Wer muss einen EU-Vertreter benennen?
Die Pflicht zur Benennung eines EU-Vertreters ergibt sich für Unternehmen ohne Niederlassung in der EU aus Art. 3 Abs. 2 und Art. 27 DSGVO. Danach gilt die DSGVO, wenn ein Verantwortlicher oder Auftragsverarbeiter ohne Niederlassung in der EU personenbezogene Daten von Personen verarbeitet, die sich in der EU befinden, und dies geschieht, weil …
- Waren oder Dienstleistungen (entgeltlich oder unentgeltlich) gezielt Personen in der EU angeboten werden (Art. 3 Abs. 2 lit. a DSGVO), oder
- das Verhalten von Personen in der EU beobachtet wird, z. B. durch Tracking, Profiling oder Nutzungsanalysen (Art. 3 Abs. 2 lit. b DSGVO).
In diesen Konstellationen muss das Nicht‑EU-Unternehmen nach Art. 27 Abs. 1 DSGVO grundsätzlich einen Vertreter in der EU benennen, der schriftlich (auch elektronisch) mandatiert wird. Dies gilt sowohl für Verantwortliche als auch für Auftragsverarbeiter.
Ausnahmen nach Art. 27 Abs. 2 DSGVO.
Eine Benennungspflicht besteht ausnahmsweise nicht, wenn kumulativ folgende Voraussetzungen erfüllt sind:
- Die Verarbeitung erfolgt nur gelegentlich,
- sie beinhaltet keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO) oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO), und
- Angesichts Art, Umfang, Umstände und Zwecke der Verarbeitung ist voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen zu erwarten.
Zudem sind Behörden oder öffentliche Stellen von der Pflicht zur Benennung eines EU-Vertreters ausgenommen. Die EDPB-Leitlinien 3/2018 zum räumlichen Anwendungsbereich konkretisieren diese Kriterien und stellen klar, dass etwa zielgerichtete Online-Angebote, Apps oder Cloud-Dienste für EU-Nutzer regelmäßig unter Art. 3 Abs. 2 DSGVO und damit in den Anwendungsbereich der EU-Vertreterpflicht fallen.
Wozu dient der EU-Vertreter?
Der EU-Vertreter ist keine rein formale Adresse, sondern eine funktionale Schnittstelle zwischen Nicht‑EU-Anbieter, Aufsichtsbehörden und betroffenen Personen in der EU. Er nimmt Anfragen der Datenschutzaufsichtsbehörden entgegen, koordiniert die Kommunikation mit dem Nicht‑EU-Unternehmen, unterstützt bei der Bereitstellung von Informationen (z. B. Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO), und erleichtert die Durchsetzung der DSGVO gegenüber Nicht‑EU-Anbietern.
Kontaktstelle für Aufsichtsbehörden
Der EU-Vertreter nimmt neben oder anstelle des Verantwortlichen oder Auftragsverarbeiters Anfragen insbesondere von Aufsichtsbehörden entgegen und koordiniert die Kommunikation mit dem Nicht-EU-Unternehmen.
Kontaktstelle für betroffene Personen
Betroffene Personen können sich mit Anfragen, Auskunftsbegehren, Beschwerden oder anderen datenschutzbezogenen Anliegen direkt an den EU-Vertreter wenden. Dadurch wird eine niedrigschwellige und erreichbare Anlaufstelle im EU-Raum geschaffen.
Erreichbarkeit und Durchsetzbarkeit
Sicherstellung der praktischen Erreichbarkeit des Nicht‑EU-Unternehmens für Anfragen und Begehren und Unterstützung bei der Durchsetzung der DSGVO.
Transparenz und Rechenschaftspflicht
Der EU-Vertreter hält das Verzeichnis von Verarbeitungstätigkeiten bereit, unterstützt bei der Kommunikation von Datenschutzhinweisen und schafft klare, dokumentierte Kommunikationswege zu den zuständigen Behörden.
