UK-GDPR-Vertreterdienste: Anbieter, Preise & Leistungen (2026)

• Artikel 27 UK-GDPR verlangt von Nicht-UK-Unternehmen, die sich an Personen im Vereinigten Königreich richten, die Benennung eines Vertreters.
• REP27 — Europe Services, SE bietet kombinierte EU- & UK-Vertretung ab 390 €/Jahr an.
• Wettbewerber sind DataRep, VeraSafe, Gabsor und GDPR Gateway Limited.
• Leistungen umfassen meist Benennungsschreiben, Weiterleitung von Anfragen und Formulierungen für Datenschutzhinweise.
• Ausnahmen gelten für gelegentliche, risikoarme Verarbeitung und öffentliche Stellen.
• Bußgelder bei Nichtbefolgung können bis zu 17 Mio. £ oder 4 % des weltweiten Umsatzes betragen.

Aktualisiert 18 Oktober 2026 · 6 Quellen geprüft

Anbieter im Vergleich

Preise wie am 18 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: Artikel 27 UK-GDPR

Artikel 27 des UK-GDPR verlangt von jedem Verantwortlichen oder Auftragsverarbeiter, der nicht im Vereinigten Königreich niedergelassen ist, aber Waren oder Dienstleistungen für Personen im UK anbietet oder deren Verhalten überwacht, die schriftliche Benennung eines UK-GDPR-Vertreters. Dies ist eine gesetzliche Pflicht, unabhängig von Größe oder Branche des Unternehmens. Der Vertreter fungiert als lokaler Ansprechpartner für betroffene Personen und die Information Commissioner's Office (ICO). Die Anforderung ist getrennt vom EU-GDPR, ein UK-Vertreter deckt keine EU-Pflichten ab und umgekehrt. Das Gesetz ist klar: Wenn Sie nicht im UK niedergelassen sind, aber UK-Personen ansprechen oder überwachen, müssen Sie einen Vertreter mit Sitz im UK benennen.

• Wer benennen muss: Nicht-UK-Unternehmen (Verantwortliche oder Auftragsverarbeiter), die UK-Personen ansprechen oder überwachen.
• Ausnahmen: Öffentliche Stellen, gelegentliche, risikoarme Verarbeitung ohne großflächige besondere Kategorien oder Strafdaten. Persönliche oder private Tätigkeiten sind ebenfalls ausgenommen.
• Was zu tun ist: Die Benennung muss schriftlich erfolgen und die Kontaktdaten des Vertreters müssen im Datenschutzhinweis veröffentlicht und UK-Betroffenen sowie der ICO leicht zugänglich gemacht werden.

Das Versäumnis, einen Vertreter zu benennen, stellt einen eigenständigen Verstoß nach Artikel 83(4)(a) dar, mit Bußgeldern bis zu 17 Mio. £ oder 4 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist (offizielle Anleitung).

Für Unternehmen, die sowohl im UK als auch in der EU tätig sind, sind zwei getrennte Vertreter erforderlich, da die Regime nach dem Brexit vollständig getrennt sind. Kombinierte Dienste bieten einige Anbieter an, aber jede Benennung muss von einer im jeweiligen Gebiet ansässigen Einheit ausgestellt werden.

Wie man einen UK-GDPR-Vertreter auswählt

Die Wahl eines UK-GDPR-Vertreters ist eine rechtliche und praktische Entscheidung. Der Vertreter muss im UK niedergelassen sein und als lokaler Ansprechpartner für die ICO und betroffene Personen fungieren. Wichtige Überlegungen sind:

• Standort: Der Anbieter muss eine echte Niederlassung im UK haben. Einige, wie REP27 — Europe Services, SE, arbeiten über eine im UK registrierte Gesellschaft (REP27 LTD) dafür.
• Umfang: Wenn Sie auch einen EU-Vertreter benötigen, suchen Sie Anbieter, die beides in einer Bestellung anbieten, um doppelte Onboarding-Prozesse und inkonsistente Datenschutzhinweise zu vermeiden. REP27 und GDPR Gateway Limited bieten kombinierte Pakete an.
• Preisgestaltung: Die veröffentlichten Preise reichen von 120 £/Jahr (DataRep, kleines Unternehmen) bis über 4.800 £/Jahr (DataRep Titanium). REP27 bietet ein kombiniertes EU+UK-Paket ab 390 €/Jahr, was günstiger ist als der Einzelkauf bei den meisten Anbietern. Prüfen Sie immer, ob der Preis für ein Gebiet oder beide gilt.
• Leistungsumfang: Alle Anbieter bieten formelle Benennung und Weiterleitung von Anfragen. Einige, wie REP27, beinhalten Formulierungen für Datenschutzhinweise in mehreren Sprachen, verifizierbare Zertifikate und Aufzeichnungsmanagement. Andere begrenzen Support oder verlangen Aufpreise bei hohem Anfragevolumen oder Zusatzleistungen.
• Support: Berücksichtigen Sie Sprachabdeckung, Reaktionszeiten und ob der Anbieter Plattformintegration bietet (z. B. Gabsor mit Modulen für Compliance-Management).

