Ki számára kötelező az EU adatvédelmi felelőse? Szolgáltatók és árak 2026

• DPO-kötelezettség: állami szervek vagy széleskörű megfigyelés/különleges adatok (GDPR 37. cikk)
• EU-képviselő a GDPR 27. cikke alapján nem EU-s cégeknek EU-ügyfelekkel vagy felhasználókkal
• Szankciók akár 10 millió € vagy a globális árbevétel 2%-a a szabályszegésért (GDPR 83. cikk)
• REP27: EU-képviselő egész EGT-re 290 €/év-től, tanúsítvánnyal és további szolgáltatásokkal
• A szolgáltatások és extra díjak jelentősen eltérnek a szolgáltatók között
• Nem mindenki köteles DPO-t vagy EU-képviselőt tartani – lásd döntési mátrix

Frissítve 19 October 2026 · 6 ellenőrzött források

Összehasonlított szolgáltatók

Árak a szolgáltatók weboldalán közzétett információk alapján 19 October 2026, áfát nem tartalmazva, hacsak másként nincs feltüntetve. Minden sor a forrásához linkel.

Mit ír elő a GDPR? (27., 37., 83. cikk)

A GDPR két központi szerepet különböztet meg: az adatvédelmi felelőst (DPO) és az EU-képviselőt. Mindkét kötelezettség eltérő vállalkozásokra és helyzetekre vonatkozik:

• Adatvédelmi felelős (DPO, 37–39. cikk): DPO kinevezése kötelező állami szerveknek, valamint olyan vállalkozásoknak, amelyek fő tevékenysége kiterjedt, rendszerszintű személymegfigyelés vagy különleges személyes adatok (pl. egészségügyi adatok, politikai vélemények) nagyszabású feldolgozása. A DPO feladatait a 39. cikk szabályozza, ideértve a tanácsadást, megfelelőség ellenőrzését, kapcsolattartást hatóságokkal és érintettekkel, valamint támogatást adatvédelmi hatásvizsgálatokban.
• EU-képviselő (27. cikk): Az EU-n kívüli vállalkozások, amelyek árukat vagy szolgáltatásokat kínálnak EU-beli személyeknek, vagy megfigyelik az EU-állampolgárok viselkedését (pl. követés, elemzés), írásban kötelesek EU-képviselőt kijelölni. A képviselő a hatóságok és érintettek kapcsolattartója, és vezeti a feldolgozási tevékenységek nyilvántartását (30. cikk), ha ezt a szolgáltató vállalja.

Az EU-képviselő kinevezési kötelezettsége nem áll fenn, ha a feldolgozás csak alkalmi, nem tartalmaz különleges adatokat, és nem jelent kockázatot az érintettek jogaira és szabadságaira. DPO kinevezése sok kisvállalkozás számára nem szükséges, ha nincs széleskörű megfigyelés vagy különleges adatok kezelése.

Bírságok: Az EU-képviselő kinevezésének elmulasztása akár 10 millió € vagy a globális éves árbevétel 2%-os bírságot vonhat maga után (GDPR 83. cikk 4. bekezdés). A holland hatóság például 525 000 € bírságot szabott ki a Locatefamily.com-ra az EU-képviselet hiánya miatt.

A DPO kinevezési kötelezettségét a 37. cikk szabályozza (forrás), a feladatokat a 39. cikk (forrás), a bírságokat pedig a 83. cikk (forrás) tartalmazza.

