Welke bedrijven moeten een GDPR-vertegenwoordiger in de EU aanstellen?

• Verplichting voor niet-EU bedrijven die persoonsgegevens van EU-burgers verwerken (art. 3(2), 27 GDPR)
• Uitzonderingen: overheidsinstanties, incidentele verwerking/niet op grote schaal/zonder hoog risico (art. 27(2))
• Boetes tot €10 miljoen of 2% van de wereldwijde omzet (art. 83(4)(a))
• De vertegenwoordiger is contactpunt voor autoriteiten en betrokkenen (art. 4(17))
• Jaarprijzen gepubliceerd: van €290 tot meer dan €1.000 (oktober 2026)
• Diensten en kosten verschillen: let op extra verzoeken, talen en verlengingen

Bijgewerkt 18 October 2026 · 6 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 18 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: belangrijke GDPR-artikelen

De verplichting om een vertegenwoordiger in de EU aan te stellen vloeit voort uit artikel 27 van de GDPR, dat geldt voor elke verwerkingsverantwoordelijke of verwerker die niet in de Europese Unie is gevestigd maar goederen of diensten aanbiedt aan personen in de EU, of hun gedrag monitort (art. 3(2) GDPR). Deze verplichting geldt zowel voor B2C als B2B bedrijven die persoonsgegevens van EU-inwoners verwerken. De vertegenwoordiger, gedefinieerd in art. 4(17) GDPR, is de natuurlijke of rechtspersoon gevestigd in de EU die als contactpunt fungeert voor toezichthoudende autoriteiten en betrokkenen.

Er bestaan specifieke uitzonderingen (art. 27(2) GDPR): overheidsinstanties, incidentele verwerkingen, niet op grote schaal en zonder hoog risico voor de rechten en vrijheden van betrokkenen. Als één van deze voorwaarden niet wordt voldaan, geldt de aanstellingsplicht alsnog.

De boetes bij niet-naleving zijn hoog: art. 83(4)(a) GDPR voorziet boetes tot €10 miljoen of 2% van de wereldwijde omzet. Een concreet voorbeeld: Locatefamily.com kreeg een boete van €525.000 wegens het niet aanstellen van een vertegenwoordiger.

Naast de aanstelling moet de vertegenwoordiger formeel worden benoemd met een schriftelijke volmacht en expliciete acceptatie van de rol. Alleen een adres publiceren is niet voldoende. Bovendien moet de vertegenwoordiger het register van verwerkingsactiviteiten (art. 30 GDPR) op verzoek van autoriteiten kunnen tonen.

Samengevat is het aanstellen van een EU-vertegenwoordiger verplicht voor de meeste niet-EU bedrijven die direct of indirect met persoonsgegevens van EU-residenten werken, behalve in zeldzame uitzonderingen.

Hoe kies je de EU-vertegenwoordiger: praktische criteria en servicevergelijking

Het kiezen van een GDPR-vertegenwoordiger in de EU gaat niet alleen om prijs: het is essentieel te begrijpen wat de dienst precies omvat. Providers zijn in drie categorieën te verdelen:

• Tier 1 – Alleen adres: Biedt alleen een postadres in de EU waar post wordt doorgestuurd. Neemt formeel de taken van art. 27 niet op zich, houdt geen registers bij en garandeert geen reactietijden. Dit is de goedkoopste maar risicovolle optie.
• Tier 2 – Volledige aanstelling: Biedt schriftelijke volmacht, verzoekenbalie, beheer van art. 30-register, gegarandeerde reacties aan autoriteiten binnen vaste termijnen. Dit is wat de GDPR echt vereist.
• Tier 3 – Advocatenkantoor: Biedt naast vertegenwoordiging ook juridische advisering en extra diensten, maar tegen veel hogere kosten, vaak niet nodig voor de meeste bedrijven.