Wichtig: Der EU-Vertreter übernimmt nicht automatisch sämtliche Compliance-Aufgaben des Verantwortlichen oder Auftragsverarbeiters. Die primäre Verantwortung für die Einhaltung der DSGVO bleibt beim Nicht‑EU-Unternehmen.
Unser Angebot
Als EU-Vertreter nach Art. 27 DSGVO bieten wir Nicht‑EU-Verantwortlichen und -Auftragsverarbeitern ein modular aufgebautes Leistungspaket.
1. Offizielle Benennung als EU-Vertreter nach Art. 27 DSGVO
- Schriftliche Mandatierung als EU-Representative in Deutschland.
- Aufnahme in Ihre Datenschutzhinweise und internen Verarbeitungsdokumente.
- Bereitstellung einer dedizierten Kontaktadresse für Aufsichtsbehörden und Betroffene.
2. Ansprechpartner für Aufsichtsbehörden und Betroffene
- Entgegennahme von Anfragen, Auskunfts- und Beschwerdebegehren.
- Fristenkontrolle und strukturierte Weiterleitung relevanter Schreiben an Ihr Unternehmen.
- Unterstützung bei der Vorbereitung Ihrer Antworten und bei der Kommunikation mit Behörden (inhaltliche Verantwortung verbleibt beim Verantwortlichen/Auftragsverarbeiter).
3. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
- Initiale Erstellung eines praxistauglichen Verzeichnisses von Verarbeitungstätigkeiten auf Grundlage Ihrer Informationen – getrennt für Verantwortlichen- und ggf. Auftragsverarbeiter-Rolle.
- Laufende Aktualisierung des VVT bei Änderungen Ihrer Prozesse auf Basis Ihrer Mitteilungen.
- Vorhalten des VVT in einer prüfungstauglichen Form und Weiterleitung an die zuständige Aufsichtsbehörde auf deren Anforderung gemäß Art. 30 Abs. 4 DSGVO.
4. Datenschutzrechtliche Beratung zur Geschäftstätigkeit in der EU
- Einschätzung, ob und in welchem Umfang Ihre konkreten Geschäftsmodelle in den Anwendungsbereich der DSGVO fallen (Art. 3 DSGVO).
- Beratung zu Rollen (Verantwortlicher/Auftragsverarbeiter, gemeinsame Verantwortlichkeit) auf Basis der EDPB Guidelines 07/2020.
- Empfehlungen zu erforderlichen Informationspflichten, Auftragsverarbeitungsverträgen, technischen und organisatorischen Maßnahmen sowie ggf. Folgenabschätzungen.
- Hinweisfunktion zu relevanten Aufsichtsbehördenentscheidungen und aktuellen Entwicklungen.
5. Initiale Expertenbewertung der EU-Website
- Prüfung Ihrer EU-relevanten Website oder Landing-Pages aus datenschutzrechtlicher Perspektive (z. B. Cookie-Banner/Tracking, Kontaktformulare, Newsletter, Einwilligungsprozesse, Datenschutzhinweise).
- Verständliche Handlungsempfehlungen in Form eines Berichts, priorisiert nach Risiko für Betroffene und Aufsichtsbehördenrelevanz.
- Optional: Abstimmung mit Ihrem internen oder externen Web-/Marketing-Team.
6. Reporting und Alarmierung bei kritischen Änderungen
- Regelmäßige Kurzberichte zu wesentlichen Entwicklungen im Datenschutz, soweit für Ihr Modell relevant (z. B. neue Leitlinien, relevante Entscheidungen).
- Frühzeitige Alarmierung bei erkennbaren rechtlichen Änderungen, die sich auf Ihre EU-Tätigkeiten auswirken können (z. B. neue Anforderungen an Transparenz, Cookies, Tracking, internationale Datentransfers).
- Auf Wunsch: jährliches Review-Gespräch zu Ihrem Datenschutz-Setup in Bezug auf die EU.
