DSGVO / Artikel 27 Vertretung
GDPR-Vertreterleistungen für die EU, das UK oder beide
Organisationen außerhalb der EU oder des UK benötigen unter Umständen einen lokalen Vertreter, wenn sie Personen im jeweiligen Gebiet Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten. Wir prüfen die Pflicht, dokumentieren die Entscheidung und richten die korrekte Benennung und den Kontaktprozess ein.
Ein Vertreter ist eine lokale Anlaufstelle. Er ersetzt nicht die Rechenschaftspflicht Ihrer Organisation und handelt nicht automatisch als Ihr DSB.
Wählen Sie die richtige Abdeckung
EU-Vertreter
Diesen Weg wählen, wenn: Ihre Organisation ist außerhalb der EU/des EWR, hat keine einschlägige EU-Niederlassung und eine Verarbeitung nach Artikel 3 Abs. 2 bringt die EU-DSGVO in den Anwendungsbereich.
Rechtliche Struktur: Schriftliche Benennung eines in der EU niedergelassenen Vertreters.
Ansehen →UK-Vertreter
Diesen Weg wählen, wenn: Ihre Organisation ist außerhalb des UK, hat keine einschlägige UK-Niederlassung, und eine gezielte Ausrichtung auf das UK oder eine Beobachtung bringt die UK GDPR in den Anwendungsbereich.
Rechtliche Struktur: Schriftliche Benennung eines im UK niedergelassenen Vertreters.
Ansehen →EU + UK
Diesen Weg wählen, wenn: Ihre Organisation ist außerhalb beider Gebiete und erfüllt den Auslöser für jeden Markt jeweils eigenständig.
Rechtliche Struktur: Zwei getrennte rechtliche Benennungen, koordiniert über einen einheitlichen operativen Prozess.
Ansehen →Nur Bedarfsprüfung
Diesen Weg wählen, wenn: Die räumliche Prüfung, die Ausnahme oder die Niederlassungssituation ist unklar.
Rechtliche Struktur: Dokumentierte Empfehlung und Entscheidungsprotokoll vor der Benennung.
Ansehen →Die Pflicht in einfachen Worten
Die Vertreterpflicht ist an den räumlichen Anwendungsbereich geknüpft. Sie ist relevant, wenn ein Verantwortlicher oder Auftragsverarbeiter im jeweiligen Gebiet nicht niedergelassen ist, das Recht aber anwendbar ist, weil Tätigkeiten auf Personen dort ausgerichtet sind oder deren Verhalten dort beobachtet wird.
Die Ausnahme ist eng gefasst und sollte dokumentiert und nicht bloß unterstellt werden. Für die EU verlangt die Ausnahme für gelegentliche Verarbeitung eine kumulative Beurteilung von Häufigkeit, umfangreicher Verarbeitung sensibler Daten oder von Daten über Straftaten sowie des Risikos für die betroffenen Personen. Behörden und öffentliche Stellen sind gesondert ausgenommen. Das UK-Regime kennt eine entsprechende Vertreterpflicht und Ausnahmen, doch die UK-Prüfung sollte getrennt vorgenommen werden.
Was ein GDPR-Vertreter leistet
- Stellt die erforderliche lokale Anlaufstelle für betroffene Personen und die zuständige Aufsichtsbehörde bereit.
- Handelt auf Grundlage eines schriftlichen Mandats des Verantwortlichen oder Auftragsverarbeiters.
- Nimmt Korrespondenz zu der von der Benennung erfassten Verarbeitung entgegen und leitet sie weiter.
- Unterstützt die Bereitstellung der Verzeichnisse nach Artikel 30, soweit das Recht verlangt, dass der Verantwortliche, der Auftragsverarbeiter oder der Vertreter sie vorlegt.
- Pflegt einen vereinbarten Eskalations- und Nachweisprozess, damit Anfragen nicht zwischen den Rechtsordnungen verloren gehen.
- Arbeitet mit der zuständigen Aufsichtsbehörde zusammen, soweit dies im Zusammenhang mit der übertragenen Rolle erforderlich ist.
Rollenabgrenzung
Der Vertreter ist nicht der Verantwortliche, übernimmt nicht die rechtliche Verantwortung des Verantwortlichen oder Auftragsverarbeiters und ist nicht automatisch der DSB oder allgemeine DSGVO-Berater der Organisation.
Was im Service enthalten ist
- Prüfung des räumlichen Anwendungsbereichs und der Ausnahme.
- Bestätigung des geeigneten EU-Landes und/oder der UK-Lösung.
- Schriftliche Benennungsdokumentation und operative Arbeitsanweisungen.
- Kontaktdaten des Vertreters und freigegebene Formulierung für Datenschutzhinweise und weitere Angaben.
- Aufnahme, Triage, Protokollierung und Eskalationswege für Korrespondenz.
- Erstprüfung der Verzeichnisse und Kontakte, die zur Ausübung des Mandats erforderlich sind.
- Regelmäßige Bestätigung von Märkten, Verarbeitung und Kontaktinformationen.
- Klare Abgrenzung für Angelegenheiten außerhalb des Vertretermandats sowie optionale weitergehende Unterstützung.
Vertreter, DSB oder umfassendere DSGVO-Unterstützung?
