GDPR-Vertreter / Artikel 27 EU-DSGVO
Einen EU-Vertreter nach Artikel 27 DSGVO benennen
Für Organisationen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten, kann Artikel 27 die schriftliche Benennung eines in der EU niedergelassenen Vertreters verlangen.
Dokumentierte Anwendbarkeitsprüfung, Benennung, Kontaktwege und laufender Korrespondenzprozess.
Benötigen Sie einen EU-Vertreter?
Ein EU-Vertreter ist in der Regel relevant, wenn alle folgenden Punkte zutreffen: Ihre Organisation ist Verantwortlicher oder Auftragsverarbeiter außerhalb der EU; sie hat für die Verarbeitung keine einschlägige EU-Niederlassung; und die EU-DSGVO ist anwendbar, weil Sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten in der EU beobachten.
Die Prüfung erfolgt tätigkeitsbezogen. Ein Unternehmen außerhalb der EU unterliegt nicht automatisch der EU-DSGVO, nur weil jemand in der EU seine Website aufrufen kann. Umgekehrt verhindert das Fehlen eines EU-Büros nicht die Anwendbarkeit der EU-DSGVO, wenn die Organisation den Markt gezielt bedient oder Personen dort beobachtet.
| Prüffrage | Warum sie wichtig ist |
|---|---|
| Besteht eine EU-Niederlassung im Zusammenhang mit der Verarbeitung? | Falls ja, ist Artikel 27 für diese Verarbeitung möglicherweise nicht der richtige Weg, auch wenn die EU-DSGVO über die Niederlassung weiterhin anwendbar sein kann. |
| Werden Personen in der EU Waren oder Dienstleistungen angeboten? | Die Analyse berücksichtigt Anhaltspunkte für eine gezielte Ausrichtung auf Personen in der EU, nicht die bloße weltweite Erreichbarkeit. |
| Wird Verhalten in der EU beobachtet? | Tracking, Profiling oder andere Formen der Beobachtung können einschlägige Verarbeitungen in den Anwendungsbereich bringen, wenn das Verhalten in der EU stattfindet. |
| Greift die eng gefasste Ausnahme? | Gelegentliche Verarbeitung, umfangreiche Verarbeitung sensibler bzw. strafrechtlicher Daten und das Risiko müssen kumulativ geprüft werden. Das Ergebnis sollte dokumentiert werden. |
Was der EU-Vertreter leistet
- Handelt auf Grundlage eines schriftlichen Mandats für die von der Benennung erfasste Verarbeitung.
- Stellt eine EU-Anlaufstelle für betroffene Personen und Aufsichtsbehörden bereit.
- Nimmt Korrespondenz zur betreffenden Verarbeitung entgegen, protokolliert und leitet sie weiter.
- Unterstützt die Bereitstellung der erforderlichen Verarbeitungsverzeichnisse gegenüber Aufsichtsbehörden.
- Arbeitet im Rahmen des Mandats mit den Aufsichtsbehörden zusammen.
- Pflegt einen vereinbarten Eskalationsprozess mit benannten Ansprechpartnern in Ihrer Organisation.
Was der EU-Vertreter nicht leistet
- Er wird nicht zum Verantwortlichen oder Auftragsverarbeiter.
- Er übernimmt nicht die Verantwortung oder Haftung Ihrer Organisation nach der EU-DSGVO.
- Er ist nicht automatisch Ihr Datenschutzbeauftragter.
- Er macht die zugrunde liegende Verarbeitung nicht allein dadurch rechtmäßig, dass ein Vertreter benannt wurde.
- Er ersetzt nicht die erforderlichen Verzeichnisse, Datenschutzhinweise, Verträge, Prozesse für Betroffenenrechte oder Sicherheitsmaßnahmen.
Leistungsumfang
- Erstprüfung nach Artikel 3 Abs. 2 und Artikel 27, einschließlich einer etwaig geltend gemachten Ausnahme.
- Bestätigung des gewählten EU-Mitgliedstaats und der Niederlassung des Vertreters.
- Schriftliches Mandat und Benennungsdokumentation.
