Dieser Leitfaden erläutert, wann die Pflicht greift, wie Sie die verfügbaren Ausnahmen prüfen, welche Aufgaben ein EU-Vertreter hat und wie eine Benennung zu dokumentieren ist.
Ein EU-Vertreter dient als benannte Anlaufstelle für die zuständigen Aufsichtsbehörden und für betroffene Personen. Seine Benennung überträgt weder die grundlegenden GDPR-Pflichten Ihrer Organisation noch beseitigt sie deren mögliche Haftung.
§GDPR Artikel 27 im Überblick
Artikel 27 verpflichtet bestimmte Verantwortliche und Auftragsverarbeiter, die nicht in der EU niedergelassen sind, schriftlich einen Vertreter zu benennen, wenn Artikel 3 Abs. 2 GDPR anwendbar ist – es sei denn, es greift eine der vorgesehenen Ausnahmen.
Die Pflicht ist besonders relevant für Unternehmen mit Sitz außerhalb der EU, die gezielt EU-Kunden bedienen oder das Verhalten von Personen in der EU beobachten.
Prüfen Sie vor der Benennung eines Vertreters:
- Ob Ihre Organisation im Sinne der GDPR in der EU niedergelassen ist.
- Ob die betreffende Verarbeitung unter Artikel 3 Abs. 2 fällt.
- Ob eine Ausnahme nach Artikel 27 Abs. 2 greift.
- Wo der Vertreter niedergelassen sein muss.
- Was das schriftliche Mandat und die Datenschutzhinweise abdecken müssen.
Die Prüfung sollte auf Ihren tatsächlichen Verarbeitungstätigkeiten, Ihrem Geschäftsmodell und Ihren Zielmärkten beruhen – nicht allein auf der Abrufbarkeit Ihrer Website.
§Wer benötigt einen EU-Vertreter?
Eine Organisation sollte die Pflicht nach Artikel 27 prüfen, wenn sie nicht in der EU niedergelassen ist und personenbezogene Daten im räumlichen Anwendungsbereich von Artikel 3 Abs. 2 GDPR verarbeitet.
Artikel 3 Abs. 2 erfasst zwei wesentliche Konstellationen.
Angebot von Waren oder Dienstleistungen an Personen in der EU
Die GDPR kann Anwendung finden, wenn eine Organisation außerhalb der EU Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbietet – unabhängig davon, ob eine Zahlung verlangt wird.
Relevante Anhaltspunkte können gezielte Werbung, EU-spezifische Serviceangebote, Lieferregelungen oder andere Belege dafür sein, dass die Organisation Personen in EU-Mitgliedstaaten bedienen will.
Die bloße Tatsache, dass eine Website aus der EU abrufbar ist, belegt für sich genommen jedoch nicht, dass die Organisation Personen dort Waren oder Dienstleistungen anbietet.
Beobachtung des Verhaltens in der EU
Die GDPR kann auch Anwendung finden, wenn eine Organisation das Verhalten von Personen in der EU beobachtet, sofern dieses Verhalten in der Union erfolgt.
Je nach den Umständen kann dies Tracking und Profiling umfassen, mit denen Vorlieben, Interessen, Verhalten oder Bewegungen einer Person analysiert oder vorhergesagt werden.
Nicht jeder Einsatz von Analyse- oder Tracking-Technologien stellt automatisch eine Beobachtung im Sinne von Artikel 3 Abs. 2 dar. Zweck, Art und Kontext der Verarbeitung sind zu prüfen.
Was gilt für Organisationen mit einer Niederlassung in der EU?
Artikel 27 richtet sich an Verantwortliche und Auftragsverarbeiter, die nicht in der Union niedergelassen sind und deren Verarbeitung unter Artikel 3 Abs. 2 fällt.