Enthalten / Nicht enthalten / Zusatzgebühren Tabelle

Prüfen Sie Erneuerungspreise, Onboarding-Gebühren und ob der Anbieter ein verifizierbares Zertifikat oder ein öffentliches Register anbietet. Diese Details können Compliance und Beschaffungsakzeptanz beeinflussen.

Was der Preis wirklich beinhaltet

Der veröffentlichte Preis für einen UK-GDPR-Vertreter kann verschiedene Leistungen abdecken, Umfang und Tiefe variieren jedoch zwischen den Anbietern. Alle gelisteten Anbieter erfüllen das gesetzliche Minimum: eine schriftliche Benennung als UK-GDPR-Vertreter und eine Möglichkeit, Anfragen von Betroffenen oder der ICO weiterzuleiten. Die Details sind jedoch entscheidend:

• Benennung und Zertifikat: REP27 stellt ein unterschriebenes Benennungsschreiben, ein verifizierbares Zertifikat mit QR-Code und Formulierungen für Datenschutzhinweise in 8 Sprachen aus. GDPR Gateway Limited liefert ein Bestätigungsschreiben und Text für Datenschutzhinweise. DataRep und VeraSafe bieten Benennung und Bestätigung, Details zum Zertifikat sind nicht spezifiziert.
• Anfragebearbeitung: REP27 leitet Anfragen innerhalb von 2 Werktagen weiter, beantwortet sie aber nicht inhaltlich. DataRep und VeraSafe leiten ebenfalls Korrespondenz weiter; Gabsor und GDPR Gateway Limited sind ebenfalls dabei, Reaktionszeiten oder Prozesse können variieren.
• Aufzeichnungsmanagement: REP27 führt Artikel-30-Aufzeichnungen und stellt diese Behörden auf Anfrage bereit. Andere Anbieter bieten das eventuell nicht an; prüfen Sie, ob Sie diesen Service für Ihre Compliance benötigen.
• Formulierungen für Datenschutzhinweise: REP27 und GDPR Gateway Limited liefern fertige Texte für Datenschutzhinweise. Das ist für die Einhaltung essenziell und spart juristische Zeit.
• Sprachen und Support: REP27 bietet Anfragebearbeitung in 8 Sprachen. Gabsor hat Support-Optionen, die je nach Plan variieren; andere spezifizieren keine Sprachabdeckung.

Bestätigen Sie immer, ob der veröffentlichte Preis Ihre Anzahl betroffener Personen abdeckt, ob es Limits bei Anfragen gibt und ob Erneuerungspreise niedriger, höher oder gleich dem ersten Jahr sind. Beispielsweise bietet REP27 ab dem zweiten Jahr ermäßigte Erneuerungspreise, während DataRep und VeraSafe die Gebühren mit Unternehmensgröße und Betroffenenreichweite skalieren.

Versteckte Kosten und Ausschlüsse

Während die gesetzliche Rolle eines UK-GDPR-Vertreters klar definiert ist, können kommerzielle Angebote versteckte Kosten oder Ausschlüsse enthalten, die auf der Hauptseite des Anbieters nicht immer offensichtlich sind. Darauf sollten Sie achten:

• Volumenbasierte Preisgestaltung: DataRep und VeraSafe erhöhen Gebühren für Unternehmen mit vielen betroffenen Personen oder hohem globalen Umsatz. DataRep nennt separate Preise für über 1 Million Betroffene, VeraSafe skaliert Gebühren für Unternehmen mit über 25 Mio. $ Umsatz.
• Kombinierte EU/UK-Vertretung: Einige Anbieter berechnen getrennt für EU- und UK-Benennungen. REP27 und GDPR Gateway Limited bieten vergünstigte Kombipakete, die Zeit und Geld sparen können. Gabsor inkludiert beides im Essential-Plan, Support und Funktionen variieren jedoch je nach Plan.
• Support und Plattformzugang: Gabsor’s Support-Level und Plattformmodule hängen vom gewählten Plan ab. Wenn Sie Integration oder erweiterte Compliance-Tools benötigen, prüfen Sie den passenden Plan.
• Rechtsberatung und DSB-Dienste: REP27 bietet ausdrücklich keine Rechtsberatung, Datenschutzbeauftragten-Dienste oder Compliance-Bewertungen an. Die meisten anderen Anbieter ebenfalls nicht, sofern nicht explizit angegeben. Benötigen Sie solche Leistungen, müssen Sie separat beauftragen.
• Erneuerungs- und Onboarding-Gebühren: REP27 bietet niedrigere Erneuerungspreise nach dem ersten Jahr. Andere Anbieter können Onboarding-Gebühren oder höhere Erneuerungspreise haben – prüfen Sie das vor Vertragsabschluss.
• Kündigungsfristen und pro-Anfrage-Gebühren: Diese sind selten veröffentlicht. Erwarten Sie viele Anfragen von Betroffenen oder Regulierungsbehörden, klären Sie, ob Zusatzgebühren anfallen.

