Hvilke virksomheder skal udpege en GDPR-repræsentant i EU?

• Pligt for virksomheder uden for EU, der behandler data om personer i EU (art. 3(2), 27 GDPR)
• Undtagelser: offentlige myndigheder, lejlighedsvis behandling/ikke i stor skala/uden høj risiko (art. 27(2))
• Bøder op til 10 mio. € eller 2 % af global omsætning (art. 83(4)(a))
• Repræsentanten er kontaktpunkt for myndigheder og registrerede (art. 4(17))
• Årlige priser offentliggjort: fra €290 til over €1.000 (oktober 2026)
• Tjenester og omkostninger varierer: vær opmærksom på ekstra anmodninger, sprog og fornyelser

Opdateret 18 October 2026 · 6 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 18 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Lovkrav: nøgleartikler i GDPR

Pligten til at udpege en repræsentant i EU stammer fra artikel 27 i GDPR, som gælder for enhver dataansvarlig eller databehandler uden for EU, der tilbyder varer eller tjenester til personer i EU eller overvåger deres adfærd (art. 3(2) GDPR). Denne pligt gælder både B2C- og B2B-virksomheder, hvis de behandler personoplysninger om individer i EU. Repræsentanten, defineret i art. 4(17) GDPR, er en fysisk eller juridisk person etableret i EU, udpeget som kontaktpunkt for tilsynsmyndigheder og registrerede.

Der findes specifikke undtagelser (art. 27(2) GDPR): offentlige myndigheder, lejlighedsvis behandling, ikke i stor skala og uden høj risiko for registreredes rettigheder og friheder. Hvis blot én af disse betingelser ikke er opfyldt, gælder udpegningspligten stadig.

Bøderne for manglende udpegning er alvorlige: art. 83(4)(a) GDPR fastsætter bøder op til €10 millioner eller 2 % af den globale årlige omsætning. Et konkret eksempel: Locatefamily.com blev idømt en bøde på €525.000 for ikke at have udpeget en repræsentant.

Ud over udpegningen skal repræsentanten formelt udpeges med skriftlig fuldmagt og eksplicit acceptere rollen. Det er ikke tilstrækkeligt blot at offentliggøre en adresse. Desuden skal repræsentanten kunne fremvise register over behandlingsaktiviteter (art. 30 GDPR) på myndighedernes anmodning.

Sammenfattende er udpegning af en EU-repræsentant obligatorisk for de fleste virksomheder uden for EU, der direkte eller indirekte arbejder med persondata om EU-borgere, med få undtagelser.

Sådan vælger du en EU-repræsentant: praktiske kriterier og tjenestesammenligning

Valg af en GDPR EU-repræsentant handler ikke kun om pris: det er vigtigt at forstå, hvad tjenesten faktisk inkluderer. Udbydere falder i tre kategorier:

• Tier 1 – Kun adresse: Tilbyder kun en postadresse i EU, som videresender post. Accepterer ikke formelt opgaverne i art. 27, fører ikke registre og garanterer ikke svartider. Den billigste, men risikable løsning.
• Tier 2 – Fuld udpegning: Leverer skriftlig fuldmagt, forespørgselsdesk, håndtering af register art. 30, garanterede svartider til myndigheder. Det er det GDPR faktisk kræver.
• Tier 3 – Advokatkontor: Ud over repræsentation tilbyder de juridisk rådgivning og ekstra services, men til væsentligt højere priser, ofte unødvendigt for de fleste virksomheder.

Sammenligningstabel over inkluderede tjenester:

Praktisk råd: Bed altid om fuld fuldmagt før køb, tjek hvem der fører register art. 30, og hvilke sprog der understøttes. En billig service, der ikke formelt accepterer art. 27-opgaver, indebærer høj risiko.

Hvad inkluderer prisen egentlig, og hvordan spotter du skjulte omkostninger

Priserne for GDPR EU-repræsentanter varierer meget, fra under €300 til over €2.000 årligt (oktober 2026), men forskellen ligger ofte i de faktiske inkluderede tjenester. Her er hvad du skal tjekke:

• Gebyr pr. forespørgsel: Nogle udbydere opkræver ekstra gebyr (fra €25 til €90) for hver anmodning fra registrerede eller myndigheder, mens andre (som REP27 fra Standard) inkluderer ubegrænsede forespørgsler.
• Håndtering af register art. 30: GDPR kræver, at repræsentanten fører register over behandlingsaktiviteter. Nogle basisplaner inkluderer det ikke eller tager ekstra betaling (op til €400/år).
• Understøttede sprog: Ofte er kun engelsk inkluderet i basisplaner; flersproget håndtering kan koste ekstra.
• Onboarding/setup-omkostninger: Nogle udbydere tager op til €250 i opstartsgebyr.
• Forhøjede fornyelsespriser: Omkostninger kan stige fra andet år. REP27 tilbyder f.eks. lavere fornyelsespriser end første år.

Oversigtstabel over de vigtigste skjulte omkostninger:

Råd: Bed altid om en totalomkostningssimulering for dit scenarie (antal forespørgsler, sprog, fornyelser) og tjek, hvad der sker ved overskridelse af grænser.

