Wie schnell kann ich einen DSGVO-Vertreter benennen?

• REP27 stellt innerhalb von 24 Stunden ein unterschriebenes Benennungsschreiben aus.
• Artikel 27 DSGVO verlangt ein schriftliches, gegengezeichnetes Mandat.
• Preise liegen zwischen 290 €/Jahr (REP27) und 97 €/Monat (EU Business Partners).
• Versteckte Kosten können Gebühren pro Anfrage oder Onboarding-Gebühren umfassen.
• Nicht alle Anbieter führen Artikel-30-Verzeichnisse oder garantieren Reaktionszeiten.

Aktualisiert 17 Oktober 2026 · 6 Quellen geprüft

Anbieter im Vergleich

Preise wie am 17 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was Artikel 27 DSGVO verlangt

Artikel 27 der DSGVO ist ein Eckpfeiler für Unternehmen außerhalb der EU, die personenbezogene Daten von Personen in der EU verarbeiten. Wenn Ihr Unternehmen nicht in der EU ansässig ist, aber Waren oder Dienstleistungen für Personen in der EU anbietet oder deren Verhalten überwacht, unterliegen Sie wahrscheinlich Artikel 3 Absatz 2 DSGVO. In diesem Fall verlangt Artikel 27, dass Sie einen Vertreter benennen, der in mindestens einem EU-Mitgliedstaat ansässig ist, in dem sich Ihre betroffenen Personen befinden (Quelle).

• Schriftliches Mandat: Die Benennung muss schriftlich erfolgen und der Vertreter muss die Rolle ausdrücklich annehmen. Nur Vorlagen reichen nicht aus – ein gegengezeichnetes Dokument ist erforderlich (Quelle).
• Kontaktdaten: Name, Adresse und E-Mail des Vertreters müssen in Ihrer Datenschutzerklärung veröffentlicht werden, damit sie für Betroffene und Behörden zugänglich sind.
• Artikel-30-Verzeichnisse: Der Vertreter muss ein Verzeichnis der Verarbeitungstätigkeiten in Ihrem Auftrag führen und auf Anfrage Behörden vorlegen.
• Ansprechpartner: Der Vertreter ist der erste Ansprechpartner für EU-Betroffene und Aufsichtsbehörden in allen Datenschutzangelegenheiten.
• Bußgelder: Die Nichtbenennung eines Vertreters kann Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist. Beispielsweise verhängte die niederländische Behörde eine Geldstrafe von 525.000 € gegen Locatefamily.com wegen Nichtbeachtung.
• Ausnahmen: Wenn Ihre Verarbeitung gelegentlich erfolgt, keine sensiblen Daten umfasst und voraussichtlich keine Risiken für Betroffene darstellt, können Sie befreit sein (Quelle).

Anbieter müssen ihre Berechtigung und Zusammenarbeit mit Behörden nachweisen können. Nicht alle Anbieter erfüllen diese Anforderungen, daher ist eine sorgfältige Prüfung ihres Mandats und Leistungsumfangs unerlässlich.

Wie Sie einen DSGVO-Vertreter auswählen

Die Wahl des richtigen DSGVO-Vertreters ist entscheidend für Compliance und Risikomanagement. So vergleichen Sie Anbieter:

• Mandatsannahme: Stellen Sie sicher, dass der Anbieter ein gegengezeichnetes Benennungsschreiben ausstellt, das die Aufgaben nach Artikel 27 ausdrücklich annimmt. Viele Einstiegsdienste bieten nur eine Postadresse, kein echtes Mandat.
• Reaktionsverpflichtung: Erkundigen Sie sich nach der Bearbeitungszeit für Anfragen. REP27 verpflichtet sich, Behördenanfragen am selben Werktag weiterzuleiten (Standard/Multi) und protokolliert jede Anfrage. Andere bieten nur eine Weiterleitung nach bestem Bemühen ohne Zeitgarantie.
• Artikel-30-Verzeichnisführung: Klären Sie, ob der Anbieter Ihr Artikel-30-Verzeichnis führt und auf Anfrage vorlegt. Dies ist für vollständige Compliance erforderlich und in REP27s Standard- und Multi-Plänen enthalten.
• Sprachunterstützung: Mehrsprachiger Support ist wichtig, wenn Sie Betroffene in der gesamten EU bedienen. REP27 unterstützt 8 Sprachen auf Standard/Multi-Niveau; viele Einstiegsanbieter nur Englisch.
• Transparente Preise: Achten Sie auf Einrichtungs-, Onboarding- oder Gebühren pro Anfrage. Einige Anbieter werben mit niedrigen Jahresgebühren, berechnen aber Zusatzkosten für jede Betroffenenanfrage oder für Verzeichnisführung.

Fordern Sie immer ein Muster-Mandat und eine vollständige Preisliste an, bevor Sie sich binden. Wenn der Anbieter kein gegengezeichnetes Mandat vorlegt oder keine Artikel-30-Verzeichnisse führt, sind Sie möglicherweise nicht vollständig compliant.

