Welche Unternehmen müssen einen GDPR-Vertreter in der EU benennen?

• Pflicht für Unternehmen außerhalb der EU, die personenbezogene Daten von Personen in der EU verarbeiten (Art. 3(2), 27 GDPR)
• Ausnahmen: öffentliche Behörden, gelegentliche Verarbeitung/nicht in großem Umfang/ohne hohes Risiko (Art. 27(2))
• Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes (Art. 83(4)(a))
• Der Vertreter ist Ansprechpartner für Behörden und Betroffene (Art. 4(17))
• Jährliche Preise veröffentlicht: von 290 € bis über 1.000 € (Oktober 2026)
• Leistungen und Kosten variieren: Achtung bei Zusatzanfragen, Sprachen und Verlängerungen

Aktualisiert 18 Oktober 2026 · 6 Quellen geprüft

Anbieter im Vergleich

Preise wie am 18 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: Schlüsselfragen des GDPR

Die Pflicht zur Benennung eines Vertreters in der EU ergibt sich aus Artikel 27 der Datenschutz-Grundverordnung (GDPR). Sie gilt für jeden Verantwortlichen oder Auftragsverarbeiter, der nicht in der Europäischen Union niedergelassen ist, aber Waren oder Dienstleistungen für Personen in der EU anbietet oder deren Verhalten überwacht (Art. 3(2) GDPR). Diese Pflicht betrifft sowohl B2C- als auch B2B-Unternehmen, sofern sie personenbezogene Daten von Personen in der EU verarbeiten. Der Vertreter, definiert in Art. 4(17) GDPR, ist eine natürliche oder juristische Person mit Sitz in der EU, die als Ansprechpartner für Aufsichtsbehörden und Betroffene fungiert.

Es gibt spezifische Ausnahmen (Art. 27(2) GDPR): öffentliche Behörden, gelegentliche Verarbeitung, keine großflächige Verarbeitung und keine hohen Risiken für die Rechte und Freiheiten der Betroffenen. Wenn auch nur eine dieser Bedingungen nicht erfüllt ist, gilt die Benennungspflicht.

Die Strafen für Nichtbenennung sind streng: Art. 83(4)(a) GDPR sieht Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor. Ein konkretes Beispiel: Locatefamily.com wurde mit 525.000 € Strafe belegt, weil kein Vertreter benannt wurde.

Der Vertreter muss schriftlich mit einem Mandat benannt werden und die Rolle ausdrücklich akzeptieren. Die bloße Veröffentlichung einer Adresse reicht nicht aus. Zudem muss der Vertreter auf Anfrage der Behörden das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 GDPR) vorlegen können.

Zusammengefasst: Die Benennung eines EU-Vertreters ist für die meisten Unternehmen außerhalb der EU verpflichtend, die direkt oder indirekt mit personenbezogenen Daten von EU-Bewohnern arbeiten, mit wenigen Ausnahmen.

Wie wählt man den EU-Vertreter aus: praktische Kriterien und Dienstleistungsvergleich

Die Wahl eines GDPR-Vertreters in der EU ist nicht nur eine Preisfrage: Es ist entscheidend zu verstehen, welche Leistungen tatsächlich enthalten sind. Anbieter lassen sich in drei Kategorien einteilen:

• Tier 1 – Nur Adresse: Bietet nur eine Postadresse in der EU, die Post weiterleitet. Übernimmt nicht formal die Aufgaben des Art. 27, führt keine Verzeichnisse, garantiert keine Antwortzeiten. Die günstigste, aber risikoreiche Lösung.
• Tier 2 – Vollständige Benennung: Stellt ein schriftliches Mandat, Anfrage-Desk, Verwaltung des Art. 30-Verzeichnisses, garantierte Antwortzeiten gegenüber Behörden. Entspricht den Anforderungen der GDPR.
• Tier 3 – Anwaltskanzlei: Bietet neben der Vertretung auch rechtliche Beratung und Zusatzleistungen, aber zu deutlich höheren Kosten, oft nicht nötig für die meisten Unternehmen.

