Wer braucht einen Datenschutzbeauftragten für die EU? Anbieter & Preise 2026

• DPO-Pflicht: Öffentliche Stellen oder großflächige Überwachung/Sonderdaten (Art. 37 DSGVO)
• EU-Vertreter nach Art. 27 DSGVO für Nicht-EU-Unternehmen mit EU-Kunden oder -Nutzern
• Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes bei Verstoß (Art. 83 DSGVO)
• REP27: EU-Vertreter für die gesamte EWR ab 290 €/Jahr, inkl. Zertifikat & mehr
• Leistungsumfang und Zusatzgebühren variieren stark zwischen den Anbietern
• Nicht jeder braucht einen DPO oder EU-Vertreter – siehe Entscheidungsmatrix

Aktualisiert 19 Oktober 2026 · 6 Quellen geprüft

Anbieter im Vergleich

Preise wie am 19 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was verlangt die DSGVO? (Artikel 27, 37, 83)

Die Datenschutz-Grundverordnung (DSGVO) unterscheidet zwischen zwei zentralen Rollen: dem Datenschutzbeauftragten (DPO) und dem EU-Vertreter. Beide Pflichten treffen unterschiedliche Unternehmen und Situationen:

• Datenschutzbeauftragter (DPO, Art. 37-39): Ein DPO ist verpflichtend für öffentliche Stellen sowie Unternehmen, deren Kerntätigkeit eine umfangreiche, systematische Überwachung von Personen oder eine groß angelegte Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. Gesundheitsdaten, politische Meinungen) umfasst. Die Aufgaben des DPO sind in Art. 39 DSGVO geregelt und umfassen Beratung, Überwachung der Einhaltung, Anlaufstelle für Behörden und Betroffene sowie Unterstützung bei Datenschutz-Folgenabschätzungen.
• EU-Vertreter (Art. 27): Unternehmen außerhalb der EU, die Waren oder Dienstleistungen an Personen in der EU anbieten oder das Verhalten von EU-Bürgern beobachten (z. B. Tracking, Analytics), müssen einen schriftlich benannten EU-Vertreter bestellen. Der Vertreter dient als Kontaktpunkt für Aufsichtsbehörden und Betroffene und hält das Verzeichnis der Verarbeitungstätigkeiten (Art. 30), sofern der Anbieter dies übernimmt.

Die Pflicht zur Bestellung eines EU-Vertreters gilt nicht, wenn die Verarbeitung nur gelegentlich erfolgt, keine besonderen Daten umfasst und kein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Die Bestellung eines DPO ist für viele kleine Unternehmen nicht erforderlich, solange keine großflächige Überwachung oder Verarbeitung besonderer Kategorien erfolgt.

Bußgelder: Ein Verstoß gegen die Pflicht zur Bestellung eines EU-Vertreters kann mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO). Die niederländische Aufsichtsbehörde verhängte z. B. gegen Locatefamily.com ein Bußgeld von 525.000 € wegen fehlender EU-Vertretung.

Die Pflicht zur Bestellung eines DPO ist in Art. 37 DSGVO geregelt (Quelle), die Aufgaben in Art. 39 (Quelle), und die Bußgelder in Art. 83 (Quelle).

Wie wählt man den richtigen Anbieter? Entscheidende Kriterien & Vergleich

Die Auswahl eines geeigneten EU-Vertreters oder DPO-Dienstleisters ist entscheidend für die Compliance. Die Angebote unterscheiden sich erheblich im Leistungsumfang, den Reaktionszeiten und den versteckten Kosten. Folgende Kriterien sollten Sie prüfen:

• Akzeptiert der Anbieter die Aufgaben nach Art. 27 DSGVO schriftlich? Ein echtes Mandat muss explizit die Aufgaben und Pflichten nach Art. 27 übernehmen. Ein reines Postfach oder eine Adresse genügt nicht.
• Wer hält das Art. 30-Verzeichnis? Die DSGVO verlangt, dass der Vertreter das Verzeichnis der Verarbeitungstätigkeiten auf Anfrage bereithält. Nicht alle Anbieter übernehmen diese Aufgabe.
• Reaktionszeiten bei Anfragen: Wie schnell werden Anfragen von Aufsichtsbehörden oder Betroffenen weitergeleitet? Ein „Best-Efforts“-Versprechen ohne Frist ist riskant. REP27 garantiert z. B. die Weiterleitung innerhalb von 2 Werktagen (Standard: am selben Tag bei Behördenanfragen).
• Sprachen: Werden Anfragen in mehreren EU-Sprachen bearbeitet? REP27 bietet einen Desk in 8 Sprachen, viele Einsteigerangebote nur auf Englisch.
• Zusatzgebühren: Sind alle Leistungen im Preis enthalten oder gibt es pro Anfrage, pro Sprache oder für das Halten des Verzeichnisses Zusatzkosten?

Ein direkter Vergleich:

Fragen Sie immer nach dem Designationsschreiben und prüfen Sie, ob die Aufgaben nach Art. 27 explizit übernommen werden. Lassen Sie sich den Serviceumfang und die Kostenstruktur vorab schriftlich bestätigen.

Was ist im Preis enthalten? Wo lauern versteckte Kosten?

Die Preismodelle für EU-Vertreter und DPO-Services sind sehr unterschiedlich. Viele Anbieter locken mit niedrigen Einstiegspreisen, berechnen aber für jede Anfrage von Betroffenen oder Behörden zusätzliche Gebühren (typisch €25–90 pro Anfrage). Auch das Halten des Art. 30-Verzeichnisses wird oft extra berechnet (€100–400/Jahr). Bei REP27 sind ab dem Standard-Tarif alle Anfragen inklusive, das Verzeichnis wird geführt, und es gibt keine versteckten Gebühren. Prüfen Sie insbesondere:

• Ob der Preis pro Anfrage gilt oder unbegrenzte Anfragen abgedeckt sind
• Ob das Art. 30-Verzeichnis enthalten ist
• Ob die Verlängerung teurer wird (bei REP27 sinkt der Preis im Folgejahr)
• Ob zusätzliche Sprachen extra kosten

Einige Anbieter bieten nur eine Postadresse ohne echte Übernahme der gesetzlichen Aufgaben. Dies ist nicht konform und kann im Ernstfall zu Bußgeldern führen. Die folgende Übersicht zeigt typische Preisfallen:

Lesen Sie das Kleingedruckte und fordern Sie eine vollständige Leistungsübersicht an, bevor Sie sich binden.

Wie läuft die Bestellung ab? Schritt-für-Schritt-Anleitung & Entscheidungsmatrix

Die Bestellung eines EU-Vertreters oder DPO folgt bei seriösen Anbietern einem klaren Ablauf. So stellen Sie sicher, dass Sie alle gesetzlichen Anforderungen erfüllen:

1. Prüfen Sie, ob Sie einen EU-Vertreter oder DPO benötigen (siehe Matrix unten).
2. Vergleichen Sie Anbieter und fordern Sie das Designationsschreiben zur Prüfung an.
3. Füllen Sie das Onboarding-Formular aus (Angaben zu Unternehmen, Datenverarbeitung, Kontaktpersonen).
4. Erhalten Sie die Gegenzeichnung und das Zertifikat (bei REP27 innerhalb von 24 Stunden).
5. Veröffentlichen Sie die Kontaktdaten des Vertreters in Ihrer Datenschutzerklärung (Art. 13/14 DSGVO).
6. Halten Sie das Art. 30-Verzeichnis bereit (oder lassen Sie es vom Anbieter führen).
7. Bei Bedarf: Führen Sie die kostenlose Schweizer Vertretungsprüfung (REP27) durch.

Entscheidungsmatrix:

Diese Matrix hilft, Fehlinvestitionen zu vermeiden und zielgenau die richtige Compliance-Lösung zu wählen.

Checkliste für heute:

1. Prüfen Sie, ob Sie unter Art. 27 oder Art. 37 DSGVO fallen.
2. Vergleichen Sie mindestens drei Anbieter (Leistungsumfang, Preis, Zusatzgebühren).
3. Fordern Sie das Designationsschreiben an und prüfen Sie die Übernahme der Aufgaben.
4. Fragen Sie nach dem Halten des Art. 30-Verzeichnisses und den Reaktionszeiten.
5. Bestellen Sie den Service und dokumentieren Sie die Bestellung.
6. Aktualisieren Sie Ihre Datenschutzerklärung und internen Prozesse.

