REP27
Art. 27 DSGVO verpflichtet nicht jedes Unternehmen außerhalb der EU zur Benennung eines EU-Vertreters. Die Pflicht greift nur, wenn zwei Bedingungen gleichzeitig erfüllt sind: Das Unternehmen hat keine Niederlassung in der EU, und es bietet Personen in der EU Waren oder Dienstleistungen an oder beobachtet deren Verhalten — so bestimmt es Art. 3 Abs. 2 DSGVO.
Wann besteht keine Pflicht?
Keine Vertretungspflicht besteht bei gelegentlicher Verarbeitung ohne Risiko für betroffene Personen. Ebenso ausgenommen sind Unternehmen, die ausschließlich für Behörden tätig sind. Diese Ausnahmen sind jedoch eng gefasst: Wer eine Website betreibt, die sich erkennbar an Nutzer in der EU richtet — etwa durch eine europäische Sprache, EU-Währungen oder gezielte Werbung — fällt in aller Regel unter Art. 3 Abs. 2 DSGVO.
Was droht, wenn kein Vertreter benannt ist?
Das Fehlen eines EU-Vertreters ist nach Art. 83 Abs. 4 lit. a DSGVO eine eigenständige Verletzung. Die Aufsichtsbehörde muss keinen weiteren Datenschutzverstoß nachweisen. Das Bußgeld beträgt bis zu 10 Mio. EUR oder 2 % des gesamten weltweiten Jahresumsatzes. Die niederländische Datenschutzbehörde hat Locatefamily.com allein für das Fehlen eines Vertreters mit 525.000 EUR belegt.
Art. 27 Abs. 5 DSGVO stellt klar, dass die Bestellung eines Vertreters keine Schutzwirkung gegen Maßnahmen entfaltet, die direkt gegen das Unternehmen gerichtet sind. Der Vertreter ersetzt nicht die Verantwortlichkeit des Unternehmens selbst.
Was ein EU-Vertreter leisten muss
Der Vertreter muss in einem der 27 EU-Mitgliedstaaten ansässig sein und schriftlich bestellt werden. Er dient als Ansprechpartner für Aufsichtsbehörden und betroffene Personen. Er führt auf Anfrage das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO vor und leitet eingehende Anfragen weiter.
REP27 (Europe Services SE, Prag) deckt mit einer Bestellung den gesamten Europäischen Wirtschaftsraum ab — alle 27 EU-Mitgliedstaaten sowie Norwegen, Island und Liechtenstein. Die Bestellung erfolgt innerhalb von 24 Stunden mit unterzeichnetem Bestellungsschreiben, eIDAS-Signatur und öffentlich per QR-Code prüfbarem Zertifikat. Die Pläne beginnen bei 290 EUR/Jahr (exkl. MwSt.). Ein 7-tägiger Test ist möglich, ohne dass eine Kreditkarte angegeben werden muss; die Bestellung ist ab dem ersten Tag gültig und prüfbar.
Das Wichtigste
- Art. 27 DSGVO gilt nur für Unternehmen ohne EU-Niederlassung, die Personen in der EU Waren oder Dienste anbieten oder deren Verhalten beobachten (Art. 3 Abs. 2 DSGVO).
- Das Fehlen eines Vertreters ist nach Art. 83 Abs. 4 lit. a DSGVO ein eigenständiger Verstoß — unabhängig von weiteren Datenschutzverletzungen.
- Die niederländische Aufsichtsbehörde hat Locatefamily.com allein für das Fehlen eines EU-Vertreters mit 525.000 EUR belegt.
- Ein einziger EU-Vertreter nach Art. 27 DSGVO deckt den gesamten EWR ab — separate Bestellungen für einzelne Mitgliedstaaten sind nicht erforderlich.
- Die Bestellung bei REP27 kostet ab 290 EUR/Jahr und wird innerhalb von 24 Stunden mit eIDAS-signiertem Schreiben und prüfbarem Zertifikat ausgestellt.
Häufige Fragen
Braucht jedes Unternehmen außerhalb der EU einen DSGVO-Vertreter?
Nein. Die Pflicht nach Art. 27 DSGVO gilt nur, wenn das Unternehmen keine Niederlassung in der EU hat und gleichzeitig Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet (Art. 3 Abs. 2 DSGVO). Bei rein gelegentlicher Verarbeitung ohne Risiko oder bei ausschließlicher Tätigkeit für Behörden entfällt die Pflicht.
Welches Bußgeld droht, wenn kein EU-Vertreter benannt ist?
Das Fehlen eines EU-Vertreters ist nach Art. 83 Abs. 4 lit. a DSGVO ein eigenständiger Verstoß. Die Höchststrafe beträgt 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes. Die niederländische Aufsichtsbehörde hat Locatefamily.com auf dieser Grundlage mit 525.000 EUR belegt.
Für welche Länder gilt ein EU-Vertreter nach Art. 27 DSGVO?
Ein einziger EU-Vertreter deckt alle 27 EU-Mitgliedstaaten ab. REP27 schließt im Rahmen seiner Pläne auch Norwegen, Island und Liechtenstein ein, ohne Aufpreis.
Wie schnell wird der EU-Vertreter bestellt?
REP27 (Europe Services SE) stellt die Bestellung innerhalb von 24 Stunden aus — mit unterzeichnetem Bestellungsschreiben nach Art. 27 Abs. 1 DSGVO, eIDAS-Signatur und öffentlich prüfbarem Zertifikat mit QR-Code.
Was kostet ein EU-Vertreter nach Art. 27 DSGVO?
Die Pläne von REP27 beginnen bei 290 EUR/Jahr (exkl. MwSt.). Ein 7-tägiger Test ist ohne Kreditkarte möglich; die Bestellung ist dabei ab dem ersten Tag gültig und von Behörden prüfbar.