Hinweis: Die genannten Leistungen ersetzen nicht die Wahrnehmung eigener Pflichten nach der DSGVO (z. B. Durchführung von Datenschutz-Folgenabschätzungen, Umsetzung technischer und organisatorischer Maßnahmen, umfassende Rechtsberatung im Herkunftsstaat). Sie können jedoch ein zentraler organisatorischer Baustein Ihrer DSGVO-Compliance sein.
Warum Secure Consult?
Die Secure Consult GmbH ist auf Datenschutz im B2B-Umfeld spezialisiert und bereits für zahlreiche Unternehmen und öffentliche Stellen als externer Datenschutzbeauftragter tätig. Diese Erfahrung verbinden wir mit einem klar abgegrenzten Rollenverständnis als EU-Vertreter nach Art. 27 DSGVO.
Was uns auszeichnet
Datenschutz- und IT-Rechtskompetenz
- Spezialisierung auf Datenschutzrecht, IT-Recht und Informationssicherheit im Unternehmensumfeld.
- Laufende Beobachtung von EDPB-Leitlinien, DSK-Beschlüssen und Hinweisen der Aufsichtsbehörden.
- Praxisnahe Beratung zu Rollenverteilung und Verantwortlichkeiten nach EDPB Guidelines.
Klar abgegrenzte Rollen – keine Vermischung von Funktionen
- Saubere Abgrenzung der Funktion als EU-Vertreter von anderen Rollen.
- Prüfung der Vereinbarkeit für Unternehmen, für die Secure Consult bereits als externer Datenschutzbeauftragter tätig ist.
- Eine Übernahme der Rolle als EU-Vertreter erfolgt nur, wenn dies rechtlich und praktisch konfliktfrei möglich ist; im Zweifel wird transparent beraten und eine alternative Lösung gesucht.
Prüfungssicher, aber ohne falsche Versprechen
- Wir versprechen keine „automatische vollständige DSGVO-Compliance“. Stattdessen bieten wir ein klar strukturiertes, rechtlich belastbares Servicepaket, das ein zentraler Baustein Ihrer DSGVO-Organisation sein kann – in enger Abstimmung mit Ihren internen oder externen Datenschutz- und Rechtsabteilungen.
Ablauf der Zusammenarbeit
1. Erstgespräch & Scope-Definition
- Klärung, ob und in welchem Umfang Art. 3 Abs. 2 DSGVO auf Ihre Tätigkeiten zutrifft und ob eine Pflicht zur Benennung eines EU-Vertreters besteht.
- Aufnahme Ihrer Struktur (Verantwortlicher/Processor, Geschäftsfelder, EU-Zielgruppen).
2. Vertragsabschluss & Benennung
- Abschluss eines schriftlichen Mandatsvertrags als EU-Vertreter nach Art. 27 DSGVO.
- Festlegung von Kommunikationswegen, Ansprechpartnern und Reaktionsfristen.
- Bereitstellung der Kontaktdaten, die Sie in Ihren Datenschutzhinweisen und Dokumentationen verwenden.
3. Initiales Onboarding & VVT-Erstellung
- Strukturierte Abfrage Ihrer Verarbeitungstätigkeiten, Systeme und Dienstleister.
- Erstellung bzw. Überarbeitung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO auf Basis aktueller DSK-/BfDI-Hinweise.
- Abgleich mit Ihren Informationspflichten und der Website-Dokumentation.
4. Laufende Vertretung & Kommunikation
- Entgegennahme und Koordination aller datenschutzrelevanten Anfragen von EU-Aufsehern und Betroffenen.
- Vorhalten und ggf. Übermittlung des VVT an Behörden auf Anforderung.
- Regelmäßiger Austausch mit Ihren Fachabteilungen (Legal, Compliance, IT, Marketing).
5. Regelmäßiges Review & Anpassung
- Abstimmung zu Änderungen in Ihren Geschäftsprozessen (neue Produkte, neue EU-Märkte, neue Tools).