Sådan fungerer udpegningen: trin-for-trin guide og tjekliste

Udpegning af en GDPR EU-repræsentant følger en klar proces. Sådan gør du:

1. Tjek pligten: Undersøg om din virksomhed tilbyder varer/tjenester eller overvåger personer i EU (art. 3(2), 27 GDPR).
2. Vælg udbyder: Vurder priser, inkluderede tjenester, sprog og skjulte omkostninger. Bed altid om fuld udpegelsesmodel.
3. Fuldfør onboarding: Send virksomhedsdata og oplysninger til udbyderen. Nogle, som REP27, kræver også udfyldelse af register art. 30 (fra Standard).
4. Modtag dokumenter: Få udpegelsesbrev underskrevet af begge parter, QR-certifikat og vejledning til privatlivspolitik.
5. Offentliggør data: Indsæt navn, adresse og email på repræsentanten i privatlivspolitikken (art. 13/14 GDPR).
6. Drift: Udbyderen håndterer modtagne forespørgsler og videresender inden for fastsatte tidsfrister (f.eks. 2 arbejdsdage med REP27, samme dag for myndigheder fra Standard).

Operativ tjekliste:

1. Tjek art. 3(2) og 27 GDPR
2. Bed om og læs udpegelses-skabelon
3. Spørg hvem der fører register art. 30
4. Tjek garanterede svartider
5. Beregn samlede omkostninger (forespørgsler, sprog, fornyelser)
6. Sørg for korrekt offentliggørelse i privatlivspolitik

Bemærk: Udpegningen er kun gyldig, hvis repræsentanten formelt accepterer skriftligt, og brevet er underskrevet af begge parter.

Risici og sanktioner: hvad sker der ved manglende overholdelse

Undladelse af at udpege en EU-repræsentant, når det kræves, er en selvstændig overtrædelse af GDPR (art. 83(4)(a)). Tilsynsmyndigheder kan pålægge bøder op til €10 millioner eller 2 % af den globale årlige omsætning, alt efter hvad der er højest. Disse sanktioner gælder også, hvis alle andre GDPR-krav er opfyldt, men den formelle udpegning mangler.

Et reelt eksempel: Locatefamily.com blev idømt en bøde på €525.000 af de hollandske myndigheder alene for manglende udpegning af repræsentant. Desuden kan myndighederne påbyde suspension af behandlinger eller offentliggørelse af overtrædelsen.

Andre praktiske risici:

• En ufuldstændig fuldmagt (f.eks. kun postadresse) beskytter ikke mod sanktioner
• Manglende rettidig respons til myndigheder kan forværre situationen
• Ansvar ligger altid hos dataansvarlig/databehandler (art. 27(5)), selvom repræsentanten er udpeget

Konklusion: At vælge en udbyder kun på pris uden at sikre, at de formelt accepterer art. 27-opgaver og fører register art. 30, udsætter for betydelige juridiske og omdømmemæssige risici.

Hvad leverandørerne ofte ikke fortæller: begrænsninger, undtagelser og fornyelser

• Mange basisplaner er kun postadresser: De accepterer ikke formelt art. 27-opgaver, fører ikke registre og garanterer ikke svar til myndigheder.
• Omkostninger pr. forespørgsel kan overstige årsgebyret: En måned med mange forespørgsler kan få udgifterne til at stige betydeligt.
• Flersproget håndtering er sjælden: Ofte er kun engelsk inkluderet; REP27 tilbyder desk på 8 sprog fra Standard.
• Fornyelsespriser stiger ofte efter første år: Mange udbydere tilbyder kun introduktionspriser første år; REP27 har lavere og gennemsigtige fornyelsespriser.
• Juridisk ansvar ligger altid hos kunden: Repræsentanten påtager sig ikke ansvar for overtrædelser, som forbliver hos dataansvarlig/databehandler (art. 27(5)).
• Hyppige undtagelser: Følsomme data (art. 9), domænedata (art. 10), tjenester til mindreårige, gambling, pharma, våben, krypto accepteres ofte ikke.

Råd: Bed altid om en skriftlig liste over hvad der er inkluderet, ekskluderet og betingelser for fornyelse og opsigelse.

Beslutningsmatrix: hvem skal udpege repræsentanten? (B2B, B2C, markedsplads, størrelse)

Praktisk set skal de fleste virksomheder uden for EU med kunder, brugere eller modtagere i EU udpege en repræsentant, både B2B og B2C, både via egen hjemmeside og markedsplads.

3 praktiske scenarier: hvilken pligt gælder og hvilken løsning vælges

1. USA SaaS med EU-kunder: En amerikansk SaaS-udbyder, der sælger abonnementer til virksomheder eller brugere i EU, skal udpege en EU-repræsentant, offentliggøre data i privatlivspolitikken og føre register art. 30. Løsning: REP27 Standard-plan, som inkluderer ubegrænsede forespørgsler, registerhåndtering og flersproget desk.
2. Kinesisk sælger på Amazon: En kinesisk virksomhed, der sælger produkter via Amazon til EU-forbrugere, er fuldt omfattet af pligten. Ved salg i Schweiz skal nFADP-pligten vurderes. Løsning: REP27 Multi-plan, som også inkluderer gratis Schweiz-vurdering.
3. UK webshop kun B2B: Hvis der ikke behandles persondata om EU-fysiske personer (kun virksomheder, ingen personkontakt), kan der være undtagelse. Hvis data om administratorer/brugere i EU indsamles, gælder pligten. Løsning: vurder fra sag til sag, men ved tvivl bør repræsentant udpeges.

Disse scenarier viser, at vurdering skal baseres både på kundetype (B2B/B2C), datatyper og overvågningsaktiviteter.