Brauchen Nicht-EU Cloud- oder SaaS-Anbieter beide GDPR- und NIS2-Vertreter?

• GDPR Artikel 27 und NIS2 Artikel 26 gelten oft beide für Nicht-EU Cloud/SaaS-Anbieter
• Keine Größenuntergrenze für GDPR; NIS2 gilt für Cloud/CDN/DNS unabhängig von der Größe
• REP27, EU Presence, DataShield Guardian und Regingada bieten beide Services an
• Veröffentlichte Preise variieren stark; prüfen Sie immer, was enthalten ist
• Bußgelder bei Nicht-Einhaltung können bis zu 10 Mio. € oder 2 % des Umsatzes betragen (GDPR)
• Bestellprozess, Ausnahmen und versteckte Gebühren unterscheiden sich je Anbieter

Aktualisiert 3. November 2026 · 8 Quellen geprüft

Anbieter im Vergleich

Preise wie am 3. November 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: GDPR Artikel 27 und NIS2 Artikel 26

Nicht-EU Cloud- und SaaS-Anbieter, die die EU bedienen, unterliegen zwei unterschiedlichen rechtlichen Verpflichtungen:

• GDPR Artikel 27 Vertreter: Jeder Nicht-EU Verantwortliche oder Auftragsverarbeiter, der Waren/Dienstleistungen für EU-Personen anbietet oder deren Verhalten überwacht, muss einen EU-Vertreter benennen. Dies gilt für SaaS- und Cloud-Anbieter, auch wenn ihre Dienste B2B sind, solange die verarbeiteten Daten EU-Personen betreffen. Es gibt keine Mindestgrößenschwelle – jede Nicht-EU-Einheit, die EU-Daten verarbeitet, muss dies erfüllen. (GDPR Art. 27)
• NIS2 Artikel 26 Vertreter: Nicht-EU-Anbieter von Cloud-, DNS-, CDN-, Managed Services, Marktplätzen und sozialen Plattformen müssen einen Vertreter in einem EU-Mitgliedstaat benennen, in dem sie Dienste anbieten. Im Gegensatz zu einigen anderen NIS2-Pflichten gilt dies unabhängig von Unternehmensgröße oder Umsatz für diese spezifischen digitalen Dienste. (NIS2 Art. 26)

Diese Anforderungen sind kumulativ. Die Benennung eines GDPR-Vertreters befreit nicht von NIS2 und umgekehrt. Beide Rollen dienen als Ansprechpartner für EU-Behörden und betroffene Personen, decken jedoch unterschiedliche Rechtsrahmen und Meldepflichten ab. NIS2 umfasst z.B. verpflichtende Vorfallsmeldungen und Registrierung bei nationalen Behörden bis Januar 2025, während GDPR den Datenschutz und Rechte der Betroffenen fokussiert.

Das Versäumnis, die erforderlichen Vertreter zu benennen, kann zu hohen Strafen führen. GDPR-Verstöße können Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes nach sich ziehen. NIS2 erlaubt Mitgliedstaaten direkte Durchsetzungsmaßnahmen gegen Nicht-EU-Anbieter, selbst wenn ein Vertreter benannt wurde. Compliance bedeutet daher nicht nur die Benennung eines Vertreters, sondern auch die laufende Zusammenarbeit und Reaktionsfähigkeit gegenüber EU-Behörden.

Zusammenfassend müssen Nicht-EU SaaS- und Cloud-Anbieter sorgfältig prüfen, ob ihre Aktivitäten eine oder beide Verpflichtungen auslösen, und einen Anbieter wählen, der beide Rollen abdecken kann, falls erforderlich.

Wie man wählt: Entscheidungsmatrix für Nicht-EU Anbieter

Die Wahl des richtigen Vertreters hängt von Ihrem Geschäftsmodell, der Art Ihrer Dienste und Ihrer Kundenbasis ab. Die folgende Matrix hilft, basierend auf Ihrer Situation zu klären, was Sie benötigen:

Praktische Hinweise:

• Überprüfen Sie Ihre Datenflüsse: Verarbeiten Sie personenbezogene Daten von EU-Bewohnern, gilt GDPR.
• Bewerten Sie Ihre digitalen Dienste: Bieten Sie Cloud-, CDN-, DNS- oder Managed Services für die EU an, gilt NIS2 unabhängig von personenbezogenen Daten.
• Marktplätze: Verkaufen Sie nur physische Produkte über Plattformen wie Amazon oder eBay und verarbeiten keine EU-Personendaten oder bieten digitale Dienste an, benötigen Sie einen Produktverantwortlichen, keinen GDPR- oder NIS2-Vertreter.
• EU-Niederlassung: Wenn Ihr Unternehmen bereits in der EU ansässig ist, gelten diese Pflichten nicht, außer Sie handeln für eine Nicht-EU-Muttergesellschaft.