- Freigegebene Kontaktformulierung des Vertreters für Datenschutzhinweise und zugehörige Transparenzunterlagen.
- Dedizierter Korrespondenzweg und vereinbarte Eskalationskontakte.
- Onboarding-Prüfung der relevanten Gesellschaften, Märkte, Produkte, Verarbeitungen und vorhandenen Verzeichnisse.
- Korrespondenzprotokoll und Bearbeitungsnachweise im vereinbarten Leistungsumfang.
- Regelmäßige Überprüfung der Benennung bei wesentlichen Änderungen von Märkten, Struktur oder Verarbeitung.
Wo sollte der Vertreter niedergelassen sein?
Artikel 27 verlangt, dass der Vertreter in einem Mitgliedstaat niedergelassen ist, in dem sich die betroffenen Personen befinden. Befindet sich ein erheblicher Teil der betroffenen Personen in einem Mitgliedstaat, empfiehlt der EDSA diesen Staat als gute Praxis. Der richtige Standort sollte daher aus Ihren tatsächlichen EU-Märkten abgeleitet und nicht allein aus administrativen Gründen gewählt werden.
Benannter EU-Vertreter
- Vertreter:
- Privacy Core Services Ltd (C 95774)
- Niederlassung:
- Malta (EU Member State)
- Anschrift:
- 124, 21st September Avenue, Naxxar NXR 1015, Malta
- Kontakt:
- privacy@privacycoreservices.com (monitored)
Ablauf der Benennung
Prüfung des räumlichen Anwendungsbereichs
Prüfung von Niederlassungen, EU-Marktaktivität, Beobachtung und den Ausnahmekriterien.
Markt- und Verarbeitungsübersicht
Identifikation der Mitgliedstaaten, Produkte, Gesellschaften und Verarbeitungen, die das Mandat abdeckt.
Auswahl des Vertreters
Bestätigung der rechtlich geeigneten Niederlassung und der kommerziellen Vereinbarung.
Schriftliche Benennung
Unterzeichnung des Mandats und Dokumentation von Zuständigkeiten, Kontakten, Umfang und Eskalation.
Aktualisierung der Transparenzinformationen
Aufnahme der Kontaktdaten des Vertreters in die Datenschutzinformationen und weitere erforderliche Unterlagen.
Operativer Test
Bestätigung von Eingangskanal, internem Verantwortlichen, Antwortprozess und Nachweisprotokoll.
Umfang und Preisfaktoren
Der Preis sollte die tatsächliche operative Last und das Risiko widerspiegeln – nicht ein Logo oder eine reine Adressdienstleistung. Das Angebot sollte die einbezogenen Gesellschaften und Produkte, das erwartete Korrespondenzaufkommen, die Zahl der betroffenen Personen, das Verarbeitungsrisiko, Sprachen, Anforderungen an die Verzeichnisunterstützung und etwaige weitergehende Beratung ausweisen.
| Faktor | Warum er den Umfang verändert |
|---|---|
| Gesellschaften und Marken | Jede juristische Person und jede öffentlich auftretende Marke kann eigene Dokumentation, Hinweise und interne Ansprechpartner erfordern. |
| EU-Märkte und Sprachen | Das Kontakt- und Eskalationsmodell muss für die beteiligten Personen und Behörden zugänglich bleiben. |
| Sensibilität und Umfang der Verarbeitung | Risikoreichere oder komplexe Verarbeitungen erfordern in der Regel ein tieferes Onboarding und eine stärker strukturierte Eskalation. |
| Erwartete Korrespondenz | Das kommerzielle Modell sollte zwischen bloßer Erreichbarkeit und aktiver Fallbearbeitung samt Beratung unterscheiden. |
| Verzeichnisunterstützung | Die Bereitstellung nach Artikel 30 und die Qualität der Verzeichnisse können zusätzlichen Aufwand über das Vertretermandat hinaus erfordern. |
EU-Vertreter vs. DSB
| EU-Vertreter | DSB | |
|---|---|---|
| Auslöser | Bestimmte Organisationen außerhalb der EU, die der EU-DSGVO nach Artikel 3 Abs. 2 unterliegen. | Auslöser nach Artikel 37 oder freiwillige Benennung. |
| Zweck | EU-Anlaufstelle und beauftragte Vertreterrolle. | Unabhängige Beratung, Überwachung und Kontakt zur Aufsichtsbehörde. |
| Standort | Niederlassung in einem geeigneten EU-Mitgliedstaat. | Muss erreichbar und angemessen eingebunden sein; nicht standardmäßig die Niederlassung nach Artikel 27. |
| Verantwortlichkeit | Übernimmt nicht die Verantwortlichkeit des Verantwortlichen bzw. Auftragsverarbeiters. | Übernimmt nicht die Verantwortung der Geschäftsleitung. |
Unsicher, wie sich die Rollen in der Praxis unterscheiden? Lesen Sie den Leitfaden DSB oder DSGVO-Vertreter oder Artikel 27 erklärt für die rechtlichen Details.