Vergelijkingstabel van inbegrepen diensten:

Praktische tip: vraag altijd het volmachtmodel op vóór aankoop, controleer wie het register art. 30 bijhoudt en welke talen ondersteund worden. Een goedkope dienst die niet formeel de taken van art. 27 accepteert, brengt hoge risico's met zich mee.

Wat is echt inbegrepen in de prijs en hoe herken je verborgen kosten

De prijzen voor GDPR-vertegenwoordigers in de EU variëren sterk, van minder dan €300 tot meer dan €2.000 per jaar (oktober 2026), maar het verschil zit vaak in de daadwerkelijk inbegrepen diensten. Let op het volgende:

• Kosten per verzoek: Sommige providers rekenen extra kosten (van €25 tot €90) per verzoek van betrokkene of autoriteit, terwijl anderen (zoals REP27 vanaf Standaard) onbeperkte verzoeken inclusief hebben.
• Beheer register art. 30: GDPR vereist dat de vertegenwoordiger het register van verwerkingsactiviteiten bijhoudt. Sommige basisplannen bevatten dit niet of rekenen er extra (tot €400/jaar) voor.
• Ondersteunde talen: Vaak is alleen Engels inbegrepen in instapplannen; meertalige ondersteuning kan extra kosten veroorzaken.
• Onboarding/setup kosten: Sommige providers rekenen activeringskosten tot €250.
• Verhogingen bij verlenging: De prijs kan vanaf het tweede jaar stijgen. REP27 biedt bijvoorbeeld lagere verlengingskosten dan het eerste jaar.

Samenvattende tabel van belangrijkste verborgen kosten:

Tip: vraag altijd een kostenprognose voor jouw situatie (aantal verzoeken, talen, verlengingen) en controleer wat er gebeurt bij overschrijding van limieten.

Hoe werkt de aanstelling: stapsgewijze gids en checklist

De aanstelling van een GDPR-vertegenwoordiger in de EU volgt een duidelijk proces. Zo ga je te werk:

1. Controleer de verplichting: Kijk of jouw bedrijf goederen/diensten aanbiedt of personen in de EU monitort (art. 3(2), 27 GDPR).
2. Kies een provider: Vergelijk prijzen, inbegrepen diensten, talen en verborgen kosten. Vraag altijd het aanstellingsmodel op.
3. Voltooi onboarding: Stuur bedrijfsgegevens en gevraagde info naar de provider. Sommige, zoals REP27, vragen ook om het invullen van het register art. 30 (vanaf Standaard).
4. Ontvang documenten: Krijg de ondertekende aanstellingsbrief, het QR-certificaat en instructies voor de privacyverklaring.
5. Publiceer gegevens: Zet naam, adres en e-mail van de vertegenwoordiger in de privacyverklaring (art. 13/14 GDPR).
6. Operationeel: De provider behandelt binnenkomende verzoeken en beantwoordt ze binnen de gestelde termijnen (bijv. binnen 2 werkdagen met REP27, dezelfde dag voor autoriteiten vanaf Standaard).

Operationele checklist:

1. Controleer art. 3(2) en 27 GDPR
2. Vraag en lees het aanstellingsmodel
3. Vraag wie het register art. 30 bijhoudt
4. Controleer gegarandeerde reactietijden
5. Bereken totale kosten (verzoeken, talen, verlengingen)
6. Zorg dat publicatie in privacyverklaring conform is

Let op: de aanstelling is alleen geldig als de vertegenwoordiger formeel schriftelijk accepteert en de brief door beide partijen is ondertekend.

Risico's en boetes: wat gebeurt er bij niet-naleving

Het niet aanstellen van een EU-vertegenwoordiger wanneer verplicht is een zelfstandige overtreding van de GDPR (art. 83(4)(a)). Toezichthouders kunnen boetes opleggen tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Deze boetes gelden ook als alle andere GDPR-maatregelen worden nageleefd maar de formele aanstelling ontbreekt.