Hogyan válasszuk ki a megfelelő szolgáltatót? Döntő szempontok és összehasonlítás

Az EU-képviselő vagy DPO szolgáltató kiválasztása kulcsfontosságú a megfelelőséghez. A kínálatok jelentősen eltérnek a szolgáltatási kör, válaszidők és rejtett költségek tekintetében. Vizsgálja meg a következőket:

• Elfogadja-e a szolgáltató az Art. 27 szerinti feladatokat írásban? Egy valódi megbízásnak kifejezetten tartalmaznia kell az Art. 27 szerinti feladatok átvállalását. Csak egy postafiók vagy cím nem elegendő.
• Kezeli-e a szolgáltató a 30. cikk szerinti nyilvántartást? A GDPR előírja, hogy a képviselő kérésre rendelkezésre bocsássa a feldolgozási tevékenységek nyilvántartását. Nem minden szolgáltató vállalja ezt.
• Válaszidők: Milyen gyorsan továbbítják a hatósági vagy érintetti megkereséseket? Egy „legjobb erőfeszítés” ígéret határidő nélkül kockázatos. A REP27 például 2 munkanapon belüli továbbítást garantál (hatósági megkeresések esetén aznap).
• Nyelvek: Több EU-nyelven kezelik-e a megkereséseket? A REP27 8 nyelven kínál ügyfélszolgálatot, sok kezdő ajánlat csak angolul érhető el.
• Extra díjak: Minden szolgáltatás benne van az árban, vagy kérésenként, nyelvenként vagy a nyilvántartás vezetéséért külön díjat számolnak fel?

Közvetlen összehasonlítás:

Minden esetben kérje el a megbízólevelet, és ellenőrizze, hogy az Art. 27 szerinti feladatokat kifejezetten vállalják-e. Írásban igazoltassa a szolgáltatási kör és költségek részleteit.

Mit tartalmaz az ár? Hol rejtőzhetnek extra költségek?

Az EU-képviselő és DPO szolgáltatások díjszabása nagyon eltérő. Sok szolgáltató alacsony belépő árat kínál, de az érintettek vagy hatóságok megkeresései után külön díjat számol fel (általában 25–90 € kérésenként). A 30. cikk szerinti nyilvántartás vezetése is gyakran külön kerül (100–400 €/év). A REP27 standard csomagjától kezdve minden kérés benne van, a nyilvántartást vezetik, és nincsenek rejtett díjak. Vizsgálja meg különösen:

• Az ár kérésenként vagy korlátlan kérésre vonatkozik-e
• Benntartalmazza-e a 30. cikk szerinti nyilvántartást
• Az ár a megújításkor drágul-e (REP27 esetén csökken)
• Van-e plusz költség a többnyelvűségért

Néhány szolgáltató csak postacímet ad anélkül, hogy valóban átvállalná a jogi feladatokat. Ez nem felel meg a szabályoknak, és bírságot vonhat maga után. Az alábbi táblázat tipikus árcsapdákat mutat be:

Olvassa el alaposan a szerződési feltételeket, és kérjen teljes szolgáltatáslistát, mielőtt elkötelezi magát.

Hogyan zajlik a megbízás? Lépésről lépésre útmutató és döntési mátrix

Az EU-képviselő vagy DPO megbízása megbízható szolgáltatóknál egyértelmű folyamat szerint történik. Így biztosítható a jogszabályok betartása:

1. Ellenőrizze, szüksége van-e EU-képviselőre vagy DPO-ra (lásd az alábbi mátrixot).
2. Hasonlítsa össze a szolgáltatókat, és kérje el a megbízólevelet ellenőrzésre.
3. Töltse ki a beléptető űrlapot (adatok a cégről, adatkezelésről, kapcsolattartókról).
4. Kapja meg az aláírt megbízólevelet és tanúsítványt (REP27-nél 24 órán belül).
5. Tegye közzé a képviselő elérhetőségét az adatvédelmi tájékoztatóban (GDPR 13/14. cikk).
6. Tartsa készen a 30. cikk szerinti nyilvántartást (vagy kérje a szolgáltató vezetését).
7. Szükség esetén végezze el az ingyenes svájci képviseleti ellenőrzést (REP27).

Döntési mátrix:

Ez a mátrix segít elkerülni a felesleges kiadásokat és megtalálni a megfelelő megfelelőségi megoldást.

