Wer muss einen GDPR-Vertreter in der EU benennen?

• Artikel 27 GDPR verlangt von den meisten Nicht-EU-Unternehmen, die EU-Daten verarbeiten, einen EU-Vertreter zu benennen.
• Ausnahmen: gelegentliche, risikoarme Verarbeitung oder Tätigkeiten im Zusammenhang mit nationaler Sicherheit/Verteidigung.
• Der Vertreter muss in einem EU-Mitgliedstaat ansässig sein, in dem sich die betroffenen Personen befinden.
• Kontaktdaten müssen den Betroffenen und Behörden zur Verfügung gestellt werden.
• Nicht-Einhaltung kann Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes nach sich ziehen.
• Anbieter bieten verschiedene Service-Level: nur Adresse, Vollmandat oder juristischer Retainer.
• Preise variieren stark; versteckte Gebühren pro Anfrage oder Verlängerung sind üblich.

Aktualisiert 16 Oktober 2026 · 8 Quellen geprüft

Anbieter im Vergleich

Preise wie am 16 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was Artikel 27 GDPR verlangt

Artikel 27 der GDPR legt eine klare Verpflichtung fest: Jeder Verantwortliche oder Auftragsverarbeiter, der nicht in der EU niedergelassen ist, aber unter Artikel 3(2) fällt (Angebot von Waren oder Dienstleistungen an Personen in der EU oder Überwachung ihres Verhaltens), muss vor Beginn jeglicher Datenverarbeitung schriftlich einen Vertreter in der EU benennen. Diese Regel stellt sicher, dass EU-Datenschutzbetroffene und Aufsichtsbehörden einen lokalen Ansprechpartner für Datenschutzangelegenheiten haben, auch wenn das Unternehmen selbst außerhalb der EU ansässig ist.

Es gibt wichtige Ausnahmen. Artikel 27 gilt nicht, wenn:

• Ihre Verarbeitung nur gelegentlich erfolgt, keine groß angelegte Verarbeitung besonderer Datenkategorien beinhaltet und voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen darstellt.
• Ihre Tätigkeiten mit der nationalen Sicherheit oder Verteidigung zusammenhängen.

Der Vertreter muss in einem der EU-Mitgliedstaaten ansässig sein, in denen sich die betroffenen Personen befinden, deren Daten Sie verarbeiten. Die Benennung muss schriftlich erfolgen und der Vertreter muss befugt sein, in Bezug auf GDPR-Verpflichtungen in Ihrem Namen zu handeln. Die Kontaktdaten des Vertreters müssen sowohl den Betroffenen als auch den Aufsichtsbehörden mitgeteilt und in Ihrem Datenschutzhinweis veröffentlicht werden.

Die Nichteinhaltung stellt einen eigenständigen Verstoß nach Artikel 83(4)(a) dar und kann mit Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes geahndet werden. Die niederländische Behörde verhängte z.B. eine Geldstrafe von 525.000 € gegen Locatefamily.com wegen dieses Verstoßes. Der Vertreter ist kein Schutzschild: Artikel 27(5) stellt klar, dass die Benennung eines Vertreters keine Maßnahmen gegen Ihr Unternehmen selbst verhindert.

• Enthalten / Nicht enthalten / Zusatzgebühren Tabelle

Wie man einen GDPR-Vertreter auswählt

Die Wahl des richtigen GDPR-Vertreters ist entscheidend für die Compliance und operative Effizienz. Anbieter bieten drei Hauptservice-Stufen an:

• Stufe 1: Nur Adresse – Ein einfacher Postweiterleitungsservice. Kein Mandat, keine Aufzeichnungen, keine GDPR-spezifischen Verpflichtungen. Am günstigsten, aber nicht konform mit Artikel 27 Anforderungen.
• Stufe 2: Benennung – Ein schriftliches Mandat, Zertifikat, Anfrage-Desk und Handhabung der Artikel 30 Aufzeichnungen. Dies entspricht den Erwartungen von Artikel 27: Der Anbieter akzeptiert die Rolle und Verantwortung schriftlich, führt Aufzeichnungen und verpflichtet sich, Anfragen innerhalb einer festgelegten Frist weiterzuleiten.
• Stufe 3: Juristischer Retainer – Eine Anwaltskanzlei fungiert als Vertreter und bietet zudem Rechtsberatung. Dies ist kostspielig und nur notwendig, wenn Sie fortlaufende Rechtsberatung wünschen, die nicht Teil der Artikel 27 Rolle ist.

Beim Vergleich von Anbietern sollten Sie fragen:

• Akzeptiert das Mandat ausdrücklich die Aufgaben nach Artikel 27?
• Wer führt das Artikel 30 Verzeichnis und wie wird es den Behörden vorgelegt?
• Wie schnell werden Anfragen von Behörden weitergeleitet?
• Gibt es Gebühren pro Anfrage oder für Verlängerungen?
• Ist mehrsprachiger Support verfügbar?

Einige Anbieter, wie REP27, stellen innerhalb von 24 Stunden ein unterzeichnetes Benennungsschreiben und Zertifikat aus, bieten mehrsprachigen Support und erheben keine Gebühren pro Anfrage bei Standard- und Multi-Tarifen. Andere verlangen Gebühren pro Anfrage oder bieten nur eine Weiterleitungsadresse, was nicht den GDPR-Anforderungen entspricht.

Entscheidungsmatrix:

Fordern Sie immer die Vorlage des Benennungsschreibens an, bevor Sie zahlen. Wenn darin die Aufgaben nach Artikel 27 nicht aufgeführt und akzeptiert sind, kaufen Sie keinen konformen Service.

Was der Preis wirklich beinhaltet

Die Preise für GDPR-Vertreterdienste reichen von unter 300 € bis weit über 2.000 € pro Jahr. Diese Variation spiegelt den Umfang der tatsächlich erbrachten Leistungen wider. Ein niedriger Preis deckt möglicherweise nur eine Postadresse ab, während eine höhere Gebühr ein vollständiges Mandat, Anfrage-Desk und Aufzeichnungsmanagement umfasst. Wichtige enthaltene Leistungen sind:

• Schriftliche Annahme der Aufgaben nach Artikel 27: Der Anbieter muss die Rolle und Pflichten formal schriftlich akzeptieren.
• Zertifikat und öffentliche Verifizierbarkeit: Ein verifizierbares Zertifikat schafft Vertrauen bei Kunden, Prüfern und Behörden. REP27 stellt ein QR-codiertes Zertifikat und eine öffentliche Verifizierungsseite bereit.
• Mehrsprachige Anfragebearbeitung: Wichtig für EU-weite Abdeckung. REP27 bietet 8 Sprachen ab dem Standard-Tarif.
• Verwaltung der Artikel 30 Aufzeichnungen: Der Anbieter sollte Ihre Aufzeichnungen führen und den Behörden vorlegen können. Dies ist in REP27 Standard und Multi enthalten.
• Gebühren pro Anfrage oder Verlängerungserhöhungen: Manche Anbieter verlangen 25–90 € pro Betroffenenanfrage oder erhöhen die Preise nach dem ersten Jahr. REP27 erhebt keine Gebühren pro Anfrage im Standard-Tarif und die Verlängerungspreise sinken im zweiten Jahr.

Vergleichen Sie, was in jedem Tarif enthalten ist, nicht nur den Grundpreis. Zum Beispiel deckt REP27 Basis bis zu 10 Anfragen pro Jahr ab, während Standard und Multi unbegrenzte Anfragen und Aufzeichnungen bieten. Viele Wettbewerber veröffentlichen keine vollständigen Details oder verlangen eine Anfrage.