Verfügt Ihre Organisation über eine Niederlassung in der EU, prüfen Sie die Anwendbarkeit der GDPR nach Artikel 3 Abs. 1 und den maßgeblichen Niederlassungskriterien. Das Bestehen einer Tochtergesellschaft oder Zweigniederlassung sollte zusammen mit den tatsächlichen Gegebenheiten und Tätigkeiten betrachtet werden.
Fazit für die Praxis: Klären Sie zuerst den räumlichen Anwendungsbereich der GDPR. Gehen Sie nicht davon aus, dass jedes Nicht-EU-Unternehmen mit Website-Traffic aus der EU einen EU-Vertreter benennen muss.
§Wann ist kein EU-Vertreter erforderlich?
Artikel 27 Abs. 2 sieht zwei Ausnahmen von der Pflicht zur Benennung eines Vertreters vor.
Gelegentliche Verarbeitung mit geringem Risiko
Die Pflicht gilt nicht, wenn die Verarbeitung sämtliche Voraussetzungen des Artikels 27 Abs. 2 lit. a erfüllt:
- Die Verarbeitung erfolgt gelegentlich.
- Sie umfasst keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 Abs. 1 oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10.
- Sie führt unter Berücksichtigung von Art, Umständen, Umfang und Zwecken der Verarbeitung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
Diese Voraussetzungen sind gemeinsam zu prüfen. Eine gelegentliche Verarbeitung allein genügt nicht, und eine Organisation sollte nicht davon ausgehen, dass sie die Ausnahme erfüllt, nur weil sie vergleichsweise wenige Kunden hat.
Regelmäßiger Geschäftsbetrieb, fortlaufende Verarbeitung oder dauerhafte Beobachtung können es je nach den Umständen erschweren, sich auf diese Ausnahme zu berufen.
Behörden und öffentliche Stellen
Artikel 27 Abs. 2 lit. b nimmt Behörden und öffentliche Stellen von der Pflicht zur Benennung eines Vertreters aus.
Diese Ausnahme ist anhand des Status der Organisation und des maßgeblichen rechtlichen Kontexts zu prüfen. Gewerbliche Unternehmen sollten nicht davon ausgehen, dass sie für sie gilt.
Die Entscheidung dokumentieren
Kommt Ihre Organisation zu dem Ergebnis, dass eine Ausnahme greift, dokumentieren Sie die Gründe dafür, einschließlich der betreffenden Verarbeitungstätigkeiten und der zugrunde liegenden Tatsachen.
Überprüfen Sie die Entscheidung erneut, wenn Ihr Unternehmen in neue Märkte expandiert, neue Verarbeitungstätigkeiten einführt oder die Art der Erhebung und Nutzung personenbezogener Daten ändert.
§Was macht ein EU-Vertreter?
Nach Artikel 27 Abs. 4 wird der Vertreter beauftragt, zusätzlich zum Verantwortlichen oder Auftragsverarbeiter oder an dessen Stelle insbesondere für Aufsichtsbehörden und betroffene Personen als Anlaufstelle für sämtliche Fragen im Zusammenhang mit der Verarbeitung nach der GDPR zu dienen.
Je nach schriftlichem Mandat kann die Tätigkeit des Vertreters Folgendes umfassen:
- Funktion als benannte Anlaufstelle für die zuständigen Aufsichtsbehörden.
- Bereitstellung einer Kontaktstelle für Personen mit Fragen oder Anliegen zur Verarbeitung.
- Entgegennahme datenschutzbezogener Korrespondenz und deren Weiterleitung an die Organisation.
- Zusammenarbeit mit den Aufsichtsbehörden, soweit die GDPR dies verlangt.
- Unterstützung dabei, relevante Aufzeichnungen und Informationen im Rahmen seines Mandats verfügbar zu halten.
Die Organisation sollte klare interne Prozesse für die Beantwortung von Mitteilungen einrichten, die bei ihrem Vertreter eingehen. Die Benennung eines Vertreters ersetzt nicht die Notwendigkeit angemessener interner Zuständigkeiten sowie Eskalations- und Reaktionsverfahren.