Een praktijkvoorbeeld: Locatefamily.com kreeg een boete van €525.000 van de Nederlandse toezichthouder alleen vanwege het niet aanstellen van een vertegenwoordiger. Daarnaast kunnen autoriteiten de verwerking opschorten of de overtreding openbaar maken.

Andere praktische risico's:

• Een onvolledige volmacht (bijv. alleen postadres) beschermt niet tegen boetes
• Het niet tijdig reageren op autoriteiten kan de situatie verergeren
• De verantwoordelijkheid blijft bij de verwerkingsverantwoordelijke/verwerker (art. 27(5)), ook als een vertegenwoordiger is aangesteld

Conclusie: kiezen voor de goedkoopste provider zonder formele acceptatie van art. 27 taken en zonder bijhouden van het register art. 30 brengt aanzienlijke juridische en reputatierisico's met zich mee.

Wat leveranciers vaak niet zeggen: beperkingen, uitsluitingen en verlengingen

• Veel basisplannen zijn alleen postadressen: Ze accepteren formeel niet de taken van art. 27, houden geen registers bij en garanderen geen reacties aan autoriteiten.
• Kosten per verzoek kunnen hoger zijn dan het jaarbedrag: Een maand met veel verzoeken kan de kosten onverwacht doen stijgen.
• Meertalige ondersteuning is zeldzaam: Vaak is alleen Engels inbegrepen; REP27 biedt een balie in 8 talen vanaf Standaard.
• Verlengingstarieven stijgen vaak na het eerste jaar: Veel providers hanteren promotieprijzen alleen voor het eerste jaar; REP27 biedt lagere en transparante verlengingen.
• De wettelijke verantwoordelijkheid blijft altijd bij de klant: De vertegenwoordiger neemt geen aansprakelijkheid voor overtredingen over, die blijft bij de verwerkingsverantwoordelijke/verwerker (art. 27(5)).
• Veel uitsluitingen: Gevoelige gegevens (art. 9), gerechtelijke gegevens (art. 10), diensten voor minderjarigen, gokken, farmacie, wapens, crypto worden vaak niet geaccepteerd.

Tip: vraag altijd een schriftelijke lijst van wat inbegrepen is, wat uitgesloten, en wat de voorwaarden zijn voor verlenging en opzegging.

Beslissingsmatrix: wie moet een vertegenwoordiger aanstellen? (B2B, B2C, marktplaats, omvang)

In de praktijk: de meeste niet-EU bedrijven met klanten, gebruikers of ontvangers in de EU moeten een vertegenwoordiger aanstellen, zowel B2B als B2C, via eigen site of marktplaats.

3 praktische scenario's: welke verplichting geldt en welke oplossing kiezen

1. VS SaaS met EU-klanten: Een Amerikaanse SaaS-leverancier die abonnementen verkoopt aan bedrijven of gebruikers in de EU moet een EU-vertegenwoordiger aanstellen, de gegevens in de privacyverklaring publiceren en het register art. 30 bijhouden. Oplossing: REP27 Standaard plan, inclusief onbeperkte verzoeken, registerbeheer en meertalige balie.
2. Chinese verkoper op Amazon: Een Chinees bedrijf dat via Amazon aan EU-consumenten verkoopt valt volledig onder de verplichting. Bij verkoop in Zwitserland moet ook de nFADP-verplichting worden beoordeeld. Oplossing: REP27 Multi plan, inclusief gratis Zwitserse beoordeling.
3. VK webshop alleen B2B: Als er geen persoonsgegevens van EU-natuurlijke personen worden verwerkt (alleen bedrijven, geen persoonlijk contact), kan vrijstelling gelden. Bij gegevens van admins/gebruikers geldt de verplichting. Oplossing: per geval beoordelen, bij twijfel vertegenwoordiger aanstellen.

Deze scenario's tonen aan dat de beoordeling gebaseerd moet zijn op klanttype (B2B/B2C), soort gegevens en monitoringactiviteiten.