Fragen Sie immer schriftlich nach dem Verlängerungspreis für das zweite Jahr, da Einführungspreise üblich sind. Für Unternehmen, die eine kombinierte EU- und UK-Vertretung benötigen, bieten einige Anbieter (einschließlich REP27) beide Dienste an, oft mit Rabatt.

Versteckte Kosten und Ausschlüsse

Viele Anbieter werben mit niedrigen Jahresgebühren, berechnen aber erhebliche Zusatzkosten für wichtige Leistungen. Häufige versteckte Kosten sind:

• Gebühren pro Betroffenenanfrage: Einige Anbieter verlangen 25–90 € pro Anfrage, was bei mehreren Anfragen im Monat die Jahresgebühr schnell übersteigen kann.
• Einrichtungs- oder Onboarding-Gebühren: Einmalige Gebühren von 0–250 € sind üblich. REP27 inkludiert die Einrichtung in der Jahresgebühr.
• Zusätzlicher Sprachsupport: Einstiegspläne decken oft nur Englisch ab. REP27 Standard und Multi beinhalten 8 Sprachen.
• Verwaltung der Artikel 30 Aufzeichnungen: Manche Anbieter verlangen 100–400 € pro Jahr für das Führen und Vorlegen der Aufzeichnungen. REP27 ist in Standard und Multi enthalten.
• Preiserhöhungen bei Verlängerung: Einige Anbieter erhöhen die Preise nach dem ersten Jahr. REP27 senkt die Verlängerungsgebühren ab Jahr zwei auf 240/390/690 €.

Rechtsberatung, DSB-Dienste und Compliance-Audits sind bei REP27 und den meisten Wettbewerbern nicht enthalten. REP27 beantwortet Anfragen nicht inhaltlich, sondern leitet sie an Sie weiter. Die Benennung verhindert keine direkte Durchsetzung gegen Ihr Unternehmen.

Anbieter weisen selten auf diese Ausschlüsse und Zusatzgebühren in ihrem Marketing hin. Lesen Sie Mandat und Servicebedingungen sorgfältig vor Vertragsabschluss. Fragen Sie gezielt nach Gebühren pro Anfrage, Verlängerungspreisen und Vorgehen bei Wechsel oder Kündigung des Dienstes.

Wie die Benennung funktioniert: Schritt für Schritt

1. Anwendbarkeit prüfen: Ermitteln Sie, ob Sie ein Nicht-EU-Verantwortlicher oder Auftragsverarbeiter sind, der unter Artikel 3(2) GDPR fällt (Angebot von Waren/Dienstleistungen an oder Überwachung von Personen in der EU).
2. Zielstaaten identifizieren: Listen Sie die EU-Mitgliedstaaten auf, in denen sich Ihre betroffenen Personen befinden. Ihr Vertreter muss in mindestens einem dieser Länder ansässig sein.
3. Anbieter auswählen: Vergleichen Sie veröffentlichte Leistungen, Preise und Bedingungen. Fordern Sie die Benennungsvorlage an, um sicherzustellen, dass Artikel 27 Pflichten abgedeckt sind.
4. Versteckte Gebühren prüfen: Fragen Sie nach Gebühren pro Anfrage, Einrichtungsgebühren, Sprachsupport und Verlängerungspreisen.
5. Onboarding abschließen: Füllen Sie das Formular des Anbieters aus und geben Sie Firmendaten, Verarbeitungsumfang und Kontaktdaten an.
6. Gegenzeichnetes Mandat erhalten: Der Anbieter prüft Ihre Unterlagen und stellt ein unterzeichnetes Benennungsschreiben aus (REP27: innerhalb von 24 Stunden). Sie erhalten auch ein Zertifikat und einen Verifizierungscode.
7. Datenschutzhinweis aktualisieren: Fügen Sie Name, Adresse und Kontaktdaten des Vertreters gemäß Artikel 13(1)(a) in Ihren Datenschutzhinweis ein.
8. Compliance-Dokumente aufbewahren: Bewahren Sie das unterzeichnete Mandat, Zertifikat und Artikel 30 Verzeichnis für Prüfungen auf. Veröffentlichen Sie nicht das vollständige Mandat oder kommerzielle Bedingungen.
9. Fortlaufender Betrieb: Der Anbieter protokolliert und leitet Anfragen von Betroffenen und Behörden innerhalb der vereinbarten Frist weiter. Bei REP27 sind das zwei Werktage (oder am selben Tag für Behörden bei Standard/Multi).
10. Verlängern oder kündigen: Überwachen Sie Verlängerungsdaten und Kündigungsbedingungen. REP27 erlaubt Kündigung vor Verlängerung und stellt eine schriftliche Bestätigung aus.

