Was kostet die Ernennung eines UK-GDPR-Vertreters? Preise und Vergleich 2026

• Pflicht für Unternehmen außerhalb des UK, die Dienstleistungen anbieten oder Personen im Vereinigten Königreich überwachen (Art. 27 UK GDPR).
• Jahrespreise von £120 bis £1.450; REP27 ab €290/Jahr (nur UK) oder €390/Jahr (UK+EU).
• Der Vertreter muss im Vereinigten Königreich ansässig sein und als Ansprechpartner für Betroffene und die ICO fungieren.
• Enthaltene Leistungen: Weiterleitung von Anfragen, Führung des Verarbeitungsverzeichnisses, Zertifikate, Unterstützung bei Datenschutzhinweisen.
• Wer bereits im Vereinigten Königreich ansässig ist oder Daten nur gelegentlich verarbeitet, kann befreit sein.
• Bußgelder bis zu £8,7 Millionen oder 2 % des weltweiten Umsatzes bei Nichtbenennung eines Vertreters, wenn verpflichtend.

Aktualisiert 20 Oktober 2026 · 9 Quellen geprüft

Anbieter im Vergleich

Preise wie am 20 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was verlangt das Gesetz: Artikel 27 UK GDPR

Artikel 27 UK GDPR legt fest, dass jeder Verantwortliche oder Auftragsverarbeiter, der nicht im Vereinigten Königreich niedergelassen ist, aber Waren oder Dienstleistungen für Personen im Vereinigten Königreich anbietet oder deren Verhalten überwacht, einen Vertreter mit Sitz im Vereinigten Königreich benennen muss (offizielle Quelle). Der Vertreter dient als Ansprechpartner für Betroffene und die Information Commissioner's Office (ICO). Die Ernennung muss schriftlich erfolgen und die Daten des Vertreters in der Datenschutzerklärung des Unternehmens veröffentlicht werden. Der Vertreter muss in der Lage sein, Anfragen von Betroffenen und der ICO zeitnah zu empfangen und weiterzuleiten sowie das Verzeichnis der Verarbeitungstätigkeiten zu führen (Art. 30 UK GDPR).

Ausnahmen sind begrenzt: Die Pflicht gilt nicht, wenn die Verarbeitung nur gelegentlich, nicht regelmäßig oder systematisch erfolgt und keine Risiken für die Rechte und Freiheiten der Betroffenen besteht. Auch öffentliche Behörden sind ausgenommen. Die Nichtbeachtung kann Bußgelder bis zu £8,7 Millionen oder 2 % des weltweiten Umsatzes nach sich ziehen.

Die Regelung ist streng: Schon ein einziger Faktor (Angebot von Dienstleistungen an UK-Residenten oder Verhaltensüberwachung) löst die Pflicht aus. Es ist essenziell, die eigene Tätigkeit sorgfältig zu prüfen und bei Unsicherheiten die offiziellen FAQ zu konsultieren oder eine Bewertung beim gewählten Anbieter anzufordern.

Wie wählt man den UK-GDPR-Vertreter aus

Die Auswahl des UK-GDPR-Vertreters sollte von praktischen und strategischen Faktoren geleitet sein. Zunächst prüfen Sie, ob Sie nur im Vereinigten Königreich oder auch in der Europäischen Union tätig sind: Im letzteren Fall kann ein Anbieter, der beide Dienste (wie REP27) anbietet, die Verwaltung vereinfachen und Kosten senken. Berücksichtigen Sie auch die Schnelligkeit der Ernennung (REP27 verspricht 24 Stunden), die Verfügbarkeit von mehrsprachigem Support, dedizierte Desks für die Weiterleitung von Anfragen und die Verwaltung der Verzeichnisse.

Weitere Aspekte sind die Transparenz bei Zusatzkosten (z.B. berechnet Janus Compliance £250/Stunde für individuelle Antworten oder Übersetzungen), die einfache Integration (ein einziges Formular für UK+EU mit REP27) und das Vorhandensein digitaler Tools wie Compliance-Badges, Management-Plattformen oder Verzeichnis-Builder (ROPA). Einige Anbieter, wie GDPR Gateway, bieten auch physische Adressen in London, nützlich für formelle Korrespondenz.

Zusammenfassend: Wählen Sie einen Anbieter, der Ihren Anforderungen an geografische Abdeckung, enthaltene Leistungen, Schnelligkeit und Kostentransparenz entspricht. Wenn Sie in mehreren Märkten tätig sind, ist eine einheitliche Verwaltung vorteilhaft.

Was der Service wirklich umfasst: detaillierter Vergleich

Der UK-GDPR-Vertretungsservice variiert stark zwischen den Anbietern. Gemeinsame Elemente sind die formelle Ernennung (unterzeichnetes Dokument und Zertifikat), die Weiterleitung von Anfragen von Betroffenen und Behörden (ICO) sowie Unterstützung bei der Erstellung des Datenschutzhinweises. Einige Anbieter, wie REP27, schließen auch die Verwaltung des Verzeichnisses der Verarbeitungstätigkeiten (Art. 30) ein, die Bereitstellung von verifizierbaren Zertifikaten mit QR-Code und mehrsprachige Dokumentation.

