Welche Unternehmen brauchen einen EU-Vertreter für die DSGVO?

• Artikel 27 DSGVO verpflichtet Nicht-EU-Unternehmen mit Aktivitäten in der EU zur Benennung eines Vertreters.
• Die Pflicht gilt für Verantwortliche und Auftragsverarbeiter außerhalb der EU gemäß Art. 3(2).
• Ausgenommen sind öffentliche Behörden und gelegentliche, risikoarme Verarbeitungen.
• Bußgelder bei Nichtbeachtung: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
• Der Vertreter muss in der EU ansässig sein und die schriftliche Mandatsannahme bestätigen.
• Preis- und Servicevergleiche sind entscheidend: Es gibt Unterschiede und versteckte Kosten.

Aktualisiert 21 Oktober 2026 · 8 Quellen geprüft

Anbieter im Vergleich

Preise wie am 21 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was verlangt das Gesetz? (Artikel 3 und 27 DSGVO)

Die Datenschutz-Grundverordnung (DSGVO) schreibt in Artikel 27 vor, dass jedes Unternehmen oder jede Einrichtung außerhalb der Europäischen Union (EU), die gemäß Artikel 3(2) Waren oder Dienstleistungen für Personen in der EU anbietet oder deren Verhalten überwacht, schriftlich einen Vertreter in der EU benennen muss. Dieser Vertreter fungiert als Ansprechpartner für Betroffene und Datenschutzbehörden und muss in einem Mitgliedstaat ansässig sein, in dem betroffene Personen leben.

• Die Pflicht gilt für Verantwortliche und Auftragsverarbeiter außerhalb der EU.
• Die Benennung muss schriftlich erfolgen, von beiden Parteien unterzeichnet sein und Umfang, Pflichten sowie Dauer des Mandats festlegen.
• Der Vertreter muss ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) führen und mit Behörden kooperieren.
• Ausnahmen: Keine Vertreterpflicht für öffentliche Behörden oder gelegentliche, risikoarme Verarbeitungen ohne besondere Kategorien personenbezogener Daten oder Strafdaten.

Das Fehlen eines Vertreters stellt eine eigenständige Ordnungswidrigkeit nach Artikel 83(4)(a) dar und kann mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Ein reales Beispiel ist die Geldbuße von 525.000 Euro gegen Locatefamily.com durch die niederländische Behörde wegen fehlender Vertretung.

Der Vertreter übernimmt keine rechtliche Verantwortung für die Datenverarbeitung: Diese verbleibt beim ursprünglichen Verantwortlichen oder Auftragsverarbeiter. Seine Rolle ist administrativ und als Kontaktstelle, nicht als Rechtsberater.

Wie wählt man einen EU-Vertreter aus: Schlüssel-Kriterien und Vergleich

Die Wahl eines geeigneten EU-Vertreters ist entscheidend, um die DSGVO einzuhalten und Bußgelder zu vermeiden. Nicht alle Dienste sind gleichwertig: Manche bieten nur eine Postadresse, andere übernehmen formal das Mandat und verwalten Anfragen und Verzeichnisse. Prüfen Sie vor der Entscheidung folgende Punkte:

• Formale Benennung: Akzeptiert der Anbieter das Mandat gemäß Art. 27 ausdrücklich und unterschreibt es?
• Verzeichnisführung: Führt und stellt er das Verzeichnis der Verarbeitungstätigkeiten (Art. 30) auf Anfrage einer Behörde bereit?
• Sprachenservice: Deckt der Support die notwendigen Sprachen für Ihre Kunden und Behörden ab?
• Zusatzkosten: Fallen Gebühren für einzelne Anfragen, zusätzliche Sprachen oder Verlängerungen an?
• Zertifikate und Nachweise: Bietet der Anbieter ein verifizierbares Zertifikat und öffentliche Prüfmechanismen?

Vergleich der Dienste (Stand Oktober 2026):

Fordern Sie vor Zahlung immer das Benennungsschreiben an und prüfen Sie, ob alle DSGVO-Aufgaben abgedeckt sind.

Was ist tatsächlich im Preis enthalten? Tarife, Stufen und versteckte Kosten

Die veröffentlichten Preise der EU-Vertreter können stark variieren und spiegeln nicht immer die Gesamtkosten wider. Es ist wichtig, genau zu prüfen, was jede Gebühr beinhaltet und welche Zusatzkosten entstehen können.

