REP27 · Brauche ich einen
Artikel 3(2) · Artikel 27 DSGVO
Vier Fragen entscheiden darüber, und keine davon betrifft Ihre Größe, Ihren Umsatz oder wie viele europäische Kunden Sie haben. Der Test ist territorial: Wo Ihr Unternehmen ansässig ist und ob das, was Sie tun, Menschen innerhalb der Union erreicht. Lesen Sie das Diagramm und dann, warum die Ausnahme am Ende fast nie zutrifft.
Ansässigkeit bedeutet eine echte und effektive Tätigkeit durch stabile Arrangements — nicht, wo Ihr Unternehmen auf dem Papier registriert ist, und nicht, wo Ihre Server stehen.
Ein in Delaware eingetragenes Unternehmen mit einem Verkaufsbüro in Dublin ist in der Union ansässig und benötigt keinen Vertreter. Ein in Irland eingetragenes Unternehmen, dessen gesamte Tätigkeit von São Paulo aus läuft, könnte dennoch betroffen sein. Erwägungsgrund 22 stellt klar, dass die Rechtsform nicht entscheidend ist: Ein einzelner Agent mit ausreichender Stabilität kann eine Ansässigkeit darstellen, während ein Firmenschild dies nicht kann.
Wenn Sie keine Niederlassung, Tochtergesellschaft, Büro oder festangestellten Mitarbeiter in einem Mitgliedstaat haben, betrachten Sie sich als außerhalb und gehen Sie zu Frage zwei.
Nicht "Haben Sie EU-Kunden" — "Richtet sich Ihr Angebot an sie". Die Absicht zählt, und sie wird anhand von Beweisen beurteilt.
Erwägungsgrund 23 listet die Signale auf: Verwendung einer Sprache oder Währung eines Mitgliedstaates, Nennung von Kunden oder Nutzern in der Union, Angebot von Versand zu europäischen Adressen, Betrieb einer EU-spezifischen Domain, Kauf von Werbung, die auf europäische Zielgruppen ausgerichtet ist. Jedes dieser Signale macht das Angebot gerichtet. Eine einzige unaufgeforderte Bestellung eines belgischen Kunden auf einer englischsprachigen Seite, die in Dollar preislich angegeben ist und keine EU-Versandoption bietet, tut dies nicht.
Das Angebot muss nicht bezahlt werden. Eine kostenlose App, eine kostenlose Testversion, ein kostenloser Newsletter und ein kostenloses Web-Tool sind in diesem Sinne alle Dienstleistungen.
Dies ist der Punkt, den die meisten Unternehmen übersehen, da er Unternehmen erfasst, die überhaupt nichts in Europa verkaufen.
Erwägungsgrund 24 definiert Überwachung als das Verfolgen von Personen im Internet und das anschließende Profilieren, insbesondere um Entscheidungen zu treffen oder Vorlieben und Verhalten vorherzusagen. In der Praxis umfasst dies Werbe-Pixel, Remarketing-Zielgruppen, plattformübergreifende Analysen mit Benutzeridentifikatoren, Sitzungsaufzeichnungen und Heatmaps, cookie-basierte Personalisierung und App-SDKs, die die Nutzung an Sie zurückmelden.
Artikel 27(2)(a) befreit die Verarbeitung, die gelegentlich ist, keine großangelegten besonderen Kategorien oder strafrechtlichen Daten umfasst und voraussichtlich kein Risiko für Rechte und Freiheiten darstellt. Alle drei Bedingungen müssen zusammen erfüllt sein.
| Situation | Gelegentlich? | Befreit? |
|---|---|---|
| Online-Shop mit einer Kundendatenbank | Nein — kontinuierlich | Nein |
| SaaS-Produkt mit EU-Nutzern | Nein — kontinuierlich | Nein |
| Website, die Analysen zu EU-Besuchern durchführt | Nein — kontinuierlich | Nein |
| Newsletter mit europäischen Abonnenten | Nein — laufende Speicherung | Nein |
| Einmaliger Scan eines Konferenzausweises, nach der Veranstaltung gelöscht | Ja | Möglicherweise |
Die EDPB-Leitlinien 3/2018 lesen "gelegentlich" eng: Verarbeitung, die nicht regelmäßig durchgeführt wird und außerhalb des gewöhnlichen Geschäftsablaufs erfolgt. Alles, was absichtlich in einem CRM sitzt, fällt darunter.