Dieser Prozess stellt sicher, dass Sie die Anforderungen von Artikel 27 erfüllen und für Prüfungen oder behördliche Anfragen vorbereitet sind.

Risiken und Bußgelder bei Nicht-Einhaltung

Die Benennung eines EU-Vertreters ist für die meisten Nicht-EU-Unternehmen, die personenbezogene Daten der EU verarbeiten, nicht optional. Die Risiken bei Nicht-Einhaltung sind erheblich:

• Eigenständiger Verstoß: Das Versäumnis, einen Vertreter zu benennen, stellt einen Verstoß nach Artikel 83(4)(a) GDPR dar, unabhängig davon, ob ein Datenverstoß vorliegt.
• Bußgelder: Aufsichtsbehörden können Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Wert höher ist. Beispielsweise wurde Locatefamily.com von der niederländischen Behörde mit 525.000 € bestraft, weil kein Vertreter benannt wurde.
• Direkte Durchsetzung: Die Benennung eines Vertreters schützt Ihr Unternehmen nicht vor Durchsetzungsmaßnahmen oder Haftung. Behörden können weiterhin direkt gegen Ihr Unternehmen vorgehen (Artikel 27(5)).
• Betriebsrisiko: Ohne Vertreter könnten Sie nicht in der Lage sein, Anfragen von Betroffenen oder Behörden zeitgerecht zu beantworten, was zu weiteren Strafen und Reputationsschäden führt.

Um diese Risiken zu mindern, stellen Sie sicher, dass Ihr Anbieter ein gegenzeichnetes Mandat ausstellt, Ihr Artikel 30 Verzeichnis (falls erforderlich) führt und sich verpflichtet, Anfragen innerhalb einer festgelegten Frist weiterzuleiten. Bewahren Sie alle Dokumente für Prüfungen auf. Wenn Ihr Anbieter nicht für Ihr Unternehmen tätig werden kann (z.B. wegen verbotener Tätigkeiten), sollte er Ihnen den Betrag vollständig zurückerstatten und dies schriftlich bestätigen, wie REP27 es tut.

Was Anbieter meist nicht sagen

Viele GDPR-Vertreteranbieter geben die Einschränkungen und Ausschlüsse ihrer Leistungen nicht vollständig an. Häufige Auslassungen sind:

• Nur Postweiterleitung: Einige Einstiegsangebote sind lediglich eine Postadresse, kein echtes Mandat nach Artikel 27. Diese erfüllen nicht die GDPR-Anforderungen.
• Gebühren pro Anfrage: Niedrige Jahresgebühren können hohe Gebühren pro Anfrage verbergen, was den Service teuer macht, wenn Sie mehrere Anfragen erhalten.
• Keine Aufzeichnungen geführt: Manche Anbieter führen Ihr Artikel 30 Verzeichnis nicht, was für die Compliance erforderlich ist. Prüfen Sie immer, wer das Verzeichnis führt und vorlegt.
• Automatische Verlängerungen und Preiserhöhungen: Viele Anbieter erhöhen die Preise nach dem ersten Jahr oder verlängern automatisch ohne klare Benachrichtigung. Fragen Sie immer schriftlich nach dem Preis für das zweite Jahr.
• Haftungsbeschränkungen: Der Vertreter haftet nicht für Ihre GDPR-Verstöße. Artikel 27(5) macht klar, dass Ihr Unternehmen weiterhin voll verantwortlich bleibt.
• Kündigung und Übergabe: Prüfen Sie, was mit offenen Anfragen und Aufzeichnungen passiert, wenn Sie den Anbieter wechseln oder kündigen. REP27 regelt schriftliche Bestätigung und Übergabeverfahren.