Diese Leistungen können nebeneinander bestehen, doch die Rollen sollten nicht vermischt werden. Ein Vertreter erfüllt die Anforderung einer lokalen Anlaufstelle für bestimmte nicht niedergelassene Organisationen. Ein DSB informiert, berät und überwacht unabhängig, wenn der gesetzliche Auslöser greift oder die Rolle freiwillig benannt wird. Umfassendere DSGVO-Unterstützung hilft, das zugrunde liegende Compliance-Programm umzusetzen und zu betreiben.
| Frage | Vertreter | DSB | DSGVO-Projektunterstützung |
|---|---|---|---|
| Warum wird sie/er eingesetzt? | Anforderung aus dem räumlichen Anwendungsbereich für bestimmte nicht niedergelassene Organisationen. | Gesetzlicher Auslöser oder freiwillige Governance-Entscheidung. | Definierter Umsetzungs-, Behebungs- oder operativer Bedarf. |
| Hauptfunktion | Lokale Anlaufstelle für Behörden und betroffene Personen auf Grundlage eines Mandats. | Unabhängige Beratung, Überwachung und Behördenkontakt. | Vereinbarte Arbeiten und Nachweise erbringen. |
| Übernimmt die Rechenschaftspflicht der Geschäftsleitung? | Nein. | Nein. | Nein. |
| Können sich die Rollen überschneiden? | Nur nach sorgfältiger Prüfung von Umfang und Interessenkonflikten. | Nur wenn Unabhängigkeit und Interessenkonflikte gewahrt bleiben. | Projektunterstützung sollte nicht als gesetzliche Aufsicht dargestellt werden. |
Einen praktischen Rollenvergleich finden Sie unter DSB oder GDPR-Vertreter.
So funktioniert die Benennung
Umfang prüfen
Bestätigung von Niederlassungen, Märkten, Angebots-/Beobachtungstätigkeiten, Verarbeitungshäufigkeit, Datenkategorien und Risiko.
Abdeckung wählen
Festlegung von EU, UK, beiden oder einer dokumentierten Entscheidung gegen eine Benennung.
Rechtliche Anlaufstelle bestätigen
Auswahl der geeigneten EU-Niederlassung und/oder der im UK niedergelassenen Vertreterlösung.
Mandat abschließen
Freigabe der schriftlichen Benennung, des Umfangs, des Kommunikationsprozesses und der Zuständigkeiten.
Transparenzinformationen aktualisieren
Aufnahme der einschlägigen Kontaktdaten des Vertreters in die Datenschutzinformationen und relevanten Verzeichnisse.
Go-live und Überprüfung
Test des Kontaktwegs, Bestätigung der Eskalationsverantwortlichen und Überprüfung bei Änderungen von Märkten oder Verarbeitung.
Beginnen Sie mit einem dokumentierten Ergebnis
Die Bedarfsprüfung ist so gestaltet, dass sie zeigt, wie das Ergebnis zustande kam. Sie ist kein verdecktes Kontaktformular. Sie können die Fragen beantworten, ein vorläufiges Ergebnis erhalten und entscheiden, ob Sie eine förmliche Prüfung oder ein Benennungsangebot benötigen.
Häufig gestellte Fragen
Benötigt jedes Unternehmen außerhalb der EU oder des UK einen Vertreter?
Nein. Die Pflicht hängt davon ab, ob das jeweilige Recht aufgrund der Angebots- oder Beobachtungstätigkeiten der Organisation anwendbar ist, ob eine einschlägige Niederlassung besteht und ob eine Ausnahme greift. Die EU- und die UK-Prüfung müssen getrennt vorgenommen werden.
Kann eine einzige Vertreterbenennung die EU und das UK abdecken?
Nein. Die EU und das UK sind getrennte Regime. Ein koordinierter Service kann einen einheitlichen Aufnahme- und Reporting-Prozess nutzen, erfordert aber getrennte rechtliche Benennungen und Kontaktstellen.
Ist ein Vertreter dasselbe wie ein DSB?
Nein. Ein Vertreter ist eine lokale Anlaufstelle für bestimmte nicht niedergelassene Organisationen. Ein DSB hat unabhängige Beratungs- und Überwachungsaufgaben. Manche Organisationen benötigen beide Rollen.
Wird der Vertreter durch die Benennung für unsere Compliance verantwortlich?
Nein. Die Benennung überträgt nicht die Rechenschaftspflicht des Verantwortlichen oder Auftragsverarbeiters. Die Organisation muss die geltenden Anforderungen weiterhin erfüllen und die Informationen sowie die Zusammenarbeit bereitstellen, die zur Ausübung des Mandats erforderlich sind.
Welche Informationen werden für die Prüfung benötigt?
Wir benötigen die juristischen Personen und Niederlassungen, die bedienten Märkte, Anhaltspunkte für eine gezielte Ausrichtung, Beobachtungstätigkeiten, die Verarbeitungshäufigkeit, die Kategorien personenbezogener Daten, den ungefähren Umfang sowie etwaige bestehende EU- oder UK-Büros oder -Beauftragte.
Wann sollte die Pflicht überprüft werden?
Überprüfen Sie sie vor dem Eintritt in einen neuen Markt, vor dem Start einer wesentlich anderen Beobachtung oder eines Profilings, bei Änderung der Konzernstruktur, bei Eröffnung oder Schließung einer Niederlassung oder bei wesentlicher Änderung von Umfang oder Sensibilität der Verarbeitung.