Vergleichstabelle der enthaltenen Leistungen:

Praktischer Tipp: Fordern Sie immer das Mandatsformular vor dem Kauf an, prüfen Sie, wer das Art. 30-Verzeichnis führt und welche Sprachen unterstützt werden. Ein günstiger Dienst, der die Aufgaben des Art. 27 nicht formal übernimmt, birgt hohe Risiken.

Was der Preis wirklich beinhaltet und wie man versteckte Kosten erkennt

Die Preise für GDPR-Vertreter in der EU variieren stark, von unter 300 € bis über 2.000 € jährlich (Stand Oktober 2026). Der Unterschied liegt oft in den tatsächlich enthaltenen Leistungen. Darauf sollten Sie achten:

• Gebühr pro Anfrage: Einige Anbieter berechnen extra Kosten (25 € bis 90 €) für jede Betroffenen- oder Behördenanfrage, andere (wie REP27 ab Standard) erlauben unbegrenzte Anfragen ohne Zusatzkosten.
• Verwaltung des Art. 30-Verzeichnisses: Der GDPR verlangt, dass der Vertreter das Verzeichnis der Verarbeitungstätigkeiten führt. Manche Basistarife schließen das nicht ein oder verlangen bis zu 400 €/Jahr extra.
• Unterstützte Sprachen: Oft ist nur Englisch in Basistarifen enthalten; mehrsprachiger Service kann extra kosten.
• Onboarding-/Setup-Kosten: Einige Anbieter verlangen Aktivierungsgebühren bis zu 250 €.
• Verlängerungszuschläge: Die Kosten können ab dem zweiten Jahr steigen. REP27 bietet z.B. reduzierte Verlängerungspreise.

Übersichtstabelle der wichtigsten versteckten Kosten:

Tipp: Fordern Sie immer eine Gesamtkostensimulation für Ihr Szenario (Anfragenanzahl, Sprachen, Verlängerungen) an und prüfen Sie, was bei Überschreitungen passiert.

Wie funktioniert die Benennung: Schritt-für-Schritt-Anleitung und Checkliste

Die Benennung eines GDPR-Vertreters in der EU folgt einem klaren Ablauf. So gehen Sie vor:

1. Pflicht prüfen: Prüfen Sie, ob Ihr Unternehmen Waren/Dienstleistungen anbietet oder Personen in der EU überwacht (Art. 3(2), 27 GDPR).
2. Anbieter wählen: Vergleichen Sie Preise, enthaltene Leistungen, Sprachen und versteckte Kosten. Fordern Sie immer das Benennungsformular an.
3. Onboarding abschließen: Übermitteln Sie Firmendaten und erforderliche Informationen an den Anbieter. Einige, wie REP27, verlangen auch die Führung des Art. 30-Verzeichnisses (ab Standard).
4. Dokumente erhalten: Erhalten Sie den von beiden Seiten unterschriebenen Benennungsbrief, das QR-Zertifikat und Anleitungen für die Datenschutzerklärung.
5. Daten veröffentlichen: Fügen Sie Name, Adresse und E-Mail des Vertreters in der Datenschutzerklärung ein (Art. 13/14 GDPR).
6. In Betrieb nehmen: Der Anbieter bearbeitet eingehende Anfragen und leitet sie fristgerecht weiter (z.B. innerhalb von 2 Werktagen bei REP27, am selben Tag bei Behörden ab Standard).

Checkliste:

1. Art. 3(2) und 27 GDPR prüfen
2. Benennungsvorlage anfordern und lesen
3. Klärung, wer das Art. 30-Verzeichnis führt
4. Garantierte Antwortzeiten prüfen
5. Gesamtkosten kalkulieren (Anfragen, Sprachen, Verlängerungen)
6. Sicherstellen, dass Veröffentlichung in Datenschutzerklärung konform ist

Achtung: Die Benennung ist nur gültig, wenn der Vertreter die Rolle schriftlich akzeptiert und der Brief von beiden Parteien unterschrieben ist.

Risiken und Strafen: Was bei Nichtbeachtung passiert

Die Nichtbenennung eines EU-Vertreters, wenn erforderlich, ist eine eigenständige GDPR-Verletzung (Art. 83(4)(a)). Aufsichtsbehörden können Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Diese Strafen gelten auch, wenn sonstige GDPR-Maßnahmen eingehalten werden, aber die formale Benennung fehlt.

