Was kostet ein gesetzlicher Vertreter für nicht-europäische Unternehmen mit Datenverarbeitungsdiensten?

• Pflicht für außereuropäische Unternehmen, die Daten von EU-Bewohnern verarbeiten (DSGVO Art. 27)
• Jährliche Preise veröffentlicht: von 290 bis 1.500 EUR
• REP27 deckt alle 27 EU-Staaten + EWR ohne Aufpreis ab
• Formelle Bestellung innerhalb von 24 Stunden (REP27)
• Bußgelder bis zu 10 Millionen Euro oder 2 % des Umsatzes bei Nichtbestellung

Aktualisiert 23 Oktober 2026 · 9 Quellen geprüft

Anbieter im Vergleich

Preise wie am 23 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Gesetzliche Anforderungen: DSGVO Artikel 27 und Data Act

Artikel 27 der DSGVO schreibt vor, dass jedes nicht-europäische Unternehmen, das Dienstleistungen oder Produkte für in der EU ansässige Personen anbietet oder deren Verhalten überwacht, einen gesetzlichen Vertreter in der Union benennen muss. Dieser Vertreter fungiert als Ansprechpartner für Datenschutzbehörden und Betroffene und muss schriftlich bestellt werden. Der Vertreter muss in einem Mitgliedstaat ansässig sein, in dem sich die Betroffenen befinden, und ein Verzeichnis der Verarbeitungstätigkeiten führen (Art. 30 DSGVO). Der Data Act, der für Anbieter von Datenverarbeitungsdiensten (Cloud, SaaS, IoT) gilt, verlangt ebenfalls die Benennung eines EU-Vertreters, wenn der Anbieter keine Niederlassung in der Union hat. Die Nichtbenennung gilt als eigenständiger Verstoß und kann Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen, gemäß Artikel 83 DSGVO. Behörden können den Vertreter direkt für Untersuchungen oder Anfragen kontaktieren.

Für Unternehmen, die Datenverarbeitungsdienste anbieten, ist die Benennung eines gesetzlichen Vertreters sowohl nach DSGVO als auch nach Data Act erforderlich, wenn sie auf dem EU-Markt tätig sind. Unternehmen, die keine personenbezogenen Daten von EU-Bewohnern verarbeiten oder keine Dienste im EU-Gebiet anbieten, sind nicht verpflichtet.

Wie wählt man den richtigen Anbieter aus

Die Wahl des EU-Vertreters sollte auf praktischen und transparenten Kriterien beruhen. Es ist entscheidend zu prüfen, ob der Anbieter alle 27 EU-Mitgliedstaaten und den Europäischen Wirtschaftsraum (EWR) ohne Zusatzkosten abdeckt, wie REP27. Die Schnelligkeit der Bestellung ist ein weiterer wichtiger Faktor: REP27 stellt den Bestellbrief innerhalb von 24 Stunden aus, andere Anbieter geben die Zeiträume nicht immer an. Es ist wichtig, Details zur Bearbeitung von Anfragen von Betroffenen und Behörden zu erfragen und ob die bereitgestellte Dokumentation mehrsprachig ist (REP27 bietet Datenschutzerklärungen in 8 Hauptsprachen).

Weitere zu bewertende Aspekte sind das Vorhandensein von verifizierbaren Zertifikaten, die Führung der Art. 30 Register, die Möglichkeit einer kostenlosen Schweiz-Bewertung (inklusive bei REP27) sowie eventuelle Beschränkungen hinsichtlich Mitarbeiterzahl oder Datenvolumen (wie bei Brace Solutions). Fragen Sie stets nach möglichen Zusatzkosten für zusätzliche Leistungen oder Anfragen außerhalb des Basispakets.

• Prüfen Sie die geografische Abdeckung (alle 27 EU-Staaten und EWR?)
• Beachten Sie die Schnelligkeit der Bestellung (REP27: innerhalb 24 Stunden)
• Erfragen Sie Details zur Anfragenverwaltung und unterstützten Sprachen
• Bewerten Sie das Vorhandensein von verifizierbaren Zertifikaten und mehrsprachiger Dokumentation
• Fragen Sie nach inkludierten Zusatzleistungen wie Schweiz-Bewertung