§Wo muss der Vertreter niedergelassen sein?
Nach Artikel 27 Abs. 3 muss der Vertreter in einem der Mitgliedstaaten niedergelassen sein, in denen sich die Personen befinden, deren personenbezogene Daten im Zusammenhang mit den ihnen angebotenen Waren oder Dienstleistungen verarbeitet werden oder deren Verhalten beobachtet wird.
Bedient eine Organisation Personen in mehreren EU-Mitgliedstaaten, sollte sie einen geeigneten Standort anhand der Verteilung ihrer relevanten Verarbeitungstätigkeiten und der geltenden rechtlichen Anforderungen auswählen.
Der Vertreter ist schriftlich zu benennen. Das Mandat sollte die Parteien eindeutig bezeichnen, den Umfang der Rolle des Vertreters festlegen und praktische Regelungen für die Entgegennahme und Bearbeitung von Mitteilungen treffen.
§So benennen Sie einen EU-Vertreter
Ein strukturierter Benennungsprozess trägt dazu bei, dass die Vereinbarung ordnungsgemäß dokumentiert ist und in der Praxis funktioniert.
Anwendbarkeit der GDPR prüfen
Klären Sie, ob Artikel 3 Abs. 2 auf die Verarbeitungstätigkeiten Ihrer Organisation anwendbar ist und ob eine der Ausnahmen nach Artikel 27 Abs. 2 greift.
Einen geeigneten Vertreter auswählen
Bewerten Sie die Niederlassung des vorgesehenen Vertreters, seine Fähigkeit zur Wahrnehmung der übertragenen Rolle, seine einschlägige Erfahrung, seine Kommunikationsprozesse und seinen Leistungsumfang.
Ein schriftliches Mandat erstellen
Dokumentieren Sie die Benennung und legen Sie Zuständigkeiten, Kontaktregelungen, Informationszugang, Eskalationsverfahren sowie den Prozess für den Umgang mit Mitteilungen von Behörden oder betroffenen Personen fest.
Datenschutzinformationen aktualisieren
Geben Sie, soweit erforderlich, Namen und Kontaktdaten des Vertreters in den einschlägigen Datenschutzinformationen nach den Artikeln 13 und 14 GDPR an.
Stellen Sie sicher, dass die betreffenden Hinweise und internen Aufzeichnungen mit der Benennung übereinstimmen.
Laufende Verfahren einrichten
Legen Sie die interne Zuständigkeit für die Bearbeitung von Korrespondenz, die Einhaltung geltender Antwortfristen, die Führung relevanter Aufzeichnungen und die Information des Vertreters über Änderungen fest, die das Mandat betreffen.
Überprüfen Sie die Benennung, wenn sich Ihre Verarbeitungstätigkeiten, Ihre geografische Abdeckung oder Ihre Servicevereinbarungen ändern.
§Kontaktdaten des Vertreters veröffentlichen
Nach Artikel 13 Abs. 1 lit. a und Artikel 14 Abs. 1 lit. a GDPR sind gegebenenfalls Name und Kontaktdaten des Vertreters in den einschlägigen Datenschutzinformationen anzugeben.
Organisationen sollten ihre Datenschutzhinweise und die zugehörige Kommunikation daraufhin prüfen, ob die Angaben zutreffend, zugänglich und mit dem schriftlichen Mandat vereinbar sind.
Welche Angaben im Einzelnen erforderlich sind, sollte im Lichte der geltenden Transparenzpflichten und der Verarbeitungstätigkeiten der Organisation geprüft werden.
§Übernimmt ein EU-Vertreter die Haftung des Unternehmens?
Nein. Artikel 27 Abs. 5 stellt ausdrücklich klar, dass die Benennung eines Vertreters etwaige rechtliche Schritte gegen den Verantwortlichen oder den Auftragsverarbeiter selbst unberührt lässt.
