Ressourcen / Leitfaden
Artikel 27 DSGVO erklärt
Artikel 27 verpflichtet bestimmte Verantwortliche und Auftragsverarbeiter außerhalb der EU oder des UK, schriftlich einen lokalen Vertreter zu benennen. Die Benennung dient dem Kontakt mit Behörden und betroffenen Personen, überträgt jedoch nicht die Verantwortlichkeit der Organisation.
Artikel 27 auf einen Blick
- • Erfasst Verantwortliche und Auftragsverarbeiter außerhalb der EU bzw. des UK, die ohne örtliche Niederlassung unter die extraterritoriale Reichweite der DSGVO fallen.
- • Zwei Auslöser: das Anbieten von Waren oder Dienstleistungen an Personen im jeweiligen Gebiet oder die Beobachtung ihres Verhaltens dort.
- • Die Ausnahme ist kumulativ — gelegentliche Verarbeitung, keine umfangreiche Verarbeitung besonderer Kategorien oder strafrechtlicher Daten und voraussichtlich kein Risiko müssen zusammen vorliegen.
- • EU und UK sind getrennte Regime: Wer unter beide fällt, benötigt zwei getrennte Benennungen.
- • Ein Vertreter nach Artikel 27 ist eine örtliche Anlaufstelle mit schriftlichem Mandat — kein DSB, und Ihre Verantwortlichkeit bleibt bei Ihnen.
Wozu Artikel 27 dient
Die EU-DSGVO kann auf eine Organisation außerhalb der EU anwendbar sein, wenn die betreffende Verarbeitung mit dem Anbieten von Waren oder Dienstleistungen an Personen in der EU oder der Beobachtung ihres Verhaltens in der EU zusammenhängt. Artikel 27 begründet für viele Organisationen, die von dieser extraterritorialen Regel erfasst werden, die Pflicht zur Benennung eines lokalen Vertreters.
Die UK-DSGVO enthält eine entsprechende Pflicht für einschlägige Organisationen außerhalb des UK. Da die EU und das UK getrennte Rechtsräume sind, sollten die Prüfungen und Benennungen jeweils getrennt vorgenommen werden.
Der Entscheidungsablauf nach Artikel 27
Akteur bestimmen
Bestimmen Sie den Verantwortlichen oder Auftragsverarbeiter und die zu prüfende Verarbeitungstätigkeit.
Niederlassungen prüfen
Klären Sie, ob eine einschlägige Niederlassung in der EU oder im UK besteht.
Räumliche Prüfung anwenden
Beurteilen Sie das Anbieten von Waren oder Dienstleistungen und die Beobachtung von Verhalten im jeweiligen Gebiet.
Ausnahmen prüfen
Berücksichtigen Sie die Ausnahmen für öffentliche Stellen und für gelegentliche, risikoarme Verarbeitung.
Schriftlich benennen
Falls erforderlich, wählen Sie eine geeignete Niederlassung aus und schließen Sie ein schriftliches Mandat ab.
Informationen aktualisieren
Aktualisieren Sie Datenschutzinformationen, Verzeichnisse, öffentliche Kontaktstellen und interne Eskalationsverfahren.
Was gilt als Anbieten von Waren oder Dienstleistungen?
Die Prüfung sucht nach einer Absicht, Personen im jeweiligen Gebiet zu bedienen. Die bloße Abrufbarkeit einer Website aus der EU oder dem UK genügt für sich genommen nicht. Maßgebliche Anhaltspunkte können marktspezifische Sprache oder Währung, die Verfügbarkeit von Lieferung oder Dienstleistung, lokale Kampagnen, die Wahl von Domain oder Kontaktdaten sowie Bezugnahmen auf Nutzer oder Kunden im jeweiligen Gebiet sein. Die Anhaltspunkte sind zusammen und im Kontext zu betrachten.
Was gilt als Beobachtung von Verhalten?
Die Beobachtung kann das Tracking oder Profiling von Personen umfassen, um Verhalten, Vorlieben, Interessen, Zuverlässigkeit, Standort, Bewegungen oder andere Merkmale zu analysieren oder vorherzusagen. Die räumliche Prüfung stellt auf Verhalten ab, das im jeweiligen Gebiet stattfindet. Die Analyse sollte die tatsächlich eingesetzten Technologien und Zwecke ermitteln und nicht jede Form von Analytik automatisch gleichsetzen.
Die Ausnahme ist kumulativ
Für die EU steht die Ausnahme für gelegentliche Verarbeitung nur zur Verfügung, wenn die Verarbeitung gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten umfasst und – unter Berücksichtigung ihrer Art, ihrer Umstände, ihres Umfangs und ihrer Zwecke – voraussichtlich kein Risiko für die betroffenen Personen mit sich bringt. Diese Voraussetzungen gelten gemeinsam – ist eine nicht erfüllt, steht die Ausnahme nicht zur Verfügung.
Die UK-Vertreterausnahme sollte anhand des UK-Wortlauts und der Leitlinien des ICO geprüft werden. Die Entscheidung sollte dokumentiert und überprüft werden, wenn sich Geschäft oder Verarbeitung ändern.
Gute Praxis
Ein einzeiliger Vermerk, die Verarbeitung sei „risikoarm“, ist keine belastbare Ausnahmeprüfung. Dokumentieren Sie Häufigkeit, Umfang, Datenkategorien, Zweck, betroffene Personen, Risiken und Prüfer.