Zusammenfassend: Fordern Sie vor der Beauftragung eine vollständige Aufschlüsselung von enthaltenen Leistungen, Ausschlüssen und möglichen Zusatzkosten an.

Wie die Benennung funktioniert: Schritt für Schritt

Die Benennung eines UK-GDPR-Vertreters ist ein Prozess, der schnell abgeschlossen werden kann, wenn Sie die richtigen Informationen und Dokumente bereit haben. Hier eine praktische Schritt-für-Schritt-Anleitung:

1. Bedarf prüfen: Nutzen Sie die untenstehende Entscheidungsmatrix, um festzustellen, ob Ihr Unternehmen einen Vertreter benennen muss. Wichtige Faktoren: Sind Sie im UK niedergelassen? Richten Sie sich an oder überwachen Sie UK-Personen? Ist Ihre Verarbeitung ausgenommen?
2. Anbieter vergleichen: Prüfen Sie veröffentlichte Preise, enthaltene Leistungen und ob Sie auch EU-Vertretung benötigen. Berücksichtigen Sie Onboarding-Zeit, Sprachunterstützung und Erneuerungsprozess.
3. Dokumente vorbereiten: Sammeln Sie Unternehmensdaten, Beschreibung der Verarbeitungstätigkeiten und Datenschutzhinweis. Manche Anbieter verlangen mehr Details.
4. Onboarding abschließen: Füllen Sie das Formular des Anbieters aus. REP27 deckt z. B. EU und UK in einem Formular ab, wenn beides benötigt wird. Andere verlangen separate Formulare für jedes Gebiet.
5. Benennung erhalten: Der Anbieter stellt ein unterschriebenes Benennungsschreiben und Zertifikat aus. REP27 liefert beides innerhalb von 24 Stunden; prüfen Sie die Fristen bei anderen.
6. Datenschutzhinweis aktualisieren: Fügen Sie die gelieferten Formulierungen und Kontaktdaten des Vertreters in Ihre Datenschutzerklärung ein. Das ist für die Einhaltung erforderlich und muss leicht zugänglich sein.
7. Veröffentlichen und verifizieren: Stellen Sie sicher, dass Zertifikat oder Verifikationsbadge auf Ihrer Website sichtbar sind, falls bereitgestellt. Das unterstützt Beschaffung und Kundenvertrauen.
8. Jährlich erneuern: Behalten Sie das Erneuerungsdatum im Blick, um Lücken zu vermeiden. Kombinierte Anbieter wie REP27 synchronisieren Erneuerungen für EU und UK.

Einkaufs-Checkliste:

1. Bestätigen Sie, dass Sie nicht im UK niedergelassen sind
2. Prüfen Sie, ob Sie UK-Personen ansprechen oder überwachen
3. Vergewissern Sie sich, dass Ihre Verarbeitung nicht ausgenommen ist
4. Anbieter vergleichen und auswählen
5. Onboarding abschließen und Dokumente erhalten
6. Datenschutzhinweis und Website aktualisieren
7. Erneuerungsdatum und regulatorische Änderungen überwachen

Risiken und Bußgelder bei Nichtbefolgung

Die Risiken, keinen UK-GDPR-Vertreter zu benennen, sind erheblich. Nach Artikel 83(4)(a) UK-GDPR ist die Nichtbenennung ein eigenständiger Verstoß. Die ICO kann Bußgelder bis zu 17 Mio. £ oder 4 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Diese Bußgelder sind keine Theorie: Die niederländische Datenschutzbehörde (DPA) verhängte gegen Locatefamily.com 525.000 EUR Strafe wegen fehlender EU-Vertretung, und die UK-ICO hat ähnliche Durchsetzungsbefugnisse.

• Direkte Durchsetzung: Die Benennung eines Vertreters schützt Ihr Unternehmen nicht vor direkter Durchsetzung. Die ICO kann weiterhin direkt gegen Sie vorgehen, unabhängig von den Handlungen Ihres Vertreters.
• Regulatorische Maßnahmen: Die ICO kann Sie zur Benennung eines Vertreters verpflichten, Ihre Verarbeitung einschränken oder öffentliche Rügen aussprechen. Die Nichteinhaltung kann auch Ihren Ruf und Ihre Geschäftstätigkeit im UK beeinträchtigen.
• Beschaffung und Kundenvertrauen: Viele Kunden und Partner verlangen heute einen Nachweis über UK-GDPR-Vertretung als Teil ihrer Due Diligence. Das Fehlen eines verifizierbaren Zertifikats oder Eintrags im öffentlichen Register kann Verträge verzögern oder Geschäftschancen kosten.