• Grundgebühren: Reichen von unter €300/Jahr bis über €2.000/Jahr, je nachdem, ob nur eine Adresse, eine formale Benennung oder zusätzliche Rechtsdienstleistungen angeboten werden.
• Kosten pro Anfrage: Einige Anbieter verlangen zwischen €25 und €90 pro verwalteter Betroffenenanfrage. Bei vielen Anfragen kann das die Gesamtkosten stark erhöhen.
• Verzeichnisführung: Das Führen und Bereitstellen des Verzeichnisses (Art. 30) kostet bei vielen Anbietern zusätzlich zwischen €100 und €400/Jahr. REP27 ist ab dem Standard-Plan inklusive.
• Sprachen und Support: Mehrsprachiger Support ist in Basisplänen selten; REP27 deckt 8 Sprachen im Standard- und Multi-Plan ab.
• Verlängerungen: Einige Anbieter erhöhen den Preis nach dem ersten Jahr. REP27 senkt die Verlängerungskosten ab dem zweiten Jahr.

Praxisbeispiel: Ein Unternehmen mit 20 Anfragen pro Jahr und einem Plan mit Kosten pro Anfrage zahlt mehr als das Doppelte des Grundpreises. Fordern Sie immer den Vertrag an und kalkulieren Sie die jährlichen Gesamtkosten vor der Entscheidung.

Service-Level im Überblick:

• Postadresse: Nur Weiterleitung, keine formale Mandatsannahme oder Verzeichnisführung.
• Formale Benennung: Unterzeichnetes Mandat, Verwaltung von Anfragen und Verzeichnissen, Antwortverpflichtung.
• Rechtsbeistand: Umfasst Rechtsberatung, meist für die meisten Unternehmen nicht erforderlich.

Wie funktioniert die Benennung Schritt für Schritt: Praktische Anleitung

Der Prozess der Benennung eines EU-Vertreters gemäß DSGVO muss sorgfältig und dokumentiert erfolgen. Hier eine Schritt-für-Schritt-Anleitung:

1. Pflicht prüfen: Stellen Sie fest, ob Ihr Unternehmen außerhalb der EU ist und Waren/Dienstleistungen anbietet oder Personen in der EU überwacht.
2. Anbieter wählen: Wählen Sie einen Anbieter, der das Mandat Art. 27 ausdrücklich akzeptiert und in der EU ansässig ist.
3. Benennungsschreiben anfordern: Fordern Sie den Entwurf an und prüfen Sie, ob formale Annahme, Umfang, Verzeichnisführung und Antwortfristen enthalten sind.
4. Unterschreiben: Unterzeichnen Sie die Benennung; der Anbieter muss gegenzeichnen (bei REP27 innerhalb von 24 Stunden).
5. Zertifikat erhalten: Der Anbieter stellt ein verifizierbares Zertifikat mit QR-Code und öffentlicher Webseite aus.
6. Datenschutzerklärung aktualisieren: Fügen Sie Name, Adresse und E-Mail des Vertreters gemäß Art. 13/14 DSGVO hinzu.
7. Betrieb: Der Vertreter empfängt, dokumentiert und leitet Anfragen von Betroffenen und Behörden fristgerecht weiter. Bei REP27 werden Anfragen innerhalb von 2 Werktagen weitergeleitet (oder am selben Tag bei Behörden im Standard/Multi-Plan).
8. Verzeichnisführung: Falls im Plan enthalten, führt der Vertreter das Art. 30 Verzeichnis und stellt es Behörden auf Anfrage bereit.

Checkliste für Käufer:

1. Bietet Ihr Unternehmen Waren/Dienstleistungen an oder überwacht Personen in der EU?
2. Ist Ihr Unternehmen außerhalb der EU?
3. Ist die Verarbeitung mehr als gelegentlich und nicht ausgenommen?
4. Fordern Sie das Benennungsschreiben an und prüfen Sie die Art. 27 Aufgaben.
5. Fragen Sie nach Zusatzkosten: Anfragen, Sprachen, Verlängerung.
6. Prüfen Sie, ob das Verzeichnis Art. 30 geführt und Behörden übergeben wird.
7. Bestätigen Sie den Support in benötigten Sprachen.
8. Überprüfen Sie die Antwortfristen gegenüber Behörden.
9. Unterzeichnen Sie und veröffentlichen Sie die Vertreternamen in der Datenschutzerklärung.

Risiken, Sanktionen und Folgen bei Nichtbeachtung

Die Nichtbenennung eines EU-Vertreters, wenn vorgeschrieben, gilt als eigenständiger Verstoß gegen die DSGVO und kann mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83(4)(a)). Behörden können auch ohne vorherige Beschwerde Ermittlungen einleiten. Fehlende Reaktion oder ungültige Benennung verschärfen die Folgen.

• Reales Beispiel: Locatefamily.com wurde von der niederländischen Behörde mit 525.000 Euro Strafe belegt, weil kein Vertreter benannt war.
• Ungültiges Mandat: Nur eine Postadresse zu benennen oder einen Anbieter ohne formale Mandatsannahme zu wählen, ist schlimmer als keine Benennung, da ein Dritter benannt wird, der nicht mit Behörden kooperiert.
• Verantwortung: Der Vertreter übernimmt keine rechtliche Verantwortung, muss aber mit Behörden kooperieren und die Kommunikation mit dem Verantwortlichen außerhalb der EU erleichtern.