Mai teendők:

1. Ellenőrizze, hogy a GDPR 27. vagy 37. cikke alá tartozik-e.
2. Hasonlítsa össze legalább három szolgáltató ajánlatát (szolgáltatások, ár, extra díjak).
3. Kérje el a megbízólevelet, és vizsgálja meg a feladatok átvállalását.
4. Kérdezzen rá a 30. cikk szerinti nyilvántartásra és válaszidőkre.
5. Rendelje meg a szolgáltatást, és dokumentálja a megbízást.
6. Frissítse adatvédelmi tájékoztatóját és belső folyamatait.

Amit a szolgáltatók gyakran nem mondanak: kizárások, felmondás, felelősség

Sok szolgáltató marketinganyagában elhallgat fontos részleteket, amelyek a gyakorlatban döntőek lehetnek:

• Nincs jogi tanácsadás: Az EU-képviselő nem adhat jogi tanácsot a képviselet keretében. Jogi kérdésekhez külön ügyvéd vagy DPO szükséges.
• Felelősség a megbízónál marad: A GDPR 27. cikk (5) bekezdése szerint az adatvédelmi szabályszegésért a felelős vagy megbízott felel, a képviselő csak kapcsolattartó, nem felel a hibákért.
• Felmondási határidők és automatikus megújítás: A felmondási feltételek eltérőek. REP27-nél 30 napos felmondási idő van a megújítás előtt. Ellenőrizze, hogyan történik a megkeresések és nyilvántartások átadása.
• Kérésenkénti díjak: Sok szolgáltató külön díjat számol fel érintetti vagy hatósági megkeresésenként, amit a szerződés apróbetűs része tartalmaz. REP27 Standard és Multi csomagokban minden kérés benne van.
• Nyelvek és ügyfélszolgálat: Egy EU-szintű szolgáltatás gyakran csak angolul érhető el. A REP27 8 nyelvű ügyfélszolgálatot kínál, ami megkönnyíti a jogszabályi megfelelést.
• Speciális termékképviselet hiánya: A GPSR felelős vagy CE-képviselő szerep csak a REP27 Multi csomagban elérhető, nem az alapcsomagban.

Olvassa el figyelmesen az ÁSZF-et és a megbízólevelet. Ellenőrizze, hogy a szolgáltató garantálja-e az átadást szolgáltatóváltás esetén.

Három valós példa: így teljesítheti a kötelezettséget helyesen

1. US SaaS szolgáltató EU-ügyfelekkel: Egy amerikai szoftvercég felhőalapú megoldást kínál EU-ügyfeleknek. Nem kezel különleges adatokat, de figyeli a felhasználói aktivitást (pl. bejelentkezések, használati statisztikák). Eredmény: EU-képviselő kinevezése kötelező a GDPR 27. cikke alapján. DPO csak széleskörű megfigyelés vagy különleges adatkezelés esetén szükséges. A legkedvezőbb és szabályos megoldás: REP27 Standard – korlátlan kérés, nyilvántartás vezetése, 8 nyelvű ügyfélszolgálat.
2. Kínai Amazon-kereskedő: Egy kínai eladó Amazon.de-n keresztül értékesít EU-ügyfeleknek. EU-képviselőre (27. cikk) és esetleg GPSR felelősre van szüksége a termékmegfelelőség miatt. DPO nem kötelező, ha nincs széleskörű megfigyelés vagy különleges adatkezelés. Komplett megoldás: REP27 Multi – EU-képviselő és GPSR felelős egy szerződésben, egy kapcsolattartóval, tanúsítvánnyal.
3. UK webáruház EU-ügyfelek nélkül: Egy brit webshop kizárólag az Egyesült Királyságban értékesít, nem kezel EU-állampolgárok adatait. Eredmény: Nem kötelező EU-képviselőt vagy DPO-t kinevezni. Csak célzott EU-célzás vagy EU-szállítás esetén lenne kötelezettség.

Ezek a példák rávilágítanak, milyen fontos az üzleti modell pontos vizsgálata. Az EU-ügyfelek célzása vagy viselkedésük megfigyelése esetén kötelező az EU-képviselő kinevezése – függetlenül a cég méretétől.