Kurzdefinition: Der EU-Vertreter ist der Anlaufpunkt in der Union für Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der EU. Nach Art. 27 DSGVO ist er in den Fällen des Art. 3 Abs. 2 schriftlich zu benennen. [N-DSGVO-27]
Der Normwortlaut
Art. 27 Abs. 1 DSGVO bestimmt: „In den Fällen gemäß Artikel 3 Absatz 2 benennt der Verantwortliche oder der Auftragsverarbeiter schriftlich einen Vertreter in der Union.“ Absatz 2 nimmt bestimmte Fälle von dieser Pflicht aus. [N-DSGVO-27]
Wer braucht einen EU-Vertreter?
Wer aus dem Ausland auf den EU-Markt zielt. Die Pflicht trifft nach Art. 3 Abs. 2 DSGVO nicht in der Union niedergelassene Verantwortliche oder Auftragsverarbeiter, die betroffenen Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten in der Union beobachten. Für sie ist ein Vertreter in der Union zu benennen. [N-DSGVO-27]
Welche Aufgaben hat der Vertreter?
Er ist Ansprechpartner und Bindeglied. Der Vertreter dient betroffenen Personen und Aufsichtsbehörden als Anlaufstelle in allen Fragen der Verarbeitung und wird zusätzlich zu dem Verantwortlichen oder Auftragsverarbeiter tätig. Er ersetzt deren Verantwortung nicht, sondern macht sie in der Union erreichbar. [N-DSGVO-27]
Welche Ausnahmen gibt es?
Zwei. Nach Art. 27 Abs. 2 DSGVO entfällt die Pflicht, wenn die Verarbeitung nur gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Datenkategorien oder von Daten über strafrechtliche Verurteilungen und Straftaten umfasst und voraussichtlich kein Risiko für Rechte und Freiheiten natürlicher Personen mit sich bringt — oder wenn es sich um eine Behörde oder öffentliche Stelle handelt. Außerhalb dieser Fälle bleibt die Benennungspflicht bestehen. [N-DSGVO-27]
Wo muss der EU-Vertreter niedergelassen sein?
In der Union. Der Vertreter muss in einem Mitgliedstaat niedergelassen sein, in dem sich betroffene Personen befinden, deren Daten im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen oder der Verhaltensbeobachtung verarbeitet werden. Ein Sitz irgendwo außerhalb der Union genügt nicht. [N-DSGVO-27]
In welcher Form ist der Vertreter zu benennen?
Schriftlich. Art. 27 Abs. 1 DSGVO verlangt die schriftliche Benennung. Der Vertreter dient Aufsichtsbehörden und betroffenen Personen als Anlaufstelle in der Union — eine bloß formlose oder nebenbei erfolgende Bestellung genügt nicht. [N-DSGVO-27]
Häufige Fehlannahmen
- „Ohne EU-Niederlassung gilt die DSGVO nicht.“ Nein. Über Art. 3 Abs. 2 DSGVO greift sie auch für Drittstaaten-Anbieter. [N-DSGVO-27]
- „Der Vertreter übernimmt die Haftung des Verantwortlichen.“ Nein. Er ist Ansprechpartner, ersetzt aber nicht die Verantwortung. [N-DSGVO-27]
- „Jede ausländische Stelle braucht einen Vertreter.“ Nein. Art. 27 Abs. 2 DSGVO enthält Ausnahmen. [N-DSGVO-27]
- „Der Vertreter kann irgendwo in der Welt sitzen.“ Nein. Er muss in einem Mitgliedstaat niedergelassen sein, in dem sich die betroffenen Personen befinden. [N-DSGVO-27]
- „Die Benennung kann formlos nebenbei erfolgen.“ Nein. Der Vertreter ist schriftlich zu benennen und dient Aufsichtsbehörden und betroffenen Personen als Anlaufstelle. [N-DSGVO-27]
Was die Geschäftsleitung tun sollte
- Marktbezug prüfen. Klären, ob Art. 3 Abs. 2 DSGVO das Unternehmen erfasst.
- Vertreter benennen. In der Union schriftlich einen Vertreter bestellen.
- Erreichbarkeit sichern. Den Vertreter für Betroffene und Behörden auffindbar machen.
- Ausnahmen dokumentieren. Das Vorliegen einer Ausnahme belegen können.
Für die Geschäftsleitung
Der EU-Vertreter macht deutlich, dass die DSGVO auch über die Grenzen der Union hinausreicht: Wer aus dem Ausland den EU-Markt bedient, braucht eine Anlaufstelle in der Union. Für Unternehmen mit Drittstaatenbezug — etwa Konzerntöchter oder Dienstleister — ist die Benennung eine Pflicht, von der nur eng begrenzte Ausnahmen befreien.
Quellen
- [N-DSGVO-27] Art. 27 DSGVO (Vertreter nicht in der Union niedergelassener Verantwortlicher). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
