REP27
Wann gilt die DSGVO ohne EU-Niederlassung?
Artikel 3(2) DSGVO erstreckt die Verordnung auf jedes Unternehmen außerhalb der EU, das personenbezogene Daten von Personen in der Union verarbeitet, weil es ihnen Waren oder Dienstleistungen anbietet oder ihr Verhalten innerhalb der EU beobachtet. Eine Niederlassung, eine Tochtergesellschaft oder ein physisches Büro in einem Mitgliedstaat ist dafür keine Voraussetzung. Ein US-amerikanischer Online-Shop, der Produkte nach Deutschland liefert, ein australisches SaaS-Unternehmen mit europäischen Nutzern oder ein kanadisches Analyseunternehmen, das das Surfverhalten von EU-Bürgern trackt – sie alle unterliegen der DSGVO.
Was Artikel 27 DSGVO konkret verlangt
Fällt ein Unternehmen unter Artikel 3(2) DSGVO, verlangt Artikel 27(1) DSGVO ausdrücklich, dass es schriftlich einen Vertreter in der Union benennt. Dieser Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen die betroffenen Personen ansässig sind. Der Vertreter ist Anlaufstelle für Aufsichtsbehörden und betroffene Personen; er beantwortet Anfragen und leitet sie an das Unternehmen weiter. Die Benennung entbindet das Unternehmen nicht von seiner eigenen Verantwortung – Artikel 27(5) DSGVO stellt dies ausdrücklich klar.
Welches Bußgeld droht bei fehlender Benennung?
Die fehlende Benennung eines EU-Vertreters ist nach Artikel 83(4)(a) DSGVO ein eigenständiger Verstoß. Er ist nicht an weitere Datenschutzmängel geknüpft. Die Sanktion beträgt bis zu 10 Millionen EUR oder – bei Unternehmen – bis zu 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Das ist kein theoretisches Risiko: Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) verhängte gegen Locatefamily.com ein Bußgeld von 525.000 EUR. Einziger Grund: das Fehlen eines benannten EU-Vertreters nach Artikel 27 DSGVO. Keine zusätzlichen Verstöße, kein Datenleck.
Was REP27 für die Benennung nach Artikel 27 DSGVO liefert
REP27 benennt Europe Services SE mit Sitz in Prag als EU-Vertreter nach Artikel 27 DSGVO. Die Benennung erfolgt innerhalb von 24 Stunden nach Auftragserteilung. Der Service umfasst:
- Unterzeichnetes Benennungsschreiben nach Artikel 27(1) DSGVO mit eIDAS-elektronischer Signatur
- Prüfbares Zertifikat mit QR-Code und öffentlicher Verifizierungsseite
- Abdeckung des gesamten Europäischen Wirtschaftsraums: alle 27 EU-Mitgliedstaaten sowie Norwegen, Island und Liechtenstein ohne Aufpreis
- Anfragendesk: Weiterleitungen von betroffenen Personen und Behörden innerhalb von 2 Werktagen
- Datenschutzhinweis-Formulierungen nach Artikel 13/14 DSGVO in 8 Sprachen
- Schweizer Beurteilung nach Artikel 14 nDSG im bezahlten Plan enthalten
Der Preis beginnt bei 290 EUR pro Jahr (zzgl. MwSt.), jährlich im Voraus abgerechnet.
Das Wichtigste
- Artikel 3(2) DSGVO gilt für jedes Nicht-EU-Unternehmen, das Waren oder Dienstleistungen in der EU anbietet oder das Verhalten von EU-Bürgern beobachtet – unabhängig von einer physischen Niederlassung.
- Artikel 27(1) DSGVO verlangt die schriftliche Benennung eines Vertreters in der Union; die fehlende Benennung ist ein eigenständiger Verstoß nach Artikel 83(4)(a) DSGVO.
- Die niederländische Datenschutzbehörde verhängte gegen Locatefamily.com 525.000 EUR Bußgeld ausschließlich wegen fehlender Benennung eines EU-Vertreters.
- REP27 benennt Europe Services SE als EU-Vertreter für den gesamten EWR innerhalb von 24 Stunden, ab 290 EUR/Jahr.
- Die Benennung eines Vertreters nach Artikel 27 DSGVO befreit das Unternehmen nicht von seiner eigenen datenschutzrechtlichen Verantwortung (Artikel 27(5) DSGVO).
Häufige Fragen
Muss mein Unternehmen einen EU-Vertreter benennen, wenn es keinen Sitz in der EU hat?
Ja, wenn Ihr Unternehmen unter Artikel 3(2) DSGVO fällt – also Waren oder Dienstleistungen an Personen in der EU anbietet oder deren Verhalten beobachtet. In diesem Fall verlangt Artikel 27(1) DSGVO ausdrücklich die schriftliche Benennung eines Vertreters in der Union, unabhängig davon, ob Sie eine Niederlassung in der EU haben.
Welches Bußgeld droht bei fehlendem EU-Vertreter nach Artikel 27 DSGVO?
Die fehlende Benennung ist ein eigenständiger Verstoß nach Artikel 83(4)(a) DSGVO: bis zu 10 Millionen EUR oder 2 % des weltweiten Jahresumsatzes. Die niederländische Datenschutzbehörde hat Locatefamily.com allein wegen dieses Verstoßes mit 525.000 EUR bußgeldet.
Für welche Länder gilt ein EU-Vertreter nach Artikel 27 DSGVO?
Ein Vertreter nach Artikel 27 DSGVO muss in einem EU-Mitgliedstaat niedergelassen sein. REP27 deckt mit Europe Services SE den gesamten Europäischen Wirtschaftsraum ab – alle 27 EU-Mitgliedstaaten sowie Norwegen, Island und Liechtenstein – ohne Aufpreis.
Wie schnell kann ein EU-Vertreter nach Artikel 27 DSGVO benannt werden?
REP27 stellt die Benennung innerhalb von 24 Stunden nach Auftragserteilung aus, inklusive unterzeichnetem Benennungsschreiben mit eIDAS-elektronischer Signatur und prüfbarem Zertifikat mit QR-Code.
Befreit die Benennung eines EU-Vertreters das Unternehmen von seiner eigenen DSGVO-Verantwortung?
Nein. Artikel 27(5) DSGVO stellt ausdrücklich klar, dass die Benennung eines Vertreters keine Auswirkung auf Maßnahmen hat, die gegen das Unternehmen selbst ergriffen werden können.