- Aktualisierung der Dokumentation und Empfehlungen zu etwaigen Anpassungsbedarfen.
Häufig gestellte Fragen
Braucht jedes Nicht-EU-Unternehmen einen EU-Vertreter?
Nein. Ein EU-Vertreter ist erforderlich, wenn Ihr Unternehmen keine Niederlassung in der EU hat, aber gezielt Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten in der EU beobachtet (Art. 3 Abs. 2 DSGVO). Ausnahmen bestehen u. a. bei nur gelegentlicher, risikoarmer Verarbeitung ohne umfangreiche besondere Kategorien personenbezogener Daten oder Strafdaten und für Behörden (Art. 27 Abs. 2 DSGVO).
Ist der EU-Vertreter dasselbe wie ein Datenschutzbeauftragter?
Nein. Der EU-Vertreter ist primär Kommunikationsschnittstelle zu Aufsichtsbehörden und betroffenen Personen in der EU und hält u. a. das Verzeichnis von Verarbeitungstätigkeiten bereit (Art. 27, Art. 30 DSGVO). Der Datenschutzbeauftragte hat demgegenüber eine unabhängige Kontroll- und Beratungsfunktion innerhalb des Verantwortlichen/Auftragsverarbeiters (Art. 37 ff. DSGVO). Beide Rollen können – sorgfältig abgegrenzt – von derselben Organisation wahrgenommen werden, wenn Interessenkonflikte vermieden werden.
Wo muss der EU-Vertreter sitzen?
Der EU-Vertreter muss in einem EU-Mitgliedstaat niedergelassen sein, in dem sich die betroffenen Personen befinden, deren Daten im Zusammenhang mit dem Anbieten von Waren/Dienstleistungen oder der Verhaltensbeobachtung verarbeitet werden (Art. 27 Abs. 3 DSGVO). Für international agierende Anbieter empfiehlt sich daher häufig eine Niederlassung in einem zentralen EU-Mitgliedstaat wie Deutschland.
Muss der EU-Vertreter im Datenschutzhinweis genannt werden?
In der Praxis wird erwartet, dass der EU-Vertreter mit Kontaktdaten in den Datenschutzhinweisen und ggf. im Impressum genannt wird, damit betroffene Personen und Aufsichtsbehörden ihn leicht erreichen können. Dies folgt aus den Transparenzanforderungen der Art. 13, 14 DSGVO in Verbindung mit Art. 27 DSGVO und wird in Aufsichtsbehördenhinweisen entsprechend adressiert.
Was passiert, wenn kein EU-Vertreter benannt wird?
Das Fehlen eines EU-Vertreters trotz bestehender Benennungspflicht stellt einen Verstoß gegen Art. 27 DSGVO dar. Aufsichtsbehörden können Maßnahmen nach Art. 58 DSGVO ergreifen, u. a. Untersuchungen, Anordnungen und im Einzelfall Bußgelder. In aktuellen Verfahren gegen Nicht‑EU-Unternehmen prüfen Aufsichtsbehörden zunehmend, ob ein EU-Vertreter ordnungsgemäß benannt wurde und erreichbar ist.
Unterstützt Secure Consult auch beim VVT?
Ja. Secure Consult unterstützt bei der initialen Erstellung, Strukturierung und laufenden Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO auf Basis der jeweils einschlägigen DSK-/BfDI-Hinweise. Das Verzeichnis wird in einer prüfungstauglichen Form vorgehalten und bei Bedarf an die zuständige Aufsichtsbehörde übermittelt.
Sprechen Sie uns an.
Profitieren Sie von unserer Branchenerfahrung und der Expertise unserer Spezialisten in den Bereichen Datenschutz und Informationssicherheit, dem IT-Servicemanagement und der IT-Projektsteuerung. Lassen Sie sich unverbindlich beraten und erfahren Sie, was wir für Sie tun können. Wir freuen uns, von Ihnen zu hören!
