Die Fragen, die uns Unternehmen aus der Schweiz, Großbritannien, den USA und anderen Drittstaaten zur Benennung eines EU-Vertreters nach Art. 27 DSGVO am häufigsten stellen, mit kurzen Antworten. Ausführlicher: Wie ist nochmals die Rechtslage?, Was kostet es? und EU-Vertreter nach Ländern.
Der Vertreter nach Art. 27 DSGVO ist eine in der EU niedergelassene natürliche oder juristische Person, die ein Unternehmen ohne Niederlassung in der EU schriftlich benennt (Art. 4 Nr. 17, Art. 27 Abs. 1 DSGVO). Er dient Aufsichtsbehörden und betroffenen Personen als Anlaufstelle für alle Fragen im Zusammenhang mit der Datenverarbeitung. Die rechtliche Verantwortung bleibt beim Unternehmen als Verantwortlichem oder Auftragsverarbeiter (Art. 27 Abs. 5 DSGVO).
Jedes Unternehmen ohne Niederlassung in der EU, dessen Verarbeitung personenbezogener Daten damit zusammenhängt, Personen in der EU Waren oder Dienstleistungen anzubieten oder ihr Verhalten in der EU zu beobachten (Art. 3 Abs. 2 DSGVO). Ausgenommen sind nur Behörden und eine gelegentliche, risikoarme Verarbeitung ohne umfangreiche besondere Datenkategorien (Art. 27 Abs. 2 DSGVO). Betroffen sind Unternehmen aus der Schweiz ebenso wie aus Großbritannien, den USA, Dubai, der Türkei oder jedem anderen Drittstaat.
Ja. Der Angemessenheitsbeschluss der EU-Kommission für die Schweiz (Art. 45 DSGVO) betrifft nur Datenübermittlungen aus der EU in die Schweiz. Er ändert nichts am räumlichen Anwendungsbereich der DSGVO nach Art. 3 Abs. 2 DSGVO. Ein Schweizer Unternehmen, das Kunden in Deutschland oder einem anderen EU-Staat anspricht, braucht einen EU-Vertreter nach Art. 27 DSGVO. Dasselbe gilt für Großbritannien, Kanada, Israel, Japan, Südkorea, Neuseeland, Argentinien und Brasilien.
Die Jahrespauschale beträgt 350 EUR. Die Leistung wird vom Kanzleihauptsitz in Potsdam (Deutschland) erbracht; für Unternehmer mit Sitz in einem Drittstaat fällt keine deutsche Umsatzsteuer an (Reverse-Charge, netto = brutto). Sichtung, Einscannen und Weiterleitung eingehender Post per E-Mail sind enthalten; die Weiterleitung von Originalen per Post kostet 2 EUR je Sendung zuzüglich Porto. Die Beantwortung von Behördenschreiben in Ihrem Namen wird gesondert vereinbart.
Nein. Der Vertreter nach Art. 27 DSGVO ist eine Anlaufstelle und handelt im Auftrag des Unternehmens. Der Datenschutzbeauftragte nach Art. 37 DSGVO ist ein unabhängiger interner Berater und Kontrolleur. Der Europäische Datenschutzausschuss hält beide Rollen in einer Person für unvereinbar. Ein Unternehmen kann eine der beiden Funktionen, beide oder keine benötigen.
Der Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen sich die betroffenen Personen befinden (Art. 27 Abs. 3 DSGVO). Ein Vertreter in Deutschland, dem größten EU-Markt, genügt für ein Unternehmen, das Kunden in Deutschland und weiteren Mitgliedstaaten hat; je Land ein eigener Vertreter ist nicht erforderlich.
Die fehlende Benennung ist ein Verstoß gegen Art. 27 DSGVO und kann mit einer Geldbuße von bis zu 10 Millionen EUR oder 2 % des weltweiten Jahresumsatzes des Vorjahres belegt werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 lit. a DSGVO). Außerdem können Durchsetzungsmaßnahmen gegen den Vertreter gerichtet werden (Erwägungsgrund 80 DSGVO).
In der Regel wenige Tage. Nach Ihrer Anfrage prüfen wir kostenlos, ob ein Vertreter überhaupt erforderlich ist, senden Ihnen Vertrag und schriftliche Vollmacht, und Sie unterzeichnen elektronisch. Anschließend nehmen Sie unsere Kontaktdaten in Ihre Datenschutzerklärung und Ihr Verarbeitungsverzeichnis auf. Eine Registrierung bei einer Behörde ist nicht erforderlich.
Nicht automatisch. Wir nehmen Schreiben entgegen, prüfen und leiten sie weiter und weisen auf Fristen hin. Die Beantwortung gegenüber einer Aufsichtsbehörde oder betroffenen Person bleibt Ihre Aufgabe als Verantwortlicher. Sollen wir die Antwort für Sie entwerfen oder versenden, geschieht das auf Grundlage einer gesonderten Vereinbarung zu den üblichen Sätzen der Kanzlei.
Wir korrespondieren auf Deutsch und Englisch. Für Schweizer, österreichische und liechtensteinische Mandanten ist Deutsch die Regel; deutsche Aufsichtsbehörden schreiben einen Vertreter in Deutschland ebenfalls auf Deutsch an.
Unter Umständen ja: Art. 14 des revidierten Schweizer Datenschutzgesetzes (DSG) verpflichtet Unternehmen mit Sitz im Ausland zur Benennung einer Vertretung in der Schweiz, wenn sie Personendaten von Personen in der Schweiz umfangreich und regelmäßig bearbeiten und die Bearbeitung ein hohes Risiko mit sich bringt. Näheres dazu auf unserer Seite zur Vertretung nach Art. 14 DSG.
Ihre Frage ist nicht dabei? Beschreiben Sie Ihr Unternehmen kurz im Anfrageformular; die Prüfung, ob Sie einen Vertreter benötigen, ist kostenlos.