Hoe vergelijk ik wettelijke vertegenwoordigers voor niet-EU bedrijven

• Verplichting voor niet-EU bedrijven die gegevens van EU-inwoners verwerken (Art. 27 GDPR)
• Gepubliceerde jaarlijkse prijzen: van EUR 290 tot USD 1.500+
• Inbegrepen diensten en dekking verschillen per aanbieder
• Snelle aanstelling en verifieerbare certificaten: niet altijd inbegrepen
• Risico's: boetes tot 10 miljoen euro of 2% van de omzet

Bijgewerkt 26 October 2026 · 8 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 26 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: Artikel 27 GDPR en Data Act

Artikel 27 van de GDPR verplicht verwerkingsverantwoordelijken en verwerkers zonder vestiging in de EU, die goederen of diensten aanbieden aan personen in de EU of het gedrag van EU-inwoners monitoren, een vertegenwoordiger in de Unie aan te stellen. Deze vertegenwoordiger fungeert als contactpunt voor gegevensbeschermingsautoriteiten en betrokkenen, en vergemakkelijkt communicatie en verzoekafhandeling.

Het niet aanstellen wordt als een zelfstandige overtreding beschouwd en kan leiden tot administratieve boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, zoals bepaald in Artikel 83(4)(a) GDPR. Een concreet voorbeeld is de boete van 525.000 euro opgelegd aan Locatefamily.com door de Nederlandse autoriteit wegens het niet aanstellen van een vertegenwoordiger.

• Schriftelijke verplichting: de aanstelling moet schriftelijk worden vastgelegd (Art. 27(1) GDPR).
• Snelle respons: de vertegenwoordiger moet snel reageren op verzoeken van autoriteiten en betrokkenen.
• Registerbeheer: verplichting om verwerkingsactiviteiten te registreren en op verzoek te tonen (Art. 30 GDPR).
• Data Act: voor niet-EU cloudleveranciers die diensten in de Unie verkopen, verplicht de Data Act een vertegenwoordiger en regels over switching, portabiliteit en data verwijdering.
• Zwitserland: Art. 14 nFADP vereist een vertegenwoordiger alleen als aan alle voorwaarden is voldaan (aanbod aan inwoners, grootschalige verwerking, regelmatigheid, hoog risico).

EU vertegenwoordiging is niet vereist voor bedrijven met een vestiging in de EU, noch voor wie geen gegevens van EU-inwoners verwerkt.

Hoe kies je een aanbieder: praktische criteria en servicevergelijking

De keuze van een wettelijke vertegenwoordiger in de EU moet gebaseerd zijn op objectieve en verifieerbare criteria. Belangrijke elementen om te beoordelen zijn:

• Gepubliceerde jaarlijkse prijs: geef de voorkeur aan aanbieders met transparante en geverifieerde prijzen.
• Aanstellingstijd: sommige aanbieders, zoals REP27, garanderen aanstelling binnen 24 uur.
• Geografische dekking: controleer of de service alleen de EU of ook de gehele Europese Economische Ruimte (EER) en Zwitserland (beoordeling, geen directe vertegenwoordiging) dekt.
• Certificaten en aanstellingsbrieven: verifieerbare certificaten (QR-code, elektronische handtekening) bieden meer zekerheid en traceerbaarheid.
• Beschikbare talen: meertalige documentatie (bijv. privacyverklaring in 8 talen met REP27) vergemakkelijkt compliance in meerdere landen.
• Extra diensten: sommige aanbieders bieden Zwitserse beoordeling, externe FG, training of compliance dashboards.

Inclusie/exclusie tabel:

Transparantie over inbegrepen diensten is cruciaal: vraag altijd een gedetailleerde lijst van inbegrepen services en eventuele extra kosten voordat je tekent.

Wat de prijs echt omvat: let op verborgen kosten

De gepubliceerde prijs van elke aanbieder kan alleen betrekking hebben op de basisdienst van vertegenwoordiging, terwijl andere diensten optioneel zijn of extra kosten met zich meebrengen. Let op het volgende:

• Aanstellingsbrief en elektronische handtekening: essentieel voor bewijs van compliance, maar niet altijd in verifieerbaar formaat geleverd.
• Verifieerbaar certificaat: REP27 biedt een certificaat met QR-code en publieke verificatie, nuttig voor audits en controles.
• Doorsturen verzoeken: controleer gegarandeerde reactietijden (bijv. REP27: doorsturen binnen 2 werkdagen).
• Meertalige privacyverklaring: belangrijk voor bedrijven actief in meerdere EU-landen.
• Art. 30 GDPR registers: beheer van registers kan inbegrepen zijn of niet; controleer of de aanbieder deze bijhoudt en op verzoek toont.
• Zwitserse nFADP beoordeling: REP27 biedt dit inbegrepen aan, andere aanbieders specificeren dit niet.

Sommige aanbieders, zoals DataShield, bieden extra diensten (externe FG, training, dashboard), maar de prijs begint bij $1.500/jaar. EaseCert biedt een eenmalige formule, handig voor wie geen terugkerende kosten wil. Vraag altijd of er kosten zijn voor updates, extra verzoeken, onboarding of aanvullende documentatie.

