DSGVO - Gazette #56: EU-Vertreter nach Art. 27 DSGVO: Wann Unternehmen einen Vertreter in der EU brauchen

Die DSGVO gilt längst nicht nur für Unternehmen innerhalb der Europäischen Union. Auch Unternehmen aus Drittstaaten können von den Regelungen betroffen sein, selbst dann, wenn sie keine Niederlassung in der EU besitzen. Genau an dieser Stelle kommt der sogenannte EU-Vertreter nach Art. 27 DSGVO ins Spiel.

Seit Kurzem übernehmen ich selbst die Funktion eines EU-Vertreters für internationale Unternehmen. Anlass dafür war ein Mandant, dessen Tochtergesellschaft außerhalb der EU personenbezogene Daten von Personen innerhalb Europas verarbeitet. Für viele Unternehmen ist dabei überraschend: Bereits die Erbringung von Dienstleistungen innerhalb der EU kann ausreichen, um die DSGVO anwendbar zu machen.

Was ist ein EU-Vertreter?

Ein EU-Vertreter ist eine natürliche oder juristische Person mit Sitz in der Europäischen Union, die ein Unternehmen ohne EU-Niederlassung gegenüber Aufsichtsbehörden und betroffenen Personen vertritt. Grundlage hierfür ist Art. 27 DSGVO.

Der Vertreter fungiert dabei als zentrale Kontaktstelle für datenschutzrechtliche Fragestellungen. Behörden und betroffene Personen sollen einen Ansprechpartner innerhalb der EU haben, wenn personenbezogene Daten verarbeitet werden.

Wichtig ist dabei: Der EU-Vertreter ersetzt keinen Datenschutzbeauftragten. Seine Aufgabe besteht vielmehr darin, den Verantwortlichen oder Auftragsverarbeiter in Bezug auf die datenschutzrechtlichen Pflichten innerhalb der EU zu vertreten.

Wann benötigen Unternehmen einen EU-Vertreter?

Ein EU-Vertreter ist erforderlich, wenn ein Unternehmen:

-        keine Niederlassung innerhalb der EU besitzt,

-        Waren oder Dienstleistungen für Personen in der EU anbietet oder

-        das Verhalten von Personen innerhalb der EU beobachtet

-        und dabei personenbezogene Daten verarbeitet.

Grundlage hierfür ist das sogenannte Marktortprinzip aus Art. 3 Abs. 2 DSGVO. Dieses besagt, dass sobald ein Unternehmen außerhalb der EU personenbezogene Daten von Personen innerhalb der EU verarbeitet und sich dabei an den europäischen Markt richtet, findet die DSGVO Anwendung.

Nicht jedes Unternehmen aus einem Drittstaat benötigt automatisch einen EU-Vertreter. Keine Verpflichtung besteht insbesondere dann, wenn:

-        die Datenverarbeitung nur gelegentlich erfolgt,

-        keine umfangreiche Verarbeitung sensibler Daten nach Art. 9 DSGVO stattfindet,

-        keine Verarbeitung von Daten über Straftaten nach Art. 10 DSGVO erfolgt und

-        kein hohes Risiko für die Rechte und Freiheiten betroffener Personen besteht.

Auch Behörden und öffentliche Stellen sind von der Pflicht ausgenommen.

Welche Aufgaben übernimmt der EU-Vertreter?

Der EU-Vertreter dient vor allem als Kommunikationsschnittstelle zwischen dem Unternehmen außerhalb der EU und den europäischen Datenschutzaufsichtsbehörden. Ebenso ist er Ansprechpartner für betroffene Personen, die ihre Datenschutzrechte geltend machen möchten.

Zu den typischen Aufgaben gehören:

-        Entgegennahme von Anfragen der Aufsichtsbehörden,

-        Kommunikation mit betroffenen Personen,

-        Unterstützung bei datenschutzrechtlichen Verfahren,

-        Vorhalten relevanter Unterlagen, etwa des Verzeichnisses von Verarbeitungstätigkeiten.

Welche Voraussetzungen sollte ein EU-Vertreter erfüllen?

Grundsätzlich kann jede natürliche oder juristische Person EU-Vertreter sein. In der Praxis sollte jedoch sichergestellt werden, dass ausreichende Kenntnisse im Datenschutzrecht und insbesondere in der DSGVO vorhanden sind.

Die Bestellung muss schriftlich erfolgen. Darüber hinaus muss der Vertreter in Datenschutzerklärungen genannt werden und auch im Verzeichnis der Verarbeitungstätigkeiten aufgeführt sein.

Welche Konsequenzen drohen ohne EU-Vertreter?

Unternehmen, die trotz bestehender Verpflichtung keinen EU-Vertreter benennen, riskieren erhebliche Sanktionen. Die DSGVO sieht Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor.

Zusätzlich drohen:

-        Zwangsgelder bis zur Benennung eines Vertreters,

-        wettbewerbsrechtliche Abmahnungen,

-        verschärfte Sanktionen bei weiteren Datenschutzverstößen.

In der Praxis wurden bereits hohe Geldbußen gegen Unternehmen verhängt, die ihrer Verpflichtung aus Art. 27 DSGVO nicht nachgekommen sind.

Die Pflicht zur Benennung eines EU-Vertreters wird von vielen internationalen Unternehmen unterschätzt. Gerade bei digitalen Dienstleistungen oder internationalen Geschäftsmodellen kann die DSGVO jedoch schneller greifen als erwartet.

Ein professionell bestellter EU-Vertreter schafft nicht nur Rechtssicherheit, sondern erleichtert auch die Kommunikation mit Behörden und betroffenen Personen erheblich.

Für Unternehmen außerhalb der EU ist die Benennung eines EU-Vertreters daher nicht bloß eine Formalität, sondern ein wichtiger Bestandteil einer rechtskonformen Datenschutzorganisation.

Bei Fragen rund um die Benennung eines EU-Vertreters nach Art. 27 DSGVO oder bei weiterem Beratungsbedarf im Datenschutzrecht stehen ich Ihnen jederzeit gerne zur Verfügung und freuen uns auf Ihre Kontaktaufnahme.

Viele Grüße aus Aachen
Ingo Goblirsch

Ingo Goblirsch LL.M.
Externer Datenschutzbeauftragter
Datenschutz | Compliance | Informationssicherheit
52076 Aachen

Das Beitragsbild wurde mithilfe von OpenAI's ChatGPT generiert. Die kommerziellen Nutzungsrechte liegen vollständig beim Ersteller. OpenAI erhebt kein Urheberrecht an diesem Inhalt. Alle dargestellten Elemente sind frei erfunden und dienen ausschließlich illustrativen Zwecken. Marken oder Persönlichkeitsrechte Dritter werden nicht verletzt.