Andere, wie Janus Compliance, bieten einen Basisservice, berechnen aber Zusatzkosten für Aktivitäten wie das Verfassen von Antworten an die ICO oder Übersetzungen (£250/Stunde). Anbieter wie Gabsor und Euverify setzen auf digitale Plattformen mit Compliance-Badges, Tools für die Bearbeitung von Anfragen (DSR-Postfach), Audit-Trails und Verzeichnis-Builder. GDPR Gateway bietet physische Adressen in London und der EU mit einer Einrichtungsgebühr.

Die folgende Tabelle fasst die wichtigsten Unterschiede zusammen:

Vor der Wahl prüfen Sie, ob der Service alle Anforderungen Ihres Unternehmens abdeckt: von der mehrsprachigen Bearbeitung von Anfragen über die Erstellung zertifizierter Dokumente bis hin zur Unterstützung bei der Führung von Verzeichnissen und Audit-Management.

Versteckte Kosten und Einschränkungen: Was Anbieter oft nicht sagen

Viele Anbieter bieten einen wettbewerbsfähigen Basispreis, können aber Zusatzkosten für nicht enthaltene Leistungen berechnen. Beispielsweise verlangt Janus Compliance £250/Stunde für individuelle ICO-Antworten oder Übersetzungen, während GDPR Gateway eine einmalige Setup-Gebühr erhebt (Betrag auf Anfrage). Andere Anbieter begrenzen die Anzahl der kostenfreien Anfragen oder wenden eine Fair-Use-Policy an (DataRep).

Einige Services schließen keine Rechtsberatung oder das Verfassen detaillierter Antworten an Behörden ein: Der Vertreter ersetzt nicht den Datenschutzbeauftragten (DPO) und kümmert sich nicht um die allgemeine Compliance des Unternehmens. Die Verantwortung des Vertreters beschränkt sich auf die Rolle als Ansprechpartner und Weiterleiter; er haftet nicht für GDPR-Verstöße des Unternehmens.

Ein weiterer oft übersehener Aspekt ist die Verwaltung der Vertragsverlängerung: Bei zwei unterschiedlichen Anbietern für UK und EU kann es zu Deckungslücken durch unterschiedliche Ablaufdaten kommen. REP27 löst dieses Problem mit einem einheitlichen Verlängerungsdatum für beide Ernennungen. Prüfen Sie zudem stets die Vertragsbedingungen: Einige Anbieter schreiben Kündigungsfristen oder Haftungsbeschränkungen bei Fehlern vor.

Zusammengefasst sollten Sie vor der Wahl beachten:

• Zusatzkosten für Extras (Antworten, Übersetzungen, Onboarding)
• Einrichtungsgebühren
• Haftungsbeschränkungen und Ausschlüsse
• Verwaltung von Fristen und Verlängerungen

So funktioniert die Ernennung: Schritt für Schritt

Die Ernennung eines UK-GDPR-Vertreters folgt einem klaren Prozess, der in wenigen Tagen abgeschlossen sein kann, wenn alle erforderlichen Informationen vorliegen:

1. Prüfung der Pflicht: Überprüfen Sie, ob Sie Waren/Dienstleistungen anbieten oder Personen im Vereinigten Königreich überwachen und keine lokale Niederlassung haben.
2. Anbieterauswahl: Bewerten Sie angebotene Leistungen, Preise, geografische Abdeckung und Schnelligkeit der Ausstellung.
3. Ausfüllen des Formulars: Geben Sie Unternehmensdaten, Beschreibung der Verarbeitung, Ansprechpartner und erforderliche Dokumente an den Anbieter weiter.
4. Ausstellung der Ernennung: Der Anbieter erstellt die formelle Ernennung, unterzeichnet und zertifiziert sie (REP27 innerhalb 24 Stunden).
5. Erhalt des Zertifikats: Sie erhalten das Zertifikat und die Dokumente zur Aufnahme in die Datenschutzerklärung.
6. Aktualisierung des Datenschutzhinweises: Fügen Sie die Kontaktdaten des Vertreters in die Datenschutzerklärung ein, wie gesetzlich vorgeschrieben.
7. Bearbeitung von Anfragen: Der Vertreter empfängt und leitet Anfragen von Betroffenen und ICO zeitnah weiter, führt das Verzeichnis der Verarbeitungstätigkeiten und kooperiert bei Prüfungen.
8. Jährliche Verlängerung: Planen Sie die Verlängerung, um Unterbrechungen der Abdeckung zu vermeiden.

Praktische Checkliste:

1. Prüfen, ob Sie Dienstleistungen/Waren anbieten oder Personen im UK überwachen.
2. Feststellen, ob Sie eine feste Niederlassung im Vereinigten Königreich haben.
3. Bewerten Sie Häufigkeit und Risiko der Datenverarbeitung.
4. Wählen Sie einen passenden Anbieter für Abdeckung und Leistungen.
5. Schließen Sie die schriftliche Ernennung ab und erhalten Sie das Zertifikat.
6. Aktualisieren Sie die Datenschutzerklärung mit den Vertretern-Daten.
7. Stellen Sie sicher, dass der Anbieter Anfragen zeitnah weiterleitet.
8. Planen Sie die jährliche Verlängerung zur Vermeidung von Lücken.

