US-Unternehmen sind die größte Gruppe von Drittstaaten-Anbietern, die an Kunden in Deutschland und der EU verkaufen: SaaS- und Cloud-Anbieter, Online-Shops, App-Entwickler, Online-Bildung, Medien und Abonnementdienste, dazu zahlreiche von Deutschen oder Schweizern gegründete Unternehmen mit Sitz in Delaware, Florida oder Kalifornien. Viele haben kein Büro in Europa. Wenn Personen in der EU zu Ihren Kunden oder Nutzern gehören, verlangt Art. 27 DSGVO einen in der EU niedergelassenen Vertreter. Die Kanzlei Matutis erbringt diese Leistung für US-Unternehmen von Deutschland aus für 350 EUR pro Jahr.
Braucht ein Unternehmen aus den USA einen EU-Vertreter?
Ja, wenn es keine Niederlassung in der EU hat und seine Verarbeitung personenbezogener Daten damit zusammenhängt, Personen in der EU Waren oder Dienstleistungen anzubieten oder ihr Verhalten in der EU zu beobachten (Art. 3 Abs. 2 in Verbindung mit Art. 27 Abs. 1 DSGVO). Typische Anzeichen sind eine deutsch- oder französischsprachige Version Ihrer Website, Preise in Euro, Versandoptionen in EU-Länder, EU-spezifische Werbekampagnen oder App-Store-Einträge für EU-Märkte (Erwägungsgrund 23 DSGVO). Beispiele aus der Praxis: ein SaaS-Unternehmen aus Delaware mit deutscher Verkaufsseite; ein Shopify-Shop aus Texas mit Versand nach Deutschland und Österreich; ein US-Anbieter für Marketing-Automatisierung, der für seine Kunden Website-Besucher in der EU trackt. Ein US-amerikanisches Unternehmen, das bereits eine Tochtergesellschaft, Zweigniederlassung oder ein Büro in einem EU-Mitgliedstaat hat, braucht keinen Vertreter; diese EU-Einheit ist die Anlaufstelle. Die Ausnahmen des Art. 27 Abs. 2 DSGVO (gelegentliche, risikoarme Verarbeitung ohne umfangreiche sensible Daten; Behörden) sind eng und greifen bei einem Unternehmen, das aktiv in der EU wirbt, so gut wie nie. Die vollständigen Kriterien erklärt die Seite Wie ist nochmals die Rechtslage?.
US-Datenschutzrecht, Data Privacy Framework und DSGVO
Die USA haben kein einheitliches Bundesdatenschutzgesetz; Datenschutz wird durch sektorale Gesetze (etwa HIPAA, COPPA, GLBA) und durch Gesetze der Bundesstaaten geregelt, allen voran den California Consumer Privacy Act (CCPA) in der Fassung des CPRA. Die Einhaltung dieser Gesetze erfüllt nicht die DSGVO, die für Ihre EU-bezogene Verarbeitung kraft Art. 3 Abs. 2 DSGVO unabhängig vom US-Recht gilt. Das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023 nach Art. 45 DSGVO) betrifft eine andere Frage: Es erlaubt EU-Unternehmen, Daten an selbstzertifizierte US-Unternehmen ohne Standardvertragsklauseln zu übermitteln. Von Art. 27 DSGVO befreit es nicht. Ein nach dem Framework zertifiziertes US-Unternehmen, das Personen in der EU Dienstleistungen anbietet, braucht weiterhin einen EU-Vertreter.
Was wir als EU-Vertreter für US-amerikanische Unternehmen tun
Die Rechtsanwaltskanzlei Matutis ist eine auf Datenschutzrecht spezialisierte deutsche Kanzlei mit Hauptsitz in Potsdam bei Berlin und Zweigstellen in Hallein (Österreich) und Felsberg (Schweiz). Die Leistung als EU-Vertreter wird ausschließlich vom deutschen Hauptsitz erbracht, weil der Vertreter in der EU niedergelassen sein muss (Art. 27 Abs. 3 DSGVO). Auf Grundlage einer schriftlichen Vollmacht nach Art. 27 Abs. 1 DSGVO sind wir Ihre Anlaufstelle in der EU für alle Aufsichtsbehörden der Mitgliedstaaten und für betroffene Personen. Schreiben und E-Mails an uns werden geprüft, eingescannt und unverzüglich an Ihre Kontaktperson weitergeleitet; auf Fristen wie die Monatsfrist für Betroffenenanträge nach Art. 12 Abs. 3 DSGVO weisen wir hin. Bei sechs bis neun Stunden Zeitunterschied liegt Post, die vormittags in Potsdam eingeht, bereits in Ihrem Postfach, bevor Ihr Arbeitstag beginnt. Wir kommunizieren auf Deutsch und Englisch. Wir ersetzen nicht Ihren Datenschutzbeauftragten und treffen keine Compliance-Entscheidungen für Sie; den Unterschied erklärt die Seite EU-Vertreter oder Datenschutzbeauftragter.
Kosten für Unternehmen aus den USA
Die Jahrespauschale beträgt 350 EUR. Da die Leistung von einer deutschen Kanzlei an einen Unternehmer mit Sitz in einem Drittstaat erbracht wird, fällt keine deutsche Umsatzsteuer an (Reverse-Charge, netto = brutto). Die Rechnung lautet auf EUR; Zahlung per Auslandsüberweisung oder, am einfachsten, per Kreditkarte oder PayPal über den PayPal-Link der Kanzlei. Die Weiterleitung eingescannter Post per E-Mail ist enthalten; die postalische Weiterleitung von Originalen kostet 2 EUR je Sendung zuzüglich Porto. Alle Einzelheiten: Was kostet es und was ist im Preis enthalten?
Nächster Schritt
Senden Sie uns Firmennamen, Website und eine kurze Beschreibung Ihrer Tätigkeit in der EU über das Anfrageformular. Wir bestätigen, ob in Ihrem Fall ein Vertreter erforderlich ist, und senden Ihnen Vertrag und Vollmacht. Den vollständigen Ablauf beschreibt die Seite So läuft die Benennung ab. Andere Länder: EU-Vertreter nach Ländern.