Die Organisation bleibt für ihre eigenen GDPR-Pflichten verantwortlich. Die Benennung sollte daher als ein Baustein eines umfassenderen Compliance-Programms verstanden werden – nicht als Ersatz für rechtmäßige Verarbeitung, angemessene Sicherheit, Transparenz und Rechenschaftspflicht.
Die eigenen Pflichten des Vertreters ergeben sich aus der GDPR und dem Umfang des Mandats. Die Vereinbarung sollte eindeutig regeln, wie Informationen entgegengenommen, vorgehalten und bei Bedarf bereitgestellt werden.
§Welche Bußgelder drohen, wenn kein Vertreter benannt wird?
Ein Verstoß gegen Artikel 27 kann für eine Organisation aufsichtsbehördliche Durchsetzungsmaßnahmen nach der GDPR nach sich ziehen.
Artikel 83 Abs. 4 lit. a sieht für bestimmte Verstöße, darunter gegen Artikel 27, eine Geldbuße von bis zu 10 Mio. € oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher Betrag höher ist.
Bei diesen Beträgen handelt es sich um gesetzliche Höchstgrenzen, nicht um automatisch verhängte Bußgelder. Die im Einzelfall anwendbare Sanktion hängt vom Durchsetzungsrahmen der GDPR und von den Umständen des Verstoßes ab.
Organisationen sollten die Pflicht proaktiv prüfen und ihre Entscheidungen dokumentieren, statt die Benennung eines Vertreters als reine Formalie zu behandeln.
§Häufige Fehler, die Sie vermeiden sollten
- Annehmen, dass Website-Traffic aus der EU automatisch Artikel 27 auslöst. Die bloße Abrufbarkeit belegt nicht, dass Personen in der EU Waren oder Dienstleistungen angeboten werden oder dass ihr Verhalten dort beobachtet wird.
- Die Ausnahme für gelegentliche Verarbeitung als Regelfall behandeln. Sämtliche Voraussetzungen des Artikels 27 Abs. 2 lit. a müssen erfüllt sein.
- Den Vertreter mit einem Datenschutzbeauftragten verwechseln. Die beiden Rollen haben unterschiedliche rechtliche Zwecke und Anforderungen. Nach den Leitlinien des EDPB ist die Rolle eines externen EU-Vertreters mit der eines externen DPO unvereinbar; Organisationen sollten die jeweilige Ausgestaltung sorgfältig prüfen.
- Einen Vertreter ohne klares Mandat benennen. Eine schriftliche Benennung sollte die Rolle des Vertreters und die praktischen Abläufe festlegen.
- Die Datenschutzinformationen nicht aktualisieren. Überprüfen Sie die einschlägigen Datenschutzhinweise, wenn die Benennung erfolgt oder geändert wird.
- Annehmen, dass die Benennung die Rechenschaftspflicht nach der GDPR überträgt. Der Verantwortliche oder Auftragsverarbeiter bleibt für seine eigenen Pflichten verantwortlich.
- Den Unterschied zwischen EU- und UK-Vertretung übersehen. Die EU GDPR und die UK GDPR enthalten jeweils eigene Bestimmungen zum Vertreter und sollten unabhängig voneinander geprüft werden.
§EU-Vertreter vs. UK-Vertreter
Die EU GDPR und die UK GDPR enthalten jeweils eigene Bestimmungen zur Benennung eines Vertreters.
Eine außerhalb der EU niedergelassene Organisation, die Artikel 3 Abs. 2 unterliegt, sollte die Pflicht nach Artikel 27 der EU GDPR prüfen. Davon getrennt sollte eine Organisation außerhalb des Vereinigten Königreichs, die in den maßgeblichen räumlichen Anwendungsbereich der UK GDPR fällt, die Pflicht zur Benennung eines UK-Vertreters nach dem britischen Regelwerk prüfen.