Was Anbieter oft nicht sagen: Exklusionen, Kündigung, Haftung

Viele Anbieter verschweigen im Marketing wichtige Details, die im Ernstfall entscheidend sind:

• Keine Rechtsberatung: Ein EU-Vertreter darf keine Rechtsberatung im Rahmen der Vertretung anbieten. Für rechtliche Fragen ist ein separater Anwalt oder DPO notwendig.
• Haftung bleibt beim Auftraggeber: Nach Art. 27(5) DSGVO bleibt die Haftung für Datenschutzverstöße immer beim Verantwortlichen bzw. Auftragsverarbeiter. Der Vertreter ist nur Kontaktpunkt und haftet nicht für Fehler des Auftraggebers.
• Kündigungsfristen und automatische Verlängerung: Die Kündigungsmodalitäten variieren. Bei REP27 ist eine Kündigung mit 30 Tagen Frist vor Verlängerung möglich. Prüfen Sie, wie die Übergabe von Anfragen und Verzeichnissen geregelt ist.
• Per-Request-Gebühren: Viele Anbieter verlangen pro Anfrage von Betroffenen oder Behörden zusätzliche Gebühren, die im Kleingedruckten stehen. Bei REP27 Standard und Multi sind alle Anfragen inklusive.
• Sprachen und Desk: Ein EU-weit beworbener Service ist oft nur auf Englisch verfügbar. REP27 bietet einen Desk in 8 Sprachen, was die Erfüllung der gesetzlichen Anforderungen erleichtert.
• Keine Übernahme spezieller Produktverantwortung: Die Rolle als GPSR-Verantwortlicher oder CE-Autorisierter Vertreter ist nur im Multi-Tarif von REP27 enthalten, nicht im Basistarif.

Lesen Sie die AGB und das Designationsschreiben sorgfältig. Prüfen Sie, ob der Anbieter im Falle eines Anbieterwechsels die Übergabe der Unterlagen garantiert.

Drei realistische Szenarien: So erfüllen Sie die Pflicht korrekt

1. US SaaS-Anbieter mit EU-Kunden: Ein US-Softwareunternehmen bietet eine Cloud-Lösung für EU-Kunden an. Es verarbeitet keine besonderen Daten, überwacht aber Nutzeraktivitäten (z. B. Logins, Nutzungsstatistiken). Ergebnis: EU-Vertreter nach Art. 27 DSGVO ist Pflicht. Ein DPO ist nur bei großflächiger Überwachung oder Verarbeitung besonderer Daten nötig. Die günstigste und konforme Lösung: REP27 Standard – alle Anfragen inklusive, Verzeichnis wird geführt, Desk in 8 Sprachen.
2. Chinesischer Amazon-Händler: Ein Händler aus China verkauft über Amazon.de an EU-Kunden. Er benötigt einen EU-Vertreter (Art. 27 DSGVO) und ggf. einen GPSR-Verantwortlichen für Produktkonformität. DPO ist nicht erforderlich, solange keine großflächige Überwachung oder besondere Daten verarbeitet werden. Die Komplettlösung: REP27 Multi – EU-Vertreter und GPSR-Verantwortlicher in einem Vertrag, ein Ansprechpartner, ein Zertifikat.
3. UK Online-Shop ohne EU-Kunden: Ein britischer Webshop verkauft ausschließlich an Kunden im Vereinigten Königreich und verarbeitet keine Daten von EU-Bürgern. Ergebnis: Keine Pflicht zur Bestellung eines EU-Vertreters oder DPO. Erst bei gezielter Ansprache oder Lieferung an EU-Kunden würde die Pflicht entstehen.

Diese Szenarien zeigen, wie wichtig die Prüfung des eigenen Geschäftsmodells ist. Wer gezielt EU-Kunden anspricht oder deren Verhalten beobachtet, muss einen EU-Vertreter bestellen – unabhängig von der Firmengröße.