Was der Vertreter leisten können muss
- Für betroffene Personen und Aufsichtsbehörden in Fragen der betreffenden Verarbeitung ansprechbar sein.
- Auf Grundlage des schriftlichen Mandats des Verantwortlichen oder Auftragsverarbeiters handeln.
- Einen wirksamen und zugänglichen lokalen Kontaktweg bereitstellen.
- Die Zusammenarbeit mit der zuständigen Aufsichtsbehörde unterstützen.
- Einschlägige Verzeichnisse bereitstellen, soweit das Recht verlangt, dass der Verantwortliche, der Auftragsverarbeiter oder der Vertreter sie vorlegt.
Wo der EU-Vertreter niedergelassen sein muss
Der EU-Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen sich die betroffenen Personen befinden. Befindet sich ein erheblicher Teil in einem bestimmten Mitgliedstaat, empfiehlt der EDSA als gute Praxis, den Vertreter dort anzusiedeln. Das Bestehen eines Vertreters begründet weder eine EU-Niederlassung des Verantwortlichen oder Auftragsverarbeiters noch für sich genommen einen Zugang zum „One-Stop-Shop“-Verfahren der DSGVO.
Informationen, die üblicherweise aktualisiert werden müssen
- Datenschutzhinweise und weitere Informationen nach Artikel 13/14.
- Kontaktwege für Betroffenenanfragen und Beschwerden.
- Verzeichnisse nach Artikel 30 und Zuständigkeitsübersichten.
- Verfahren für Vorfälle, Behördenkontakt und rechtliche Korrespondenz.
- Öffentliche Kontaktangaben auf Website, in App oder Produkt, soweit einschlägig.
- Lieferanten- und Kundendokumentation, die die Kontaktdaten des Vertreters abfragt.
Häufige Fehler
- Annahme, dass eine weltweit erreichbare Website eine gezielte Ausrichtung auf die EU oder das UK bedeutet, ohne die tatsächlichen Anhaltspunkte zu analysieren.
- Berufung auf die Ausnahme für gelegentliche Verarbeitung, ohne alle Voraussetzungen anzuwenden.
- Verwendung einer einzigen Benennung oder Adresse für die Abdeckung von EU und UK zugleich.
- Bezeichnung des Vertreters als Datenschutzbeauftragter der Organisation.
- Veröffentlichung einer Kontaktadresse ohne dokumentiertes Mandat und funktionierenden Eskalationsprozess.
- Versäumnis, nach der Benennung die Datenschutzinformationen oder internen Verantwortlichen zu aktualisieren.
- Behandlung der Benennung als Ersatz für das zugrunde liegende DSGVO-Programm.
Wenden Sie es auf Ihre Organisation an
Die Bedarfsprüfung liefert Ihnen für beide Gebiete ein dokumentiertes vorläufiges Ergebnis. Unterstützung bei der Benennung finden Sie auf den EU-, UK- oder kombinierten Serviceseiten.
Setzen Sie auch KI-Systeme ein? Unsere KI-Governance-Leistungen decken den EU AI Act neben Ihrem DSGVO-Programm ab.
Vertreter nach Artikel 27 — FAQ
Wer benötigt einen Vertreter nach Artikel 27?
Verantwortliche und Auftragsverarbeiter außerhalb der EU bzw. des UK, die Personen im jeweiligen Gebiet Waren oder Dienstleistungen anbieten oder ihr Verhalten dort beobachten, ohne dort eine einschlägige Niederlassung zu haben — sofern keine Ausnahme greift. Die Pflicht wird je Gebiet und je Verarbeitungstätigkeit geprüft; das Fünf-Minuten-Assessment liefert eine dokumentierte vorläufige Antwort.
Welche Ausnahmen sieht Artikel 27 vor?
Behörden und öffentliche Stellen sind ausgenommen; daneben gibt es eine Ausnahme für gelegentliche Verarbeitung, die keine umfangreiche Verarbeitung besonderer Kategorien oder strafrechtlicher Daten umfasst und voraussichtlich kein Risiko für die betroffenen Personen mit sich bringt. Die Voraussetzungen sind kumulativ — alle müssen vorliegen — und das Ergebnis sollte dokumentiert und nicht unterstellt werden.
Brauchen wir sowohl einen EU- als auch einen UK-Vertreter?
Möglicherweise. EU-DSGVO und UK-DSGVO sind getrennte Regime mit eigenen Prüfungen: Gelten beide und besteht in keinem der Gebiete eine Niederlassung, sind zwei getrennte Benennungen erforderlich. Eine koordinierte EU+UK-Leistung kann beide über einen gemeinsamen Prozess abwickeln.
Beginnen Sie mit dem Fünf-Minuten-Assessment, oder vergleichen Sie die koordinierte EU+UK-Leistung.
Primärquellen
- Konsolidierter Text der EU-DSGVO, Artikel 3 und 27 (EUR-Lex).
- EDSA-Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO.
- ICO-Leitlinie: Benötigen wir einen UK-Vertreter?
- Text von Artikel 27 UK-DSGVO (legislation.gov.uk).
- Erwägungsgrund 80 der DSGVO zur Benennung und Haftung von Vertretern (EUR-Lex).