Die Wahl eines Anbieters, der beide Rollen (GDPR und NIS2) abdeckt, kann Compliance vereinfachen, den Verwaltungsaufwand reduzieren und eine konsistente Kommunikation mit Behörden sicherstellen. Bestätigen Sie immer, dass der Anbieter beide Pflichten erfüllen kann, und prüfen Sie veröffentlichte Preise und enthaltene Leistungen.

Was der Preis wirklich beinhaltet (und ausschließt)

Die veröffentlichten Preise für GDPR- und NIS2-Vertretung variieren stark. Es ist wichtig zu verstehen, was jeder Anbieter in seiner Grundgebühr einschließt und was zusätzliche Kosten verursachen kann. Hier eine vergleichende Übersicht:

Wichtige Details der Anbieter:

• REP27: Bietet GDPR- und NIS2-Vertretung, Zertifikat, öffentliche Verifizierung und einen Vertrag für mehrere Rollen. Der veröffentlichte GDPR-Preis beginnt bei 290 €/Jahr; NIS2-Preise auf Anfrage. Alle Bestellungen werden von Europe Services SE (EU) unterzeichnet und kommen mit einem verifizierbaren Zertifikat. (Quelle)
• EU Presence: Berechnet 127 $/Monat für GDPR und 327 $/Monat für NIS2 (Preise auf Quellseite bestätigt). Inklusive Workflow für Vorfallsmeldungen und Abdeckung aller 27 EU-Staaten. (Quelle)
• DataShield Guardian: Full Presence Plan ab 12.000 $/Jahr, umfasst GDPR, NIS2, AI Act, gemanagten DPO und Compliance-Support. (Quelle)
• Regingada: GDPR ab 490 €/Jahr; NIS2 auf Anfrage. Bietet dokumentierte Weiterleitung, Fristenprotokollierung und hat Sitz in Deutschland. (Quelle)

Fordern Sie stets ein detailliertes Angebot und einen Vertrag an. Viele Anbieter veröffentlichen nicht alle Zusatzgebühren wie pro Vorfall, Behördenantworten oder Verlängerungskosten. Fragen Sie vor Vertragsabschluss gezielt danach.

Versteckte Kosten und was Anbieter meist nicht sagen

Obwohl Anbieter jährliche oder monatliche Gebühren für die Vertretung angeben, fehlen oft wichtige Details in öffentlichen Materialien. Käufer sollten sich möglicher versteckter Kosten und Ausschlüsse bewusst sein:

• Kündigungsfristen: Keiner der oben genannten Anbieter nennt Mindestvertragslaufzeiten oder Kündigungsfristen. Prüfen Sie den Vertrag genau.
• Gebühren pro Anfrage/Vorfall: Kein Anbieter veröffentlicht Gebühren pro Vorfall oder Behördenanfrage. Für NIS2 können Vorfallsmeldungen und Behördenkommunikation Zusatzkosten verursachen. Fordern Sie eine vollständige Gebührenübersicht an.
• Haftungsbeschränkungen: Öffentliche Informationen zu Haftungsgrenzen oder Ausschlüssen fehlen. Anbieter begrenzen häufig ihre Haftung für Bußgelder oder Schäden im Vertrag – lassen Sie sich diesen Abschnitt vor Unterzeichnung zeigen.
• Leistungsausschlüsse: Manche Anbieter schließen nicht alle Behördenkommunikationen, Vorfallmanagement oder Zertifikatserneuerungen im Grundpreis ein. Beispielsweise bietet Regingada NIS2-Vertretung nur auf Anfrage an, Details zur Vorfallsmeldung sind nicht veröffentlicht. DataShield Guardian bündelt DPO und Compliance-Support, der Umfang kann auf bestimmte Stunden oder Vorfallarten begrenzt sein.
• Verifizierung und Dokumentation: REP27 stellt ein öffentliches Zertifikat und Verifizierungscode bereit, was für Nachweise gegenüber Behörden und Marktplätzen nützlich ist. Nicht alle Anbieter bieten diese Funktion.