Was der Preis wirklich beinhaltet

Die von den Anbietern veröffentlichten Preise umfassen in der Regel die formelle Bestellung als EU-Vertreter, die Verwaltung von Anfragen von Betroffenen und Behörden sowie die Führung der Verzeichnisse der Verarbeitungstätigkeiten (Art. 30 DSGVO). REP27 bietet beispielsweise eine umfassende Abdeckung aller 27 EU-Staaten und des EWR ohne Zusatzkosten, einen digital unterschriebenen Bestellbrief, ein QR-code-verifizierbares Zertifikat, Datenschutzerklärungen in 8 Sprachen, Bearbeitung von Anfragen innerhalb von 2 Werktagen und eine kostenlose Schweiz-Bewertung (Art. 14 nFADP). Andere Anbieter wie VeriSure Compliance bieten zusätzlich Monitoring, Alerts, Jahresprüfungen und eine dedizierte Adresse.

Brace Solutions beschränkt den Service auf kleine Unternehmen (bis 50 Mitarbeiter und 2.000 Betroffene), während DataShield eine öffentliche Kontaktseite und Anfrageverwaltung bereitstellt. Viele Anbieter spezifizieren nicht genau, was im Preis enthalten oder ausgeschlossen ist, daher ist es essenziell, vor Vertragsabschluss eine detaillierte Leistungsübersicht anzufordern. Einige Leistungen, wie die Vertretung in der Schweiz, sind bei REP27 nicht enthalten, wenn verpflichtend, aber eine kostenlose Bewertung wird angeboten.

Inklusions-/Ausschlusstabelle:

Versteckte Kosten und typische Beschränkungen

Viele Anbieter geben nicht klar an, ob für Anfragen außerhalb des Basispakets, Dokumentationsupdates oder individuelle Leistungen Zusatzkosten anfallen. Beispielsweise beinhaltet REP27 die Bearbeitung von Anfragen von Behörden und Betroffenen innerhalb von 2 Werktagen, jedoch ist die Vertretung in der Schweiz ausgeschlossen, falls verpflichtend (kostenlose Bewertung inklusive). Brace Solutions beschränkt den Service auf Unternehmen mit maximal 50 Mitarbeitern und 2.000 Betroffenen, andere Anbieter nennen keine Limits oder Schwellenwerte.

Zusätzliche Kosten können anfallen für:

• Besonders komplexe Behördenanfragen
• Überarbeitungen oder Updates der Datenschutzerklärung
• Verwaltung hoher Anfragevolumina von Betroffenen
• Vertretungsleistungen in außereuropäischen Ländern (z. B. Schweiz)

Es ist wichtig, vor Vertragsabschluss eine detaillierte Liste der enthaltenen Leistungen und möglichen Zusatzkosten anzufordern. Kostentransparenz ist entscheidend, um Überraschungen zu vermeiden und Compliance ohne Risiko von Sanktionen oder Betriebsunterbrechungen sicherzustellen.

Tabelle zu Limits und Zusatzkosten:

Ablauf der Bestellung: Schritt für Schritt

Das Verfahren zur Bestellung eines EU-Vertreters folgt klaren Schritten, die für Compliance und Minimierung von Sanktionen unerlässlich sind:

1. Pflichtprüfung: Prüfen Sie, ob Ihr Unternehmen Dienstleistungen oder Produkte für EU-Bewohner anbietet oder deren Verhalten überwacht und personenbezogene Daten verarbeitet.
2. Anbieterauswahl: Vergleichen Sie verfügbare Anbieter, Preise, enthaltene Leistungen, Bestellzeiten und geografische Abdeckung.
3. Serviceanfrage: Füllen Sie das Anfrageformular auf der Website des gewählten Anbieters aus und geben Sie die erforderlichen Informationen an (Firmendaten, Verarbeitungstätigkeiten, Kontakte).
4. Formelle Bestellung: Erhalten Sie den Bestellbrief (bei REP27 digital unterschrieben mit QR-Code-Zertifikat), unterschreiben und archivieren Sie ihn.
5. Aktualisierung der Datenschutzerklärung: Fügen Sie die Daten des EU-Vertreters in die Datenschutzerklärung und alle erforderlichen DSGVO-Dokumente (z. B. Art. 13/14 Informationen) ein.
6. Anfragenverwaltung: Der Vertreter empfängt und bearbeitet Anfragen von Betroffenen und Behörden und leitet diese fristgerecht an das Unternehmen weiter.