Es sollte nicht davon ausgegangen werden, dass eine Benennung für eine Jurisdiktion auch die Anforderungen der anderen erfüllt. Die Organisation sollte für jede Benennung den anwendbaren Geltungsbereich, die Niederlassungsanforderungen, das Mandat und die Datenschutzhinweise klären.
§Häufig gestellte Fragen
Benötigt jedes Nicht-EU-Unternehmen einen EU-Vertreter?
Nein. Die Pflicht greift grundsätzlich, wenn die Organisation nicht in der EU niedergelassen ist, ihre Verarbeitung unter Artikel 3 Abs. 2 GDPR fällt und keine der Ausnahmen nach Artikel 27 Abs. 2 anwendbar ist.
Ist ein Vertreter erforderlich, wenn unsere Website in Europa abrufbar ist?
Allein aufgrund dieser Tatsache nicht. Die Organisation muss neben den übrigen maßgeblichen Kriterien prüfen, ob sie Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten dort beobachtet.
Kann ein EU-Vertreter zugleich unser Datenschutzbeauftragter sein?
Es handelt sich um unterschiedliche Rollen. Nach den Leitlinien des EDPB ist die Rolle eines externen Vertreters mit der eines externen DPO unvereinbar. Organisationen, die eine kombinierte Lösung erwägen, sollten eine rollenspezifische Prüfung einholen, statt davon auszugehen, dass eine Benennung beide Anforderungen erfüllt.
Benötigen wir in jedem EU-Mitgliedstaat einen eigenen Vertreter?
Nach Artikel 27 Abs. 3 muss der Vertreter in einem Mitgliedstaat niedergelassen sein, in dem sich die betreffenden betroffenen Personen befinden. Ein einziger, ordnungsgemäß niedergelassener Vertreter kann die erfassten Tätigkeiten einer Organisation in mehreren Mitgliedstaaten abdecken – vorbehaltlich der geltenden Anforderungen und des Umfangs des Mandats.
Kann ein EU-Vertreter unseren Rechtsberater ersetzen?
Nein. Ein Vertreter übernimmt die in der GDPR und im Mandat festgelegten Kontakt- und Kooperationsfunktionen. Es sollte nicht davon ausgegangen werden, dass er eine Rechtsberatung ersetzt oder sämtliche Leistungen erbringt, die ein umfassenderes Compliance-Programm erfordert.
Entfällt unsere Haftung durch die Benennung eines EU-Vertreters?
Nein. Nach Artikel 27 Abs. 5 bleiben rechtliche Schritte gegen den Verantwortlichen oder Auftragsverarbeiter möglich. Die Benennung überträgt nicht die grundlegenden GDPR-Pflichten der Organisation.
Wann sollten wir einen EU-Vertreter benennen?
Ist Artikel 27 anwendbar und greift keine Ausnahme, sollte die Organisation die Benennung im Rahmen ihrer Vorbereitungen für die betreffende Verarbeitung vornehmen. Die Prüfung der Anwendbarkeit und die Benennung sollten zeitnah abgeschlossen werden und nicht erst dann, wenn sich eine Behörde oder eine betroffene Person an das Unternehmen wendet.
Prüfen Sie Ihren Bedarf an einer EU-Vertretung
Zu verstehen, ob Artikel 27 anwendbar ist, ist der erste Schritt zu einer passenden Vertretungslösung.
RegulatoryBridge unterstützt Organisationen dabei, regulatorische Pflichten zu prüfen und praxistaugliche Lösungen für die Datenschutzvertretung einzurichten. Wir helfen Ihnen, die Anwendbarkeit zu bewerten, die Anforderungen an die Benennung zu verstehen, das Mandat zu dokumentieren und Prozesse für den Umgang mit relevanten Mitteilungen aufzusetzen.
Entdecken Sie unsere GDPR-Compliance-Services oder kontaktieren Sie RegulatoryBridge, um Ihren Bedarf an einer EU-Vertretung zu besprechen.