Bereit, Ihre EU-Position zu klären?
Führen Sie die Bedarfsprüfung durch oder senden Sie uns Ihre Niederlassungsstruktur, EU-Märkte, Produkte, Beobachtungsaktivitäten, Datenkategorien und aktuellen Datenschutzhinweise. Wir klären, ob eine Benennung voraussichtlich erforderlich ist und was vor dem Go-live zu bestätigen ist.
Sie benötigen EU- und UK-Abdeckung? Sehen Sie sich den koordinierten EU + UK-Vertreterservice an.
Häufig gestellte Fragen
Welche Organisationen außerhalb der EU benötigen einen EU-Vertreter nach der DSGVO?
Die Pflicht greift in der Regel, wenn ein Verantwortlicher oder Auftragsverarbeiter außerhalb der EU keine einschlägige EU-Niederlassung hat, die EU-DSGVO aber auf Verarbeitungen anwendbar ist, die mit dem Anbieten von Waren oder Dienstleistungen an Personen in der EU oder der Beobachtung ihres Verhaltens dort zusammenhängen – sofern keine Ausnahme greift.
Gilt die Ausnahme für gelegentliche Verarbeitung für uns?
Möglicherweise, aber die Prüfung ist kumulativ und eng auszulegen. Die Verarbeitung muss gelegentlich erfolgen, darf keine umfangreiche Verarbeitung der genannten sensiblen Daten oder von Daten über strafrechtliche Verurteilungen umfassen und darf voraussichtlich kein Risiko für die betroffenen Personen mit sich bringen. Die Begründung sollte dokumentiert werden.
In welchem EU-Land sollte unser Vertreter niedergelassen sein?
Der Vertreter muss in einem Mitgliedstaat niedergelassen sein, in dem sich die betroffenen Personen befinden. Ihre wichtigsten EU-Märkte und die Verteilung der betroffenen Personen sollten berücksichtigt werden. Der EDSA empfiehlt als gute Praxis den Mitgliedstaat, in dem sich ein erheblicher Teil der betroffenen Personen befindet.
Ist ein EU-Vertreter dasselbe wie ein DSB?
Nein. Der Vertreter ist die lokale Anlaufstelle nach Artikel 27 für bestimmte Organisationen außerhalb der EU. Ein DSB unterliegt eigenen Anforderungen an Beratung, Überwachung und Unabhängigkeit. Eine Organisation kann beides benötigen.
Brauchen wir zusätzlich einen UK-Vertreter?
Möglicherweise benötigen Sie eine separate Benennung für das UK, wenn die UK-DSGVO auf einschlägige UK-bezogene Tätigkeiten oder Beobachtungen anwendbar ist und weder eine einschlägige UK-Niederlassung noch eine Ausnahme besteht. Die EU-Benennung deckt das UK nicht ab.
Was muss nach der Benennung in unseren Datenschutzhinweisen geändert werden?
Soweit anwendbar, sollten Ihre Datenschutzinformationen die Identität und die Kontaktdaten des Vertreters enthalten. Die Formulierung sollte in den Datenschutzhinweisen, im Prozess für Betroffenenrechte, in den öffentlichen Kontaktkanälen und im internen Eskalationsverfahren einheitlich sein.