Praktische Checkliste:

1. Analysieren Sie Ihre EU-Kundschaft und personenbezogene Datenflüsse
2. Prüfen Sie, ob Ihre Tätigkeit der Pflicht unterliegt
3. Vergleichen Sie Anbieter und veröffentlichte Preise
4. Fordern Sie ein detailliertes Angebot an
5. Schließen Sie die Bestellung ab und aktualisieren Sie die Datenschutzdokumente
6. Bewahren Sie Bestellbrief und Zertifikat auf
7. Überprüfen Sie regelmäßig Abdeckung und Compliance

Risiken und Sanktionen bei Nichtbestellung

Die Nichtbestellung eines EU-Vertreters birgt erhebliche rechtliche und operative Risiken. Gemäß Artikel 83 DSGVO können Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Der Fall Locatefamily.com, das allein wegen Nichtbestellung mit 525.000 Euro bestraft wurde, zeigt, dass die europäischen Behörden die Vorschrift auch ohne weitere Verstöße durchsetzen.

Neben Geldstrafen kann die Nichtbestellung zu folgenden Folgen führen:

• Betriebsunterbrechungen: Behörden können die Verarbeitung oder Geschäftstätigkeiten in der EU aussetzen
• Reputationsschäden: Veröffentlichung der Sanktionen kann das Firmenimage schädigen
• Kundenverlust: Viele EU-Unternehmen verlangen den Nachweis der Bestellung vor Vertragsabschluss

Der gesetzliche Vertreter ist direkter Ansprechpartner für alle Anfragen von Betroffenen und Behörden. Ausbleibende oder mangelhafte Reaktionen können die Position des Unternehmens bei Ermittlungen verschlechtern.

Risiko-Tabelle:

Was Anbieter meist nicht sagen

Viele Anbieter verschweigen kritische Aspekte des EU-Vertreter-Services:

• Die Bestellung eines Vertreters entbindet das Unternehmen nicht von seiner Verantwortung nach DSGVO. Der Vertreter ist nur Vermittler, nicht Verantwortlicher oder Auftragsverarbeiter.
• Die Bestellung muss stets aktuell und schriftlich dokumentiert sein. Ein Anbieterwechsel erfordert die Aktualisierung der Datenschutzerklärung und ggf. Benachrichtigung der Behörden.
• Einige Anbieter setzen Limits bei Mitarbeiterzahl, Betroffenen oder Datenvolumen (z. B. Brace Solutions), was wachsende Unternehmen ausschließen kann.
• Zusatzleistungen wie Vertretung in der Schweiz sind bei REP27 nicht enthalten, wenn verpflichtend, aber eine kostenlose Bewertung wird angeboten.
• Antwortzeiten auf Anfragen von Betroffenen und Behörden variieren; REP27 garantiert 2 Werktage, andere Anbieter nicht.
• Verifizierbare Zertifikate und mehrsprachige Datenschutzerklärungen sind nicht bei allen Anbietern Standard.
• Die Anbieter haften nicht für die Nicht-Compliance des Kundenunternehmens: Die letzte Verantwortung liegt immer beim Unternehmen.

3 praktische Szenarien: Pflicht und Lösung

• US-SaaS mit EU-Kunden: Ein US-amerikanisches SaaS-Unternehmen, das EU-Kunden bedient, muss gemäß Art. 27 DSGVO und Data Act einen EU-Vertreter benennen. Die einfachste Lösung ist ein Anbieter wie REP27, der EWR-Abdeckung, schnelle Bestellung und mehrsprachige Dokumentation bietet.
• Chinesischer Verkäufer auf Amazon EU: Ein chinesischer Verkäufer, der Produkte über Amazon an EU-Kunden verkauft, muss einen EU-Vertreter benennen, wenn personenbezogene Daten verarbeitet werden (z. B. Versand, Kundenservice). Er sollte einen erfahrenen Anbieter mit transparenten Preisen wählen; die Vertretungspflicht gilt auch bei Marktplatzverkäufen.
• UK B2B-Onlineshop: Ein britischer Onlineshop, der ausschließlich an EU-Unternehmen verkauft und keine personenbezogenen Daten von natürlichen Personen verarbeitet, ist nicht verpflichtet, einen Vertreter zu benennen. Werden jedoch personenbezogene Kontaktdaten (z. B. Firmenkontaktpersonen) verarbeitet, besteht die Pflicht und ein EU-Vertreter muss bestellt werden.

Entscheidungsmatrix: