Wer braucht einen UK-GDPR-Vertreter? Alles, was Sie wissen müssen (2026)

• Pflicht für Unternehmen außerhalb des UK, die Waren/Dienstleistungen anbieten oder UK-Nutzer überwachen
• Nicht erforderlich, wenn im UK ansässig oder Verarbeitung wirklich gelegentlich ist
• Der Vertreter muss schriftlich benannt und veröffentlicht werden
• Bußgelder bis zu £17,5 Mio. oder 4 % des weltweiten Umsatzes
• Preise und Leistungen variieren je Anbieter: detaillierter Vergleich unten

Aktualisiert 21 Oktober 2026 · 9 Quellen geprüft

Anbieter im Vergleich

Preise wie am 21 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: Artikel 27 UK GDPR

Artikel 27 des UK GDPR schreibt vor, dass jeder Verantwortliche oder Auftragsverarbeiter, der nicht im Vereinigten Königreich ansässig ist, aber Waren oder Dienstleistungen an Personen im Vereinigten Königreich anbietet oder deren Verhalten überwacht, schriftlich einen UK-GDPR-Vertreter benennen muss. Der Vertreter muss im Vereinigten Königreich ansässig sein und als lokaler Ansprechpartner für Betroffene und das Information Commissioner's Office (ICO) fungieren. Die Verpflichtung gilt unabhängig von physischen Servern oder Infrastruktur im UK: Entscheidend sind tatsächliche und fortlaufende Aktivitäten (eine Postadresse oder ein Drittlager reichen nicht aus).

• Benennungspflicht: Die Benennung muss schriftlich erfolgen und im Datenschutz-Hinweis mit zugänglichen Kontaktdaten veröffentlicht werden.
• Verantwortung: Der Vertreter ist Ansprechpartner, entbindet den Verantwortlichen/Auftragsverarbeiter aber nicht von Pflichten (Art. 27(4)).
• Ausnahmen: Die Pflicht entfällt bei wirklich gelegentlicher Verarbeitung ohne sensible oder strafrechtliche Daten und ohne Risiko für Betroffenenrechte (Art. 27(2)-(6)). Alle Bedingungen müssen erfüllt sein.
• Sanktionen: Nichtbenennung ist eine eigenständige Verletzung und kann mit bis zu £17,5 Millionen oder 4 % des weltweiten Umsatzes geahndet werden (Quelle).

Das Gesetz gilt für jedes Unternehmen außerhalb des UK, das:

• Produkte oder Dienstleistungen an Kunden im Vereinigten Königreich verkauft (auch B2B, wenn personenbezogene Daten involviert sind)
• Das Verhalten von Personen im Vereinigten Königreich überwacht (z.B. via Cookies, Analytics, gezielte Werbung)

Quellen: Artikel 27 UK GDPR, ICO

Wie man den Anbieter wählt: Kriterien, Vergleich und enthaltene Leistungen

Die Wahl des UK-GDPR-Vertreter-Anbieters ist entscheidend, um Compliance-Fehler und versteckte Kosten zu vermeiden. Hier die praktischen Kriterien:

• Geografische Abdeckung: Manche Anbieter bieten nur UK, andere auch EU-Vertretung (praktisch für Unternehmen, die in beiden Märkten verkaufen).
• Preis und Verlängerung: Preise reichen von £120 bis über £750 pro Jahr; prüfen Sie, ob Verlängerungen rabattiert sind oder Zusatzkosten anfallen.
• Enthaltene Leistungen: Neben der formellen Benennung bieten einige Anbieter Prüf-Badges, Datenschutz-Hinweis-Formulierungen, DSAR-Management, Verarbeitungsregister, Audit-Trails und mehrsprachige Anfragen-Desks.
• Benennungsdauer: REP27 stellt die Benennung innerhalb von 24 Stunden aus; andere Anbieter nennen nicht immer feste Zeiten.
• Zertifikate und öffentliche Prüfungen: REP27 liefert Zertifikate mit QR-Code und öffentliche Prüfung; andere Anbieter bieten Badges oder Trust Center.

Inklusions-/Ausschlusstabelle (Oktober 2026):

Die beste Wahl hängt davon ab, wo Sie tätig sind, welche Audit-Anforderungen Sie haben und ob Sie eine kombinierte UK+EU-Abdeckung benötigen. Wenn Sie in beiden Märkten verkaufen, reduziert eine kombinierte Lösung wie REP27 Kosten und Verwaltungsaufwand.

Was der Preis wirklich beinhaltet: praktische Details und Entscheidungs-Matrix

Die veröffentlichten Preise der Anbieter können sehr unterschiedliche Leistungen umfassen. Manche bieten nur die formelle Benennung, andere zusätzlich Audit-Tools, Prüf-Badges, Datenschutz-Hinweis-Formulierungen, DSAR-Management, Verarbeitungsregister und mehrsprachige Anfragen-Desks. Es ist wichtig zu prüfen, was tatsächlich enthalten ist und welche Leistungen optional oder kostenpflichtig sind.

Beispielsweise bietet REP27 zwei Benennungen (UK+EU), zwei Zertifikate, Datenschutz-Hinweis-Formulierungen in 8 Sprachen, Anfragen-Desk, Verarbeitungsregister und verifizierbares Badge. Gabsor und Euverify bieten zudem Trust Center, Badge, Audit Trail und DSAR-Management. FSREG, GDPR Gateway, Janus und DataRep UK konzentrieren sich auf UK-Vertretung mit Basisleistungen und Anfrageweiterleitung.

Praktische Entscheidungstabelle:

Achtung: "Gelegentliche" Verarbeitung wird restriktiv ausgelegt. Auch ein kleiner E-Commerce mit regelmäßigen Bestellungen gilt nicht als gelegentlich. Bei Zweifeln immer vor Kauf mit dem Anbieter klären.

Versteckte Kosten und Einschränkungen: Was Anbieter oft nicht sagen

Viele Anbieter weisen nicht klar auf bestimmte Bedingungen und Einschränkungen hin:

• Begrenzte Haftung: Der Vertreter übernimmt keine rechtliche Haftung des Verantwortlichen/Auftragsverarbeiters; er ist nur Ansprechpartner (Art. 27(4)).
• Ausnahmen: Kein Anbieter fungiert als DPO oder bietet Datenschutzberatung im Preis der Vertretung an. Beratung ist meist "auf Anfrage" und kann Zusatzkosten verursachen.
• Zusatzkosten: Manche Anbieter verlangen Gebühren für komplexe Anfragen, Datenänderungen, erweiterte Audit-Services oder hohe Anfragevolumen. Diese Kosten sind oft "auf Anfrage" und nicht immer transparent.
• Kündigungsfrist: Die Frist für Vertragsbeendigung ist nicht immer klar geregelt. Vertragsbedingungen prüfen.
• Verlängerung und Wechsel: REP27 bietet vergünstigte Verlängerung und erleichterten Anbieterwechsel, andere Anbieter möglicherweise nicht.

Zusammenfassungstabelle zu Ausnahmen und Einschränkungen (Oktober 2026):

Praktischer Tipp: Lassen Sie sich vor Vertragsabschluss immer eine schriftliche Liste der enthaltenen Leistungen und möglicher Zusatzkosten geben.

Wie die Benennung funktioniert: Schritt-für-Schritt, Checkliste und Zeitrahmen

Die Benennung des UK-GDPR-Vertreters ist ein Prozess, der schnell abgeschlossen werden kann, wenn man die richtigen Schritte befolgt. Hier eine praktische Anleitung:

1. Prüfen Sie, ob Sie verpflichtet sind: Beantworten Sie die drei Kernfragen: (1) Sind Sie außerhalb des Vereinigten Königreichs ansässig? (2) Bieten Sie Waren/Dienstleistungen an oder überwachen Sie UK-Nutzer? (3) Verarbeiten Sie personenbezogene Daten?
2. Wählen Sie den Anbieter: Berücksichtigen Sie Abdeckung (nur UK oder auch EU), enthaltene Leistungen, Preis und Ausstellungsdauer.
3. Füllen Sie das Benennungsformular aus: Geben Sie Unternehmensdaten, Beschreibung der Verarbeitung, Ansprechpartner und erforderliche Dokumente an. Bei REP27 dauert das ca. 5 Minuten.
4. Erhalten Sie die Benennung: Der Anbieter stellt die unterschriebene Benennung, das Zertifikat und die Formulierung für den Datenschutz-Hinweis aus (REP27 in 24 Stunden).
5. Aktualisieren Sie den Datenschutz-Hinweis: Fügen Sie die vom Anbieter bereitgestellte Formulierung mit den Kontaktdaten des UK-Vertreters ein.
6. Veröffentlichen und kommunizieren: Stellen Sie sicher, dass die Benennung für Nutzer und Behörden leicht zugänglich ist.
7. Verlängern Sie jährlich: Behalten Sie die Fristen im Blick und verlängern Sie, um Compliance-Lücken zu vermeiden.

Schnelle Checkliste:

• Haben Sie UK-Kunden oder Nutzer?
• Bieten Sie Dienstleistungen an oder überwachen Sie Verhalten?
• Haben Sie bereits einen benannten Vertreter?
• Haben Sie den Datenschutz-Hinweis aktualisiert?
• Haben Sie Abdeckung und Leistungen geprüft?

Die typische Dauer reicht von 24 Stunden (REP27) bis zu einigen Werktagen, abhängig vom Anbieter und der Vollständigkeit der Daten.

Risiken, Sanktionen und Praxisbeispiele: reale Szenarien

Die Nichtbenennung eines UK-GDPR-Vertreters bei Verpflichtung birgt konkrete Risiken: Bußgelder bis zu £17,5 Millionen oder 4 % des weltweiten Umsatzes (Quelle), Blockade von Geschäftsbeziehungen und Reputationsschäden. Der Vertreter entbindet nicht von der Verantwortung, stellt aber einen lokalen Ansprechpartner für Nutzer und ICO sicher.

Drei reale Szenarien:

• US SaaS mit UK- und EU-Nutzern: Muss sowohl UK- als auch EU-Vertreter benennen. Effizienteste Lösung: Anbieter mit kombinierter Benennung (z.B. REP27), mit nur einem Onboarding und separaten Dokumenten.
• Chinesischer Amazon-Verkäufer im UK: Auch ohne physische Niederlassung muss bei Verkauf an UK-Kunden ein UK-GDPR-Vertreter benannt werden. Wahl zwischen UK-spezifischem Anbieter oder kombinierter Lösung bei EU-Verkauf.
• UK-Online-Shop, der nur im UK verkauft: Wenn bereits im UK ansässig (Büro, Zweigstelle, Personal), besteht keine Vertreterpflicht. EU-Unternehmen mit UK-Kunden müssen hingegen benennen.

Praktische Entscheidungstabelle:

Tipp: Warten Sie nicht auf eine Aufforderung von ICO oder Kunden. Die Benennung ist präventiv, und Verstöße können auch durch Online-Kontrollen entdeckt werden.