Hoe werkt de aanstelling: stap voor stap en benodigde documenten

1. Verplichtingscheck: Controleer of jouw bedrijf goederen/diensten aanbiedt of EU-inwoners monitort zonder vestiging in de Unie.
2. Providerkeuze: Vergelijk prijzen, inbegrepen diensten, reactietijden en geografische dekking.
3. Gegevensverzameling: Lever bedrijfsinformatie, details over verwerkingen, privacyverklaring en indien gevraagd Art. 30 registers aan de aanbieder.
4. Formele aanstelling: Ontvang de ondertekende aanstellingsbrief (elektronisch indien van toepassing) en het vertegenwoordigerscertificaat. REP27 garandeert uitgifte binnen 24 uur.
5. Publicatie: Werk de privacyverklaring en officiële bedrijfscommunicatie bij met gegevens van de EU vertegenwoordiger.
6. Doorlopende beheer: Houd registers van verwerkingsactiviteiten actueel en zorg dat de vertegenwoordiger altijd op de hoogte is van wijzigingen.

Praktische checklist:

1. Controleer of je goederen/diensten aanbiedt of EU-inwoners monitort
2. Check of je al een vestiging in de EU hebt
3. Vergelijk gepubliceerde prijzen en inbegrepen diensten
4. Vraag details over aanstellingstijd en certificering
5. Informeer of meertalige privacyverklaring en Zwitserse beoordeling inbegrepen zijn
6. Controleer mogelijke extra kosten voor verzoeken of updates
7. Ga over tot schriftelijke aanstelling en update privacyverklaring

De aanstelling blijft geldig zolang het contract loopt en kan te allen tijde worden aangepast of ingetrokken, met kennisgeving aan autoriteiten en update van openbare documenten.

Risico's, boetes en gevolgen van niet-aanstellen

Het niet aanstellen van een EU vertegenwoordiger brengt concrete risico's en aanzienlijke sancties met zich mee. Volgens Artikel 83(4)(a) GDPR kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Autoriteiten kunnen ook:

• Dataverwerking binnen de EU blokkeren
• Operationele beperkingen of aanvullende verplichtingen opleggen
• Verwijdering van onrechtmatig verzamelde data eisen
• De reputatie van het bedrijf schaden, met negatieve gevolgen voor klanten en partners

Een concreet voorbeeld is de boete van 525.000 euro voor Locatefamily.com wegens het niet aanstellen van een vertegenwoordiger. Ook vertragingen in het reageren op verzoeken van autoriteiten of betrokkenen kunnen de situatie verergeren en leiden tot extra controles of sancties.

Het risico geldt niet alleen voor grote bedrijven: ook MKB en verkopers op marktplaatsen zijn verplicht als ze gegevens van EU-inwoners verwerken. Niet-naleving kan ook de toegang tot Europese markten en strategische partnerschappen blokkeren.

Beslissingsmatrix: wie heeft de dienst echt nodig?

De beslissing hangt af van waar je klanten zijn en of je persoonsgegevens van EU-inwoners verwerkt. Ook verkopers op marktplaatsen zoals Amazon, Etsy of eBay zijn verplicht als ze geen EU vestiging hebben en aan Europese klanten verkopen.

Wat aanbieders meestal niet zeggen: uitsluitingen en beperkingen

• Sommige aanbieders rekenen extra kosten voor updates, frequente verzoeken of onboarding services: controleer altijd contractuele transparantie.
• Niet alle aanbieders leveren verifieerbare certificaten of digitaal ondertekende brieven: dit kan compliance bewijs bemoeilijken bij audits.
• Dekking kan Noorwegen, IJsland, Liechtenstein of Zwitserland uitsluiten: controleer altijd of de service voor de hele EER geldt of alleen de EU.
• De aansprakelijkheid van de aanbieder is vaak contractueel beperkt en dekt geen boetes aan de klant.
• Reactietijden op verzoeken zijn niet altijd contractueel gegarandeerd: vraag expliciet naar SLA's en escalatieprocedures.
• Diensten zoals Zwitserse nFADP beoordeling zijn zeldzaam en meestal niet inbegrepen, behalve bij uitzonderingen zoals REP27.

Vraag altijd een gedetailleerde lijst van wat inbegrepen is, wat uitgesloten is en de voorwaarden voor opzegging of wisseling van aanbieder voordat je tekent.

3 realistische scenario's: welke verplichting en route kiezen

• USA SaaS: Biedt diensten aan EU klanten zonder EU vestiging. Moet vertegenwoordiger Art. 27 GDPR aanstellen. Route: kies aanbieder met EER-dekking, ontvang brief/certificaat; update privacyverklaring en documentatie.
• Chinese Amazon verkoper: Verkoopt op EU marktplaats zonder EU vestiging. Verplichting Art. 27 GDPR. Route: aanstelling vertegenwoordiger, publicatie gegevens in privacyverklaring, beheer verzoeken via vertegenwoordiger.
• UK webwinkel na Brexit: Verkoopt aan EU klanten zonder EU vestiging. Verplichting EU vertegenwoordiging, niet UK. Route: aanstelling EU vertegenwoordiger, update documenten en privacyverklaring, controleer of ook UK vertegenwoordiger nodig is voor Britse klanten.

In alle gevallen moet de keuze van aanbieder gebaseerd zijn op transparantie, snelle aanstelling en inbegrepen diensten. Niet-aanstellen brengt juridische en commerciële risico's met zich mee.