EU-Vertreter nach Art. 27 DSGVO

Wer von außerhalb der Union Waren oder Dienstleistungen an Menschen in der EU anbietet, unterliegt der Verordnung – auch ohne Büro in Europa. Damit betroffene Personen und Behörden dann jemanden erreichen, verlangt die Verordnung einen EU-Vertreter nach Art. 27 DSGVO. Diese Pflicht wird häufiger übersehen als jede andere.

Wann die Pflicht entsteht

Der Ausgangspunkt ist Art. 3 Abs. 2 DSGVO, das Marktortprinzip. Die Verordnung gilt für Verantwortliche ohne Niederlassung in der Union, wenn sie

betroffenen Personen in der Union Waren oder Dienstleistungen anbieten – entgeltlich oder unentgeltlich, oder
deren Verhalten beobachten, soweit es in der Union stattfindet.

Der zweite Punkt trifft mehr Unternehmen, als sie annehmen. Reichweitenmessung, Profilbildung im Marketing und Wiedererkennung über Geräte hinweg sind Beobachtung im Sinne der Vorschrift.

Ausschlaggebend ist die Ausrichtung auf den europäischen Markt, nicht die bloße Erreichbarkeit einer Website. Anhaltspunkte sind eine deutsche Sprachfassung, Preise in Euro, Versand in EU-Länder, eine EU-Domain oder Werbung, die sich an ein europäisches Publikum richtet. Wer nur zufällig aus Europa aufgerufen wird, ist nicht erfasst.

Seit dem Austritt des Vereinigten Königreichs ist die Frage für viele Unternehmen konkret geworden – und sie stellt sich doppelt: Ein Anbieter aus Großbritannien braucht einen Vertreter in der EU, ein Anbieter aus der EU unter Umständen einen im Vereinigten Königreich. Für die Schweiz gilt eine vergleichbare Regelung im dortigen Datenschutzgesetz.

Die Ausnahme – und warum sie selten greift

Art. 27 Abs. 2 DSGVO nimmt Verarbeitungen aus, die gelegentlich erfolgen, keine umfangreiche Verarbeitung besonderer Kategorien oder von Daten über Straftaten umfassen und voraussichtlich kein Risiko für die Rechte der betroffenen Personen bergen. Alle drei Bedingungen müssen zusammen erfüllt sein.

„Gelegentlich” ist der Punkt, an dem es meist scheitert. Ein Onlineshop, der laufend Bestellungen aus der EU annimmt, verarbeitet nicht gelegentlich, sondern dauerhaft und strukturiert. Die Ausnahme trägt im Regelfall nur bei einmaligen oder wirklich sporadischen Vorgängen.

Was der Vertreter tut – und was nicht

Er ist Anlaufstelle, nicht Datenschutzbeauftragter. Beide Rollen sind unvereinbar zu besetzen: Der Beauftragte überwacht unabhängig, der Vertreter handelt im Auftrag des Verantwortlichen.

Seine Aufgaben:

Er nimmt Anfragen betroffener Personen entgegen und leitet sie weiter.
Er ist Ansprechpartner für die Aufsichtsbehörden.
Er führt das Verzeichnis von Verarbeitungstätigkeiten und legt es auf Verlangen vor.
Er ist schriftlich benannt und in der Datenschutzerklärung und den Informationen nach Art. 13 DSGVO genannt.

Er muss in einem Mitgliedstaat niedergelassen sein, in dem sich betroffene Personen befinden, deren Daten verarbeitet werden. Für Unternehmen mit deutschsprachigem Markt ist das in aller Regel Deutschland.

Ein Punkt, der Interessenten regelmäßig überrascht: Der Vertreter kann für Verstöße des Verantwortlichen in Anspruch genommen werden. Erwägungsgrund 80 stellt klar, dass er Durchsetzungsmaßnahmen unterworfen werden kann. Das ist der Grund, warum diese Rolle nicht nebenbei von einer beliebigen Adresse ausgeübt wird.

Was schiefgeht

Die Rolle wird gar nicht besetzt. Das Fehlen des Vertreters ist ein eigenständiger Verstoß nach Art. 83 Abs. 4 DSGVO – unabhängig davon, ob die Verarbeitung im Übrigen in Ordnung ist.

Der Vertreter steht nirgends. Eine Benennung, die niemand findet, erfüllt den Zweck nicht. Er gehört in die Datenschutzerklärung, gut auffindbar.

Vertreter und Datenschutzbeauftragter werden verwechselt. Wer einen Beauftragten benannt hat, hat damit keinen Vertreter – und umgekehrt. Ob zusätzlich eine Benennungspflicht nach Art. 37 DSGVO besteht, ist getrennt zu prüfen; die Checkliste führt durch die Schritte.

Kontakt

Sie sitzen außerhalb der EU und bieten hier an – oder Sie sind unsicher, ob Ihre Ausrichtung die Pflicht auslöst? Das klären wir im Erstgespräch.