Risiken und Sanktionen: Was passiert, wenn Sie keinen Vertreter benennen

Die Nichtbenennung eines UK-GDPR-Vertreters, wenn dies verpflichtend ist, birgt erhebliche Risiken. Die ICO kann Bußgelder bis zu £8,7 Millionen oder 2 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist (offizielle Quelle). Der Verstoß ist eigenständig: Auch ohne weitere Rechtsverstöße kann die fehlende Ernennung sanktioniert werden. Ein konkretes Beispiel ist die Geldstrafe von 525.000 Euro, die die niederländische Datenschutzbehörde gegen Locatefamily.com wegen fehlender EU-Vertretung verhängte (ein ähnlicher Fall, aber das gleiche Prinzip gilt für UK).

Der Vertreter haftet nicht für GDPR-Verstöße des Unternehmens, muss jedoch alle eingehenden Anfragen zeitnah weiterleiten und mit der ICO bei Untersuchungen kooperieren. Fehlende Kooperation oder verspätete Weiterleitung kann als weiterer Verstoß gewertet werden. Bei Prüfungen oder Beschwerden von Betroffenen ist eine gültige und leicht überprüfbare Ernennung (z.B. Zertifikat mit QR-Code) entscheidend, um Compliance nachzuweisen.

Zur Risikominderung:

• Benennen Sie den Vertreter sobald die Pflicht besteht.
• Stellen Sie sicher, dass der Anbieter gut erreichbar ist und schnell reagiert.
• Bewahren Sie alle Dokumente zur Ernennung und Kommunikation mit dem Vertreter auf.
• Aktualisieren Sie die Datenschutzerklärung zeitnah.

Praktische Szenarien: Drei reale Beispiele

• US-SaaS mit UK-Nutzern: Ein US-amerikanisches SaaS-Unternehmen, das Dienste für Nutzer im Vereinigten Königreich anbietet, muss einen UK-GDPR-Vertreter benennen. Wenn es auch in der EU verkauft, kann es einen Anbieter wie REP27 wählen, der eine kombinierte UK+EU-Ernennung mit nur einem Formular, zwei separaten Zertifikaten und einem einzigen Verlängerungsdatum bietet. Andernfalls kann ein UK-only-Anbieter wie DataRep oder Janus Compliance gewählt werden.
• Chinesischer Verkäufer auf Amazon UK: Ein chinesisches Unternehmen, das Produkte auf Amazon UK verkauft, muss einen UK-GDPR-Vertreter benennen, wenn es direkt personenbezogene Daten der Kunden verarbeitet (z.B. für Versand oder Kundendienst). Wenn hingegen Amazon als alleiniger Verantwortlicher agiert, besteht die Pflicht möglicherweise nicht. Im Zweifel ist eine spezifische Bewertung ratsam.
• UK-Online-Shop mit nur UK-Kunden: Ein Online-Shop mit Sitz und tatsächlicher Tätigkeit im Vereinigten Königreich benötigt keinen Vertreter, auch wenn er britische Kunden bedient. Die Pflicht gilt nur für Unternehmen ohne festen Sitz im Vereinigten Königreich, die Dienste anbieten oder Personen im UK überwachen.

Diese Szenarien zeigen, dass die Notwendigkeit von konkreten Faktoren abhängt: Sitzland, Art der Datenverarbeitung und Beziehung zu Marktplätzen.

Was Anbieter meist nicht sagen

Viele Anbieter heben einige wichtige Einschränkungen und Bedingungen nicht hervor. Beispielsweise ersetzt die Ernennung des Vertreters keine allgemeine Compliance-Beratung oder die Rolle des Datenschutzbeauftragten (DPO). Der Vertreter bietet keine kontinuierliche Rechtsberatung, verfasst keine ausführlichen Antworten an die ICO (außer gegen Zusatzgebühr) und übernimmt keine Haftung für Verstöße des Unternehmens.

Weitere wenig beworbene Aspekte:

• Mögliche Zusatzkosten für Onboarding, Übersetzungen, individuelle Antworten oder komplexe Anfragebearbeitung.
• Einrichtungsgebühren (z.B. GDPR Gateway) oder höhere Verlängerungskosten als der Einstiegspreis.
• Vertragliche Haftungsbeschränkungen und Kündigungsfristen.
• Notwendigkeit, Datenschutzhinweise und interne Dokumentation bei Anbieterwechsel oder Verlängerung zu aktualisieren.

Um Überraschungen zu vermeiden, ist es essenziell, die Vertragsbedingungen sorgfältig zu lesen, Klarheit über die tatsächlich enthaltenen Leistungen zu erfragen und die Verwaltung von Fristen und Kommunikation mit dem gewählten Anbieter zu planen.