Ein reales Beispiel: Locatefamily.com wurde von der niederländischen Behörde mit 525.000 € Strafe belegt, nur wegen fehlender Vertretung. Zudem können Behörden die Verarbeitung aussetzen oder die Verletzung veröffentlichen lassen.

Weitere praktische Risiken:

• Ein unvollständiges Mandat (z.B. nur Postadresse) schützt nicht vor Strafen
• Unzureichende und verspätete Antworten an Behörden verschlechtern die Lage
• Die Verantwortung liegt immer beim Verantwortlichen/Auftragsverarbeiter (Art. 27(5)), auch wenn ein Vertreter benannt ist

Fazit: Einen Anbieter nur nach dem günstigsten Preis auszuwählen, ohne zu prüfen, ob er die Aufgaben des Art. 27 formal übernimmt und das Art. 30-Verzeichnis führt, birgt erhebliche rechtliche und reputative Risiken.

Was Anbieter oft verschweigen: Einschränkungen, Ausschlüsse und Verlängerungen

• Viele Basistarife sind nur Postadressen: Sie übernehmen nicht formal die Aufgaben des Art. 27, führen keine Verzeichnisse und garantieren keine Behördenantworten.
• Kosten pro Anfrage können den Jahrespreis übersteigen: Ein Monat mit vielen Anfragen kann die Kosten stark erhöhen.
• Mehrsprachige Betreuung ist selten: Oft ist nur Englisch enthalten; REP27 bietet ab Standard Desk in 8 Sprachen.
• Verlängerungen sind oft teurer: Viele Anbieter bieten nur im ersten Jahr Promo-Preise; REP27 hat reduzierte und transparente Verlängerungen.
• Die rechtliche Verantwortung bleibt immer beim Kunden: Der Vertreter übernimmt keine Haftung für Verstöße, die Verantwortung liegt beim Verantwortlichen/Auftragsverarbeiter (Art. 27(5)).
• Häufige Ausschlüsse: Sensible Daten (Art. 9), Gerichtsbezogene Daten (Art. 10), Dienste für Minderjährige, Glücksspiel, Pharma, Waffen, Krypto werden oft nicht akzeptiert.

Tipp: Fordern Sie immer eine schriftliche Liste, was enthalten, ausgeschlossen und welche Verlängerungs-/Kündigungsbedingungen gelten.

Entscheidungsmatrix: Wer muss den Vertreter benennen? (B2B, B2C, Marktplatz, Unternehmensgröße)

Fazit: Die meisten Unternehmen außerhalb der EU mit Kunden, Nutzern oder Empfängern in der EU müssen einen Vertreter benennen, egal ob B2B oder B2C, eigene Website oder Marktplatz.

3 praktische Szenarien: Welche Pflicht gilt und welche Lösung wählen

1. US-SaaS mit EU-Kunden: Ein US-amerikanischer SaaS-Anbieter, der Abonnements an Unternehmen oder Nutzer in der EU verkauft, muss einen EU-Vertreter benennen, die Daten in der Datenschutzerklärung veröffentlichen und das Art. 30-Verzeichnis führen. Lösung: REP27 Standard-Tarif mit unbegrenzten Anfragen, Verzeichnisführung und mehrsprachigem Desk.
2. Chinesischer Verkäufer auf Amazon: Ein chinesisches Unternehmen, das Produkte über Amazon an EU-Verbraucher verkauft, unterliegt der Pflicht vollständig. Bei Verkäufen in die Schweiz ist die nFADP-Pflicht zu prüfen. Lösung: REP27 Multi-Tarif mit kostenloser Schweizer Bewertung.
3. UK-Online-Shop nur B2B: Wenn keine personenbezogenen Daten von EU-Personen verarbeitet werden (nur Firmen, kein persönlicher Kontakt), kann eine Ausnahme gelten. Werden jedoch Daten von EU-Admins/Nutzern erfasst, gilt die Pflicht. Lösung: Einzelfall prüfen, im Zweifel Vertreter benennen.

Diese Szenarien zeigen, dass die Bewertung sowohl auf Kundentyp (B2B/B2C) als auch auf Art der Daten und Überwachung basieren muss.