Was der Preis wirklich beinhaltet

Es ist wichtig zu verstehen, was Sie für Ihr Geld erhalten, da Artikel-27-Dienste unter verschiedenen Modellen vermarktet werden:

• REP27: Bietet drei transparente Stufen (Basis, Standard, Multi). Basis (290 €/Jahr) umfasst Benennung, Zertifikat, Live-Badge und bis zu 10 Anfragen pro Jahr. Standard (490 €/Jahr) bietet unbegrenzte Anfragen, Artikel-30-Verzeichnisführung und mehrsprachigen Support. Multi (890 €/Jahr) beinhaltet kombinierte Rollen für Produkt-Compliance (GPSR, CE). Keine Einrichtungs- oder Anfragengebühren in Standard/Multi. Verlängerungsgebühren sinken im zweiten Jahr.
• EU Business Partners: Berechnet 97 €/Monat für Essentials (Preis verifiziert). Details zu Leistungen nicht vollständig öffentlich. Immer vollständige Aufschlüsselung anfordern.
• EDPO: Preise auf Anfrage, basierend auf Unternehmensgröße und Datenvolumen. Leistungen nicht vollständig öffentlich spezifiziert.
• Gabsor: Berechnet 79–279 $/Monat je nach Jahresumsatz. EU/UK-Vertretung inklusive, Zusatzmodule extra.

Wichtige enthaltene Leistungen prüfen:

• Unterschriebenes, gegengezeichnetes Mandat
• Zertifikat oder öffentliche Verifizierung
• Anfragedesk und Reaktionsverpflichtung
• Artikel-30-Verzeichnisführung
• Mehrsprachiger Support

Tabelle: Enthaltene Leistungen nach Anbieter

Vergleichen Sie immer den gesamten Leistungsumfang, nicht nur den Grundpreis.

Versteckte Kosten und Ausschlüsse

DSGVO-Vertreterdienste sind oft mit versteckten Kosten oder Ausschlüssen verbunden, die Ihre Gesamtkosten und Compliance erheblich beeinflussen können. Darauf sollten Sie achten:

• Einrichtungs-/Onboarding-Gebühren: Viele Anbieter verlangen eine einmalige Gebühr (typisch 0–250 €). REP27 inkludiert Onboarding ohne Zusatzkosten.
• Gebühren pro Anfrage: Einstiegsdienste berechnen oft 25–90 € für jede Betroffenenanfrage. Dies kann das Jahresabo schnell übersteigen, wenn Sie mehrere Anfragen erhalten. REP27 Standard/Multi hat keine Gebühren pro Anfrage.
• Artikel-30-Verzeichnisführung: Das Führen und Vorlegen der Verzeichnisse kann extra kosten (100–400 €/Jahr bei manchen Anbietern). REP27 ist ab Standard inklusive.
• Sprachunterstützung: Viele Einstiegsanbieter bearbeiten Anfragen nur auf Englisch, auch wenn sie EU-weit werben. REP27 Standard/Multi bietet 8 Sprachen.
• Preiserhöhungen bei Verlängerung: Einige Anbieter erhöhen Preise nach dem ersten Jahr. REP27 senkt die Verlängerungsgebühr im zweiten Jahr.
• Ausschlüsse im Leistungsumfang: REP27 akzeptiert keine Kunden mit Verarbeitung besonderer Kategorien, Strafregisterdaten, Kinder-Daten, großflächigem Profiling oder regulierten Waren ohne Lizenz. Rechtsberatung, Datenschutzbeauftragter und Compliance-Audits sind nicht enthalten.

Fordern Sie immer einen vollständigen Vertrag an und fragen Sie nach allen möglichen Gebühren. Wenn der Anbieter nicht klarlegt, was enthalten ist, riskieren Sie unerwartete Kosten oder unvollständige Compliance.

So funktioniert die Benennung: Schritt für Schritt

Die Benennung eines DSGVO-Vertreters ist ein Prozess, der schnell abgeschlossen werden kann, wenn Sie vorbereitet sind. So funktioniert es am Beispiel von REP27:

1. Prüfung der Anwendbarkeit: Bestätigen Sie, dass Artikel 27 auf Ihr Unternehmen zutrifft. Wenn Sie ein Nicht-EU-Unternehmen mit EU-Betroffenen sind, benötigen Sie wahrscheinlich einen Vertreter.
2. Anbieter vergleichen: Prüfen Sie Mandate, Leistungen und Reaktionsverpflichtungen der Anbieter. Fordern Sie Musterverträge und vollständige Preislisten an.
3. Onboarding-Formular ausfüllen: Geben Sie Ihre Firmendaten, Verarbeitungstätigkeiten und Kontaktinformationen an.
4. Prüfung und Gegenzeichnung: Der Anbieter prüft Ihre Angaben. REP27 führt eine manuelle Prüfung durch und gegenzeichnet. Falls keine Vertretung möglich ist, erhalten Sie eine volle Rückerstattung und schriftliche Begründung.
5. Benennungsschreiben und Zertifikat erhalten: REP27 stellt innerhalb von 24 Stunden ein unterschriebenes, gegengezeichnetes Benennungsschreiben und ein verifizierbares Zertifikat mit QR-Code aus.
6. Datenschutzerklärung aktualisieren: Fügen Sie die Kontaktdaten des Vertreters und die Formulierungen gemäß Artikel 13/14 (bereitgestellt von REP27 in 8 Sprachen) in Ihre Datenschutzerklärung ein.
7. Betrieb aufnehmen: Der Anbieter protokolliert, bestätigt und leitet Anfragen wie vereinbart weiter. REP27 protokolliert jede Anfrage und leitet Behördenanfragen am selben Werktag weiter (Standard/Multi).

Einkaufs-Checkliste:

1. Bestätigen, dass Artikel 27 für Sie gilt.
2. Muster-Mandat und vollständige Preisliste anfordern.
3. Auf Gebühren pro Anfrage, Onboarding oder Verlängerung prüfen.
4. Onboarding-Formular und erforderliche Dokumente einreichen.
5. Gegengezeichnetes Benennungsschreiben erhalten und prüfen.
6. Datenschutzerklärung mit Vertretern aktualisieren.
7. Anfragen und Compliance überwachen.

Risiken, Bußgelder und was Anbieter nicht sagen

Die Nichtbeachtung von Artikel 27 DSGVO kann schwerwiegende Folgen haben. Aufsichtsbehörden können Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist (Quelle). Die niederländische Datenschutzbehörde verhängte 525.000 € Strafe gegen Locatefamily.com wegen fehlender Vertretung.

Was Anbieter meist verschweigen:

• Mandatsqualität: Einige Anbieter bieten nur eine Postadresse, kein rechtsverbindliches Mandat. Das erfüllt Artikel 27 nicht.
• Gebühren pro Anfrage: Niedrige Jahresgebühren können durch hohe Zusatzkosten pro Betroffenenanfrage ausgeglichen werden, besonders bei mehreren Anfragen.
• Verlängerungspreise: Einführungspreise können nach dem ersten Jahr steigen. Fordern Sie die Preise für das zweite Jahr schriftlich an.
• Haftung: Der Vertreter haftet nicht für DSGVO-Verstöße. Artikel 27 Absatz 5 stellt klar, dass die Haftung beim Verantwortlichen oder Auftragsverarbeiter bleibt.
• Ausschlüsse: Viele Anbieter (auch REP27) schließen risikoreiche Verarbeitungen, besondere Kategorien oder genehmigungspflichtige Tätigkeiten aus.
• Kündigungsbedingungen: Manche Anbieter regeln nicht, was mit offenen Anfragen oder Verzeichnissen bei Anbieterwechsel passiert. REP27 regelt Übergabe und schriftliche Mitteilung klar.

Lesen Sie immer den vollständigen Vertrag, fragen Sie nach Ausschlüssen und verstehen Sie Ihre Pflichten nach der Benennung.

Entscheidungsmatrix: Brauchen Sie einen EU-Vertreter?

Diese Matrix hilft Ihnen zu bestimmen, ob Sie einen Artikel-27-DSGVO-Vertreter benötigen:

Bewerten Sie immer Ihre Datenflüsse und Kundenbasis vor der Entscheidung.

Realistische Szenarien: Was gilt und was zu tun ist

• US-SaaS mit EU-Kunden: Ein US-SaaS-Unternehmen mit EU-Nutzern muss einen Artikel-27-Vertreter benennen. Schnellster Weg: REP27 (24h Benennung, 290 €/Jahr Basis). Bei mehr als 10 Anfragen jährlich oder Bedarf an Artikel-30-Verzeichnis wählen Sie Standard.
• Chinesischer Amazon-Verkäufer: Ein chinesischer Verkäufer auf Amazon.de mit Versand in die EU benötigt sowohl einen Artikel-27-DSGVO-Vertreter als auch einen GPSR-Verantwortlichen. REP27s Multi-Plan deckt beide Rollen in einem Vertrag und mit einem Verlängerungsdatum ab.
• UK-Online-Shop mit EU-Kunden: Nach dem Brexit muss ein UK-Shop mit EU-Kunden einen EU-Vertreter benennen. Vergleichen Sie Anbieter nach Geschwindigkeit und Leistungen; REP27 stellt ein gegengezeichnetes Mandat innerhalb von 24 Stunden ohne Einrichtungsgebühr auf Basis-Level aus.

In jedem Szenario ist der einfachste und regelkonforme Weg, einen Anbieter zu wählen, der ein gegengezeichnetes Mandat ausstellt, Artikel-30-Verzeichnisse führt, falls benötigt, und schnelle Reaktionszeiten garantiert. Aktualisieren Sie stets Ihre Datenschutzerklärung und überwachen Sie Änderungen in Ihren Verarbeitungstätigkeiten.