen beïnvloeden. Waar moet u op letten:

• Setup-/Onboardingkosten: Veel aanbieders rekenen een eenmalige vergoeding (€0–250 gebruikelijk). REP27 rekent geen extra onboardingkosten.
• Kosten per verzoek: Instapdiensten rekenen vaak €25–90 per verzoek van een betrokkene. Dit kan snel de jaarlijkse abonnementskosten overschrijden bij meerdere verzoeken. REP27’s Standaard/Meervoudig pakketten rekenen geen kosten per verzoek.
• Artikel 30-gegevens bijhouden: Het bijhouden en tonen van Artikel 30-gegevens kan extra kosten met zich meebrengen (€100–400/jaar bij sommige aanbieders). REP27 is dit inbegrepen vanaf het Standaard niveau.
• Taalondersteuning: Veel instapaanbieders verwerken verzoeken alleen in het Engels, ook al claimen ze EU-brede dekking. REP27’s Standaard/Meervoudig balie werkt in 8 talen.
• Verlengingsverhogingen: Sommige aanbieders verhogen prijzen na het eerste jaar. REP27 verlaagt de verlengingskosten na het eerste jaar.
• Scope-uitsluitingen: REP27 accepteert geen klanten die bijzondere categorieën gegevens verwerken, strafrechtelijke gegevens, kinderdata, grootschalige profilering of gereguleerde goederen zonder vergunning. Juridisch advies, FG-diensten en compliance audits zijn niet inbegrepen.

Vraag altijd een volledig contract en informeer naar alle mogelijke kosten. Als de aanbieder niet duidelijk is over wat inbegrepen is, loopt u risico op onverwachte kosten of incomplete naleving.

Hoe werkt de aanstelling: stap voor stap

Het aanstellen van een GDPR-vertegenwoordiger is een proces dat snel kan worden afgerond als u goed voorbereid bent. Zo werkt het, met REP27 als voorbeeld:

1. Toetsing geschiktheid: Bevestig dat Artikel 27 op uw bedrijf van toepassing is. Als u een niet-EU bedrijf bent dat zich richt op EU-betrokkenen, heeft u waarschijnlijk een vertegenwoordiger nodig.
2. Vergelijk aanbieders: Bekijk mandaten, inbegrepen diensten en reactietijden. Vraag voorbeeldcontracten en volledige prijslijsten op.
3. Onboardingformulier: Vul het onboardingformulier van de aanbieder in met uw bedrijfsgegevens, verwerkingsactiviteiten en contactinformatie.
4. Beoordeling en medeondertekening: De aanbieder beoordeelt uw aanmelding. REP27 voert een menselijke beoordeling uit voordat zij medeondertekenen. Als zij u niet kunnen vertegenwoordigen, krijgt u het volledige bedrag terug en schriftelijke redenen.
5. Ontvang aanwijzingsbrief en certificaat: REP27 verstrekt binnen 24 uur een ondertekende, medeondertekende aanwijzingsbrief en een verifieerbaar certificaat met QR-code.
6. Privacyverklaring bijwerken: Voeg de contactgegevens van de vertegenwoordiger en de tekst van Artikel 13/14 (geleverd door REP27 in 8 talen) toe aan uw privacyverklaring.
7. Operationele inrichting: De aanbieder registreert, bevestigt en stuurt verzoeken door zoals afgesproken. REP27 registreert elk verzoek en stuurt autoriteitsverzoeken dezelfde werkdag door (Standaard/Meervoudig).

Checklist voor kopers:

1. Bevestig dat Artikel 27 op u van toepassing is.
2. Vraag voorbeeldmandaat en volledige prijslijst op bij aanbieders.
3. Controleer op kosten per verzoek, onboarding of verlenging.
4. Dien onboardingformulier en benodigde documenten in.
5. Ontvang en beoordeel medeondertekende aanwijzingsbrief.
6. Werk privacyverklaring bij met vertegenwoordigergegevens.
7. Monitor verzoeken en nalevingsstatus.

Risico’s, boetes en wat aanbieders niet zeggen

Niet-naleving van Artikel 27 GDPR kan ernstige gevolgen hebben. Toezichthouders kunnen boetes opleggen tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van wat hoger is (bron). De Nederlandse AP legde Locatefamily.com een boete van €525.000 op wegens het niet aanstellen van een vertegenwoordiger.

Wat aanbieders meestal niet zeggen:

• Kwaliteit mandaat: Sommige aanbieders bieden alleen een postadres, geen juridisch bindend mandaat. Dit voldoet niet aan Artikel 27.
• Kosten per verzoek: Lage jaarlijkse kosten kunnen verborgen hoge kosten per verzoek verbergen, vooral bij meerdere verzoeken van betrokkenen.
• Verlengingsprijzen: Introductieprijzen kunnen na het eerste jaar stijgen. Vraag altijd schriftelijk naar het tarief voor jaar twee.
• Aansprakelijkheid: De vertegenwoordiger is niet aansprakelijk voor GDPR-overtredingen. Artikel 27(5) stelt duidelijk dat de verwerkingsverantwoordelijke of verwerker aansprakelijk blijft.
• Scope-uitsluitingen: Veel aanbieders (inclusief REP27) sluiten risicovolle verwerkingen, bijzondere categorieën gegevens of activiteiten waarvoor u geen vergunning heeft uit.
• Beëindiging voorwaarden: Sommige aanbieders specificeren niet wat er gebeurt met lopende verzoeken of gegevens bij wisseling van aanbieder. REP27 regelt overdracht en schriftelijke kennisgeving.

Lees altijd het volledige contract, vraag naar uitsluitingen en zorg dat u uw doorlopende verplichtingen na aanstelling begrijpt.

Beslissingsmatrix: Heeft u een EU-vertegenwoordiger nodig?

Gebruik deze matrix om te bepalen of u een Artikel 27 GDPR-vertegenwoordiger nodig heeft:

Beoordeel altijd uw datastromen en klantenbestand voordat u beslist.

Realistische scenario’s: wat geldt en wat te doen

• VS SaaS die aan EU verkoopt: Een VS-gebaseerd SaaS-bedrijf met EU-gebruikers moet een Artikel 27-vertegenwoordiger aanstellen. Snelste route: REP27 (24u aanwijzing, €290/jaar Basis). Verwacht u meer dan 10 verzoeken per jaar of heeft u Artikel 30-gegevens nodig, kies dan Standaard.
• Chinese Amazon-verkoper: Een Chinese verkoper die producten op Amazon.de aanbiedt en naar de EU verzendt, heeft zowel een Artikel 27 GDPR-vertegenwoordiger als een GPSR verantwoordelijke nodig. REP27’s Meervoudig pakket dekt beide rollen in één contract en één verlengdatum.
• UK online winkel met EU-klanten: Na Brexit moet een Britse winkel met EU-klanten een EU-vertegenwoordiger aanstellen. Vergelijk aanbieders op snelheid en inbegrepen diensten; REP27 verstrekt een medeondertekend mandaat binnen 24 uur, zonder setupkosten op Basissniveau.

In elk scenario is de eenvoudigste compliant route een aanbieder die een medeondertekend mandaat afgeeft, Artikel 30-gegevens bijhoudt indien nodig, en snelle reactietijden garandeert. Werk altijd uw privacyverklaring bij en monitor wijzigingen in uw verwerkingsactiviteiten.