Empfehlungen zur Risikovermeidung:

• Stellen Sie sicher, dass das Mandat unterschrieben ist und die Art. 27 Aufgaben ausdrücklich enthält.
• Bestätigen Sie, dass der Vertreter das Verzeichnis Art. 30 führt und auf Anfrage vorlegt.
• Verlassen Sie sich nicht nur auf niedrige Preise: Prüfen Sie den tatsächlichen Leistungsumfang und Antwortzeiten.

Verstöße können den Ruf schädigen, die Geschäftstätigkeit in der EU einschränken und hohe Geldstrafen nach sich ziehen.

Entscheidungsmatrix: Brauchen Sie einen EU-Vertreter?

Die folgende Matrix hilft Ihnen zu bestimmen, ob Ihr Unternehmen gemäß DSGVO einen EU-Vertreter benötigt. Analysieren Sie Ihre Situation und prüfen Sie, ob die Pflicht besteht:

Konkrete Beispiele:

• Ein US-SaaS mit EU-Nutzerregistrierung: Ja, Vertreter erforderlich.
• Ein chinesischer Hersteller, der über Amazon an EU-Kunden verkauft: Ja, Vertreter erforderlich.
• Eine kanadische NGO, die nur Daten von Spendern außerhalb der EU verarbeitet: Nein, kein Vertreter nötig.

Was Anbieter oft verschweigen: Ausschlüsse, Verlängerungen und Grenzen

Viele Anbieter lassen wichtige Details aus, die Compliance und tatsächliche Kosten beeinflussen können. Lesen Sie das Kleingedruckte und fragen Sie vor Vertragsabschluss:

• Nur Postadresse: Manche bieten nur eine Adresse in der EU ohne formale Mandatsannahme oder Verpflichtung zur Bearbeitung von Anfragen und Verzeichnissen.
• Verzeichnisführung: Die meisten Anbieter schließen die Führung und Übergabe des Art. 30 Verzeichnisses im Basistarif aus; das kann jährlich hohe Zusatzkosten verursachen.
• Begrenzter Support: Support ist oft nur auf Englisch, obwohl EU-Abdeckung beworben wird. REP27 bietet 8 Sprachen im Standard- und Multi-Plan.
• Kosten pro Anfrage: Gebühren pro Betroffenenanfrage können den Jahrespreis übersteigen, wenn viele Anfragen eingehen.
• Automatische Verlängerungen: Einige Verträge verlängern sich automatisch mit Preiserhöhungen nach dem ersten Jahr. REP27 senkt die Verlängerungskosten.
• Haftungsbeschränkungen: Der Vertreter übernimmt keine rechtliche Haftung oder Rechtsberatung, außer bei gesondertem Rechtsplan.
• Ausgeschlossene Aktivitäten: REP27 akzeptiert keine Kunden mit besonderen Datenkategorien, Strafdaten, Hochrisiko-Aktivitäten, Minderjährigen unter 16, Scraping, Erwachsenen-Inhalten, Waffen, Kryptowährungen oder erlaubnispflichtigen Tätigkeiten.

Fordern Sie immer den Vertrag an und prüfen Sie alle Punkte vor der Verpflichtung.

Praktische Szenarien: Beispiele für Pflichten und Compliance-Weg

Zur Veranschaulichung, wie die Vertreterpflicht angewendet wird, hier drei reale Szenarien und der einfachste Weg zur Einhaltung:

• US-SaaS mit Verkauf an EU-Unternehmen und Verbraucher: Muss EU-Vertreter benennen. REP27 Standard-Plan deckt unbegrenzte Anfragen, 8 Sprachen Support und Verzeichnisführung ab. Fügen Sie die Vertreternamen in die Datenschutzerklärung ein und beantworten Sie Anfragen über das Dashboard.
• Chinesischer Amazon-Verkäufer mit Versand in die EU: Vertreternpflicht gemäß DSGVO Art. 27. Bei CE- oder GPSR-pflichtigen Produkten deckt REP27 Multi auch GPSR-Verantwortlichen und autorisierten CE-Vertreter ab. Fügen Sie die Daten in Produktlisten und Dokumentation ein.
• UK-Online-Shop, der weiterhin in die EU verkauft: Nach Brexit ist ein EU-Vertreter und oft auch ein UK-Vertreter erforderlich. EUverify bietet beides in einem Plan; REP27 separat mit Rabatt bei Kombi. Fügen Sie beide Daten in die Datenschutzerklärung ein und reagieren Sie auf Anfragen je nach Rechtsgebiet.

In allen Fällen muss die Benennung formell, unterschrieben und in der Unternehmensdokumentation sichtbar sein.