Vem behöver en dataskyddsombud för EU? Leverantörer & priser 2026

• DPO-krav: Offentliga myndigheter eller omfattande övervakning/särskilda uppgifter (artikel 37 GDPR)
• EU-representant enligt artikel 27 GDPR för icke-EU-företag med EU-kunder eller användare
• Böter upp till 10 miljoner € eller 2 % av global omsättning vid överträdelse (artikel 83 GDPR)
• REP27: EU-representant för hela EES från 290 €/år, inkl. certifikat & mer
• Tjänsteomfattning och tilläggsavgifter varierar kraftigt mellan leverantörer
• Inte alla behöver DPO eller EU-representant – se beslutsmatris

Uppdaterad 19 October 2026 · 6 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 19 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad kräver GDPR? (Artiklarna 27, 37, 83)

Dataskyddsförordningen (GDPR) skiljer på två centrala roller: dataskyddsombudet (DPO) och EU-representanten. Båda skyldigheterna gäller olika företag och situationer:

• Dataskyddsombud (DPO, artiklarna 37-39): Ett DPO är obligatoriskt för offentliga myndigheter samt företag vars kärnverksamhet omfattar omfattande, systematisk övervakning av personer eller storskalig behandling av särskilda kategorier av personuppgifter (t.ex. hälsodata, politiska åsikter). DPO:s uppgifter regleras i artikel 39 GDPR och inkluderar rådgivning, övervakning av efterlevnad, kontaktpunkt för myndigheter och registrerade samt stöd vid konsekvensbedömningar.
• EU-representant (artikel 27): Företag utanför EU som erbjuder varor eller tjänster till personer i EU eller övervakar EU-medborgares beteende (t.ex. spårning, analys) måste utse en skriftligen namngiven EU-representant. Representanten fungerar som kontaktpunkt för tillsynsmyndigheter och registrerade och ansvarar för att hålla förteckningen över behandlingar (artikel 30), om leverantören tar på sig detta.

Skyldigheten att utse EU-representant gäller inte om behandlingen endast sker sporadiskt, inte omfattar särskilda uppgifter och inte utgör någon risk för registrerades rättigheter och friheter. Att utse DPO är ofta inte nödvändigt för små företag så länge det inte sker omfattande övervakning eller behandling av särskilda kategorier.

Böter: Brott mot skyldigheten att utse EU-representant kan leda till böter på upp till 10 miljoner € eller 2 % av den globala årsomsättningen (artikel 83.4 GDPR). Den nederländska tillsynsmyndigheten utdömde t.ex. en bot på 525 000 € mot Locatefamily.com för utebliven EU-representation.

Skyldigheten att utse DPO regleras i artikel 37 GDPR (källa), uppgifterna i artikel 39 (källa) och böterna i artikel 83 (källa).

Hur väljer man rätt leverantör? Avgörande kriterier & jämförelse

Att välja en lämplig EU-representant eller DPO-tjänst är avgörande för efterlevnad. Erbjudandena skiljer sig mycket i tjänsteomfattning, svarstider och dolda kostnader. Följande kriterier bör du kontrollera:

• Accepterar leverantören skriftligt uppgifterna enligt artikel 27 GDPR? Ett äkta mandat måste explicit omfatta uppgifter och skyldigheter enligt artikel 27. Enbart en brevlåda eller adress räcker inte.
• Vem för artikel 30-registret? GDPR kräver att representanten håller förteckningen över behandlingar tillgänglig på begäran. Inte alla leverantörer tar på sig detta.
• Svarstider vid förfrågningar: Hur snabbt vidarebefordras förfrågningar från tillsynsmyndigheter eller registrerade? Ett ”best effort”-löfte utan tidsfrist är riskabelt. REP27 garanterar t.ex. vidarebefordran inom 2 arbetsdagar (standard: samma dag vid myndighetsförfrågningar).
• Språk: Hanteras förfrågningar på flera EU-språk? REP27 erbjuder en desk på 8 språk, många nybörjarerbjudanden endast på engelska.
• Tilläggsavgifter: Ingår alla tjänster i priset eller tillkommer avgifter per förfrågan, per språk eller för att föra registret?

En direkt jämförelse:

Begär alltid utnämningsbrevet och kontrollera att uppgifterna enligt artikel 27 uttryckligen övertas. Begär skriftlig bekräftelse på tjänsteomfattning och kostnadsstruktur i förväg.

Vad ingår i priset? Var lurar dolda kostnader?

Prisstrukturerna för EU-representanter och DPO-tjänster varierar mycket. Många leverantörer lockar med låga startpriser men tar extra betalt för varje förfrågan från registrerade eller myndigheter (typiskt €25–90 per förfrågan). Även för att föra artikel 30-registret tas ofta extra avgift (€100–400/år). Hos REP27 ingår alla förfrågningar från och med Standard-tariffen, registret förs och inga dolda avgifter tillkommer. Kontrollera särskilt:

• Om priset gäller per förfrågan eller obegränsade förfrågningar
• Om artikel 30-registret ingår
• Om förnyelse blir dyrare (hos REP27 sjunker priset följande år)
• Om extra språk kostar extra

Vissa leverantörer erbjuder endast en postadress utan verkligt övertagande av lagstadgade uppgifter. Detta är inte förenligt med lagen och kan leda till böter. Följande översikt visar typiska prishinder:

Läs det finstilta och begär en fullständig tjänsteöversikt innan du binder dig.

