Wie moet een GDPR-vertegenwoordiger in de EU aanstellen?

• Artikel 27 GDPR vereist dat de meeste niet-EU ondernemingen die EU-gegevens verwerken een EU-vertegenwoordiger aanstellen.
• Uitzonderingen: occasionele, laag-risico verwerking of activiteiten gerelateerd aan nationale veiligheid/defensie.
• De vertegenwoordiger moet gevestigd zijn in een EU-lidstaat waar de gegevenssubjecten zich bevinden.
• Contactgegevens moeten aan gegevenssubjecten en autoriteiten worden verstrekt.
• Niet-naleving kan leiden tot boetes tot €10 miljoen of 2% van de wereldwijde omzet.
• Providers bieden verschillende serviceniveaus: alleen adres, volledige volmacht of juridische retainer.
• Prijzen variëren sterk; verborgen kosten per verzoek of bij verlenging komen vaak voor.

Bijgewerkt 16 October 2026 · 8 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 16 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat Artikel 27 GDPR vereist

Artikel 27 van de GDPR stelt een duidelijke verplichting vast: iedere verwerkingsverantwoordelijke of verwerker die niet in de EU is gevestigd, maar valt onder Artikel 3(2) (goederen of diensten aanbieden aan personen in de EU of hun gedrag monitoren), moet schriftelijk een vertegenwoordiger in de EU aanstellen voordat enige gegevensverwerking begint. Deze regel zorgt ervoor dat EU-gegevenssubjecten en toezichthoudende autoriteiten een lokaal aanspreekpunt hebben voor privacyzaken, ook als het bedrijf zelf buiten de EU is gevestigd.

Er zijn belangrijke uitzonderingen. Artikel 27 is niet van toepassing als:

• Uw verwerking slechts occasioneel is, geen grootschalige verwerking van bijzondere categorieën van gegevens omvat, en waarschijnlijk geen risico vormt voor de rechten en vrijheden van individuen.
• Uw activiteiten gerelateerd zijn aan nationale veiligheid of defensie.

De vertegenwoordiger moet gevestigd zijn in een van de EU-lidstaten waar de gegevenssubjecten van wie u gegevens verwerkt zich bevinden. De aanstelling moet schriftelijk gebeuren en de vertegenwoordiger moet gemachtigd zijn om namens u op te treden met betrekking tot GDPR-verplichtingen. De contactgegevens van de vertegenwoordiger moeten aan zowel gegevenssubjecten als toezichthouders worden verstrekt en gepubliceerd in uw privacyverklaring.

Niet-naleving is een zelfstandige overtreding onder Artikel 83(4)(a), bestrafbaar met boetes tot €10 miljoen of 2% van de wereldwijde omzet. De Nederlandse autoriteit legde Locatefamily.com een boete van €525.000 op voor deze overtreding. De vertegenwoordiger fungeert niet als schild: Artikel 27(5) verduidelijkt dat het aanstellen van een vertegenwoordiger geen acties tegen uw bedrijf zelf voorkomt.

• Inbegrepen / Niet inbegrepen / Extra kosten tabel

Hoe kiest u een GDPR-vertegenwoordiger

Het kiezen van de juiste GDPR-vertegenwoordiger is cruciaal voor naleving en operationele efficiëntie. Providers bieden drie hoofdserviceniveaus:

• Niveau 1: Alleen adres – Een eenvoudige postdoorzendservice. Geen volmacht, geen registers, geen GDPR-specifieke verplichtingen. Het goedkoopst, maar niet conform Artikel 27.
• Niveau 2: Aanstelling – Een schriftelijke volmacht, certificaat, verzoekenbalie en beheer van Artikel 30 registers. Dit is wat Artikel 27 verwacht: de provider accepteert de rol en verantwoordelijkheden schriftelijk, houdt registers bij en verbindt zich tot het doorsturen van verzoeken binnen een vaste termijn.
• Niveau 3: Juridische retainer – Een advocatenkantoor fungeert als vertegenwoordiger en biedt ook juridisch advies. Dit is kostbaar en alleen nodig als u doorlopend juridisch advies wilt, wat geen onderdeel is van de Artikel 27 rol.

Bij het vergelijken van providers, vraag:

• Accepteert de volmacht expliciet de taken onder Artikel 27?
• Wie beheert het Artikel 30 register en hoe wordt dit aan autoriteiten getoond?
• Wat is de reactietijd voor het doorsturen van verzoeken van autoriteiten?
• Zijn er kosten per verzoek of bij verlenging?
• Is meertalige ondersteuning beschikbaar?

Sommige providers, zoals REP27, verstrekken binnen 24 uur een ondertekende aanstellingsbrief en certificaat, met meertalige ondersteuning en geen kosten per verzoek op Standaard- en Multi-abonnementen. Andere rekenen per verzoek of bieden alleen een doorzendadres, wat niet voldoet aan GDPR-eisen.

Beslissingsmatrix:

Vraag altijd de aanstellingssjabloon van de provider op voordat u betaalt. Als deze de taken onder Artikel 27 niet vermeldt en accepteert, koopt u geen conforme dienst.

Wat de prijs echt omvat

De prijzen voor GDPR-vertegenwoordigers variëren van minder dan €300 tot ruim boven €2.000 per jaar. Deze variatie weerspiegelt de reikwijdte van wat daadwerkelijk wordt geleverd. Een lage prijs kan alleen een postadres dekken, terwijl een hogere prijs een volledige volmacht, verzoekenbalie en registerbeheer kan omvatten. Belangrijke inbegrepen onderdelen om te controleren:

• Schriftelijke acceptatie van Artikel 27 taken: De provider moet formeel de rol en verplichtingen schriftelijk accepteren.
• Certificaat en publieke verificatie: Een verifieerbaar certificaat biedt zekerheid aan klanten, auditors en autoriteiten. REP27 levert een QR-gecodeerd certificaat en publieke verificatiepagina.
• Meertalig verzoekenbeheer: Essentieel voor pan-EU dekking. REP27 biedt 8 talen vanaf het Standaard-abonnement.
• Beheer van Artikel 30 registers: De provider moet uw registers bijhouden en aan autoriteiten kunnen tonen. Dit is inbegrepen in REP27’s Standaard en Multi abonnementen.
• Kosten per verzoek of prijsverhogingen bij verlenging: Sommige providers rekenen €25–€90 per verzoek of verhogen prijzen na het eerste jaar. REP27 rekent geen kosten per verzoek op het Standaard-abonnement en verlengingsprijzen dalen vanaf jaar twee.

Vergelijk wat elk abonnement omvat, niet alleen de kopprijs. Bijvoorbeeld, REP27’s Basis-abonnement dekt tot 10 verzoeken per jaar, terwijl Standaard en Multi onbeperkte verzoeken en registerbeheer bieden. Veel concurrenten publiceren niet alle details of vereisen dat u deze opvraagt.

Vraag altijd schriftelijk naar de prijs voor verlenging in jaar twee, aangezien introductiekortingen gebruikelijk zijn. Voor bedrijven die gecombineerde EU- en UK-vertegenwoordiging nodig hebben, bieden sommige providers (inclusief REP27) beide diensten aan, soms met korting.

Verborgen kosten en uitsluitingen

Veel providers adverteren lage jaarlijkse kosten maar rekenen aanzienlijke extra kosten voor essentiële diensten. Veelvoorkomende verborgen kosten zijn:

• Kosten per verzoek van gegevenssubjecten: Sommige providers rekenen €25–€90 per verzoek, wat snel hoger kan zijn dan het jaarlijkse abonnement als u meerdere verzoeken per maand ontvangt.
• Setup- of onboardingkosten: Eenmalige kosten van €0–€250 komen vaak voor. REP27 neemt setupkosten op in het jaarlijkse tarief.
• Extra taalondersteuning: Instapabonnementen dekken vaak alleen Engels. REP27’s Standaard en Multi abonnementen omvatten 8 talen.
• Beheer van Artikel 30 registers: Sommige providers rekenen €100–€400 per jaar voor het bijhouden en tonen van registers. REP27 is dit inbegrepen in Standaard en Multi.
• Prijsverhogingen bij verlenging: Sommige providers verhogen prijzen na het eerste jaar. REP27 verlaagt verlengingskosten tot €240/€390/€690 vanaf jaar twee.

Juridisch advies, DPO-diensten en compliance audits zijn niet inbegrepen bij REP27 of de meeste concurrenten. REP27 beantwoordt verzoeken niet inhoudelijk; zij sturen deze door naar u. De aanstelling voorkomt geen directe handhaving tegen uw bedrijf.

Providers benadrukken deze uitsluitingen en extra kosten zelden in hun marketing. Lees altijd de volmacht en servicevoorwaarden zorgvuldig voordat u tekent. Vraag specifiek naar kosten per verzoek, verlengingsprijzen en wat er gebeurt bij wijziging of beëindiging van de dienst.

Hoe de aanstelling werkt: stap voor stap

1. Beoordeel toepasbaarheid: Bepaal of u een niet-EU verantwoordelijke of verwerker bent die valt onder Artikel 3(2) GDPR (goederen/diensten aanbieden aan of monitoren van personen in de EU).
2. Identificeer doellanden: Maak een lijst van EU-lidstaten waar uw gegevenssubjecten zich bevinden. Uw vertegenwoordiger moet in ten minste één van deze landen gevestigd zijn.
3. Maak een shortlist van providers: Vergelijk gepubliceerde diensten, prijzen en voorwaarden. Vraag de aanstellingssjabloon op om te controleren of Artikel 27 verplichtingen worden gedekt.
4. Controleer verborgen kosten: Vraag naar kosten per verzoek, onboardingkosten, taalondersteuning en verlengingsprijzen.
5. Voltooi onboarding: Vul het formulier van de provider in met bedrijfsgegevens, verwerkingsomvang en contactinformatie.
6. Ontvang tegenondertekende volmacht: De provider beoordeelt uw dossier en verstrekt een ondertekende aanstellingsbrief (REP27: binnen 24 uur). U ontvangt ook een certificaat en verificatiecode.
7. Werk privacyverklaring bij: Voeg naam, adres en contactgegevens van de vertegenwoordiger toe zoals vereist door Artikel 13(1)(a).
8. Bewaar nalevingsdocumenten: Bewaar de ondertekende volmacht, het certificaat en het Artikel 30 register voor audits. Publiceer de volledige volmacht of commerciële voorwaarden niet.
9. Operationeel beheer: De provider registreert en stuurt verzoeken van gegevenssubjecten en autoriteiten binnen de afgesproken termijn door. Voor REP27 is dit binnen twee werkdagen (of dezelfde dag voor autoriteiten bij Standaard/Multi).
10. Verleng of beëindig: Houd verlengingsdata en annuleringsvoorwaarden in de gaten. REP27 staat annulering voor verlenging toe en verstrekt schriftelijke bevestiging.

Dit proces zorgt ervoor dat u voldoet aan Artikel 27 en voorbereid bent op audits of toezichthoudende onderzoeken.

Risico's en boetes bij niet-naleving

Het aanstellen van een EU-vertegenwoordiger is voor de meeste niet-EU bedrijven die EU-persoonsgegevens verwerken niet optioneel. De risico's van niet-naleving zijn aanzienlijk:

• Zelfstandige overtreding: Het niet aanstellen van een vertegenwoordiger is een overtreding onder Artikel 83(4)(a) GDPR, ongeacht of er een datalek heeft plaatsgevonden.
• Boetes: Toezichthouders kunnen boetes opleggen tot €10 miljoen of 2% van uw totale wereldwijde jaaromzet, afhankelijk van wat hoger is. Bijvoorbeeld, Locatefamily.com kreeg een boete van €525.000 door de Nederlandse autoriteit wegens het niet aanstellen van een vertegenwoordiger.
• Directe handhaving: Het aanstellen van een vertegenwoordiger beschermt uw bedrijf niet tegen handhaving of aansprakelijkheid. Autoriteiten kunnen nog steeds direct tegen uw bedrijf optreden (Artikel 27(5)).
• Operationeel risico: Zonder vertegenwoordiger kunt u mogelijk niet tijdig reageren op verzoeken van gegevenssubjecten of toezichthouders, wat kan leiden tot verdere sancties en reputatieschade.

Om deze risico's te beperken, zorg dat uw provider een tegenondertekende volmacht verstrekt, uw Artikel 30 register beheert (indien vereist) en zich verbindt tot het doorsturen van verzoeken binnen een vaste termijn. Bewaar alle documentatie voor audits. Als uw provider niet voor uw bedrijf kan optreden (bijvoorbeeld vanwege verboden activiteiten), moet deze u volledig terugbetalen en schriftelijke bevestiging geven, zoals REP27 doet.

Wat providers meestal niet zeggen

Veel GDPR-vertegenwoordigers geven niet volledig inzicht in de beperkingen en uitsluitingen van hun diensten. Veelvoorkomende weglatingen zijn:

• Alleen postdoorzending: Sommige instapaanbiedingen zijn slechts een postadres, geen echte Artikel 27 volmacht. Deze voldoen niet aan GDPR-eisen.
• Kosten per verzoek: Lage jaarlijkse kosten kunnen hoge kosten per verzoek verbergen, wat de dienst duur maakt bij meerdere verzoeken.
• Registers niet beheerd: Sommige providers houden uw Artikel 30 register niet bij, wat vereist is voor naleving. Controleer altijd wie het register beheert en produceert.
• Automatische verlengingen en prijsstijgingen: Veel providers verhogen prijzen na het eerste jaar of verlengen automatisch zonder duidelijke kennisgeving. Vraag altijd schriftelijk naar de prijs in jaar twee.
• Aansprakelijkheidsbeperkingen: De vertegenwoordiger is niet aansprakelijk voor uw GDPR-overtredingen. Artikel 27(5) maakt duidelijk dat uw bedrijf volledig verantwoordelijk blijft.
• Beëindiging en overdracht: Controleer wat er gebeurt met lopende verzoeken en registers bij wijziging of beëindiging van de provider. REP27 specificeert schriftelijke bevestiging en overdrachtsprocedures.

Lees altijd de servicebeschrijving en volmacht zorgvuldig. Vraag alle voorwaarden schriftelijk op voordat u zich verbindt en verduidelijk wat inbegrepen, uitgesloten en onderhevig aan extra kosten is.

Checklist: Hoe vandaag een GDPR-vertegenwoordiger aan te stellen

1. Bevestig of u een niet-EU verantwoordelijke of verwerker bent die valt onder Artikel 3(2) GDPR.
2. Identificeer in welke EU-landen uw gegevenssubjecten zich bevinden.
3. Maak een shortlist van providers die een schriftelijke Artikel 27 volmacht aanbieden.
4. Vraag en beoordeel de aanstellingssjabloon.
5. Controleer op verborgen kosten en verlengingsvoorwaarden.
6. Voltooi onboarding en ontvang tegenondertekende documenten.
7. Werk uw privacyverklaring bij met contactgegevens van de vertegenwoordiger.
8. Bewaar de ondertekende volmacht en het certificaat voor audits.
9. Zorg dat uw Artikel 30 register wordt beheerd en toegankelijk is indien vereist.
10. Houd verlengingsdata en annuleringsvoorwaarden in de gaten om ongewenste kosten te voorkomen.

Het volgen van deze checklist helpt u om naleving te bereiken en te behouden, boetes te vermijden en efficiënt te reageren op verzoeken van gegevenssubjecten en autoriteiten.

Realistische scenario's: wie heeft wat nodig?

• Amerikaanse SaaS die aan EU-bedrijven en consumenten verkoopt: Moet een EU-vertegenwoordiger aanstellen volgens Artikel 27. Het Standaard-abonnement van REP27 dekt alle vereisten: schriftelijke volmacht, onbeperkt doorsturen van verzoeken, registerbeheer en meertalige ondersteuning. Het Basis-abonnement is geschikt voor laag volume, maar Standaard wordt aanbevolen voor de meeste SaaS.
• Chinese Amazon-verkoper die op EU-marktplaatsen verkoopt: Heeft zowel een EU GDPR-vertegenwoordiger (voor gegevensbescherming) als voor productnaleving een GPSR verantwoordelijke nodig. REP27’s Multi-abonnement dekt beide rollen met één bestelling en één verlengingsdatum, wat naleving voor verkopers op Amazon, Etsy of eBay vereenvoudigt.
• UK online winkel met EU-klanten: Na Brexit moeten Britse bedrijven die goederen of diensten aan de EU aanbieden een EU-vertegenwoordiger aanstellen. REP27’s Basis of Standaard abonnement is geschikt, afhankelijk van het volume aan verzoeken van gegevenssubjecten en de behoefte aan registerbeheer. Bij verkoop van CE-gemarkeerde goederen is het Multi-abonnement aan te raden voor gecombineerde vertegenwoordiging.

In elk scenario is de eenvoudigste conforme route het aanstellen van een provider die een ondertekende volmacht afgeeft, uw registers beheert (indien vereist) en duidelijke, verifieerbare documentatie voor audits en klanten levert.