Unvereinbar gemäß EDPB-Leitlinien 3/2018. Der DSB muss unabhängig sein; der Vertreter handelt nach Ihren Anweisungen.
Theoretisch möglich, aber in der Praxis ein Konflikt: Ihr Auftragsverarbeiter kann einer Behörde nicht glaubwürdig über Ihre eigene Compliance Auskunft geben.
Ein Postfach oder ein virtuelles Büro ohne bevollmächtigte Person ist keine Benennung. Artikel 27(1) verlangt eine Partei, die die Rolle schriftlich akzeptiert.
Der Vertreter muss in einem Mitgliedstaat ansässig sein, in dem sich Ihre betroffenen Personen befinden. Nach dem Brexit kann ein britisches Unternehmen Sie in der EU nicht vertreten.
Nein. Artikel 27(1) verlangt eine schriftliche Benennung einer spezifischen in der Union ansässigen Entität. Ein Absatz, der besagt, dass Sie die GDPR einhalten, benennt niemanden, sodass es keinen Vertreter und keinen Ansprechpartner für betroffene Personen gibt.
Es kann. Artikel 3(2)(b) deckt das Verhalten von Nutzern ab, und Analysen, Werbe-Pixel, Sitzungsaufzeichnungen und Remarketing, die auf Personen in der Union abzielen, zählen alle. Nichts zu verkaufen, befreit Sie nicht, wenn Sie europäische Besucher profilieren.
Jeder, der in der Union ansässig ist, kann benannt werden, einschließlich einer Kanzlei oder eines Distributors, vorausgesetzt, sie akzeptieren das Mandat schriftlich. In der Praxis lehnen die meisten ab: Die Rolle bringt direkte Exposition gegenüber Aufsichtsbehörden mit sich und erfordert die Führung Ihres Artikels 30-Dokuments.
Nein. Die EDPB-Leitlinien 3/2018 besagen, dass die beiden Rollen unvereinbar sind, da der DSB unabhängig handeln muss, während der Vertreter nach den Anweisungen des Verantwortlichen handelt. Ein Organ kann nicht beide Rollen innehaben.
Bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist, gemäß Artikel 83(4)(a). Es handelt sich um einen eigenständigen Verstoß: Behörden haben Unternehmen allein wegen der fehlenden Benennung Geldstrafen auferlegt, ohne dass ein zugrunde liegender Datenverstoß vorlag.
Nein, und das ist die häufigste Fehlinterpretation. Angemessenheit regelt, ob Daten ohne zusätzliche Schutzmaßnahmen in Ihr Land übertragen werden dürfen. Artikel 27 regelt, ob jemand innerhalb der Union kontaktiert werden kann. Japan, das Vereinigte Königreich, Kanada und die Schweiz haben alle Angemessenheit, und ihre Unternehmen benötigen dennoch einen Vertreter.
Selten. Artikel 27(2)(a) verlangt, dass die Verarbeitung gelegentlich, geringes Risiko, frei von besonderen Kategorien von Daten und unwahrscheinlich ist, dass sie ein Risiko für Rechte und Freiheiten darstellt — alle vier gleichzeitig. Ein Geschäft mit einer Kundendatenbank, einem Newsletter oder Analysen erfüllt bereits die erste Bedingung nicht.
Ja, wenn Sie Personen im Vereinigten Königreich ansprechen. Seit 2021 ist die UK GDPR ein separates Regime mit einem eigenen Regulierer, und ein Vertreter, der in einem Mitgliedstaat ansässig ist, hat vor ihr keine Geltung. Die beiden Benennungen werden separat erteilt.
Verwandt: was ein Artikel 27 Vertreter kostet · GPSR verantwortliche Person für Amazon-Verkäufer
Wir lesen Ihre öffentliche Datenschutzmitteilung und sagen Ihnen in zehn Sekunden, ob bereits ein Vertreter benannt ist. Wenn ja, sagen wir das, und Sie schließen den Tab.
Führen Sie die kostenlose Überprüfung durch Preise anzeigen