Hur går beställningen till? Steg-för-steg-guide & beslutsmatris

Beställning av EU-representant eller DPO följer hos seriösa leverantörer en tydlig process. Så säkerställer du att alla lagkrav uppfylls:

1. Kontrollera om du behöver EU-representant eller DPO (se matris nedan).
2. Jämför leverantörer och begär utnämningsbrev för granskning.
3. Fyll i onboardingformulär (uppgifter om företag, databehandling, kontaktpersoner).
4. Få motteckning och certifikat (hos REP27 inom 24 timmar).
5. Publicera representantens kontaktuppgifter i din integritetspolicy (artikel 13/14 GDPR).
6. Håll artikel 30-registret tillgängligt (eller låt leverantören föra det).
7. Vid behov: Gör den kostnadsfria schweiziska representantkontrollen (REP27).

Beslutsmatris:

Denna matris hjälper dig att undvika felinvesteringar och välja rätt efterlevnadslösning.

Dagens checklista:

1. Kontrollera om du omfattas av artikel 27 eller 37 GDPR.
2. Jämför minst tre leverantörer (tjänsteomfattning, pris, tilläggsavgifter).
3. Begär utnämningsbrev och kontrollera uppgiftens övertagande.
4. Fråga om artikel 30-registret och svarstider.
5. Beställ tjänsten och dokumentera beställningen.
6. Uppdatera din integritetspolicy och interna processer.

Vad leverantörer ofta inte säger: Undantag, uppsägning, ansvar

Många leverantörer undanhåller viktiga detaljer i marknadsföringen som kan vara avgörande i praktiken:

• Ingen juridisk rådgivning: En EU-representant får inte erbjuda juridisk rådgivning inom ramen för representationen. För juridiska frågor krävs separat advokat eller DPO.
• Ansvar kvarstår hos uppdragsgivaren: Enligt artikel 27.5 GDPR ligger ansvaret för dataskyddsöverträdelser alltid hos den personuppgiftsansvarige eller personuppgiftsbiträdet. Representanten är endast kontaktpunkt och ansvarar inte för uppdragsgivarens misstag.
• Uppsägningstider och automatisk förnyelse: Uppsägningstider varierar. Hos REP27 kan uppsägning ske med 30 dagars varsel före förnyelse. Kontrollera hur överlämning av förfrågningar och register regleras.
• Avgifter per förfrågan: Många leverantörer tar extra betalt per förfrågan från registrerade eller myndigheter, vilket framgår i det finstilta. Hos REP27 Standard och Multi ingår alla förfrågningar.
• Språk och desk: En EU-omfattande tjänst är ofta endast på engelska. REP27 erbjuder en desk på 8 språk, vilket underlättar lagkraven.
• Ingen övertagande av särskilt produktansvar: Rollen som GPSR-ansvarig eller CE-auktoriserad representant ingår endast i REP27 Multi, inte i baspaketet.

Läs noga igenom allmänna villkor och utnämningsbrev. Kontrollera att leverantören garanterar överlämning av dokument vid leverantörsbyte.

Tre realistiska scenarier: Så uppfyller du skyldigheten korrekt

1. US SaaS-leverantör med EU-kunder: Ett amerikanskt mjukvaruföretag erbjuder en molntjänst till EU-kunder. Det behandlar inga särskilda uppgifter men övervakar användaraktiviteter (t.ex. inloggningar, användningsstatistik). Resultat: EU-representant enligt artikel 27 GDPR är obligatoriskt. DPO krävs endast vid omfattande övervakning eller särskilda uppgifter. Den billigaste och lagliga lösningen: REP27 Standard – alla förfrågningar ingår, register förs, desk på 8 språk.
2. Kinesisk Amazon-handlare: En handlare från Kina säljer via Amazon.de till EU-kunder. Han behöver en EU-representant (artikel 27 GDPR) och eventuellt en GPSR-ansvarig för produktöverensstämmelse. DPO krävs inte så länge det inte sker omfattande övervakning eller behandling av särskilda uppgifter. Komplett lösning: REP27 Multi – EU-representant och GPSR-ansvarig i ett avtal, en kontaktperson, ett certifikat.
3. UK webbutik utan EU-kunder: En brittisk webbutik säljer endast till kunder i Storbritannien och behandlar inga uppgifter om EU-medborgare. Resultat: Ingen skyldighet att utse EU-representant eller DPO. Skyldigheten uppstår först vid riktad marknadsföring eller leverans till EU-kunder.

Dessa scenarier visar hur viktigt det är att granska sin affärsmodell. Den som riktar sig till EU-kunder eller övervakar deras beteende måste utse en EU-representant – oavsett företagsstorlek.