Lesen Sie immer die Leistungsbeschreibung und das Mandat sorgfältig. Fordern Sie alle Bedingungen schriftlich an, bevor Sie sich verpflichten, und klären Sie, was enthalten, ausgeschlossen oder gebührenpflichtig ist.

Checkliste: Wie Sie heute einen GDPR-Vertreter benennen

1. Bestätigen Sie, ob Sie ein Nicht-EU-Verantwortlicher oder Auftragsverarbeiter sind, der unter Artikel 3(2) GDPR fällt.
2. Ermitteln Sie, in welchen EU-Ländern sich Ihre betroffenen Personen befinden.
3. Erstellen Sie eine Liste von Anbietern, die ein schriftliches Mandat nach Artikel 27 anbieten.
4. Fordern Sie die Benennungsvorlage an und prüfen Sie diese.
5. Prüfen Sie versteckte Gebühren und Verlängerungsbedingungen.
6. Schließen Sie das Onboarding ab und erhalten Sie gegenzeichnete Dokumente.
7. Aktualisieren Sie Ihren Datenschutzhinweis mit den Kontaktdaten des Vertreters.
8. Bewahren Sie das unterzeichnete Mandat und Zertifikat für Prüfungen auf.
9. Stellen Sie sicher, dass Ihr Artikel 30 Verzeichnis geführt und zugänglich ist, falls erforderlich.
10. Behalten Sie Verlängerungsdaten und Kündigungsbedingungen im Blick, um unerwünschte Kosten zu vermeiden.

Diese Checkliste hilft Ihnen, Compliance zu erreichen und aufrechtzuerhalten, Bußgelder zu vermeiden und effizient auf Anfragen von Betroffenen und Behörden zu reagieren.

Realistische Szenarien: Wer braucht was?

• US-SaaS mit EU-Geschäfts- und Privatkunden: Muss nach Artikel 27 einen EU-Vertreter benennen. Der Standard-Tarif von REP27 deckt alle Anforderungen ab: schriftliches Mandat, unbegrenzte Weiterleitung von Anfragen, Aufzeichnungsmanagement und mehrsprachigen Support. Der Basis-Tarif eignet sich für geringes Anfragevolumen, Standard wird für die meisten SaaS empfohlen.
• Chinesischer Amazon-Verkäufer auf EU-Marktplätzen: Benötigt sowohl einen EU GDPR-Vertreter (für Datenschutz) als auch für Produktkonformität einen GPSR-Verantwortlichen. Der Multi-Tarif von REP27 umfasst beide Rollen mit einer Bestellung und einem Verlängerungsdatum, was die Compliance für Verkäufer auf Amazon, Etsy oder eBay vereinfacht.
• UK-Online-Shop mit EU-Kunden: Nach dem Brexit müssen britische Unternehmen, die Waren oder Dienstleistungen in der EU anbieten, einen EU-Vertreter benennen. REP27 Basis oder Standard ist je nach Anfragevolumen und Bedarf an Aufzeichnungsmanagement geeignet. Bei Verkauf von CE-gekennzeichneten Waren empfiehlt sich der Multi-Tarif für kombinierte Vertretung.

In jedem Szenario ist der einfachste konforme Weg, einen Anbieter zu benennen, der ein unterzeichnetes Mandat ausstellt, Ihre Aufzeichnungen (falls erforderlich) führt und klare, verifizierbare Dokumente für Prüfungen und Kunden bereitstellt.