EU-Vertreter nach Art. 27 DSGVO – für viele Unternehmen unverzichtbar!

Die Benennung eines EU-Vertreters nach Artikel 27 DSGVO ist für die meisten Unternehmen außerhalb der Europäischen Union keine optionale Maßnahme, sondern eine zwingende rechtliche Verpflichtung – deren Nichtbeachtung inzwischen konsequent mit hohen Bußgeldern geahndet wird.

Wer braucht überhaupt einen EU-Vertreter nach Art. 27 DSGVO?

Die Pflicht zur Bestellung eines in der EU ansässigen Vertreters trifft Verantwortliche und Auftragsverarbeiter, die keine Niederlassung in der Union haben, aber dennoch personenbezogene Daten von Personen verarbeiten, die sich in der EU befinden.

Konkret greift die Vertreterpflicht, wenn alle folgenden Voraussetzungen erfüllt sind:

• Das Unternehmen hat keinen Sitz, keine Zweigstelle oder Tochtergesellschaft in einem EU-Mitgliedstaat
• Die Datenverarbeitung fällt unter den Anwendungsbereich von Art. 3 Abs. 2 DSGVO (Marktortprinzip): Das Unternehmen bietet Waren oder Dienstleistungen gegenüber Personen in der EU an – unabhängig davon, ob eine Zahlung erforderlich ist – oder es beobachtet das Verhalten von Personen in der EU (z. B. durch Tracking, Webanalyse oder Profiling).
• Es liegt keine Ausnahme nach Art. 27 Abs. 2 DSGVO vor

Was ist die Rechtsfolge?

Von der Pflicht erfasste Unternehmen müssen dann schriftlich einen Vertreter in einem EU-Mitgliedstaat benennen, in dem sich betroffene Personen befinden, deren Daten verarbeitet werden. Der Vertreter fungiert dabei als Anlaufstelle für Aufsichtsbehörden und betroffene Personen.

In der Praxis betrifft die Thematik daher in erster Linie Unternehmen, die ausschließlich außerhalb der EU sitzen, aber mit Ihren Leistungen den europäischen Markt bedienen wollen.

Betroffen von dieser Pflicht sind jedoch nicht nur Firmen, die in der EU Waren oder Dienstleistungen anbieten (im Übrigen besteht diese auch bei einem unentgeltlichen Anbieten).

Vielmehr sind auch solche Unternehmen betroffen, die auch (nur) Verhalten von Personen in der EU beobachten (Profiling, Tracking etc.), etwa über entsprechende Trackingtools auf der Webseite.

Wann besteht keine Pflicht?

Die DSGVO sieht in ihrem Artikel 27 Abs. 2 eine eng gefasste Ausnahme von der Verpflichtung zur Bestellung eines EU-Vertreters vor:

Ein EU-Vertreter muss nach dieser von grundsätzlich verpflichteten Verantwortlichen (nur) dann nicht benannt werden, wenn die Datenverarbeitung nur gelegentlich erfolgt, und dabei keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) umfasst und unter Berücksichtigung von Art, Umständen, Umfang und Zwecken der Verarbeitung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.

Alle drei genannten Kriterien müssen kumulativ erfüllt sein – in der Praxis ist diese Ausnahme daher nur für sehr geringfügige Verarbeitungen anwendbar. Behörden und sonstige öffentliche Stellen sind generell von der Pflicht zur Benennung eines EU-Vertreters befreit.

Was sind die Aufgaben des EU-Vertreters?

Der EU-Vertreter ist eine natürliche oder juristische Person, die vom Verpflichteten schriftlich mandatiert wird und als Anlaufstelle für Aufsichtsbehörden und betroffene Personen in der Union dient.

Dabei ist der EU-Vertreter das zentrale Bindeglied zwischen dem verpflichteten Unternehmen und den europäischen Datenschutzbehörden auf der einen Seite sowie den von Datenverarbeitungen des verpflichteten Unternehmen betroffenen Personen in der EU auf der anderen Seite. Die Tätigkeit des EU-Vertreters ist dabei rein kommunikativer Natur. Er ist der offizielle Ansprechpartner innerhalb der EU, tritt aber nicht in die Pflichten des Unternehmens ein, ist insbesondere nicht für dessen Datenverarbeitungen verantwortlich.

Zu den zentralen Aufgaben des EU-Vertreters gehören:

• Erreichbarkeit für Datenschutzbehörden und betroffene Personen in der EU
• Entgegennahme von Anfragen, Beschwerden oder behördlichen Mitteilungen und deren Weiterleitung
• Anlaufstelle bei Datenschutzvorfällen und behördlichen Ermittlungen

Wer darf überhaupt als EU-Vertreter bestellt werden?

Als EU-Vertreter kann jede natürliche oder juristische Person fungieren, die in einem EU-Mitgliedsstaat niedergelassen ist, vgl. Art. 4 Nr. 17 DGSVO.

Eine bestimmte berufliche Qualifikation, etwa das Tätigsein als zugelassener Rechtsanwalt, ist hierfür nicht erforderlich.

Aufgrund der wichtigen Bedeutung des EU-Vertreters empfiehlt sich jedoch die Mandatierung einer Person bzw. Organisation, die über nachweisbares Fachwissen im Bereich des Datenschutzrechts der DSGVO verfügt und bei der eine jederzeitig Erreichbarkeit für Aufsichtsbehörden und Betroffene gegeben ist.

Wo muss der EU-Vertreter ansässig sein?

Artikel 27 Abs. 3 DSGVO verlangt, dass der Vertreter in einem der Mitgliedstaaten der EU ansässig ist, in dem sich die betroffenen Personen befinden, deren Daten verarbeitet werden. Beim Verkauf in mehrere EU-Länder bzw. länderübergreifender Tätigkeit empfiehlt sich daher die Wahl eines Mitgliedstaats mit breiter Abdeckung (wie etwa eines Vertreters mit Sitz in Deutschland) oder die Benennung mehrerer Vertreter.

Heftige Konsequenzen bei Nichtbenennung drohen

Bestellt ein hierzu nach Art. 27 DSGVO verpflichtetes Unternehmen keinen EU-Vertreter und wird eine in der EU ansässige Datenschutzbehörde hierauf aufmerksam (etwa in Folge einer Betroffenenbeschwerde), droht dem Unternehmen erheblicher Ärger.
Die Nichterfüllung der Vertreterpflicht wird von den europäischen Datenschutzbehörden als eigenständiger Verstoß behandelt und ist mit erheblichen Sanktionen belegt.

Mögliche Folgen sind:

• Bußgelder bis zu 10 Millionen Euro oder 2% des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs – je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 lit. a DSGVO)
• Anordnungen der Aufsichtsbehörde, die zur Einschränkung oder Aussetzung der Datenverarbeitung innerhalb der EU führen können
• Zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO

Fazit

Für Unternehmen außerhalb der EU, die gezielt den europäischen Markt bedienen oder zumindest Nutzerverhalten in der Union beobachten, ist die Benennung eines EU-Vertreters nach Art. 27 DSGVO eine zentrale Compliance-Pflicht – und keine bloße Formalie.
Angesichts verschärfter Vollzugspraxis und signifikanter Sanktionen sollte die Prüfung dieser Verpflichtung von jedem nicht in der EU ansässigen Unternehmen vorgenommen werden, um die schwerwiegenden Konsequenzen, die bei versäumter Vertreterbestellung drohen, vermeiden zu können.

Sofern Sie die Bestellung eines EU-Vertreters nach Art. 27 DSGVO, sprechen Sie uns gerne hierauf an.