Was Anbieter meist nicht sagen:

• Ob sie auf jede Behördenanfrage reagieren oder für komplexe Fälle extra berechnen
• Ob der Preis laufende Compliance-Beratung oder nur die rechtliche Bestellung beinhaltet
• Wie schnell Vorfallmeldungen oder Behördenkorrespondenz bearbeitet werden
• Ob sich der Vertrag automatisch verlängert und unter welchen Bedingungen

Um Überraschungen zu vermeiden, fordern Sie immer den vollständigen Vertrag an, bitten Sie um eine detaillierte Aufschlüsselung der enthaltenen und ausgeschlossenen Leistungen und klären Sie den Ablauf bei dringenden Vorfällen oder Behördenuntersuchungen.

So funktioniert die Bestellung: Schritt für Schritt

Die Benennung eines GDPR- und/oder NIS2-Vertreters umfasst mehrere konkrete Schritte. Der Prozess stellt sicher, dass der Vertreter ordnungsgemäß autorisiert ist und Ihr Unternehmen auf Anfragen der EU-Behörden vorbereitet ist. So funktioniert es typischerweise, am Beispiel von REP27:

1. Pflichten prüfen: Nutzen Sie die obenstehende Entscheidungsmatrix, um festzustellen, ob Sie einen GDPR- und/oder NIS2-Vertreter benötigen. Prüfen Sie Ihre Datenverarbeitung und angebotenen digitalen Dienste für die EU.
2. Anbieter wählen: Vergleichen Sie Anbieter anhand veröffentlichter Preise, enthaltenen Leistungen und Reputation. Bestätigen Sie, dass der Anbieter beide Rollen abdecken kann, falls nötig.
3. Firmendaten übermitteln: Sie müssen rechtliche Firmendaten, eine Beschreibung Ihrer Dienste und Informationen zu EU-Kunden oder Nutzern bereitstellen. REP27 verlangt z.B. eine Datei mit diesen Angaben zur manuellen Prüfung.
4. Anbieterprüfung: Der Anbieter prüft Ihre Unterlagen auf Vollständigkeit und Richtigkeit. Bei REP27 erfolgt dies meist innerhalb von 24 Arbeitstunden.
5. Bestellung und Unterschrift: Das gesetzliche Vertretungsorgan des Anbieters unterschreibt die Bestellung und ernennt ihn offiziell zum Vertreter. REP27 stellt ein unterschriebenes Zertifikat, QR-Code und Verifizierungscode aus.
6. Dokumentation erhalten: Sie erhalten die unterschriebene Bestellung, das Zertifikat und Musterformulierungen für Ihre Datenschutzerklärung oder Website. Diese Dokumente sind wichtig für Nachweise gegenüber Behörden, Kunden und Marktplätzen.
7. Rechtliche Hinweise aktualisieren: Aktualisieren Sie Ihre Datenschutzerklärung, Website und (für NIS2) melden Sie die Kontaktdaten des Vertreters bei der zuständigen nationalen Behörde. NIS2 verlangt die Registrierung bis Januar 2025.
8. Laufende Zusammenarbeit: Pflegen Sie die Kommunikation mit Ihrem Vertreter für Vorfallsmeldungen, Behördenanfragen und Compliance-Updates. Verstehen Sie den Ablauf für dringende Meldungen und die Reaktionszeiten des Anbieters.

Einkaufs-Checkliste:

1. Prüfen Sie, ob Sie personenbezogene EU-Daten verarbeiten oder Cloud/digitale Dienste für die EU anbieten.
2. Ermitteln Sie, ob sowohl GDPR als auch NIS2 für Sie gelten.
3. Sammeln Sie alle notwendigen Firmendokumente und Dienstbeschreibungen.
4. Kontaktieren Sie Anbieter für ein vollständiges Angebot und Vertrag, fragen Sie nach Zusatzkosten.
5. Prüfen Sie Vertragsbedingungen, inklusive Kündigungsfristen und Haftungsbeschränkungen.
6. Bestellen Sie Ihre(n) Vertreter und erhalten Sie die Dokumentation.
7. Aktualisieren Sie Ihre Datenschutzerklärung und melden Sie sich bei Behörden, falls erforderlich.
8. Richten Sie interne Prozesse für Vorfallsmeldung und Behördenkommunikation ein.

Mit diesen Schritten erfüllen Sie die EU-Rechtsanforderungen und vermeiden kostspielige Durchsetzungsmaßnahmen.