Zusammenfassend ist die Benennung eines UK-GDPR-Vertreters nicht nur eine rechtliche Pflicht, sondern auch eine praktische Notwendigkeit für den Geschäftsbetrieb und das Vertrauen im UK-Markt.

Entscheidungsmatrix: Brauchen Sie einen UK-GDPR-Vertreter?

Nutzen Sie diese Matrix, um Ihre Verpflichtung anhand Ihres Geschäftsmodells und Ihrer Aktivitäten zu bestimmen:

Prüfen Sie immer, ob Ihre Verarbeitung wirklich ausgenommen ist (gelegentlich, risikoarm, keine großflächigen besonderen Kategorien oder Strafdaten), bevor Sie auf die Benennung eines Vertreters verzichten.

Was Anbieter meist nicht sagen

Es gibt wichtige Ausschlüsse und Hinweise, die die meisten Anbieter auf ihren Marketingseiten nicht hervorheben:

• Rechtsberatung und DSB-Dienste: Die gesetzliche Rolle eines Vertreters umfasst keine Rechtsberatung, Datenschutzbeauftragten-Dienste oder Compliance-Audits. REP27 weist explizit darauf hin; die meisten anderen erwähnen es gar nicht.
• Haftungsbeschränkungen: Die Rolle des Vertreters ist die Weiterleitung von Anfragen, nicht deren inhaltliche Beantwortung oder Übernahme von Haftung für Compliance-Mängel. Dies ist eine rechtliche Grenze nach Artikel 27(5).
• Kündigungsfristen und Vertragslaufzeiten: Anbieter veröffentlichen selten ihre Kündigungsfristen oder Bedingungen für einen Wechsel. Klären Sie dies vor Vertragsabschluss.
• Gebühren pro Anfrage: Während die meisten Anbieter die Basisweiterleitung von Anfragen abdecken, können hohe Volumina oder komplexe Anfragen Zusatzkosten verursachen, besonders bei größeren Unternehmen (DataRep, VeraSafe).
• Preiserhöhungen bei Erneuerung: Einige Anbieter erhöhen Preise nach dem ersten Jahr oder bei höherer Anzahl betroffener Personen. REP27 bietet ermäßigte Erneuerungspreise; andere vielleicht nicht.
• Kombinierte Vertretung: Nicht alle Anbieter können EU- und UK-Benennungen in einer Bestellung ausstellen. Wenn Sie beides benötigen, bestätigen Sie dies zu Beginn, um inkonsistente Dokumente oder Datenschutzhinweisfehler zu vermeiden.

Fordern Sie vor Vertragsabschluss den vollständigen Vertrag mit Ausschlüssen und Haftungsklauseln an.

Realistische Szenarien: Welche Verpflichtung gilt?

Hier drei praktische Beispiele zur Verdeutlichung, wann ein UK-GDPR-Vertreter erforderlich ist und wie man einen benennt:

• US-SaaS-Unternehmen mit UK-Kunden: Ein US-basierter SaaS-Anbieter mit UK-Kunden und Analyse-Tracking muss einen UK-GDPR-Vertreter benennen. Der einfachste konforme Weg ist REP27s kombinierter EU+UK-Service (390 €/Jahr), der zwei Benennungen und Datenschutzhinweisformulierungen in einem Onboarding bietet.
• Chinesischer Amazon-Verkäufer: Ein chinesisches Unternehmen, das auf Amazon.co.uk verkauft und an UK-Adressen versendet, muss einen UK-GDPR-Vertreter benennen. DataRep bietet Einstiegspreise ab 120 £/Jahr, die Gebühr steigt mit der Anzahl der Betroffenen. REP27 und GDPR Gateway Limited bieten ebenfalls kombinierte Dienste, falls der Verkäufer EU und UK anvisiert.
• UK-Online-Shop, der nur an UK verkauft: Ein britisches Unternehmen mit physischem Büro oder Personal im UK ist bereits niedergelassen und benötigt keinen UK-GDPR-Vertreter. Verkauft es jedoch an EU-Kunden, kann ein EU-GDPR-Vertreter erforderlich sein.

In jedem Szenario sind Niederlassung, Zielgruppe/Überwachung und Art der betroffenen Personen entscheidend. Nutzen Sie die Entscheidungsmatrix und Checkliste oben, um unnötige Kosten oder Compliance-Lücken zu vermeiden.