Risiken, Bußgelder und Durchsetzung

Die Nicht-Einhaltung von GDPR Artikel 27 oder NIS2 Artikel 26 kann Nicht-EU Cloud- und SaaS-Anbieter erheblichen rechtlichen und finanziellen Risiken aussetzen. Das Verständnis dieser Risiken ist für fundierte Entscheidungen essenziell:

• GDPR: Die Nicht-Benennung eines GDPR-Vertreters ist eine eigenständige Verletzung, die mit Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden kann, je nachdem, welcher Wert höher ist. Diese Bußgelder kommen zu anderen GDPR-Strafen hinzu. Behörden können auch Ihre Dienste in der EU sperren oder die Löschung unrechtmäßig verarbeiteter Daten anordnen.
• NIS2: Nach NIS2 können Mitgliedstaaten direkte Durchsetzungsmaßnahmen gegen Nicht-EU-Anbieter ergreifen, die keinen Vertreter benennen. Dies umfasst Untersuchungen, Dienstblockaden und Verwaltungsstrafen. Der Vertreter schützt nicht vor Durchsetzung, sondern dient als lokaler Ansprechpartner für Behörden.
• Registrierungsfristen: NIS2 verlangt, dass Nicht-EU-Anbieter die Kontaktdaten ihres Vertreters bis zum 17. Januar 2025 bei der zuständigen nationalen Behörde registrieren. Das Versäumnis kann sofortige Compliance-Maßnahmen auslösen.
• Vorfallsmeldung: NIS2 verpflichtet betroffene Anbieter, bedeutende Sicherheitsvorfälle zu melden. Verzögerungen oder Ausfälle bei der Meldung können weitere Strafen und Reputationsschäden verursachen.
• Reputationsrisiko: Öffentliche Durchsetzungsmaßnahmen oder Dienstsperren können Ihre Marke schädigen und das Vertrauen der Kunden, insbesondere im datenschutz- und sicherheitssensiblen EU-Markt, untergraben.

Um diese Risiken zu minimieren, benennen Sie einen qualifizierten Vertreter, halten Sie die Dokumentation aktuell und etablieren Sie klare interne Abläufe für Vorfallmanagement und Behördenkommunikation. Überprüfen Sie regelmäßig Ihren Compliance-Status und aktualisieren Sie die Vertreternamen bei Geschäftsänderungen.

Realistische Szenarien: Was gilt und der einfachste Weg

Nachfolgend drei praktische Szenarien, die zeigen, wie die Regeln gelten und wie der einfachste Weg zur Compliance aussieht:

• Szenario 1: US SaaS-Unternehmen mit B2B- und B2C-Diensten für EU-Kunden
  Pflichten: Benötigt sowohl GDPR Artikel 27 als auch NIS2 Vertreter. Das Unternehmen verarbeitet EU-Personendaten (GDPR) und bietet Cloud-Dienste (NIS2).
  Compliance-Weg: Benennen Sie einen Anbieter (z.B. REP27), der beide Rollen abdeckt. Aktualisieren Sie die Datenschutzerklärung mit Vertreterangaben, registrieren Sie sich bei der zuständigen NIS2-Behörde und richten Sie interne Abläufe für Vorfallsmeldungen und Behördenkommunikation ein.
• Szenario 2: Chinesischer Amazon-Verkäufer, der nur physische Waren in die EU exportiert
  Pflichten: Benötigt einen Produktverantwortlichen für Produktsicherheit. Benötigt keine GDPR- oder NIS2-Vertreter, sofern keine EU-Personendaten verarbeitet oder digitale/Cloud-Dienste angeboten werden.
  Compliance-Weg: Benennen Sie einen Produktverantwortlichen (nicht hier behandelt), sorgen Sie für Produktkennzeichnung und Dokumentation und prüfen Sie, ob digitale Dienste oder Datenverarbeitung weitere Pflichten auslösen.
• Szenario 3: UK Online-Shop, der an EU-Verbraucher verkauft
  Pflichten: Benötigt einen GDPR-Vertreter, wenn EU-Personendaten verarbeitet werden. NIS2 gilt nur, wenn der Shop auch Cloud- oder digitale Dienste anbietet (nicht bei reinem E-Commerce).
  Compliance-Weg: Benennen Sie einen GDPR-Vertreter (z.B. REP27), aktualisieren Sie die Datenschutzerklärung und prüfen Sie, ob digitale Dienste NIS2-Vertretung erfordern. Falls nicht, sind keine weiteren Maßnahmen für NIS2 nötig.

Diese Szenarien zeigen, dass die Pflichten von der Art Ihres Geschäfts und Ihrer Dienste abhängen. Führen Sie immer eine detaillierte Prüfung durch und konsultieren Sie einen erfahrenen Anbieter für GDPR- und NIS2-Vertretung.